Le 28/02/2020, les engagements de la Plateforme des données de santé (Health Data Hub) vis-à-vis de ses partenaires responsables des données ont été publiés sous forme de charte, laquelle sera complétée par d’autres textes à venir.
- Contenu de la Charte
- 1 La répartition globale des rôles des acteurs
La « Charte responsables de données » décrit, sous forme de grands principes, le partage des responsabilités proposé aux différents partenaires du Health Data Hub (HDH).
- Le responsable des données (entrepôt de données de santé de CHU par exemple) collecte, met en forme et pseudonymise les données.
- Le HDH, « responsable du traitement » au sens du Règlement général de protection des données (RGPD), stocke, organise et met à disposition les données pour les « utilisateurs projet ». Le décret relatif au Système national des données de santé (SNDS) sera prochainement actualisé pour détailler concrètement ce rôle.
- Les « utilisateurs projets » sont pour rappel les porteurs de projets autorisés par la CNIL ou dont les projets sont en conformité avec une méthodologie de référence. Ils peuvent être des organismes de recherche, des associations de patients et d’usagers, des institutions, des grands groupes privés comme de startups, des journalistes, etc. Ils réalisent les traitements sur les données avec des outils à l’état de l’art dans des espaces dédiés, sécurisés et tracés, qui sont mis à disposition par le hub. Les données ne leur seront accessibles que sur le périmètre pertinent pour leur projet. Après le traitement des données, ils publient ensuite les résultats de leurs études dans le répertoire public opéré par le HDH.
Selon le contexte, les cocontractants du HDH pourront être « responsables de données » ou « utilisateurs projet ».
La Charte sera complétée par une charte « citoyens » fixant les engagements du HDH vis-à-vis de la société civile ainsi qu’une charte « utilisateurs » fixant les Conditions générales d’utilisation (CGU) de la plateforme par les utilisateurs habilités.
En pratique, le HDH disposera d’une collection de bases (« catalogue » dont le contenu exact sera fixé par arrêté), construite progressivement avec les contractants responsables de données et venant s’ajouter à une « base principale » comprenant essentiellement les données médicoadministratives de tous les Français (le « SNDS » historique).
1-2. Le circuit de la donnée en 6 étapes
La Charte détaille les 6 étapes du circuit de la donnée, depuis le système d’information (SI) du responsable des données jusqu’à l’utilisateur final.
L’étape 0 est celle de la contractualisation entre le responsable des données et le hub. Elle prévoit notamment l’appui humain et financier apporté par le hub et les conditions tarifaires d’accès aux données par les utilisateurs.
L’étape 1 voit les données inscrites au catalogue du hub. Le responsable des données et le hub mettent conjointement en place le circuit de pseudonymisation et le flux d’ingestion des données vers le HDH, qui se charge ensuite de l’appariement des données avec celles de la base principale. Le hub présente les données et l’offre de service du responsable des données dans son catalogue. Les informations personnelles directement identifiantes sont supprimées des bases avant leur transfert sur la plateforme.
L’étape 2 est celle de l’intervention de l’utilisateur, qui effectue une demande d’accès à certaines données. Le hub informe le responsable des données et peut émettre des remarques « de toute nature ». Le Comité éthique et scientifiques pour les recherches, les études et les évaluations dans le domaine de la santé (CESREES) est dès lors saisi pour évaluer la pertinence et l’intérêt public de la demande. Il intègre les remarques du responsable des données dans son analyse et peut l’auditionner. La CNIL doit enfin autoriser l’accès aux données.
L’étape 3 est celle de l’établissement de la convention d’utilisation des données, à l’issue de laquelle le hub prépare l’espace projet au sein de sa plateforme technologique, permettant à l’équipe projet, une fois habilitée, de traiter la donnée sous de hautes conditions de sécurité. L’utilisateur publie ensuite les résultats de son étude dans le répertoire public opéré par le HDH qui en informe le responsable des données. Par ailleurs, les finalités des projets mobilisant des données du SNDS sont rendues publiques ainsi que leurs méthodes et résultats.
L’étape 4 correspond à la valorisation de l’expertise et la rétribution des responsables des données. Le hub facture et collecte les revenus de la tarification liés à la mise à disposition des données et reverse au partenaire responsable des données sa quote-part, laquelle permet de couvrir une partie de l’effort financier initial. Si l’utilisateur décide de publier des articles en lien avec l’exploitation des données, il devra alors citer la base de données utilisée.
L’étape 5 détaille les modalités d’exercice des droits des patients. Elle rappelle les obligations d’information qui incombent au responsable des données et précise que lorsqu’un citoyen souhaite exercer son droit d’opposition sur le périmètre sur lequel le HDH est responsable de traitement, ce dernier met en œuvre un dispositif permettant le recueil de son numéro d’inscription au registre (NIR) tout en garantissant le cloisonnement entre son identité directe et les données de santé.
1-3. Les engagements du HDH
- Appui à la collecte, la standardisation et la documentation des données
Le HDH s’engage à appuyer financièrement et humainement les responsables des données dans la conduite des différentes actions nécessaires au transfert et à la mise à disposition des données : extraction, déidentification, standardisation, documentation, création d’échantillon, mise en place des flux d’ingestion.
Les modalités précises d’accompagnement sont fixées au cas par cas dans chaque convention qui sera rédigée en collaboration avec chacun des responsables de données.
Le HDH s’engage à prendre en charge la procédure d’accès harmonisée, la mise en œuvre d’appariements et la création d’extractions, la gestion du support, de la sensibilisation et de l’information des utilisateurs projets ainsi que les coûts de stockage, de calcul et de mise à disposition via une plateforme technologique à l’état de l’art. Certaines de ces activités peuvent être tarifées.
Le HDH s’engage à contribuer à la diffusion de standards internationaux et à une meilleure interopérabilité, afin de permettre des agrégations et chaînages de qualité.
Le HDH promeut enfin les initiatives visant à coordonner les acteurs locaux d’un territoire dans le but de créer de nouvelles bases.
- Fourniture d’un hébergement à l’état de l’art et hautement sécurisé
Dès leur arrivée sur la plateforme technologique, les données sont placées sous la responsabilité du HDH qui s’engage à garantir un très haut niveau de sécurité et de protection des données.
Le HDH fournit une plateforme technologique sécurisée garantissant un hébergement certifié « hébergement de données de santé » et conforme aux textes applicables, notamment l’arrêté relatif au référentiel de sécurité du SNDS.
Le HDH assure un suivi des conditions de sécurité grâce à une gouvernance de cybersécurité impliquant le haut fonctionnaire de défense et de sécurité des ministères sociaux et l’Agence Nationale de Sécurité des Systèmes d’Information (ANSSI).
Le HDH permet des traitements à l’état de l’art pour les utilisateurs « projet » mais également pour les responsables de données qui voudraient réaliser certains de leurs traitements de mise en forme, mise en qualité, standardisation et documentation sur la plateforme technologique du HDH. L’offre logicielle permettra le développement des codes et algorithmes dans le respect des standards les plus récents (R, python, spark..) et sera complétée par des capacités de stockage et de calcul élastiques. En cible, une place de marché permettra également aux éditeurs de partager les outils pertinents avec la communauté et d’ainsi favoriser la mutualisation.
Le HDH s’engage enfin à tracer toutes les actions réalisées sur les données afin d’en permettre l’audit.
- Accompagnement dans la mise en conformité RGPD
Le HDH est soumis à l’obligation de transparence sur tous les projets menés avec des données du SNDS en application de l’article L.1461-3 du code de la santé publique. Indépendamment de leur lieu de réalisation, les finalités des projets mobilisant des données du SNDS sont rendues publiques ainsi que leurs méthodes et résultats.
Le HDH s’engage à veiller au respect des droits des citoyens, à faciliter l’exercice de ces droits et à leur bonne information, en articulation avec les responsables de données. Dans la mesure où le HDH ne stockera jamais d’information susceptible d’identifier directement une personne mais que l’exercice des droits nécessite le NIR, une procédure garantissant le cloisonnement entre l’identité directe de la personne et ses données de santé est mise en place.
Les demandes d’accès au catalogue de données sont évaluées par le CESREES qui comprendra des experts scientifiques, éthiques, juridiques, et des représentants des associations de patients. Le responsable de données est systématiquement informé par le HDH d’une demande portant sur sa base afin de permettre à son comité scientifique, le cas échéant, de formuler des observations sur un dossier précis, ceci permettant de garantir que le CESREES ne donne pas un avis contrevenant aux finalités convenues avec les volontaires lors du recueil de leurs données (dans le cas des cohortes par exemple). De même, il s’agira également de ne pas donner un avis favorable à un projet qui semble pertinent mais qui ne serait pas en réalité faisable du fait du protocole de collecte initial des données, de ses biais potentiels ou de sa qualité plus généralement.
Le HDH assure l’enrichissement systématique des bases du catalogue avec les données de la base principale. Les partenaires responsables de données peuvent récupérer leurs données chainées au SNDS dans leur système d’information propre, si celui-ci respecte le niveau de sécurité requis ; ce transfert devra s’effectuer en conformité avec la règlementation en vigueur.
Le transfert des données au sein de la plateforme technologique du HDH pourra être opéré dans un délai d’un an maximum, afin d’assurer aux responsables de données un temps d’avance pour utiliser leurs bases à des fins de publication académique avant leur partage à d’autres utilisateurs « projet ».
Le HDH renforce la visibilité des bases de données de recherche et augmente ainsi les citations mentionnant leur ré-utilisation, celles-ci étant exigées des utilisateurs « projet ». Ces indicateurs confèrent aux équipes en charge de leur collecte, mise en forme et mise en qualité, un argument dans le cadre de la négociation de financements ou pour leur propre notoriété. Comme ils sont systématiquement informés en cas de demande d’accès portant sur leur base, ils ont l’opportunité de nouer de nouveaux partenariats. Ils sont également informés de chaque publication de résultats obtenus grâce à leurs données.
Le HDH s’engage à favoriser voire accompagner la mise en place de partenariats entre les responsables de données et les utilisateurs « projet ». Il leur offre la possibilité de tarifer l’accès direct aux données à des utilisateurs « projet » privés, de l’expertise ou encore des analyses réalisées par le responsable lui-même. En mettant en avant l’expertise des responsables de données, les collaborations seront encouragées et un partage de la valeur pourra être négocié entre utilisateur « projet » et responsable de données dans le cas où ils développeraient une innovation conjointement.
Enfin, aucune exclusivité n’est requise dans le cadre du partenariat entre les responsables de données et le HDH. Si le responsable de données et l’utilisateur préfèrent travailler directement ensemble, ils seront libres de le faire. Mais ce partenariat doit être établi dans le respect de la réglementation en vigueur, notamment s’agissant du traitement de données personnelles.
2- Nature et portée de la Charte
En tant que charte, ce document ne revêt aucune force obligatoire, étant un acte de « droit mou » (droit non contraignant).
Cependant, le droit mou constitue le plus souvent les prémices du droit dur et il ne peut qu’être incité à le respecter d’emblée, sous peine de déconvenues par la suite.
D’ailleurs, à cet égard, la Charte constituera le socle du « conventionnement ultérieur » régissant les relations entre le HDH et les institutions publiques ou privées « responsables des données » en tant qu’elles mettent leurs données à disposition de la plateforme.
Et en tout état de cause, l’instrument de droit mou ici employé par les pouvoirs publics, s’il est dépourvu d’effet juridique contraignant, ne sera pourtant pas dénué d’effets juridiques stricto sensu.
En effet, il est des cas dans lesquels il est préférable d’inciter et de persuader plutôt que de contraindre. Ces cas renvoient le plus souvent aux systèmes de régulation complexe, au nombre desquels figure indéniablement le secteur de la e-santé.
Et l’on ne peut que le féliciter de cette méthodologie étant donné que les instruments non contraignants au service de la régulation sectorielle garantissent une efficacité souvent plus importante que celle allouée aux instruments contraignants.
Plus précisément, l’utilisation d’instruments non contraignants ne correspond en rien à un « laisser-faire » de l’Etat sur le marché. Elle est destinée, bien au contraire, à induire des comportements particuliers de la part des opérateurs sur ce marché. Car si la portée de ces instruments ne s’impose pas aux sujets concernés de façon officiellement obligatoire, on constate que les opérateurs, qu’ils s’y sentent contraints ou non, se plient volontiers aux « règles/normes » qui en résultent.
Cette pratique courante d’élaboration de « droit mou » trouve son origine dans les « directives » que l’administration générale utilise depuis les années 1920. Souvent, la doctrine résultant de ces documents finit par être incorporée dans un texte réglementaire mais sinon, elle devient au minimum un regroupement d’orientations générales auxquelles l’administration se réfère.
En effet, comme en témoigne l’arrêt « Crédit foncier de France » rendu par le Conseil d’Etat en 1970 (CE, sect., 11 décembre 1970, Crédit foncier de France ; Req. n°78880), l’administration s’impose les règles qu’elle édicte, notamment parce que la doctrine administrative qui en résulte comporte un certain automatisme qui facilite et accélère le fonctionnement du service.
Il s’agit donc d’un droit qui, bien que « mou », influe sur le comportement des acteurs, la souplesse n’empêchant en rien l’efficacité. Car, a contrario, une règle peut être contraignante, « dure », sans être respectée. Ici, à l’inverse, on assiste généralement à une émission « molle » d’actes mais avec une réception le plus souvent « dure », garantissant un modèle comportemental censé servir les intérêts du secteur. Il y aurait donc toujours un effet juridique certain bien que résultant d’un acte non obligatoire, ceci étant d’autant plus vrai que l’acte est empreint de consensualisme, issu d’une participation des acteurs du marché, garantissant dès lors que l’instrument de droit mou comportera la bonne dose de pragmatisme adapté à la complexité du secteur.
Ainsi, l’effectivité d’un tel outil de droit mou n’est plus à démontrer aujourd’hui, d’autant plus que le juge interprète volontiers une norme juridique existante de « droit dur » à la lumière du « droit mou »… En ce sens, la portée des normes molles est bien effective.
