Les conséquences des stratégies économiques et technologiques d’un État peuvent parfois prendre des tournures très concrètes. En matière de données de santé des citoyens, beaucoup pouvaient penser que l’humanisme des professionnels de santé pouvait suffire pour protéger les données de santé des citoyens, dans le respect du secret médical. Mais la pression concurrentielle et l’éthique font rarement bon ménage.

En novembre 2019, nous avions confié les colonnes de ce blog au collectif Interhop qui promeut l’usage des logiciels libres et de l’open source en santé. Il fait partie du collectif SantéNathon qui a lancé une démarche de recours à l’encontre du projet très discuté du Health Data Hub, une plateforme nationale de données de santé dont l’opérateur choisi par les autorités est l’entreprise Microsoft. À l’heure où le Privacy Shield est tombé, à l’heure du RGPD, à l’heure où la « souveraineté numérique » n’est plus seulement un sujet stratégique mais aussi sécuritaire, nous confions de nouveau ces colonnes pour un point d’étape sur les enjeux et les actions en cours.

Plateforme Nationale des Données de Santé

À l’occasion d’une audience prévue au Conseil d’État ce 08 octobre 2020, cette petite vidéo a été tournée devant les locaux d’une entreprise bien connue.

La genèse du projet Health Data Hub

Tout commence en janvier 2016 avec la loi de modernisation du système de santé. Le Système national des données de santé (SNDS) est créé. Initialement il est limité aux données médico-administratives et met à disposition des données individuelles de santé issues de 3 bases de données :

• Les données de la carte vitale,
• Les données de la tarification des établissements de santé,
• Les données statistiques relatives aux causes médicales de décès.

En juillet 2019, la loi élargit considérablement le SNDS et crée le Health Data Hub ou Plateforme des Données de Santé — PDS. La CNIL s’alarme du changement de paradigme engendré : « Au-delà d’un simple élargissement, cette évolution change la dimension même du SNDS, qui vise à contenir ainsi l’ensemble des données médicales donnant lieu à remboursement ».

En plus du SNDS historique voici à titre d’exemples les bases qui doivent être hébergées au sein de la PDS :

• la base OSCOUR : base de données relative aux passages aux urgences en France. Pour chaque patient admis aux urgences, elle recueille les éléments suivants : code postal de résidence, date de naissance, sexe, date et heure d’entrée et de sortie, durée de passage, mode d’entrée, provenance, mode de transport, classification de gravité, diagnostic principal et associés, mode de sortie, destination pour les patients mutés ou transférés.
• le Registre France Greffe de Moelle : données permettant d’étudier le parcours de soin entre l’annonce du don et le don de Moëlle.
• Base des 500 000 angioplasties : données permettant d’étudier l’impact des stents dans la vie réelle.
• la cohorte I-Share : données permettant d’analyser la santé des étudiants.
• SIVIC : données nationales de suivi de la prise en charge de patients hospitalisés COVID19 (depuis mars 2020).
• STOIC : bases de données de scanners thoraciques issus de plusieurs centres ainsi que des données cliniques.
• COVID TELE : formulaires d’orientation concernant la COVID19 issues d’application en santé et outils de télémédecine.

Cette liste est loin d’être exhaustive ; les données de cabinets de médecins généralistes, des hôpitaux, des laboratoires, d’imagerie doivent aussi remplir cette plateforme. Toutes ces bases seront centralisées et liées (on parle d’appariement) pour former le catalogue de données de la PDS.

Vives inquiétudes quant au choix de Microsoft Azure

Le 10 décembre 2019, l’alerte est lancée. Dans une tribune parue dans Le Monde, un collectif initié par des professionnels du secteur de santé et de l’informatique médicale s’inquiète. En effet, la PDS qui regroupe l’ensemble des données de santé de plus de 67 millions de personnes sera hébergée chez Microsoft Azure, le cloud du géant américain. Ces données constituent la part la plus sensible des données à caractère personnel car elles sont protégées par le secret médical.

Progressivement, ce collectif évolue. Il s’appelle maintenant SanteNathon.org. C’est une rencontre inédite de 18 personnes physiques et morales issues :

• de l’industrie du logiciel libre :
  • Conseil National du Logiciel Libre (CNLL)
  • Ploss Auvergne-Rhône-Alpes
  • SoLibre
  • NEXEDI
• des associations de patients et de volontaires :
  • Association Constances
  • Association les “Actupiennes”
  • Association Française des Hémophiles
  • Mme Marie Citrini, représentante des Usages des Hôpitaux de Paris
• des associations de professionnels de santé :
  • Syndicat National des Jeunes Médecins Généralistes (SNJMG)
  • Syndicat de la Médecine Générale (SMG)
  • Union Française pour une Médecine Libre (UFML)
  • M. Didier Sicard, médecin et professeur de médecine à l’Université Paris Descartes).
• d’ingénieurs :
  • l’Union Fédérale Médecins, Ingénieurs, Cadres, Techniciens (UFMICT-CGT)
  • l’Union Générale des Ingénieurs, Cadres et Techniciens (UGICT-CGT)
  • l’Association interHop
  • Monsieur Bernard Fallery, professeur émérite en systèmes d’information
• d’organisations de la société civile :
  • L’Observatoire de la transparence dans les politiques du médicament
  • Le Syndicat National des Journalistes (SNJ)

Ce collectif dénonce le choix de Microsoft essentiellement à cause de l’absence d’appel d’offre et des effets de l’extraterritorialité du droit américain. En effet Microsoft est soumis au CLOUD Act qui permet aux autorités américaines de mettre la main sur des données détenues par des entreprises américaines même si les données sont hébergées dans l’Union Européenne.

Pire encore la Cour de Justice de l’Union Européenne a récemment révélé que les renseignements américains n’ont aucune limitation quant à l’utilisation des données des Européen⋅ne⋅s. En ce sens, elle a invalidé l’accord facilitant le transfert des données entre les USA et l’Union Européenne, le “Privacy Shield” ou « Bouclier de Protection des Données ».

Menacée directement par les conséquences de cette décision qui rend illicites tous les transferts de données en dehors des frontières de l’Union, Facebook fait pression sur l’Union Européenne. Elle menace de stopper ses services d’ici la fin de l’année.

Le bras de fer entre les États-Unis et l’Union Européenne est engagé. Nos données de santé ne doivent pas être prises en otage. Le collectif SantéNathon se bat pour une recherche garante du secret médical et protectrice de nos données.

Les actions initiées par le collectif SantéNathon

Un premier recours a été déposé le 28 mai 2020 devant le Conseil d’Etat. La juge concluait à plusieurs irrégularités dans le traitement des données sur la plateforme et des risques majeurs pour les droits et libertés fondamentales. Cependant, le Conseil d’État considérait, qu’au moment du jugement, la société Microsoft intégrait la liste des organisations ayant adhéré au « Bouclier de protection des données ». Le transfert des données était donc licite. Ce n’est plus le cas aujourd’hui !

Les parties requérantes ont donc déposé un nouveau référé liberté. Elles demandent par conséquent au Conseil d’État de prendre la mesure de l’invalidation du “Privacy Shield” et des risques en matière de respect de la vie privée. En ce sens, elles sollicitent la suspension du traitement et la centralisation des données au sein du Health Data Hub.

Elles font également valoir que les engagements contractuels conclus entre la société Microsoft et le Health Data Hub sont insuffisants.

Une audience au Conseil d’État est donc prévue le 8 octobre 2020…

— Collectif SantéNathon

Image d’en-tête : Luis Jiménez Aranda — La sala del hospital en la visita del médico en jefe (1889). Wikipédia.

Votée dans l’urgence et portée par une personnalité politique au moins controversée, la loi Avia qui s’appliquera dès le mois de juillet vise à réprimer la « cyberhaine ». Un grand nombre de voix se sont pourtant élevées pour émettre des mises en garde, comme dans cette alerte « la loi Avia est évidemment une atteinte gravissime à la liberté d’expression » et même dans des tribunes du Figaro ici et là.

Nous avons choisi de reprendre ici celle de Laurent Chemla (c’est qui ce gars-là ?) qui fustige la précipitation brouillonne et souhaite l’application à la vie politique d’un fort ancien principe en médecine. Elle est parue d’abord sur son blog Médiapart et il nous autorise à la reproduire.

Primum non nocere — par Laurent Chemla

Si la médecine a retenu (entre autres) d’Hippocrate son fameux « primum non nocere » (« Avant tout, ne pas nuire »), on peut regretter que le politique n’ait pas, lui aussi, appris ce principe de prudence abstentionniste, et que trop souvent il use du mantra inverse : « Il faut faire quelque chose ».

Non. Il ne faut jamais « faire quelque chose ».

Déjà parce que, dans la très grande majorité des cas, « faire quelque chose » c’est faire n’importe quoi.

Ensuite parce que, souvent, ne rien faire est moins nocif que d’inventer des solutions qui semblent faciles et rapides mais qui risquent surtout d’aggraver les choses.

Et enfin parce que, presque toujours, on se retrouve à justifier l’injustifiable une fois qu’on a mal agi. Au motif évidemment qu’il fallait bien « faire quelque chose ».

Loi « contre la haine » ?

Prenons l’exemple de la loi Avia « contre la haine en ligne ».

Celle-ci part d’un constat: la haine se diffuse – en ligne comme partout, et (c’est le grand principe de cette loi, que Mme Avia a clairement exposé ) « ce qui est interdit dans l’espace réel doit l’être également dans l’espace virtuel ».

Passons rapidement sur le fait que – dans la rue – la haine est partout sans que rien ou presque ne s’y oppose. Entre usagers de la route, entre piétons, entre voisins, entre manifestants et contre-manifestants, entre police et manifestants, la haine est devenue dans nos sociétés occidentales presque un mode de vie, au point qu’on s’étonne et se méfie du moindre geste bienveillant non sollicité. Et la rue… la rue est le théâtre quotidien du harcèlement des femmes et des exclus, des insultes, des remarques sexistes, homophobes, racistes et violentes, des agressions, des crachats et de la peur. La rue aussi c’est la pauvreté mise en spectacle, le mépris de l’étranger et de ceux que la société laisse sur, justement, le trottoir.

Oser affirmer, devant la représentation nationale, que la haine est interdite dans  » l’espace réel  » c’est – évidemment – se foutre d’un monde auquel on n’appartient plus parce qu’on s’en est protégé par des vitres teintées, des chauffeurs et des gardes du corps.

Qu’on me comprenne bien : ceci n’est pas une raison pour ignorer la haine en ligne. Mais quand l’argument de Mme Avia, pour justifier son texte, repose sur un tel mensonge préalable, on a le droit de s’en inquiéter même si ce n’est pas en soi un motif d’inaction. J’y reviendrai.

Passons, donc.

Et que ça saute !

Cette loi repose sur une idée simple. Simpliste, même : il suffirait de rendre les intermédiaires techniques responsables des contenus publiés par des tiers, de les contraindre à retirer tout ce qui leur est signalé comme étant « manifestement illicite » sous peine d’amendes démesurées, pour que nous soyons tous protégés des méchants, car c’est très urgent.

Et hop !

Alors déjà, pardon de le dire, mais ce débat-là est si vieux qu’il a le droit de vote depuis déjà 6 ans. C’est dire l’urgence de légiférer et de voter un tel texte alors que le pays n’est même pas encore sorti d’un confinement imposé par une crise d’une ampleur encore jamais vue. C’EST URGENT ON T’A DIT les morts, les masques, les tests et le vaccin, on verra plus tard.

Ce débat date du tout début de l’Internet grand-public, autour de 1996. Il a réuni des comités, des commissions, il a connu des lois, des rejets du Conseil Constitutionnel, d’autres lois, des jurisprudences, des textes, des réglements et une directive européenne. Des centaines, des milliers d’experts, de juristes, d’associations, de citoyens et de lobbies se sont penchés dessus (et s’y penchent encore puisque l’Europe a prévu d’y revenir durant la présente législature), pour essayer d’imaginer des équilibres qui respectent à la fois le droit à la liberté d’expression et la juste volonté d’empêcher les délits.

Des livres y sont entièrement consacrés.

Depuis 24 ans.

C’est dire L’URGENCE du truc, alors qu’on a remis aux calendes un sujet aussi fondamental que nos retraites parce que, voilà, c’est pas trop le moment hein.

C’était TELLEMENT urgent qu’on n’a même pas respecté la procédure européenne obligatoire pour ce type de législation, c’est trop grave : on se moque des députés sur Twitter, tu te rends compte, il faut légiférer VITE !

Bref.

Têtes d’oeuf

Clément Viktorovitch résume très bien les termes du problème dans cette courte vidéo : quand on délègue à des entreprises privées le droit de juger de ce qui est légal ou illégal, on s’expose à une censure de très grande ampleur – parce que c’est plus simple et moins cher de censurer que de se poser des questions, surtout quand on risque des amendes de très grande ampleur, et que le profit est le seul guide des entreprises privées. Tout simplement.

Rendre la justice est une fonction régalienne. Les fonctions régaliennes sont des tâches que l’État ne doit pas, ou ne peut pas, déléguer à des sociétés privées. La loi Avia fait le contraire. Voilà mon résumé à moi.

Je le dis, je le répète, je le blogue et je le conférence depuis plus de 20 ans, ici et partout : si le droit à la liberté d’expression est inscrit dans notre constitution depuis le 18e siècle, ce droit n’était que très théorique jusqu’à l’arrivée d’Internet. C’est par et grâce à Internet que la parole publique est devenue accessible à tous.

Il n’est donc pas très étonnant que ce droit-là soit un des moins bien protégés par nos textes de loi, il n’est donc pas très étonnant que la liberté d’expression du grand public remette en cause les usages et les habitudes des puissants… et il n’est donc pas très étonnant que ces mêmes puissants fassent tout ce qu’ils peuvent pour remettre à sa place ce grand public qui ose s’arroger le droit de les critiquer à la face du monde.

Il est donc d’autant plus important d’y faire très attention et de ne pas légiférer n’importe comment et dans l’URGENCE parce que l’ego de quelque députée a été un peu froissé par des remarques en ligne sur ses tendances mordantes, fussent-elles problématiques. Je vous engage à revoir, encore une fois, dans la courte vidéo ci-dessus mentionnée en quels termes Mme Avia a présenté son texte en première lecture ( « MES trolls, MES haters, MES têtes d’œuf anonymes ») pour bien comprendre ses raisons – très personnelles et donc très éloignées du bien public – d’agir.

Hélas, le respect des grands principes républicains n’est visiblement pas l’URGENCE.

Latin de garage

En médecine, donc, le « triangle hippocratique » (médecin, malade et maladie) se base sur la confiance. La confiance qu’on accorde à celui entre les mains duquel on remet sa vie pour qu’il n’agisse que pour notre bien, ou – au minimum – pour qu’il n’aggrave pas notre situation. Primum non nocere.

En politique, ce même principe devrait s’appliquer. Mais force est de constater qu’en politique aujourd’hui, le principe est plutôt « primum actum » (« d’abord agir », dans mon latin de garage) avant même d’avoir bien pesé le pour et le contre. Au risque de tuer le malade, et dans le cas qui me fait réagir ici au risque de réduire à néant un de nos droits fondamentaux.

Pour autant, « ne rien faire » contre la haine en ligne n’est pas le contraire de « faire n’importe quoi pourvu que ça fasse taire mes opposants au risque de détruire des équilibres difficilement atteints ». L’accès à la liberté d’expression pour tous est un phénomène récent, et il est normal de réfléchir à ses dérives. Et il est normal que ces dérives se produisent tant que la société n’a pas intégré profondément les règles qu’impose l’usage d’une liberté. Ce n’est pas, pour faire un parallèle rapide, parce que la liberté de se déplacer est un droit fondamental qu’on a pas besoin d’un code de la route. Mais ce n’est pas parce qu’on a besoin d’un code de la route qu’on doit donner le droit aux sociétés d’autoroute d’interdire le passage à qui bon leur semble.

Intégrer les règles sociales d’un outil aussi profondément disruptif qu’Internet ne se fait pas en un jour, ni même en une génération. Ça prend du temps, ça nécessite des efforts, y compris financiers. On peut, on doit s’opposer à la haine. En ligne comme partout. En donnant des moyens à l’éducation pour former de futurs citoyens. En donnant à la justice des moyens d’agir plus rapidement et plus efficacement.

Pour qu’à force d’exemples et de formations, chacun apprenne à mieux se comporter, à mieux peser la responsabilité qu’il doit s’imposer lorsqu’il use de la parole publique, à mieux connaître ses droits et ses devoirs. En ligne comme partout. C’est long, c’est cher, ça ne se fait pas dans l’urgence et ce n’est pas aussi facile que de faire voter une loi stupide par une majorité sans partage.

Mais dans une société démocratique et respectueuse de ses grands principes, c’est comme ça que ça devrait se faire.

Et pas autrement.