Lettre aux Hôpitaux

Mesdames les directrices, Messieurs les directeurs d’hôpitaux,
Chers collègues, chères collègues de la santé,

Un arrêté1 publié le 21 avril incite les hôpitaux et centres de recherche à intensifier l’envoi des données de santé des patients dans le “Health Data Hub” (HDH), hébergé actuellement par la société Microsoft2.

Au-delà des questions d’opportunité du choix de la société Microsoft3, notamment en matière de protection des données personnelles, l’application de cet arrêté pourrait vous placer dans une situation juridique délicate au titre du deuxième alinéa de l’article 40 du Code de procédure pénale4.

En effet, il n’apparaît pas aujourd’hui que le “Health Data Hub” dispose de la certification “activité 5” nécessaire à la gestion de ces données5. Il ne figure d’ailleurs pas dans la liste des hébergeurs certifiés pour les données de santé6, pas plus que son sous-traitant “Open”.

Notamment, les articles L 1115-17 et L 1115-28 du Code de la santé punissent l’hébergement de données de santé à caractère personnel (DSCP) sans agrément ou certification de :

En envoyant des données de santé au HDH, il faut se poser la question de ce risque.

Nous sommes conscients du fait que la société Microsoft, sur laquelle s’appuie la HDH, dispose bien de la certification “activité 5”. Mais celle-ci ne protège pas juridiquement car ce n’est pas Microsoft qui administre et exploite le système d’information contenant les données de santé du HDH, mais bien le HDH lui-même ou son sous-traitant “Open”. Le niveau de certification dont peut légalement se prévaloir le HDH en utilisant la plate-forme technique Microsoft est l’“activité 4”, insuffisant dans le cas présent puisqu’il ne concerne que les infrastructures techniques.

Pour s’en convaincre, il faut lire le “Point d’actualité sur la certification hébergeur de données de santé”9 du 6 mai 2019 publié par l’Association Pour la Sécurité des Systèmes d’Information de Santé (APSSIS). Cette note juridique s’appuie sur les FAQ10 publiées en 2018 et 2019 par le MES.

Il existe pourtant de nombreuses autres solutions techniques permettant d’avancer.

Dans un cadre seulement destiné à la recherche, la certification n’est pas obligatoire. Des plateformes d’intelligence artificielle telles que Teralab - déjà gérée par l’Etat (Institut Mines Télécom), celle de l’APHP ou de nombreuses autres peuvent être utilisées. Il existe de grands logiciels libres11, notamment issus de l’INRIA, permettant de mener à bien nos travaux dans de bonnes conditions.

Si des données de santé sont utilisées dans un cadre qui nécessite une certification “activité 5”, il existe de nombreuses sociétés en France disposant déjà d’une certification. L’AFHADS12, Association Française des Hébergeurs Agréés de Données de Santé, recense ces sociétés dans un annuaire.

Amicalement

Le collectif interhop.org

  1. Arrêté du 21 avril 2020 complétant l’arrêté du 23 mars 2020 prescrivant les mesures d’organisation et de fonctionnement du système de santé nécessaires pour faire face à l’épidémie de covid-19 dans le cadre de l’état d’urgence sanitaire 

  2. Modalités de stockage du « health data hub » - Question écrite n° 14130 de M. Claude Raynal (Haute-Garonne - SOCR) publiée dans le JO Sénat du 30/01/2020 

  3. Données de santé: l’Etat accusé de favoritisme au profit de Microsoft 

  4. Article 40 du Code de procédure pénale 

  5. Code de la santé publique - Article L1115-8 

  6. Liste des hébergeurs certifiés pour les données de santé 

  7. Code de la santé publique - Article L1115-1 

  8. Code de la santé publique - Article L1115-2 

  9. APSSIS : Point d’actualité sur la certification hébergeur de données de santé 

  10. ASIP Santé – Foire aux questions sur l’hébergement des données de santé 

  11. Loi pour une République numérique 

  12. Association Française des Hébergeurs Agréés de Données de Santé (AFHADS)