Construire un EDS, du régime juridique à l’appariement

Face à l’émergence de plusieurs entrepôts de données de santé (EDS) en France, l’opérateur français Euris, qui propose une offre cloud en santé, organisait un webinaire le 25 mars 2021 détaillant le “mode d’emploi” de la mise en place de ce type d’entrepôt. Il était pour ce faire accompagné de la start-up Owkin, du cabinet de conseil spécialisé en intelligence artificielle Quantmetry et du cabinet Beslay + Avocats, acteurs avec lesquels il propose une “offre complète (…) pour construire un dossier d’EDS” (IQVIA et OpusLine sont également partenaires de cette offre). Le même jour, au cours d’une conférence du Printemps de la recherche clinique organisé par l’Association française des prestataires de la recherche clinique (Afcros), Erik Boucher de Crevecoeur, ingénieur expert en technologie de l’information à la Commission nationale de l’informatique et des libertés (Cnil), est revenu sur le principe des EDS et les circuits d’appariement.

Joséphine Flament, avocate associée au sein du cabinet Beslay + Avocats, a rappelé la définition de l’EDS, à savoir “une base de données de santé ‘centralisée’ créée pour collecter et disposer de données massives” et “constituée pour une longue durée (en général dix ans)”. Il peut être alimenté par plusieurs sources (professionnels de santé, patients, pharmacies, établissements de santé…) et les données sont “réutilisées principalement à des fins d’études, de recherches et d’évaluation dans le domaine de la santé, mais également à des fins de garantie de normes élevées de qualité et de sécurité des soins de santé et des médicaments ou dispositifs médicaux”. De son côté, Erik Boucher de Crevecoeur a redit la notion d’intérêt public de l’utilisation de ces “bases de données de santé massives” et ce, “principalement à des fins de recherche ultérieures”. Joséphine Flament fait le distingo entre un EDS et une recherche en santé : “l’entrepôt collecte des données massives pour une réutilisation des données en vue de plusieurs projets de recherche alors que la recherche répond à un objectif précis et limité dans le temps”.

Le régime juridique de l’EDS dépendra du recueil ou non du consentement des personnes. Si un consentement explicite des personnes concernées par la collecte, l’enregistrement et la conservation des données de santé dans un entrepôt a été recueilli, aucune formalité préalable n’est nécessaire. “Le responsable de traitement devra tout de même être en mesure de démontrer sa conformité au règlement général sur la protection des données (RGPD)”, souligne Joséphine Flament. Si le consentement n’a pas été recueilli, une demande d’autorisation “santé” (hors recherche) doit être effectuée auprès de la Cnil. Dans les deux cas, une analyse d’impact sur la vie privée (AIPD) devra être réalisée.

Joséphine Flament a ensuite précisé les “éléments clés” de préparation d’un dossier de demande d’autorisation d’EDS auprès de la Cnil : le réalisme du projet et de ses objectifs, la définition des finalités et la justification de l’intérêt public, les fonctionnalités et les profils d’habilitation, l’infrastructure technique, les flux de données et la sécurité, la gouvernance de l’EDS et la comitologie, la gestion du droit d’opposition et de l’information des personnes et enfin l’AIPD. Elle a insisté sur la notion de “réalisme” du projet, un EDS étant “extrêmement coûteux” à mettre en œuvre. Erik Boucher de Crevecoeur a, lui, insisté sur la gouvernance de ces EDS “par un comité scientifique et éthique chargé d’évaluer les projets de recherche, notamment de vérifier leur caractère d’intérêt public, et de donner les autorisations d’accès aux données de l’entrepôt”. Il a également cité l’importance d’intégrer les principes du RGPD : accès de l’entrepôt à une équipe restreinte et dédiée, profils d’habilitation avec différents niveaux d’accès, pseudonymisation ou anonymisation des données, limitation des extractions de données, traçabilité et surveillance.

Selon Emmanuel Jouanne, responsable business development de l’offre Cloud Santé d’Euris, “un EDS peut être lancé en trois à quatre mois”. Il en a rappelé les deux principaux bénéfices : la centralisation des données, qui permet leur harmonisation et des requêtes transversales, et la possibilité de mener des études “plus riches vs des études ponctuelles” (plusieurs études sur une longue durée, données massives…). Des bénéfices qu’il estime “très directs et relativement rapides”, à savoir “quelques mois après la mise en place” de l’entrepôt : réduction du délai d’identification d’un candidat médicament, gain de temps dans les essais cliniques, développement d’outils d’aide au diagnostic, etc. 

Lors de la conférence de l’Afcros, Erik Boucher de Crevecoeur a détaillé les usages du NIR (numéro d’inscription au répertoire d’identification des personnes physiques) comme identifiant pivot pour apparier les données d’une étude avec le Système national des données de santé (SNDS) , “ce qui suppose de manipuler cet identifiant très sensible”. Il a ainsi listé les écueils fréquents identifiés par la Cnil : le recours superflu à un tiers, la circulation inutile du NIR et/ou des données de santé, le mauvais usage des “numéros d’accrochage” utilisés pour faire circuler d’un côté le NIR et de l’autre les données de santé, la conservation excessive des identifiants techniques ou encore des tiers faisant partie du même organisme que le responsable de traitement et ne pouvant donc pas être considérés comme des tiers indépendants. Il a ensuite rappelé la publication en début d’année 2021 par la Cnil d’un guide pratique sur l’appariement des données avec le SNDS. 

Les délibérations EDS de la Cnil

Euris a présenté au cours de son intervention une analyse des décisions de la Commission nationale de l’informatique et des libertés (Cnil) en matière d’entrepôt de données de santé (EDS), qu’elle a synthétisées dans le tableau ci-dessous, soulignant les “nombreux cas d’usage”.