a – Conditions d’application des textes et définition des données de santé à caractère personnel aux États-Unis et au Royaume-Uni

9Chacun de ces textes, la Norme ou la loi sur la protection des données, s’applique aux responsables de traitement mettant en œuvre des traitements comprenant des données de santé à caractère personnel, selon des critères précis.

10D’un côté, aux États-Unis, la Norme renforce la protection des « données de santé protégées » [12] traitées par certains « acteurs concernés » [13] et créé un jeu de standards nationaux destinés à encadrer l’exercice des droits et l’information des personnes concernées [14]. Aux États-Unis, l’application de la Norme est ainsi conditionnée par la qualité des acteurs et des données traitées.

11La Norme confidentialité aux États-Unis s’applique à un nombre limité d’« acteurs concernés » qui sont les organismes d’assurance maladie, de centralisation des données, les prestataires de soins de santé appelés à transmettre électroniquement des données de santé à caractère personnel, ainsi qu’à leurs partenaires commerciaux.

12La Norme s’applique à « toutes les données de santé permettant d’identifier un individu » [15], détenues ou transmises par les « acteurs concernés » et leurs partenaires commerciaux, sous quelque forme que ce soit : orale, écrite ou électronique. Ces données sont les « données de santé protégées », soit des informations qui, incluant des données démographiques, sont relatives à (i) l’état physique ou mental, ou à la condition d’une personne, passé, présent ou futur, (ii) la délivrance de soins à un individu ou, (iii) des paiements passés, présents ou futurs pour des soins délivrés à un individu, et qui identifient un individu, ou pour lesquels il y a une probabilité raisonnable que ces données puissent être utilisées pour identifier une personne [16].

13D’un autre côté, au Royaume-Uni, le texte encadre le traitement des données à caractère personnel qui sont des données relatives à des personnes vivantes qui peuvent être identifiées (i) par une donnée, ou (ii) par une donnée et toute information qui est possédée, ou qui pourrait être possédée par le responsable de traitement, et qui inclus l’expression d’une opinion à propos de la personne et n’importe quelle indication des intentions du responsable de traitement ou de toute autre personne au regard de l’individu.

14La loi sur la protection des données distingue une catégorie de données à caractère personnel comme étant sensibles, notamment les données relatives au physique, à la santé mentale ou à la condition d’une personne, qui seront considérées comme des données de santé pour la suite de l’article.

15En définitive, les définitions des données de santé à caractère personnel par la Norme ou la loi sur la protection des données sont relativement proches, cependant leurs critères d’application sont différents. La différence principale réside dans le fait que la Norme des États-Unis conditionne son application à des critères organiques et matériels : les « acteurs concernés » qui traitent les « données de santé protégées ». A l’inverse, pour que la loi du Royaume-Uni s’applique il suffit que le critère matériel de traitement des données à caractère personnel, qui peuvent être des données de santé, soit rempli. Ceci étant notamment dû aux approches résolument différentes des deux pays, l’un ayant transposé une directive européenne au champ d’application vaste et l’autre ayant adopté un texte spécifique aux données de santé strictement définies et traitées par une liste d’acteurs donnée.

16Après avoir étudié la définition des données de santé à caractère personnel et le champ d’application du cadre légal au Royaume-Uni et aux États-Unis, il convient désormais d’étudier les principes qui gouvernent ces deux textes et qui guident les acteurs souhaitant mettre en œuvre des projets de big data en santé impliquant le traitement de données à caractère personnel.

b – Principes et exigences s’appliquant aux traitements de données à caractère personnel aux États-Unis et au Royaume-Uni

17Aux États-Unis, la Norme établit un certain nombre de principes relatifs à l’utilisation et à la communication des « données de santé protégées » par les « acteurs concernés ». Par exemple, la Norme impose aux « acteurs concernés » de fournir aux personnes concernées par le traitement de données à caractère personnel une politique de confidentialité des données, comprenant des items obligatoires. La Norme exige la mise en place de mesures appropriées afin de garantir la confidentialité des « données de santé protégées », pose des limites et des conditions à l’utilisation et la communication de telles données sans l’autorisation du patient. Enfin, la Norme consacre des droits pour les patients, notamment le droit d’accès à leurs dossiers médicaux et d’en obtenir une copie ou de demander la rectification de données les concernant.

18Au Royaume-Uni, les principes de la Directive européenne sont transposés dans la loi sur la protection des données, et doivent donc être respectés par les responsables de traitement souhaitant mettre en œuvre des traitements de données à caractère personnel de santé incluant du big data. Au titre du principe de licéité du traitement, un traitement doit nécessairement avoir une base légale. L’utilisation de ces données sensibles est soumise à des conditions plus strictes [17] que les données à caractère personnel classiques. En effet, les bases légales pouvant être invoquées pour les traitements de données sensibles à caractère personnel sont réduites par rapport à celles des traitements de données à caractère personnel. Par ailleurs, les responsables de traitement doivent s’enregistrer, moyennant des frais variant, selon la taille de l’entreprise, entre 55 et 1000 livres sterling [18], auprès de l’autorité chargée de la protection des données : le Commissariat à la protection de la vie privée [19].

19L’esprit des exigences posées par les deux textes est ici divergent. En effet, la Norme est un texte sectorisé, dédié à la création de standards pour la protection de données de santé protégées, soumettant les « acteurs concernés » des obligations spécifiques à leur domaine d’activité. La Norme se rapproche des normes de l’Organisation internationale de normalisation (ISO), par exemple, qui listent des obligations pratiques à mettre en œuvre par les acteurs souhaitant se conformer à ces standards.

20A l’opposé, la loi sur la protection des données du Royaume-Uni s’applique aux données à caractère personnel en général, dont certaines dispositions spécifiques sont relatives aux données sensibles. Par ailleurs, cette loi transpose une directive européenne structurée autour de grands principes relatifs au traitement de données à caractère personnel, tels que la licéité et la loyauté des traitements, la détermination d’une finalité explicite et légitime pour le traitement ou encore la nécessité de collecter des données adéquates, pertinentes et non excessives au regard de la finalité établie.

21Les responsables de traitements recourant au big data en santé doivent donc s’assurer de la conformité de leurs traitements avec les exigences des textes rapidement présentés ci-dessus notamment afin de gagner la confiance des personnes concernées fournissant des données alimentant leur programme. Une négligence de leur part les exposant également au risque d’être sanctionnés par les autorités de protection des données.

a – La mise en place d’une cohorte massive aux États-Unis

23Les « Instituts américains de la santé » [20] ont lancé en 2016 le programme « Nous tous » [21]. Ce programme de recherche vise à recruter plus d’un million de volontaires et à rassembler leurs données au sein d’une base de données massive, afin d’obtenir une cohorte représentative de la population américaine réelle, ayant l’envergure nécessaire pour réaliser des recherches sur une large variété de maladies et détecter des corrélations entre des expositions biologiques et/ou environnementales [22].

24Conscients des enjeux en termes de respect de la vie privée, le Gouvernement et les Instituts américains de la santé ont communiqué autour des exigences de confiance, de confidentialité [23] et de sécurité [24] concernant les données traitées dans le but de rassurer les futurs participants.

25La structure de la cohorte est organisée autour de composants, recrutés via des appels d’offre, dont un « centre de support pour les données et la recherche » [25] dédié à la centralisation, l’organisation et la sécurité de la base de données et un « centre de technologie des systèmes participants » [26] dédié à l’expérience des participants et qui développera des applications et des sites internet afin de permettre l’inscription de volontaires, de transmettre les données et de recevoir des mises à jour.

26Le recrutement actif des participants, qui doivent être âgés de plus de 18 ans et vivre aux États-Unis, se déroule sur une durée de cinq ans via les établissements de soins partenaires répartis sur l’ensemble du territoire ou par inscription en ligne sur le « Centre de participant en ligne » [27].

27Lors de cette étape, les participants reçoivent les informations relatives au programme de recherche, consentent et doivent transmettre des informations relatives à leur historique médical et leur style de vie. Des données de mesure (pression sanguine, poids et taille, etc.) et des prélèvements biologiques pourront être effectués dans un centre d’inscription.

28Par la suite, les participants seront invités à participer à des enquêtes [28] afin de transmettre des données relatives à la démographie, leur état de santé général ou encore leur consommation de drogue, tabac, alcool. Les dossiers médicaux électroniques des participants peuvent également être transmis, et mis à jour bi-annuellement au sein de la base de données.

29L’ensemble des données est hébergé dans un système en nuage sécurisé au sein du « Centre de support pour les données et la recherche ». Les chercheurs qualifiés pourront ensuite accéder aux données via une plateforme, à la suite de la signature d’un engagement de confidentialité par le biais duquel ils attestent ne pas extraire les données auxquelles ils auront accès. Les participants ont également accès à leurs données, à des statistiques globales et aux résultats d’études conduites sur leurs données via le portail des participants.

30Le directeur du programme, Eric Dishman, a annoncé le 13 septembre 2017 [29] que plus de 18 000 personnes avaient débuté le processus d’inscription au cours de la phase béta étendue lancée en juin 2017. M. Dishman précisait que l’activité principale des acteurs du programme était de recueillir les dossiers médicaux et les réponses aux enquêtes réalisées auprès des participants ainsi que d’effectuer un toilettage des données. Le Directeur insistait sur le fait que pour le moment, l’attention était portée à la qualité et la fiabilité des données recueillies, avant d’ouvrir l’accès aux données aux chercheurs. Si le lancement national de la cohorte a eu lieu le 6 mai 2018, l’ouverture aux chercheurs pourrait avoir lieu entre 6 et 12 mois après cette date.

31La cohorte est en perpétuelle évolution car des données issues d’objets connectés utilisés par les participants pourraient également être versées prochainement dans la base de données et des participants âgés de moins de 18 ans pourraient être recrutés, comme le préconise la publication d’un rapport du groupe de travail dédié à l’inclusion d’enfants [30] dans « Nous tous », soulignant l’intérêt scientifique d’une telle inclusion.

32Ce programme est donc mis en œuvre par une structure publique. Hormis les gagnants des appels d’offre relatifs à la communication, l’ensemble des structures ayant remporté les financements sont des universités, des établissements d’enseignement ou de santé publics ou privés. Au Royaume-Uni, le projet big data qui sera présenté n’a pas été réalisé dans le cadre d’une cohorte massive mais a pour but d’évaluer une application mobile développée par une structure privée.

b – L’utilisation de données massives pour prédire une maladie grave au Royaume-Uni

33Le 30 septembre 2015, un accord a été signé entre la « Fondation Libre Royale du Service sanitaire national » [31] (Royal Free London NHS Foundation Trust) et DeepMind, une société détenue par Google, qui développe l’application « Streams », capable de détecter des symptômes d’insuffisance rénale aigue deux heures avant le personnel soignant [32] et de les alerter lorsque l’état d’un patient se détériore.

34Selon les termes de l’accord, DeepMind pouvait accéder à des données identifiantes issues de dossiers médicaux détenus par la Fondation pour réaliser un essai de sécurité sur l’application Streams [33], d’ores et déjà déployée et utilisée depuis février 2017 par les équipes de soins des hôpitaux de la Fondation.

35Les données transmises comprennent des informations concernant 1.6 millions de patients qui ont été traités durant les cinq années précédentes ainsi que des données issues des dossiers électroniques de radiologie.

36A la suite d’alertes lancées en début d’année 2017 par des universitaires [34] et des journalistes [35], le Gardien National des Données [36] a adressé un courrier au responsable médical du Service sanitaire national [37] interrogeant la gestion des données par la Fondation et Deepmind, notamment au regard de la base légale pouvant être invoquée pour l’essai de sécurité réalisé avec les données.

37Le Commissariat à la protection de la vie privée a ensuite enquêté et publié une déclaration [38] en juillet 2017 indiquant que de nombreux manquements aux principes établis par la loi sur la protection des données avaient été découverts à l’occasion des investigations :

• Concernant le principe de loyauté et de licéité des traitements : les patients n’ont pas été informés du traitement de leurs données par DeepMind pour des finalités d’essais cliniques de sécurité et la Fondation n’a pas établi que les conditions du nouveau traitement échappaient à l’obligation de recueillir le consentement éclairé des patients.

38Par ailleurs, la Fondation n’a pas indiqué de base légale pour le traitement des données destinées au test de sécurité de l’application. Selon le Commissaariat, ce principe a été enfreint, les patients ne pouvant avoir raisonnablement pensé que leurs données allaient être traitées pour une telle finalité et que les mécanismes d’information étaient inappropriés.

• Concernant le principe de minimisation des données en lien avec la finalité du traitement : la Fondation a insisté sur le fait qu’un nombre élevé de dossiers médicaux était nécessaire pour assurer l’efficacité et l’efficience du test de sécurité de l’application, cependant cet argument n’a pas convaincu le Commissariat, qui indique par ailleurs que certains détails présents dans les dossiers médicaux ne semblaient pas être nécessaires au regard de la finalité du traitement et que cela constitue un manquement au principe.
• Concernant le principe de transparence : ce principe a été enfreint, en ce que les personnes n’ont pas été informées de l’utilisation de leurs données et n’ont pu faire valoir leurs droits ou s’opposer au traitement de leurs données.
• Concernant le principe de mettre en place des mesures techniques et organisationnelles appropriées afin de garantir la sécurité des données : selon l’autorité de protection des données, l’accord n’a pas ensuite été formalisé contractuellement entre DeepMind et la Fondation. De plus, la Fondation ne s’est pas suffisamment assurée des mesures prises par DeepMind afin de respecter ces obligations, enfreignant donc le principe [39].

39La signature d’un engagement de mise en conformité a été préférée à une sanction financière. En quelques mots, il a été imposé à la Fondation de (i) justifier légalement les traitements de données à caractère personnel mis en œuvre dans le cadre du projet conclu avec DeepMind, (ii) de démontrer le respect de son obligation de confidentialité à l’égard des patients lors de futurs essais impliquant des données à caractère personnel, (iii) de réaliser une analyse d’impact sur la vie privée, en insistant sur la transparence, et enfin (iv) de conduire un audit de l’essai, dont les résultats devront être communiqués au Commissariat à la vie privée qui pourra les publier, s’il le souhaite.

40En réaction [40], DeepMind a développé sur son site internet de nombreuses rubriques [41] axées autour de thèmes tels que « la sécurité des données », « la confidentialité et la transparence » et « l’audit des données vérifiable » [42] permettant aux partenaires hospitaliers de s’assurer que les données sont traitées conformément aux instructions données [43].

41La pédagogie dont a fait preuve le Commissariat vis-à-vis de la Fondation est intéressante car l’autorité de protection des données anglaise sanctionne régulièrement [44] des responsables de traitement négligents, à l’aide d’amendes importantes publiées sur leur site et relayées par de nombreux médias. Le cadre légal anglais applicable aux traitements de données de santé à caractère personnel, relativement proche du cadre français, permet le développement de programmes respectueux de la vie privée, si tant est que les obligations soient respectées par les responsables de traitement.

42Pour conclure, la mise en conformité des programmes existants ou la mise en œuvre de programmes conformes aux exigences nécessitent un investissement de la part des responsables de traitement.

43Les « Instituts américains de la santé » ont accentué leurs efforts de transparence et de pédagogie à l’égard des participants du programme « Nous tous ». A titre d’exemple, et probablement pour répondre aux craintes de participants faisant suite au scandale de Cambridge Analytica [45], le Directeur du programme a publié une vidéo début mai soulignant que la préservation de la sécurité des données des participants était leur plus importante responsabilité [46]. Cette obligation de transparence et d’exemplarité est notamment la contrepartie des importants moyens de publicité déployés pour cette cohorte qui vise à recruter de nombreux participants : les individus doivent être convaincus que leur participation à ce programme ne les expose pas à des risques importants de divulgation de leurs données de santé à caractère personnel afin de faire la démarche de rejoindre le projet de recherche.

44A l’opposé, les tests conduits pour l’application « Streams » au Royaume-Uni ont été opaques pour les patients concernés, principalement car les données étaient déjà disponibles au sein des dossiers médicaux des hôpitaux du Fonds partenaire. Toutefois, la position de l’autorité de protection des données du Royaume-Uni démontre qu’elle n’est pas opposée au développement de nouvelles technologies ou aux partenariats publics / privés permettant le transfert de données sensibles. En effet, l’ensemble des communications publiques d’Elizabeth Denham [47] sur le sujet « Streams » rappelle que le potentiel important de telles applications n’est pas remis en cause, mais que « de telles avancées ne doivent pas se faire au détriment du droit fondamental à la vie privée » [48].