Health Data Hub : de nombreux points discutés lors de l’audience de référé au Conseil d’État

Le jeudi 11 juin 2020, le Conseil d’État a examiné le recours du Conseil national du logiciel libre (CNLL) ainsi que d’organisations et personnalités au sujet du Health Data Hub. Ce recours en référé porte sur une demande de suspension de l’arrêté du “21 avril 2020 complétant l’arrêté du 23 mars 2020 prescrivant les mesures d’organisation et de fonctionnement du système de santé nécessaires pour faire face à l’épidémie de COVID-19 dans le cadre de l’état d’urgence sanitaire, en ce qu’il confie la collecte et le traitement de données de santé à la plateforme Health Data Hub”. Cet arrêté autorise la plateforme et la Caisse nationale d’assurance maladie à recevoir, stocker et mettre à disposition dix catégories de données personnelles.

Présidée par la juge des référés Pascale Fombeur, l’audience s’est déroulée en présence de Me Jean-Baptiste Soufron, avocat à la cour, Jean-Paul Smets, dirigeant de la société Nexedi, Dominique Pradalier du Syndicat national des journalistes et Juliette Alibert, collaboratrice de Me Soufron pour le CNLL et les autres requérants, ainsi que, pour le ministère de la Santé, Charles Touboul, directeur des affaires juridiques, Stéphanie Combes, directrice du GIP Health Data Hub, et Thomas Duong, délégué à la protection des données du GIP.

La question de l’urgence sanitaire

Au cours de l’audience de nombreux points ont été abordés, notamment sur le caractère d’urgence d’alimenter la plateforme dans le cadre de l’état d’urgence sanitaire. Interrogée par la juge sur les bases de données disponibles grâce à l’arrêté du 21 avril, Stéphanie Combes a indiqué que le Health Data Hub a commencé à être alimenté “avec les données de Santé publique France sur les passages aux urgences. Nous sommes en train d’alimenter la plateforme avec les données de SI-VIC (Système d’information pour le suivi des victimes d’attentats et de situations sanitaires exceptionnelles, ndlr). Et les dernières sources de données sont le PMSI Fast Track (Programme de médicalisation des sytèmes d’information, ndlr)”. Elle a également souligné qu’aujourd’hui seuls les utilisateurs de la Drees (direction de la recherche, des études, de l’évaluation et des statistiques) traitent les données de passages aux urgences. Plusieurs autres projets sont en cours pour l’obtention de l’autorisation de la Cnil (Commission nationale de l’informatique et des libertés, ndlr)”.

Si l’arrêté du 21 avril a permis de remonter ces bases de données, la juge a noté que l’état d’urgence sanitaire doit prendre fin le 10 juillet, ce qui pose la question du statut de ces travaux si le décret sur le SNDS n’est pas paru d’ici là. “À la fin de l’état d’urgence sanitaire, on bascule dans un autre dispositif. La question se posera pour l’ensemble des mesure de l’arrêté du 23 mars plusieurs fois modifié”, a confirmé Charles Touboul. Sur l’urgence sanitaire, Stéphanie Combes a par ailleurs insisté sur “le nombre de sujets à étudier” alors que l’on “sait encore peu de choses sur la pathologie. Nous ne sommes pas sur des sujets de recherche sur trois ans. Il faut nous préparer à une éventuelle 2e vague. Nous n’avons pas beaucoup de temps pour apprendre sur cette pathologie”. Toutefois, sur la mise en place en urgence, elle a rappelé que “la plateforme technologique a été instruite dans la durée par la Cnil” qui n’a pas “découvert la plateforme dans le cadre de l’urgence sanitaire”.

Les choix autour de l’hébergement des données de santé

Ont également été évoqués le choix de faire appel à un prestataire certifié pour l’hébergement des données de santé et de Microsoft et sa solution Microsoft Azure pour l’hébergement de la plateforme, et les risques de confier cette responsabilité à une entreprise soumise au Cloud Act américain. Stéphanie Combes a indiqué que le choix d’un hébergeur de données de santé visait à garantir un maximum de sécurité. Et le choix de Microsoft a été fait “après une analyse des solutions au regard des exigences qui s’appliquaient à notre cas”. 

Sur le risque de transfert à l’étranger, Stéphanie Combes a répondu que “le Cloud Act s’applique dans des cas précis et nécessite des données très précises et nominatives. Dans la plateforme, les données sont anonymisées”. Me Jean-Baptiste Souflon a toutefois soulevé que le contrat avec Microsoft mentionne la localisation en Europe uniquement pour “les données au repos”. Stéphanie Combes a alors précisé que ces données sont “là où le client décide de les localiser. En Europe en ce qui nous concerne”, avant de préciser qu’il s’agit d’un datacenter au Pays-Bas. Pour les données en traitement, elle a par ailleurs assuré qu “l’architecture technique a été mise en oeuvre avec toutes les mesures de cloisonnement afin que les bureaux virtuels soient bien déployés dans l’Union européenne”. La plateforme utilise une cinquantaine de services dont “une quarantaine de services de Microsoft Azure”.  Le Health Data Hub est ainsi un entrepôt de données auxquelles les porteurs de projets qui auront été acceptés accéderont à un set de données via un bureau virtuel opéré par la plateforme. Stéphanie Combes a également souligné que la plateforme a été homologuée en avril et que tous les dossiers d’homologation ont été transmis à l’Anssi (Agence nationale de sécurité des systèmes d’information) et la Cnil.

Interpellée par la juge sur l’application des articles 13 et 14 du Règlement général sur la protection des données (RGPD) et plus particulièrement sur l’information sur le droit des personnes, Stéphanie Combes a indiqué avoir mis en place une page sur le droit des personnes et ensuite une fiche pour chaque base et une fiche pour chaque recherche. 

De nombreux documents ont été demandés à verser au dossier. L’avis devrait être rendu la semaine du 15 juin.