L'April, avec plus de 40 autres signataires (associations, personnalités publiques, syndicats des secteurs de la santé et de la défense des libertés), signe la tribune de l'association Interhop, publiée lundi 14 décembre 2020 dans Libération [3], pour demander une refonte structurelle du projet Health Data Hub ainsi que son retrait immédiat de Microsoft Azure qui avait été choisi pour héberger les données de santé. Contestable en matière de sécurité, le projet de centralisation des données de santé des Français et des Françaises est inconciliable avec le respect des droits à la protection des informations personnelles.
Cette tribune s'inscrit dans une continuité d'actions menées par l'association Interhop contre la plateforme Health Data Hub. Elle a ainsi, entre autres, initié une pétition sur le site du Sénat afin d'obtenir la création d'une commission d'enquête sur l'accord avec la société Microsoft concernant la gestion des données de santé des Français. Pétition, ouverte jusqu'au 16 mars 2021, que nous vous encourageons à signer et à relayer [4].
#StopHealthDataHub : les données de santé en otage chez Microsoft.
Voté fin mars 2019 dans le cadre de la loi santé et faisant suite aux annonces présidentielles, il a été décidé de mettre en œuvre un Big Brother médical : le Health Data Hub [5]. Cette plateforme visant à centraliser l’ensemble des données de santé de plus de 67 millions de personnes veut faire avancer la recherche en santé. Déjà contestable au regard des risques en matière de sécurité, cette centralisation de l’ensemble des données de santé de la population française est inconciliable avec le respect des droits à la protection des données personnelles. En effet, l’hébergement des données du Health Data Hub repose sur le géant du numérique Microsoft, une société soumise au droit américain. Dans un courrier du 19 novembre dernier, le ministre de la Santé lui-même a reconnu que cette solution n’était pas viable [6]. Et pour cause !
Petit rappel des faits. Dans une affaire récente portée devant la Cour de justice de l’Union européenne contre Facebook [7], le juge a reconnu que le droit américain ne protégeait pas les données personnelles des Européens. Risque d’accès massif aux données par les services de renseignement américains, absence d’autorité indépendante pour contrôler ces accès, défaut de droits opposables pour les citoyens, cette décision rend illicite les transferts de données vers les États-Unis. Suite à cette décision, Facebook a même fait pression sur l’Union européenne en menaçant d’arrêter ses services d’ici la fin de l’année [8].
Intérêts commerciaux et politiques
Les implications de cette décision pour les données de santé hébergées sur des clouds américains, comme le Health Data Hub, sont colossales ! Pour rappel, les données de santé constituent les informations les plus sensibles et intimes, protégées par le secret médical. Dans ce cadre, plusieurs associations et organisations voulaient obtenir l’arrêt immédiat du stockage et du traitement des données de plus de 67 millions de personnes au sein du Health Data Hub. Le 13 octobre, après plusieurs recours en urgence et un avis historique de la CNIL [9] considérant cette solution comme néfaste, le Conseil d’État a considéré que le Health Data Hub ne protégeait pas les données de santé [10] contre les intrusions du gouvernement américain. De façon critiquable, il a cependant admis que le projet pouvait prospérer dans le cadre de la lutte contre le Covid-19.
En réaction, le 19 novembre, le ministre de la Santé, Olivier Véran, a lui aussi reconnu ces risques, tout en promettant le retrait de Microsoft mais dans un délai de deux ans ! Deux ans. Le temps pour les données, pourtant couvertes par le secret médical, d’être bradées ou accaparées par des intérêts commerciaux ou politiques. Le temps pour des accords transnationaux de permettre une régularisation des transferts des données vers les États-Unis, alors que les droits opposables sont d’ores et déjà ineffectifs au Health Data Hub. Le temps d’oublier les enjeux de sécurité autour des données de santé et de perdre la confiance des patients. Le temps que la réversibilité de la solution soit techniquement impossible ou financièrement trop coûteuse. La réversibilité en informatique désigne la possibilité, pour un client ayant sous-traité son exploitation à un infogérant, de récupérer ses données à l’issue d’un contrat. Le temps de faire croire que, face à l’urgence liée au Covid-19, d’autres alternatives à Microsoft n’étaient pas possibles.
Autonomie numérique
Cela serait un affront à la recherche médicale que de penser qu’elle a attendu le Health Data Hub pour lutter contre le Covid-19. Des plateformes techniques efficaces existent. Les acteurs institutionnels de la santé développent déjà des plateformes d’analyse sécurisées répondant aux besoins des chercheurs. En leur sein, des centaines de projets de recherche sont en cours, y compris sur le Covid-19. Ils développent des approches décentralisatrices qui garantissent localement le lien de confiance avec les patients.
D’autres, comme le Centre d’accès sécurisé aux données (CASD), conçoivent des solutions matérielles (hardware) pour renforcer la sécurité de bout en bout. Ces plateformes, pour la plupart centrées sur le logiciel libre [11], loin des intérêts extra-européens, sont protectrices des données hébergées. Leur développement est la troisième voie européenne pour l’autonomie numérique de la prochaine décennie. Nous sommes pour le développement de la recherche, et pour garder la confiance des patients, ayons foi en notre capacité à inventer et à créer.
Deux ans. Le temps pourtant opportun et nécessaire pour repenser la gouvernance du projet du Health Data Hub avec la société civile. La gouvernance doit être séparée des problématiques d’hébergement des données. Le Health Data Hub doit se limiter à sa mission historique : être un organe de régulation de l’accès aux données. Pour l’ensemble de ces raisons, nous demandons une refonte structurelle du projet Health Data Hub ainsi que le retrait immédiat des données de santé de Microsoft Azure.
Signataires : Syndicat de la médecine générale (SMG) ; Syndicat national des jeunes médecins généralistes (SNJMG) ; Union française pour une médecine libre (UFML) ; Fédération des médecins de France (FMF) ; Intersyndicale nationale des internes (Isni) ; Association Constances ; Actions Traitements ; Les ActupienNEs ; Collectif Bas les masques ; Observatoire de la transparence dans les politiques du médicament (OTMeds) ; Fédération SUD santé sociaux ; Union fédérale médecins, ingénieurs, cadres, techniciens (UFMICT) CGT ; Syndicat national des journalistes (SNJ) ; Maison des lanceurs d’alerte ; Nothing2Hide ; Sciences citoyennes ; April, promouvoir et défendre le logiciel libre ; la Quadrature du Net (LQDN) ; le Mouton numérique ; le Mouvement ; Marie Citrini, représentante des usagers de l’AP-HP ; Didier Sicard, professeur émérite de médecine à l’université Paris-Descartes, ancien président du Comité consultatif national d’éthique (CCNE) ; Israël Nisand, professeur émérite à l’Université de Strasbourg ; Jean-Paul Hamon, président d’honneur de la Fédération des médecins de France (FMF) ; Anne Gervais, hépatologue, membre du Collectif inter-hôpitaux ; Sophie Crozier, neurologue, membre du Comité consultatif national d’éthique (CCNE), membre du Collectif inter-hôpitaux ; Karim Khelfaoui, médecin généraliste ; Franck Ehooman, anesthésiste-réanimateur ; Michel Heisert, gynécologue-obstétricien ; Laurent Mauduit, journaliste, cofondateur de Mediapart ; Bernard Fallery, professeur émérite, Université de Montpellier ; Antoine Deltour, lanceur d’alerte Luxleaks ; Christiane Féral-Schuhl, présidente du Conseil national des barreaux (CNB) ; Sophie Ferry Bouillon, membre du Conseil national des barreaux (CNB) ; Nathalie Martial-Braz, professeure de droit privé, université Paris-Descartes ; Sabrina Calvo, autrice, collectif Zanzibar ; Stuart Calvo, éditrice, collectif Zanzibar ; Alain Damasio, auteur, collectif Zanzibar.
L'April encourage toutes les personnes soucieuses d'une juste prise en compte des enjeux des libertés informatiques dans le domaine de la santé à répondre à l'appel à don d'Interhop [13], et à les soutenir dans leurs actions, notamment en signant la pétition pour une commission d'enquête sénatoriale.
Signer la pétition pour la création d'une commission d'enquête [14]
Deux représentants de l'association étaient intervenus dans l'émission « Libre à vous ! » du 28 janvier 2020 , sur le Health Data Hub [15], et du 29 septembre 2020 , sur le logiciel libre dans le milieu de la santé [16]. Les podcasts et transcriptions de ces échanges sont disponibles.