Les enjeux du Big Data dans le domaine de la santé

  • Réduire le texte de la page
  • Agrandir le texte de la page
  • Google plus
  • Facebook
  • Twitter
  • Envoyer par mail
  • Imprimer la page
MACSF Exercice Professionnel
Notre expertise sur la responsabilité médicale
       et votre exercice professionnel

Les enjeux du Big Data dans le domaine de la santé

  • Réduire le texte de la page
  • Agrandir le texte de la page
  • Google plus
  • Facebook
  • Twitter
  • Envoyer par mail
  • Imprimer la page

Le développement des « datas » dans le domaine de la santé introduit un bouleversement dans le système de santé et l’exploitation des données médicales. Ce phénomène, porteur d’espoirs, soulève aussi des questions d’ordre éthique et politique, touchant notamment à la confidentialité des données traitées. Le Docteur Jacques LUCAS, Vice-Président du CNOM, Délégué général aux systèmes d’information en santé, nous livre son analyse et les précautions requises dans l’utilisation de ces données.

  • Médecin généraliste et urgentiste
  • Etablissement de santé
  • Médecin spécialiste
Auteur : le Docteur Jacques Lucas / MAJ : 16/02/2017

Le « Big Data » reste une notion aux contours mal définis. A quoi renvoie-t-elle exactement et comment se traduit-elle dans le domaine de la santé ?

Le Big Data en santé est constitué par l’ensemble des bases recevant des données personnelles relatives à la santé, quel que soit le moyen de collecte de ces données. Une distinction pédagogique et sémantique doit ici être faite entre les bases de données dont la constitution est réglementée, et qui appartiennent alors au domaine régulé des Datas, et les bases de données qui échappent à toute réglementation et régulation. Ajoutons que la réglementation, entérinée à travers un texte (loi, décret), se distingue de la régulation, qui peut reposer sur des autorités régulatrices mais sans nécessairement s’appuyer sur un corpus de droit écrit.

Actuellement, des bases publiques collectent des données personnelles de santé, recueillies lorsque chaque acte de soin donne lieu à l’établissement d’une feuille de soins présentée pour remboursement à l’assurance maladie, ainsi que d’une ordonnance présentée au pharmacien et à l’assurance maladie pour remboursement. Outre la base du SNIIRAM (Système d’information national inter-régimes de l’assurance maladie), tout séjour d’une personne en établissement de santé est codé et répertorié dans le PMSI (Programme de Médicalisation des Systèmes d’Information). Les données relatives à ce séjour et à l’activité de soin qui s’est déroulée autour de la personne ne sont pas détruites une fois ces actes liquidés par l’assurance maladie et les remboursements affectés aux établissements par la T2A (tarification à l’activité).

Le SNIIRAM et le PMSI, qui sont des bases publiques réglementées, constituent donc une mine de données, permettant d’avoir une vision sanitaire, médico-économique et sur le plan des recherches en santé publique. Elles sont sous-exploitées, compte tenu du « verrouillage » dont ces données ont fait l’objet jusqu’à présent. En effet, seul l’Etat, l’assurance maladie et quelques chercheurs y avaient accès, moyennant une autorisation de la CNIL (Commission nationale informatique et libertés) et de l’IDS (Institut des données de santé), au motif légitime de protéger le secret qui couvrait ces données personnelles. Un mouvement dit d’open data est intervenu, concernant l’accès aux données et aux bases publiques de manière générale. Tous les pays ayant procédé à cette ouverture des Datas, avec les précautions nécessaires, ont contribué à développer les usages de ces données, globalement bénéfiques pour les populations.

La loi de modernisation de notre système de santé traite de cette question dans son article 193 (ex-47), sur lequel nous avons beaucoup travaillé, en distinguant d’une part un système national des données de santé (SNDS) et d’autre part un institut national des données de santé (INDS). Le SNDS, correspondant aux aspects techniques, permet d’agréger les données provenant du SNIIRAM, du PMSI et des systèmes d’informations médico-sociales. Nous aurions souhaité un système moins élargi car plus les sources de données sont nombreuses, plus les croisements d’informations et les risques relatifs à la protection des données sont élevés. Ce système sera techniquement géré par l’assurance maladie et la DRESS afin de permettre des chaînages des données entre les différentes bases. Précisons qu’il ne s’agit pas de nouvelles données par rapport à celles qui existent déjà (le SNIIRAM existe depuis 2005 et le PMSI a été généralisé sensiblement en même temps). Ces données n’ont donc rien à voir avec le DMP (dossier médical partagé). La loi prévoit un décret en Conseil d’Etat qui précisera l’organisation technique du système national des données de santé.

Par ailleurs, l’INDS sera chargé de la gouvernance d’ensemble des possibilités d’accès de ces données. Cette gouvernance politique de l’open data précisera les accès aux données présentant un intérêt général (et non particulier). L’Ordre des médecins a demandé à être présent dans cette gouvernance, aux côtés des pharmaciens. Les autres professions de santé ont donné leur accord pour que médecins et pharmaciens, principaux producteurs de données, représentent les sept Ordres des professions de santé. Leur rôle consistera à veiller plus particulièrement à l’intérêt général de l’accès aux données de santé et au processus d’anonymisation de ces données.

Cette masse de données collectées est-elle toujours bien utile et réellement exploitable au bénéfice du patient ? Qui pourra avoir accès à ces données et dans quel(s) but(s) ?

Plusieurs cas de figure doivent être pris en compte. D’une part, les données peuvent être rendues anonymes sans aucun risque de ré-identification. La CNIL sera chargée d’assurer ce processus sur le plan technique en conformité avec la loi Informatique et Libertés. Cela suppose que la population concernée sur un territoire donné soit suffisamment importante pour éviter tout risque d’identification, par déduction ou recoupement d’informations. Dans ces conditions, ces données doivent pouvoir être ouvertes à toutes les personnes qui auront besoin d’effectuer des études ou des recherches nécessitant de consulter des données de santé strictement anonymisées.

Dans d’autres cas, il peut être nécessaire, pour des recherches présentant uniquement un intérêt général, d’accepter l’existence d’un risque potentiel de ré-identification d’une personne. Une analyse très soigneuse du dossier et des risques induits devra alors être conduite par rapport à l’intérêt général. Dans ces cas particuliers, il faut pouvoir considérer que l’intérêt général l’emporte sur d’autres considérations. C’est pourquoi il est important de porter, dans la gouvernance de l’institut, un regard éthique sur l’usage des données, tout en garantissant l’absence de conflit d’intérêt. Dès lors qu’une recherche dite d’intérêt général sera envisagée, il est important que le promoteur de la recherche n’ait pas de conflit d’intérêt dans la recherche qu’il entreprend. 

Enfin, il peut exister une nécessité de ré-identification pour pouvoir mener certaines recherches, auquel cas le consentement de la personne doit être préalablement recueilli, sauf dans le cas où cette recherche serait totalement disproportionnée par rapport à l’objet de l’étude. Même si une personne est décédée, la protection de ses données de santé doit pouvoir encore être assurée.

Sur ce dernier point, nous avons demandé à plusieurs reprises un débat public sur la protection des données personnelles de santé. Nous partons actuellement du principe que le secret couvre ces données, mais nous ignorons en réalité quelles sont la volonté et la priorité du citoyen éclairé dans ce domaine. C’est pourquoi il nous paraît nécessaire d’organiser un débat public de haut niveau sur cette question, afin de ne pas protéger les données au-delà de ce que souhaitent les citoyens. Une conférence de consensus, par exemple, permettrait d’auditionner largement les citoyens et de formuler des recommandations à l’attention de la puissance publique. Peut-être faut-il ouvrir encore davantage les données contenues dans les bases publiques qu’elles ne le sont aujourd’hui. Certains voient dans la loi de modernisation de notre système de santé un risque d’atteinte au secret qui, à mon sens, n’est pas fondé. Un débat public permettrait donc de déterminer jusqu’à quel niveau les données doivent être accessibles.

Les hypothèses dans lesquelles l’anonymat des données de santé ne pourra être préservé sont assez rares.

Elles existent néanmoins et peuvent d’ailleurs avoir un intérêt majeur, pour l’individu comme pour la collectivité, comme dans le cas de la prise d’un médicament. Si le traitement informatisé des données, qui permet de croiser les informations avec une extrême rapidité, met en évidence un lien entre la prise d’un médicament et la survenue d’une pathologie inconnue jusqu’alors, se pose la question de la nécessaire levée de l’anonymat pour que les personnes ayant pris ce médicament puissent être alertées du risque identifié. La levée de l’anonymat peut alors avoir un impact bénéfique pour le patient.

Rappelons par ailleurs que des datas se trouvent en quantité beaucoup plus massive sur d’autres bases de données, non publiques mais privées et non régulées. Les personnes qui produisent ou exposent leurs données de santé personnelles via des applications telles que celles de Google, Apple, Facebook, Amazon (GAFA) sont-elles conscientes de l’utilisation non régulée et non réglementée qui peut être faite de ces données, en dehors du territoire français et de l’Union européenne ? Rien, sur le plan légal, ne peut empêcher les GAFA d’utiliser les données que les gens mettent spontanément à leur portée, et de constituer ainsi un véritable « Big Brother » développant son propre business à partir des données de santé collectées par ce biais. Il est significatif de constater que sur le marché noir, les données de santé sont les plus recherchées, en raison de leur valeur marchande.  

Pour autant, ce n’est pas parce que ces sociétés internationales ont un pouvoir massif que l’UE n’a pas également un pouvoir important, pourvu qu’elle veuille bien l’exercer. Nous attendons avec impatience le règlement européen sur l’utilisation des données personnelles, qui doit venir définir ce qu’est une donnée personnelle de santé. Par exemple, le fait de prendre un rendez-vous en ligne chez un médecin doit-il être considéré comme tel et nécessite-t-il une protection particulière ou non ? 

Si un rendez-vous médical est pris en ligne chez un psychiatre, cette donnée peut constituer une information intéressante pour certaines personnes.

En effet. C’est pourquoi il nous paraît important de poser des interdits éthiques fondateurs, pour qu’en cas de transgression, une comparution devant une autorité régulatrice dotée d’un pouvoir de sanction soit possible. Cette sanction pourrait être financière et proportionnelle au chiffre d’affaires des sociétés. D’une part les GAFA ne sont pas intouchables au motif qu’ils sont des géants. D’autre part ils peuvent avoir une réflexion de nature éthique au-delà du business qu’ils génèrent.

L’Europe se montre très proactive sur ce sujet. Elle a produit un livre vert sur la santé mobile et les objets connectés, qui a donné lieu à une consultation publique (cf contribution du CNOM à la Commission européenne sur les sujets éthiques, déontologiques et pratiques). En marge du règlement européen attendu, et qui s’imposera aux Etats membres, une recommandation sera sans doute faite aux Etats membres, relatif aux données sur les objets connectés. Les capteurs connectés devraient, selon nous, être prescrits par les médecins pour les patients et les usagers, qui attendent un accompagnement de la part du médecin pour le bon usage de ces objets connectés.

Le médecin ne peut pas se réduire à un simple interprétateur de données. La « prescription » d’un objet connecté par le médecin pour l’un de ses patients inscrit le dispositif et l’outil numérique dans la relation médecin-patient et permet au médecin d’indiquer au patient quelle est la « posologie » d’usage de cet objet. Il est préférable de ne pas prescrire d’objets connectés à certains patients, afin qu’ils ne tombent pas dans la « cyberchondrie » et l’auto-surveillance permanente de leurs constantes biologiques (pouls, tension, etc) pouvant être recueillies par le biais de ces objets connectés. La CNIL a d’ailleurs attiré l’attention sur le risque de connexion permanente des patients et du phénomène d’addiction qui peut en découler.

Cet usage doit s’inscrire à notre avis dans un processus de prescription. Et dès lors que les objets connectés auraient fait la preuve de leur fiabilité dans le suivi et l’intérêt des patients, le dispositif pourrait éventuellement être pris en charge par l’assurance maladie et/ou les complémentaires santé.  

Le cas où l’objet connecté serait intégré à une pratique de télémédecine fait actuellement débat. La position du CNOM est que cet objet doit alors avoir le statut réglementé de dispositif médical et que sa fiabilité technique soit certaine pour qu’il puisse être utilisé dans le suivi d’un patient (tensiomètre connecté pour le suivi d’un patient hypertendu par exemple). Ceci constitue à nos yeux un gage de sécurité supplémentaire.

Quelle sont les dérives potentielles que redoute le CNOM ?

L’institut Droit et Santé de l’université Paris Descartes a organisé plusieurs colloques sur la balance bénéfices / risques du Big Data. Je préfère également présenter les choses sous cet angle, plutôt que sous le terme de « dérives ». Le paracétamol est un médicament pouvant être prescrit ou disponible en accès libre. La réalité démontre que l’usage qui en est fait par les patients n’est pas toujours excessif, alors que l’on pourrait craindre des dérives. Ce médicament n’est pas non plus inoffensif. Il me paraît donc important de construire un système en partant d’une vision positive, tout en ayant identifié les risques potentiels qu’il recouvre et en mettant en place les mesures propres à les combattre. L’ignorance est la première des choses à combattre. Une éducation au numérique de la population devrait donc être intégrée à l’enseignement général d’une part, et d’autre part, la formation initiale des professionnels de santé (qui raisonnent déjà en termes de bénéfices/risques) devrait comporter un enseignement sur les usages du numérique.

Il me paraît donc préférable d’aborder le numérique du côté des promesses qu’il comporte plutôt que par le biais de ses dérives potentielles. D’où l’importance d’organes régulateurs. Le numérique apporte une révolution bien supérieure, ne serait-ce qu’en termes de vitesse de propagation de l’information, à celle introduite par l’imprimerie au 15ème siècle. Certes des informations erronées et malveillantes circulent sur internet, mais internet a aussi apporté de nombreux bienfaits à l’humanité, supérieurs aux dérives constatées.

Quelles sont les précautions que vous préconisez ?

Les autorités d’enseignement et les autorités régulatrices ont non seulement un travail de pédagogie à mener sur les promesses, les bénéfices et les risques du Big Data en santé, mais également un travail majeur de clarification des termes utilisés, notamment lorsqu’il est question de « e-sante ». La « e-santé » est aujourd’hui un concept fourre-tout, induisant des discussions à bâtons rompus, dans une sorte de « cyber-café du commerce » sans définition précise des termes utilisés, ce qui génère des polémiques faute de s’entendre sur ce dont on parle, et de l’inquiétude. Nous recevons d’ailleurs quotidiennement des courriers sollicitant l’avis du CNOM sur ces sujets (télémédecine, informatisation de la santé, déontologie sur le web, la santé connectée, les réseaux sociaux…). Le CNOM a été identifié comme l’une des autorités régulatrices vers laquelle le public se tourne pour avoir des réponses et notre contribution au livre vert a été reprise par les autres Ordres européens. La première des précautions est donc de demander que le citoyen soit bien informé et consente de façon éclairée à l’utilisation de ses données.

Plus largement, l’implication des différentes autorités régulatrices, tant au niveau national qu’au niveau européen, me paraît fondamentale et la gouvernance de l’INDS sera déterminante dans l’exploitation des bases publiques.

Que pensez-vous de la proposition anglo-saxonne de faire signer au patient, outre son accord pour le recueil de ses données de santé, une « déclaration de mission » l’informant de l’ensemble des risques liés à ces données ?

Ce type de document comporte à mon sens une forme de désengagement du médecin. Dans une relation médecin-patient – dont je continue de penser qu’elle est asymétrique – la demande de soins du patient est imprégnée de subjectivité. La première qualité d’un médecin est d’être le plus compétent possible, tant sur le plan technique que sur le plan de la relation humaine. La médecine n’est pas une simple prestation de service moyennant rétribution (nous sommes d’ailleurs exclus de la directive « Services » sur le plan européen et nous considérons que la télémédecine n’entre pas dans le champ d’application de la directive du commerce électronique). C’est pourquoi faire signer au patient une « déclaration de mission » constitue selon nous une forme de désengagement du médecin vis-à-vis de sa propre responsabilité. Dans l’hypothèse où les applications santé et les objets connectés sont prescrits, le médecin doit savoir lui-même quels usages peuvent être faits des données et quels sont les risques encourus. Il doit en avoir une vision claire et en informer le patient, dans des termes loyaux et appropriés, comme il le fait pour une prescription médicamenteuse et comme l’exige la déontologie médicale. Le patient reproche d’ailleurs plus souvent au médecin de ne pas avoir été suffisamment informé des effets secondaires potentiels d’un traitement, que le fait d’être victime de ces effets.

Les exigences formulées par la CNIL pour la constitution de tels fichiers vous semblent-elles suffisantes pour garantir la protection des personnes ?

La CNIL a déjà accompli un travail considérable et peut être aujourd’hui submergée par les multiples sollicitations qu’elle reçoit. Il faut accroître ses moyens dans la « République numérique ». La fusion de la CNIL et de la CADA (Commission d’accès aux documents administratifs) devrait accroître les moyens mis à disposition de la CNIL pour remplir les missions qui lui sont confiées. Cela étant, cette Commission, qui s’appuie essentiellement sur des données juridiques, devrait également disposer d’un comité d’éthique susceptible de l’éclairer pour les décisions qu’elle prend. En l’état, elle applique les règles de droit. Or dans notre univers numérique, des interrogations éthiques de tous ordres se posent par rapport aux applis et objets connectés qui collectent les données. Ainsi, le croisement de ces données et la construction d’algorithmes qui en découlera, par le biais d’outils informatiques extrêmement puissants, aboutira probablement à des conclusions que l’intelligence humaine elle-même n’aurait pas soupçonnées. On songe notamment ici aux analyses génomiques. C’est pourquoi nous estimons que la CNIL devrait s’adjoindre un comité consultatif d’éthique. C’est une demande que nous allons exprimer de plus en plus fermement. Nous vivons dans un Etat de droit mais il ne revient pas nécessairement aux juristes d’énoncer ce qui est bien. La mission du droit est d’appliquer la loi. Mais une interprétation restrictive ou au contraire plus ouverte des textes peut être faite dans le silence de la loi.

J’achève actuellement un rapport sur « Information, communication, publicité et réputation numérique », en regard de l’article 19 du Code de déontologie (R.4127-19 du Code la Santé Publique), dont nous avons encore une interprétation trop restrictive à mon sens. Le fait qu’un médecin s’exprime publiquement est parfois assimilé à de la publicité, alors que la plupart du temps son intervention vise à informer la population. Il faut donc plaider pour une vision plus ouverte et une diffusion plus libre des informations communiquées par certains praticiens et qui ne sont pas de la publicité.