Les "conditions juridiques nécessaires" ne "semblent pas réunies" pour confier le mégafichier des données de santé françaises - ou Health Data Hub - "à une entreprise non soumise exclusivement au droit européen", a estimé vendredi dernier le conseil de la caisse nationale de l'Assurance maladie.
L'hébergement de ces mêmes données, à des fins de recherche, a été confié l'an passé à Microsoft, sans appel d'offres. Auditionnée le 18 février à l'Assemblée nationale, la directrice du Health Data Hub, Stéphanie Combes, a invoqué la "nécessité d'aller vite" pour justifier le choix de ce prestataire, en court-circuitant la procédure classique.
Saisi une nouvelle fois pour avis, sur le projet de décret devant graver dans le marbre les "modalités de mise en oeuvre" du gigantesque "système national des données de santé", le conseil d'administration de la Caisse nationale d'Assurance maladie (CNAM) a exprimé un désaccord ferme, et bloqué les transferts de données de santé vers le Health Data Hub.
Un acteur européen appelé à la rescousse
Seul un dispositif souverain et uniquement soumis au RGPD (le règlement européen en vigueur sur la protection des données personnelles) permettra de gagner la confiance des assurés", ajoute le conseil d'administration.
L'instance juge qu'en attendant cette solution, les données "ne seraient mises à disposition du Health Data Hub qu'au cas par cas", uniquement pour "des recherches nécessaires à la prévention, au traitement et à la prise en charge de la Covid-19".
L'an passé, la CNIL puis l'ANSSI avaient tour à tour appelé à un hébergement européen des données brassées par le Health Data Hub. Cédric O, le Secrétaire d'Etat au Numérique, avait pour sa part appelé à rapatrier le large fichier hébergé par Microsoft, avant que le Conseil d'Etat réclame, dans la foulée des mesures supplémentaires pour préserver les données de santé des Français.
Pour rappel, le fichier créé par le Health Data Hub promet d'être d'une ampleur sans précédent. Il agrègera aussi bien les données de la Sécurité sociale que des hôpitaux ou soignants libéraux.
S'y ajouteront également les informations collectées dans deux fichiers tous deux actés dans la loi de prolongation de l'état d'urgence sanitaire, qui serviront au traçage humain du Covid-19: le SIDEP, qui regroupe des données de laboratoire, et Contact Covid, l'équivalent d'un large répertoire de personnes potentiellement contaminées par le Covid-19. Avec, à plus long terme, l'objectif d'intégrer toutes les données nécessaires au remboursement d'un acte de santé.