Les données de santé de la population française, collectées massivement, seront-elles vraiment protégées ?

Basta !

Article mis en ligne le 11 juin 2020

L’État a accéléré sa mise en place pendant l’épidémie : le Health Data Hub, ou plateforme des données de santé, doit regrouper un très large éventail de données sur les soins, l’assurance maladie, les pharmacies, les Ehpad… L’esprit du projet étant que l’intelligence artificielle fera avancer la médecine. Le géant Microsoft en est l’hébergeur.

« Afin d’alimenter la plateforme des données de santé, le ministère de la Santé a décidé par un arrêté du 21 avril 2020 de mettre en place une remontée accélérée et simplifiée des données du programme de médicalisation des systèmes d’informations », précise ce même courrier. Ce dispositif existe depuis les années 1990, pour quantifier l’activité hospitalière. 30 ans plus tard, à l’âge des algorithmes et de l’intelligence artificielle, les données de santé semblent encore plus précieuses aux yeux du ministère. Le travail bureaucratique se rappelle, encore et toujours, au bon souvenir de celles et ceux qui ont été en première ligne.

L’État a donc publié un arrêté en pleine pandémie pour accélérer la mise en place d’un projet lancé en 2018 : le Health Data Hub, ou plateforme des données de santé. Au prétexte de la « gestion de l’urgence sanitaire », le gouvernement a ainsi décidé que cette plateforme pourrait dorénavant récolter un large éventail de données de santé, allant des diagnostics aux causes de décès : celles des hôpitaux, des maisons départementales du handicap, celles relatives aux soins dans les Ehpad, les « données de pharmacie » des médecins généralistes, celles « issues d’applications mobiles de santé et d’outils de télésuivi, télésurveillance ou télémédecine », les résultats d’analyses des laboratoires hospitaliers et de ville, et même des données du fichier d’identification des victimes normalement prévu pour des situations d’attentats mais déjà utilisé pour les gilets jaunes blessés suite à des manifestations (...)

La nouvelle plateforme ratisse large. Une partie de ces données – celles des facturations de l’hôpital, des feuilles de soins de l’assurance maladie, des maisons départementales du handicap et des causes médicales des décès – sont déjà regroupées dans une base depuis 2016 [2]. L’objectif du hub est d’élargir les types de données récoltées, de regrouper des bases déjà existantes, de centraliser les démarches pour y avoir accès, et de permettre l’usage à grande échelle d’outils d’intelligence artificielle sur ce nouveau gisement de « big data ». (...)

La nouvelle loi santé de 2019 acte la création du hub. Il est effectif en décembre. Trois mois plus tard, l’épidémie de Covid se répand. L’arrêté d’avril sur la collecte de données ne vaut que pour la durée de l’état d’urgence sanitaire. Un nouvel arrêté doit déterminer quelles données continueront à alimenter ce hub après le 10 juillet. « L’idée, c’est que le catalogue des données puisse être évolutif, celui de 2020 ne sera sans doute pas celui de 2021 ou de 2025 », explique à Basta ! Stéphanie Combes, la directrice du Health Data Hub. Traduction : on ne sait pas exactement quelles seront les données regroupées sur le hub après l’été, dans un an ou dans cinq ans. Cela peut changer.
Des projets médicaux et des projets gestionnaires

À quoi et à qui serviront ces données sur notre système et notre état de santé ? Ceux qui voudront les exploiter devront déposer un dossier pour chaque utilisation de ces informations. Un comité instruit ces demandes, évalue leur pertinence scientifique, leur finalité et leur « caractère éthique », souligne Stéphanie Combes. Puis, les dossiers sont transmis à la Commission nationale de l’informatique et des libertés (Cnil). Il peut s’agir d’institutions publiques, d’hôpitaux, d’instituts de recherches, ou d’entreprises privées. Les assureurs peuvent ainsi y avoir accès. « Mais il y a des finalités interdites, comme démarcher les établissements de santé pour leur vendre des produits ou bien personnaliser la tarification des assurances », assure la directrice du hub. Jusqu’ici, les données ont été mises à disposition à titre gracieux. À terme, leur utilisation devrait être monnayée, en tous cas pour les entreprises. « La tarification n’existe pas encore mais elle pourra être mise en place dans le futur à destination des utilisateurs privés », nous précise Stéphanie Combes. (...)

Un projet porté par des instituts de recherche publique vise ainsi à « prédire les trajectoires individuelles des patients parkinsoniens ». La mutuelle Malakoff Médéric a aussi pu avoir accès à des données pour « mesurer et comprendre les restes à charge réels des patients ». D’autres demandes sont déposées par des start-up de l’intelligence artificielle. (...)

Une partie de ces projets a moins à voir avec le soin qu’avec la gestion des ressources, matérielles et humaines. Au Royaume-Uni, le service national de santé NHS s’est associé pendant l’épidémie au groupe états-unien d’intelligence artificielle Palantir (qui a travaillé avec la CIA), ainsi qu’avec Amazon, Google et Microsoft pour tenter, avec les data, de rendre plus efficace la gestion des ressources hospitalières, sans augmenter celles-ci.
Les États-Unis pourront-ils avoir accès aux données de santé de 67 millions de Français ? (...)

Avec des ingénieurs, Adrien Parrot a créé le collectif InterHop. L’initiative veut promouvoir les alternatives permettant « d’éviter la collecte des données au sein des Gafam (Google, Apple, Facebook, Amazon, Microsoft) ou des BATX chinois (Baidu, Alibaba, Tencent, Xiaomi) ». Des alternatives « libres » existent donc.

Porteur d’une informatique du partage et du logiciel libre, InterHop voit évidemment d’un très mauvais œil le choix de la multinationale Microsoft pour héberger la plateforme centralisée des données de santé françaises. « Avec le Health Data Hub, d’un seul coup, c’est une base de données qui concerne l’ensemble de la population, l’ensemble des données de santé, tout ce qui est remboursé par la sécurité sociale. Et toutes ces données sont envoyées sur une plateforme qui ne dépend pas de notre juridiction », déplore Adrien Parrot.

Dans son avis d’avril dernier sur le hub, la Cnil s’est aussi inquiétée que « le contrat mentionne l’existence de transferts de données en dehors de l’Union européenne dans le cadre du fonctionnement courant de la plateforme, notamment pour les opérations de maintenance ou de résolution d’incident » [4]. Microsoft pourrait donc, selon la Cnil, envoyer des données de santé vers les États-Unis. Stéphanie Combes avait démenti cela dans Mediapart en mai : « Nous avons bien spécifié que les données ne devaient pas sortir du territoire français. »

Les craintes persistent. (...)

les données hébergées sont cryptées, ce qui pourrait rassurer... sauf que la Cnil a relevé que les clés de cryptage sont détenues par l’hébergeur Microsoft. Donc, celles-ci « seront conservées par l’hébergeur au sein d’un boîtier chiffrant, ce qui a pour conséquence de permettre techniquement à ce dernier d’accéder aux données ».
Des données « parmi les plus intimes, protégées de façon absolue par le secret médical »

D’autres acteurs s’opposent à ce hub. Ce 11 juin, le Conseil d’État examine un référé déposé par un groupes d’une quinzaine d’organisations : associations et éditeurs de logiciels libres, collectif InterHop, syndicats… Pour elles, le Health Data Hub « porte une atteinte grave et sûrement irréversible aux droits de 67 millions d’habitants de disposer de la protection de leur vie privée notamment celle de leurs données parmi les plus intimes, protégées de façon absolue par le secret médical : leurs données de santé ». (...)

Le contrat d’engagement républicain, outil de mise au pas du monde associatif

Créé afin de lutter contre « l’islamisme radical » et « tous les séparatismes », le contrat d’engagement républicain (CER) n’a, à ce jour, jamais en réalité été invoqué à l’égard d’associations confessionnelles, qu’elles soient islamistes ou liées à d’autres mouvements radicaux ou séparatistes, révèle un décompte réalisé par l’Observatoire des libertés associatives.

Et sur les vingt-quatre cas relevés, seuls trois portent sur des faits liés à la religion musulmane au sein d’associations telles qu’une section locale du Planning familial, accusée d’avoir représenté une femme voilée sur une affiche, une MJC, à laquelle on a reproché d’avoir embauché des femmes voilées, et une association d’aide aux femmes, accusée sans preuve de « prosélytisme religieux ».

Pour le reste, le CER, que les associations doivent obligatoirement signer lorsqu’elles demandent une subvention, a été brandi à l’égard de l’association Alternatiba Poitiers accusée de « désobéissance civile » ; d’une association d’aide aux mal-logé·es, l’Atelier populaire d’urbanisme (APU), dont une salariée est accusée de violences verbales envers des agents municipaux ; d’une association d’aide aux immigré·es ayant appelé à une manifestation contre les violences policières interdites ; d’une télévision associative, Canal Ti Zef à Brest, mobilisée dans la lutte contre l’évacuation d’un squat ; ou encore d’une compagnie de théâtre, la compagnie Arlette Moreau à Poitiers, ayant moqué son préfet. (...)

Lors de l’adoption de la loi séparatisme, à l’été 2021, des député·es de l’opposition et des responsables associatifs avaient déjà alerté sur les risques d’un détournement du CER dans un but de répression politique. (...)

Parler de détournement du CER est excessif. Lorsqu’on relit les débats parlementaires, on se rend en effet compte que la majorité assumait, dès le départ, le fait de ne pas viser exclusivement les associations séparatistes radicales mais toute association ayant recours à certains modes d’action liés à la désobéissance civile. (...)

Pourtant, malgré ce champ d’application particulièrement large, le contrat d’engagement républicain est en partie un échec pour le gouvernement. « Le bilan est encore loin d’être concluant », constatait un rapport d’évaluation du Sénat publié au mois de mars, qui soulignait le peu de cas de mobilisation du CER – quatre selon le rapport – et des modalités d’application disparates en fonction des collectivités. « Cette loi ne fait peur à personne. Surtout pas aux islamistes », assénait même sa rapporteuse, Jacqueline Eustache-Brinio.

Comment le gouvernement s’est lui-même piégé (...)

En créant ce contrat, le gouvernement s’est en quelque sorte piégé lui-même. Il n’existe pas en effet de droit à la subvention pour les associations. Chaque collectivité dispose de ce fait d’un droit discrétionnaire en matière d’attribution et elle peut refuser ou accorder telle ou telle subvention sans avoir à se justifier.

En créant le CER, la loi séparatisme a créé un nouvel acte administratif qui offre une prise juridique, un recours possible pour les associations. Or, dans la seule décision visant directement le CER rendue à ce jour, le tribunal administratif de Poitiers a rejeté la demande du préfet de la Vienne visant à obtenir le remboursement d’une subvention versée à l’association Alternatiba pour avoir tenu un atelier de désobéissance civile.

D’autres recours lancés ces derniers mois devraient permettre de préciser cette jurisprudence naissante. (...)

il n’est par exemple qu’évoqué à l’oral dans une réunion ou dans un mail ou brandit comme une menace, sans que l’on sache s’il est vraiment à l’origine d’une sanction à non.

Au mois d’août dernier, Le Monde révélait ainsi qu’il existe une « liste rouge » d’associations basées dans la région du plateau de Millevaches qui seraient privées de subventions par la préfecture sans que cela leur ait été officiellement notifié, leur ôtant ainsi toute possibilité de recours.

Plus récemment, une association d’aide aux immigré·e·s, l’Asti du Petit-Quevilly en Seine-Maritime, s’est vu « rappeler » ses engagements par la préfecture pour avoir appelé à une manifestation contre les violences policières interdite. Celle-ci a transmis cet « avertissement » aux partenaires financiers, dont la métropole de Rouen, qui a en conséquence suspendu l’examen des demandes de subvention de l’Asti. (...)

« Il y a chez certaines collectivités une profonde incompréhension du CER, qui est utilisé à tort et à travers, et notamment comme un moyen de pression, de régulation des relations avec les associations », analyse Claire Thoury, présidente du Mouvement associatif, une organisation regroupant environ 700 000 associations, et qui avait publié, en janvier 2023, un premier bilan de l’application du CER. (...) « Le CER a désormais un effet presque plus symbolique que pratique », ajoute Julien Talpin, chercheur en science politique au CNRS et l’un des fondateurs, en 2019, de l’Observatoire des libertés associatives. « On peut penser que certaines associations n’oseront plus aborder certains sujets comme les violences policières ou en ce moment le conflit israélo-palestinien. Le problème est de réussir à objectiver ces effets indirects et diffus et cette autocensure. » (...)

« Il y a donc une dissonance entre ce que prétend défendre le CER et les conséquences de son application à certaines associations, pointe-t-elle. Cela ne fait en outre qu’ajouter de la confusion à ce que sont les valeurs républicaines. » (...)

L’entrée en vigueur du CER est en outre intervenue dans un contexte de défiance croissante entre le monde associatif et les autorités. « Nous sommes en fait dans un contexte de dérive générale », affirme Claire Thoury. (...)

« Il y a également eu récemment le maire de Saint-Raphaël qui impose à toutes les associations touchant des subventions de participer aux manifestations patriotiques de la ville. C’est hallucinant ! », s’indigne la présidente du Mouvement associatif. (...)

« Les associations ne sont pas là pour faire plaisir aux pouvoirs publics, insiste Claire Thoury. Ce n’est pas leur mission. Mais l’inverse non plus ! Une association peut très bien s’opposer à une collectivité sur un sujet précis et être en accord sur un autre. C’est ce qu’on appelle un contre-pouvoir et c’est tout simplement le cours normal de la vie démocratique. » (...)

Source

Dans la même rubrique