Publié le 20/11/2021
Les espoirs déçus du Health Data Hub
Paris, le samedi 20 novembre 2021
– En créant en décembre 2019, le Health Data Hub, né de la transformation de l’Institut national des données de santé, la France s’enorgueillissait de développer l’une des plus grandes bases du genre au monde. Cependant, dès son origine, les critiques étaient nombreuses et concernaient notamment le choix du gouvernement d’utiliser le cloud public de Microsoft pour héberger les données très sensibles du système national d’information inter-régimes de l’Assurance-maladie (Sniiram), du programme de médicalisation des systèmes d’information (PMSI) et du système national de données de santé (SNDS). Un an plus tard, Olivier Véran ministre de la Santé et Cédric O, secrétaire d’État chargé de la transition numérique s’engageaient à changer d’hébergeur « d’ici à deux ans au maximum ». Mais une année après cette promesse, il est vrai encore très marquée par l’épidémie de Covid, il n’y a guère de signe tangible d’une évolution prochaine. Aussi, comme l’explique dans le Monde, le président de la réforme de l’État Christian Babusiaux : « La frilosité de l’écosystème du Health Data Hub et de leurs responsables est donc parfaitement légitime. S’y ajoutent les piratages relatés par les médias dans de nombreux pays ces derniers mois, dont Microsoft n’est pas exempt ».
Impasse
Cependant, cette question de l’hébergeur n’est pas la seule à expliquer qu’en deux ans, le Health Data Hub est loin d’avoir répondu aux espérances qu’il suscitait. L’autre problème majeur est en effet que les données restent parcellaires. En effet, les bases du Système national des données de santé n’ont pas été transférées au Health Data Hub. Face à ces difficultés, le Conseil scientifique du HDH lui-même ne cache pas ses inquiétudes. Christian Babusiaux résume : « le HDH se trouve aujourd’hui dans une impasse ». Pour lui, qui regrette que beaucoup de temps a été perdu, il faut se ressaisir, en réglant notamment le problème de l’hébergeur. Il relève : « Si la France a été capable de construire une des plus grandes bases du monde (le système national des données de santé), elle l’est aussi, avec des partenaires européens, pour l’héberger et l’exploiter en se conformant à l’état de l’art des nouvelles technologies. Il est temps de sauver le soldat Health Data Hub et de sortir de cette impasse qui appelle une décision rapide des pouvoirs publics face aux enjeux de santé publique, financiers, industriels et éthiques que représentent les données de santé », conclut-il une tribune publiée dans Le Monde.
Léa Crébat
Publié le 31/10/2020
Health Data Hub : ses risques pour la protection des données ne sont peut-être pas ses seuls défauts
Paris, le samedi 30 octobre 2020 – Mi octobre, le Conseil d’État a rejeté la requête déposée par une dizaine d’associations qui s’inquiétaient des risques quant à la protection des données de santé des Français liés à la conception du Health Data Hub. Lancé le 1er décembre 2019, le Health Data Hub suscite les réserves de nombreux observateurs. Le point majeur des inquiétudes est le choix du gouvernement d’utiliser le cloud public de Microsoft pour héberger les données très sensibles du système national d’information inter-régimes de l’Assurance-maladie (Sniiram), du programme de médicalisation des systèmes d’information (PMSI) et du système national de données de santé (SNDS). Les pouvoirs publics ont justifié cette décision par une nécessaire rapidité, alors qu’aucun hébergeur français ne remplissait l’ensemble des critères de sécurité nécessaires. Cependant, le fait que Microsoft soit soumis au Cloud Act qui permet à la justice américaine dans le cadre d’une enquête pénale aux Etats-Unis de forcer les hébergeurs de données américains (dont Microsoft) à transmettre certaines d’entre elles est une préoccupation importante pour de nombreux acteurs. Cependant, le Conseil d’État a considéré suffisantes les garanties juridiques empêchant le transfert des données médicales par Microsoft vers les Etats-Unis, ainsi que la « pseudonymisation » des données. Néanmoins, il a imposé quelques ajustements.
Quantité ne rime pas avec qualité
Pour autant, les inquiétudes demeurent. Ainsi, dans une tribune publiée dans Le Monde, Marcel Goldberg, professeur émérite d’épidémiologie et de santé publique et Marie Zins, médecin épidémiologiste et enseignante-chercheuse, tous deux à l’université de Paris mettent en garde contre des problèmes de « sécurité majeurs ». Ils épinglent par exemple les risques liés à la « La centralisation des données dans une seule infrastructure informatique » qui « les rend plus exposées aux attaques venant de l’extérieur comme de l’intérieur, avec des impacts plus grands en cas de rupture de confidentialité ». Au-delà de ces questions qui concernent la sécurité informatique, les deux épidémiologistes mettent en garde contre l’illusion d’homogénéité que créée cette centralisation. Or, ils rappellent que les données très diverses regroupées dans le Health data Hub ne sont pas facilement comparables. « Encore faut-il que les données soient interopérables, c’est-à-dire homogènes sur le plan sémantique. Par exemple, si on s’intéresse à l’insuffisance cardiaque, on peut trouver des données dans diverses sources : dossier de service de cardiologie, diagnostic de généraliste ou de cardiologue en ville, déclaration d’un sujet dans une enquête, réseaux sociaux… Mais, selon la source, ce terme n’a pas la même signification, ni la même validité. Il faut connaître le contexte et les méthodes du recueil des données, la population dont elles sont issues, etc., le cas échéant le type d’appareil utilisé car on rencontre, par exemple, des électrocardiogrammes ou des images IRM provenant d’appareils différents. Et dans de nombreux cas, cette harmonisation s’avère impossible. C’est pourquoi les algorithmes d’IA sont le plus souvent développés sur une base de données unique » notent-ils. Ainsi invitent-ils une nouvelle fois à se méfier du caractère spectaculaire de l’ampleur des données, en rappelant que la quantité n’est pas nécessairement un gage de qualité et qu’elle peut se révéler trompeuse.
Léa Crébat
Publié le 31/10/2020
Health Data Hub : ses risques pour la protection des données ne sont peut-être pas ses seuls défauts
Paris, le samedi 30 octobre 2020
– Mi octobre, le Conseil d’État a rejeté la requête déposée par une dizaine d’associations qui s’inquiétaient des risques quant à la protection des données de santé des Français liés à la conception du Health Data Hub. Lancé le 1er décembre 2019, le Health Data Hub suscite les réserves de nombreux observateurs. Le point majeur des inquiétudes est le choix du gouvernement d’utiliser le cloud public de Microsoft pour héberger les données très sensibles du système national d’information inter-régimes de l’Assurance-maladie (Sniiram), du programme de médicalisation des systèmes d’information (PMSI) et du système national de données de santé (SNDS). Les pouvoirs publics ont justifié cette décision par une nécessaire rapidité, alors qu’aucun hébergeur français ne remplissait l’ensemble des critères de sécurité nécessaires. Cependant, le fait que Microsoft soit soumis au Cloud Act qui permet à la justice américaine dans le cadre d’une enquête pénale aux Etats-Unis de forcer les hébergeurs de données américains (dont Microsoft) à transmettre certaines d’entre elles est une préoccupation importante pour de nombreux acteurs. Cependant, le Conseil d’État a considéré suffisantes les garanties juridiques empêchant le transfert des données médicales par Microsoft vers les Etats-Unis, ainsi que la « pseudonymisation » des données. Néanmoins, il a imposé quelques ajustements.
Quantité ne rime pas avec qualité
Pour autant, les inquiétudes demeurent. Ainsi, dans une tribune publiée dans Le Monde, Marcel Goldberg, professeur émérite d’épidémiologie et de santé publique et Marie Zins, médecin épidémiologiste et enseignante-chercheuse, tous deux à l’université de Paris mettent en garde contre des problèmes de « sécurité majeurs ». Ils épinglent par exemple les risques liés à la « La centralisation des données dans une seule infrastructure informatique » qui « les rend plus exposées aux attaques venant de l’extérieur comme de l’intérieur, avec des impacts plus grands en cas de rupture de confidentialité ». Au-delà de ces questions qui concernent la sécurité informatique, les deux épidémiologistes mettent en garde contre l’illusion d’homogénéité que créée cette centralisation. Or, ils rappellent que les données très diverses regroupées dans le Health data Hub ne sont pas facilement comparables. « Encore faut-il que les données soient interopérables, c’est-à-dire homogènes sur le plan sémantique. Par exemple, si on s’intéresse à l’insuffisance cardiaque, on peut trouver des données dans diverses sources : dossier de service de cardiologie, diagnostic de généraliste ou de cardiologue en ville, déclaration d’un sujet dans une enquête, réseaux sociaux… Mais, selon la source, ce terme n’a pas la même signification, ni la même validité. Il faut connaître le contexte et les méthodes du recueil des données, la population dont elles sont issues, etc., le cas échéant le type d’appareil utilisé car on rencontre, par exemple, des électrocardiogrammes ou des images IRM provenant d’appareils différents. Et dans de nombreux cas, cette harmonisation s’avère impossible. C’est pourquoi les algorithmes d’IA sont le plus souvent développés sur une base de données unique » notent-ils. Ainsi invitent-ils une nouvelle fois à se méfier du caractère spectaculaire de l’ampleur des données, en rappelant que la quantité n’est pas nécessairement un gage de qualité et qu’elle peut se révéler trompeuse.
Léa Crébat
Publié le 14/12/2019
Le Health Data Hub : atout français ou dispositif dangereux ?
Paris, le samedi 14 décembre 2019
– Dans une tribune récemment publiée dans Le Monde, Lydia Morlet (maître de conférences en droit privé à l’université Paris-Descartes et codirectrice de l’Institut droit et santé) et Alexandre Templier président et cofondateur de Quinten, cabinet de conseils en Intelligence Artificielle (IA) louaient l’avant-gardisme de la France qui a su se doter de « dispositifs (uniques en Europe et dans le monde) comme le système national d’information interrégimes de l’Assurance-maladie (Sniiram), le programme de médicalisation des systèmes d’information (PMSI), le système national de données de santé (SNDS) ou plus récemment le Health Data Hub ».
Tester des algorithmes grâce à une des plus importantes plateformes du monde !
Le Health Data Hub est en effet le dernier né d’une longue tradition de concentration des données de santé. Il a été officiellement lancé le 1er décembre. Même si certains émettent des réserves sur les promesses de l’intelligence artificielle en santé, à laquelle on prête peut-être des mérites trop ambitieux, si on veut participer à la course (et probablement le faut-il ne serait-ce que pour des enjeux économiques), le Health Data Hub est un outil qui apparaît incontournable. Cette plateforme est le fruit des recommandations du rapport établi en 2018 par Cédric Villani sur l’intelligence artificielle qui pressait la France de mieux organiser l’accès aux données de santé. Ainsi, le Health Data Hub concentre toutes les informations du SNDS et doit permettre à tous les acteurs publics et privés porteurs d’un projet présentant un intérêt pour la santé publique d’y accéder afin de tester leurs algorithmes.
Dix projets
Pas encore en fonctionnement (puisqu’une procédure d’homologation doit avoir lieu début 2020), le Health Data Hub a cependant déjà sélectionné les dix premiers projets qui pourront bénéficier de ces millions de données (évidemment anonymisées et cryptées). La moitié de ces programmes est initiée par des acteurs publics et aucun laboratoire pharmaceutique ne figure dans la liste. Parmi les dossiers acceptés, on peut évoquer le projet de Deepsarc, dont l’objectif est d’affiner la prise en charge du sarcome, le programme Hydro qui grâce à la comparaison entre ses propres informations issues de prothèses cardiaques et celles émanant d’hôpitaux souhaite développer un algorithme de prédiction des infarctus ou encore l’application Oscour qui est dédiée à l’amélioration de la surveillance sanitaire.
Pas mieux que Microsoft en France ?
Pourtant, le Health Data Hub n’est pas que le grand projet numérique français, rappelant qu’en dépit de quelques faiblesses la France joue dans de nombreux secteurs un rôle pionnier et moteur. Le Health Data Hub est également le cœur d’une polémique (que certains considéreront elle-aussi foncièrement française). Outre ceux qui rappellent que les promesses de l’intelligence artificielle pourraient être en partie des illusions tandis que d’autres redoutent des critères d’éligibilité des projets trop flous, le point majeur des inquiétudes est le choix du gouvernement d’utiliser le cloud public de Microsoft pour héberger les données de notre précieuse plateforme. Les pouvoirs publics ont justifié cette décision par une nécessaire rapidité, alors qu’aucun hébergeur français ne remplissait l’ensemble des critères de sécurité nécessaires. Cependant, le fait que Microsoft soit soumis au Cloud Act qui permet à la justice américaine dans le cadre d’une enquête pénale aux Etats-Unis de forcer les hébergeurs de données américains (dont Microsoft) à transmettre certaines d’entre elles est une préoccupation importante pour de nombreux acteurs. Une telle possibilité paraît en effet une menace pour la confidentialité des données. Par ailleurs, le caractère payant des licences de Microsoft est également regretté par beaucoup.
Les réserves de la CNIL
Les défenseurs du programme estiment que les risques demeurent minimes. Ils relèvent notamment que le Règlement général sur la protection des données (RGPD) interdit le transfert de ces dernières de pays européens vers des pays tiers (sauf accords internationaux contraires, qui n’existent pas encore entre la France et les Etats-Unis), or ce sont les serveurs Microsoft France qui conservent les données du Health Data Hub. Par ailleurs, les promoteurs de la plateforme jugent que le cryptage et l’anonymisation offrent des garanties suffisantes pour assurer leur confidentialité. Des arguments qui sont cependant loin de convaincre unanimement. La réidentification apparaît en effet loin d’être impossible, d’autant plus que l’algorithme de chiffrement du Système national des données de santé (SNDS) serait loin d’être infaillible comme l’avait remarqué la Commission nationale informatique et liberté (CNIL). Cette dernière conserve donc des réserves vis-à-vis du Health Data Hub. Sa présidente a affirmé en septembre devant les députés que le Cloud Act était contraire au RGPD et n’a pas exclu des risques pour la confidentialité. D’une manière générale, beaucoup, tels les auteurs d’une tribune qui vient d’être publiée dans Le Monde redoutent que le Health Data Hub ne mine le lien de confiance entre les hôpitaux (et les soignant) et les patients. Aussi, prônent-ils le développement de solutions alternatives, tels les Entrepôts de Données de Santé (EDS) développés depuis quelques années par certains hôpitaux.
Privatisation d’informations très sensibles
Derrière cette promotion de dispositifs alternatifs, se lit également une crainte vis-à-vis d’une centralisation par l’état de données très sensibles avec pour objectif d’en permettre l’accès à des acteurs privés. « La souveraineté du cloud ne change rien pour le HDH, puisque le prestataire ne sert en réalité à rien d’autre que stocker les données qui seront en plus chiffrées au préalable, par l’organisme en charge du projet. Ce qui nous inquiète est plutôt l’aspect politique, puisque des données publiques sont centralisées pour le secteur privé, avec un accès facilité. Tout ça est inquiétant, puisqu’on privatise nos données, avec le prétexte de faire tourner des intelligences artificielles d’entreprises censées réaliser des exploits pour la médecine, alors que l’on observe depuis 10 ans que ces outils ne sont pas si performants que ça et demandent de nombreuses interventions humaines pour s’améliorer » observe ainsi Benoit Piédallu, membre de La Quadrature du Net (LQDN), association de défense des libertés numériques.
D’aucuns diront qu’à l’instar de nombreux autres projets, le HDH pâtit de l’habitude française de préférer toujours la critique à l’auto-congratulation quand d’autres jugeront que par des choix contestables le gouvernement a manqué un rendez-vous important et seront confortés dans leur rejet d’un dispositif dont ils n’entrevoient que les limites et les risques.
Aurélie Haroche
Santé-Environnement-Politique 