Health Data Hub : les étapes ayant mené à l’autorisation Cnil du projet Hydro d’Implicity

Ouvert fin janvier 2019, le premier appel à projets du Health Data Hub avait reçu 189 dossiers et dix ont été sélectionnés en avril de la même année. Un peu plus d’un an après, un premier projet pilote a obtenu l’autorisation de la Commission nationale de l’informatique et des libertés (Cnil) permettant d’approcher de l’entrée dans la phase opérationnelle. Il s’agit du projet Hydro porté par la start-up Implicity.

Développer un algorithme en cardiologie

Son objectif : “prévenir les crises d’insuffisance cardiaque pour les patients porteurs de pacemakers/défibrillateurs grâce à l’analyse des données de télésuivi par intelligence artificielle”. Un projet auquel réfléchissait déjà la start-up. “Nous avions la notion que les données des pacemakers et des défibrillateurs implantables ont le potentiel de prédire les crises d’insuffisance cardiaque. Il nous manquait l’accès à une information fiable sur ce que nous cherchions à prédire, des données anonymisées sur quand se produisaient les crises. Il nous manquait également le fait d’avoir un maximum d’éléments cliniques descriptifs des patients”, détaille Arnaud Rosier, CEO et cofondateur d’Implicity. La société, qui compte aujourd’hui 35 salariés, travaille dans le domaine de la télésurveillance des patients en cardiologie. Sa plateforme permet aux professionnels de santé de suivre leurs patients grâce à la remontée des informations des porteurs de dispositifs médicaux connectés couplée aux données cliniques et antécédents des patients. Implicity développe également des dispositifs médicaux logiciels pour aider au traitement de ces données. Le projet Hydro repose sur l’appariement des données de la plateforme d’Implicity avec celles du Système national des données de santé (SNDS). Arnaud Rosier précise suivre environ 20 000 patients sur la plateforme et travailler avec une quarantaine de centres de soins. Pour mener ce projet, Implicity a mobilisé entre cinq et six personnes. Outre Arnaud Rosier, sont intervenus des membres des départements R&D (recherche et développement), réglementaire et juridique. La société a travaillé en lien avec les équipes du Health Data Hub. 

“Le projet Hydro nous paraît important et intéressant également car il est porté par une start-up et qu’il vise à intégrer un algorithme d’aide à la décision par l’intelligence artificielle en lien avec un dispositif médical (DM). C’est un usage de la donnée de santé pour lequel nous voyons un vrai développement”, observe Romain Girard, chef de projet au sein de La Fabrique du Health Data Hub (lire encadré ci-dessous). Ce statut de start-up et d’industriel du DM, Arnaud Rosier le revendique à travers la volonté de “défricher avec les équipes du Hub tout un tas de sujets techniques et réglementaires”. S’il confirme qu’il aurait été possible de demander l’accès au SNDS, il note que cela aurait nécessité de passer par un bureau d’études. Une option exclue pour Arnaud Rosier. Il ajoute : “il est important d’être en avance de phase, de contribuer à l’élan au niveau des start-up en e-santé en France”.

Un parcours réglementaire et juridique qui impacte les données demandées

Sur la partie réglementaire et juridique, l’autorisation Cnil marque la fin d’un processus en plusieurs étapes qui s’est avéré “plus long que prévu” et qui a mis “un peu moins d’un an”, selon le CEO d’Implicity. Romain Girard détaille : “Il faut d’abord obtenir l’avis du comité scientifique (le CEREES, comité d’expertise pour les recherches, les études et les évaluations dans le domaine de la santé a été remplacé par le CESREES, comité éthique et scientifique pour les recherches, les études et les évaluations dans le domaine de la santé le 15 mai 2020 par un décret paru au Journal officiel, ndlr) : favorable, sur recommandation, réservé ou défavorable. Puis l’autorisation de la Cnil”.

Arnaud Rosier pointe “des dossiers pas forcément très simples à mettre en oeuvre” et qui ont “demandé beaucoup de travail sur le projet scientifique”. “Il a fallu préciser très en détail notamment la quantité de données demandées”, ajoute-t-il. Le statut d’industriel d’Implicity a dû être pris en compte. Comme en témoigne Romain Girard : “La loi impose quelques restrictions supplémentaires. Un contexte d’accès aux données qu’il a fallu détailler pour pouvoir répondre aux questions éventuelles des comités. Et toute une première étape a consisté à valider leurs droits d’utiliser les données dont ils disposaient à des fins de recherche, notamment avec l’information aux patients”. Des contraintes juridiques qui ont obligé Implicity à revoir un peu sa copie. “Nous avons dû amender notre projet en coupant les informations sur les centres et les médecins. Nous avons dégradé quelque peu afin qu’il n’y ait aucun doute sur le fait que nous ne pouvons pas réaliser de finalité interdite”, indique Arnaud Rosier. 

Sur le cadrage du projet, Romain Girard précise : “C’est une étape que nous avons faite pour l’ensemble des projets. Il s’agit de regarder ce qu’il est possible de faire ou pas sur le projet, les restrictions de la loi, mais également quelles données peut-on trouver. De nombreux projets aimeraient trouver des données dans le SNDS qui n’y sont pas”. Pour le projet Hydro, Implicity a demandé “des données sur les parcours patients, par exemple les procédures de chirurgie, les comorbidités, les boîtes de médicaments achetées en pharmacie…”, détaille Arnaud Rosier. Il note cependant : “souvent, les données permettent d’approcher une information mais pas d’avoir de certitudes. Le volume des données compensera la qualité des volumes”. Il indique avoir demandé des données sur une période de 2014 à 2020.

La sécurisation des systèmes d’information

À l’issue de ce travail de cadrage et de rédaction du dossier scientifique, le projet Hydro a reçu l’accord du CEREES fin 2019. “Il a été plutôt simple à obtenir après la rédaction d’un long dossier avec un enjeu de vulgarisation”, note Arnaud Rosier. “Avant de déposer à la Cnil, nous les avons accompagnés sur un autre exercice : la sécurité des systèmes d’information. Les projets vont accéder aux données via un espace projet sur la plateforme. Le Health Data Hub va apporter un certain niveau de garantie de sécurité (contrôles des accès, chiffrement, pseudonymisation…) mais il y a des choses que le Hub ne peut pas maîtriser et qui sont sous la responsabilité du responsable de traitement, c’est-à-dire le porteur de projet. Nous travaillons avec eux pour une sensibilisation des utilisateurs en collaborant avec leur responsable de la sécurité des systèmes d’information (RSSI) ou en accompagnant ceux qui n’en ont pas”, détaille Romain Girard. Le Health Data Hub fait aujourd’hui appel à la société Wavestone pour l’accompagner sur la politique de sécurité des systèmes d’information, a indiqué Stéphanie Combes lors d’une audience publique au Conseil d’État le 11 juin 2020. Les discussions ont également été menées avec la Cnil pour l’obtention de l’autorisation. 

La prochaine étape : l’accès aux données 

“Nous sommes dans les starting blocks pour réellement accéder à notre espace, y mettre nos données anonymisées et les apparer. Nous avons eu une grosse étape réglementaire et juridique ; maintenant nous allons entrer dans la technique. La convention entre le Health Data Hub et Implicity doit maintenant être signée”, affirme Arnaud Rosier. Il devrait alors avoir accès aux données et à son espace pour une durée de trois ans, indique Carole Réquillard, directrice de La Fabrique. Romain Girard détaille : “Nous échangeons régulièrement avec la Caisse nationale d’assurance maladie (Cnam) afin de préparer le transfert des données au Health Data Hub. Nous préparerons ensuite les données pour le projet, l’espace projet et les outils d’analyse qui seront nécessaires pour Implicity”. Actuellement, sur son site, le Health Data Hub recense uniquement la base Oscour (organisation de la surveillance coordonnée des urgences) intégrée au catalogue dans le cadre de l’état d’urgence sanitaire (arrêté paru le 22 avril au JO). Les publications du décret et de l’arrêté catalogue sont attendus à l’été 2020.

Le partage concerne aussi les données. Lors de l’annonce des projets sélectionnés, le président du jury, Bernard Nordinger, avait insisté sur l’engagement des porteurs de projet à “partager leurs données dans le cadre du Hub”. Une démarche que confirme Romain Girard : “nous avons des discussions pour inscrire une partie de leur base de données au catalogue pour faciliter leur réutilisation par d’autres projets de recherche à l’avenir”. “Nous avons vocation également à partager certaines données dont nous disposons, renchérit Arnaud Rosier. Nous sommes dans la réflexion de savoir quelles données seraient les plus utiles pour les autres acteurs tout en préservant notre capacité de recherche spécifique.”