[OKFN-FR] PJL Santé vs Open Data

[Tangui Morlier]

Vous l'avez peut être vu comme nous, le projet de loi santé a été publié
sur légifrance mercredi soir à 23h
<http://www.legifrance.gouv.fr/affichLoiPreparation.do?idDocument=JORFDOLE000029589477&type=contenu&id=2&typeLoi=proj&legislature=14>
. Un chapitre entier (le chapitre V) est dédié aux données de santé.

Nous avons pu tirer une première analyse de ces dispositions et pris le
temps de la confronter à des contacts associatifs orientés Santé. Ils
partagent nos points de vue sur les dispositions proposées par le
gouvernement dans ce chapitre V.

Si au niveau « mise à disposition du public » les données publiées
seront bien encadrées pour préserver la vie privée, des données non
anonymisées seront tout de même fournies aux labos qui accepteront sans
problème de payer afin de réaliser leurs « études [marketing] » et leurs
« évaluations [de l'efficacité des visiteurs médicaux] ». Basculer ce
type d'accès normalement très encadré pour la seule recherche vers le
secteur privé peut poser de légitimes questions d'éthique pour une
partie de l'électorat, mais ouvrir la réutilisation des données non
anonymisées à tout et n'importe quoi (« études ou évaluations »), est
plus dangereux encore.

Le chapitre V traite de la vente des données de santé non anonymisées,
d'assouplissement des pouvoirs de la CNIL, de l'accès discrétionnaire
des réutilisateurs de données publiques ou de rappels inutiles de la loi
CADA et très peu sur la mise à disposition du public, dispositions qui
n'apporte aucune garantie en matière d'Open Data (pour rappel la mise à
disposition ne veut pas dire libre réutilisation par quiconque).

La partie mise à disposition du public fait une ligne (article 1461-2) :
les données fournies doivent être anonymisées ou agrégées. Ce sont nos
recommandations en matière de respect de la vie privée, donc pas de
problème. En revanche, aucune garantie en termes d'Open Data n'est
apportée : la libre réutilisation n'est même pas évoquée. Comme pour
Sunshine, on pressent déjà le beau lobbying de l'industrie
pharmaceutique pour imposer des barrières juridiques ou techniques afin
de limiter l'accès et la réutilisation à ces informations. De plus, vu
le poids de cette disposition dans le dispositif, il y a fort à parier
que le ministère va dépenser beaucoup plus d'énergie sur les autres
sujets... dont la fourniture des données non anonymisées aux labos.

L'article 1461-3 article dit clairement que les données fournies à des
tiers sont des données à caractère personnel. Elles ne peuvent donc être
considérées que comme non anonymisées. Cette fuite de données non
anonymisées vers les assureurs, industriels et leurs prestataires est le
vrai problème. Alors que pour l'instant ce n'était possible qu'à des
fins de recherche, le texte ouvre la possibilité de le faire pour des
«études» ou des «évaluations». Autant dire que tout type de traitement
de données par les labos tombe sous ce vocable. Il y a un grand risque
d'atteintes à la vie privée qui ne manqueront pas de choquer l'opinion
publique comme la société civile, au même titre que par exemple pour la
vente depuis des années par le ministère de l'intérieur des données
relatives aux plaques minéralogiques. Une telle vente de données non
anonymisées risque de plus de provoquer un amalgame dévastateur entre
l'Open Data et la revente de données personnelles, déjà bien trop
alimenté par de nombreux lobbies dont ces mêmes labos.

De plus, au vu de la complexité du système de la vente des données, il y
a fort à parier que l'aspect Open Data va passer au second plan ou sera
négligé : le ministère va se concentrer sur la création de ces barrières
économiques dans l'espoir de percevoir des redevances plutôt que de
s'occuper de la mise à disposition de données libres et gratuites aux
citoyens, et ce à total rebours des décisions et engagements du
gouvernement en la matière depuis un an...

Des redevances sont bien actées dans le texte (article 1461-6) ce qui
est contraire à la décision 24 du CIMAP du 18 décembre 2013 qui ouvrait
un moratoire sur la création de nouvelles redevances
(<http://www.modernisation.gouv.fr/le-sgmap/le-cimap/le-cimap-du-18-decembre-2013>).
Ce serait de plus une première juridique pour le législateur que
d'entériner dans la loi un tel paiement de données : jusqu'ici cela
était toujours resté d'ordre purement réglementaire.

Nous avons également découvert au fil du texte une base qui semble
d'intérêt public majeur, celle de "l'inter-régimes de l'assurance
maladie". L'objectif est notamment de fournir des infos sur les dépenses
de santé (L161-28-1). Cette base n'est pas intégrée dans la disposition
de mise à disposition du citoyen...

À propos de l'institut national des données de santé (L 1462-1 et
suivants), sa gouvernance risque de poser un problème : faire rentrer
des réutilisateurs de données de santé comme IMS Health (avec en plus
l'image sulfureuse que cette entreprise a depuis le scandale Cahuzac)
c'est faire entrer le loup dans la bergerie... Il en est de même
concernant le comité d'expertise (futur article 54 de la CNIL) qui est
prévu pour juger du bien fondé des demandes de traitement : rien
n'indique qu'il devra répondre à des critères d'indépendance.
L'exploitation des conflits d'intérêts étant un sport national dans le
monde de la santé, ne pas avoir prévu des gardes fous tant pour l'INDS
que le comité d'experts est une erreur importante.

Enfin, des pans entiers de la loi "CNIL" sont réécrits notamment pour
ouvrir le champ aux études et évaluations, tant dans la partie générale
du texte que dans la chapitre dédié aux données de santé, ce qui peut
être source de beaux reculs en termes de protection de la vie privée des
citoyens.

Bref, toute la partie "data" de ce texte (seule que nous ayons étudiée)
semble bien plus le reflet des désirs liberticides des labos, qu'une
volonté d'éclairer le citoyen par une légitime transparence sur son
système de santé : aucune réelle garantie pour l'open data et la
transparence n'est inscrite dans ce texte.

En l'état, le texte pourrait être une parfaite illustration de la
théorie de la capture de George Stigler
(<http://en.wikipedia.org/wiki/Regulatory_capture>) :
 - création de règles complexes ne permettant pas aux innovateurs ou aux
citoyens d'accéder à l'information ;
  - régulation réalisée par des comités ad hoc n'offrant aucune garantie
d'indépendance et facilement noyautables par les intérêts existants ;
  - exclusion des citoyens qu'on espère amuser avec une communication
"Open Data Washing" jamais mise en oeuvre...

Pour rattraper le coup et faire quelque chose qui soit respectueux des
libertés individuelles comme de celle d'informer, il faudrait :
 - garantir la libre réutilisation des données "mises à disposition du
public" afin qu'elles soient réellement compatibles avec l'Open Data  ;
 - interdire l'accès à des tiers aux données non anonymisées du SNIIRAM
tant que la politique Open Data n'a pas porté ses fruits (attendre 3 ans
pour créer des exceptions) : l'INDS pourrait être chargé tous les ans
d'évaluer les impacts de la politique Open Data mise en place,
d'orienter pour que plus de données ne violant pas la vie privée des
citoyens soient libérées et seulement pour des raisons d'intérêt général
et seulement si il n'y a pas de solution Open Data, demander au
ministère de la santé d'autoriser des réutilisations de données à
caractère personnel ;
 - La liste des réutilisateurs de données à caractère personnel
encadrées par ce projet de loi et l'usage qu'ils en font ferait l'objet
d'une publication et, comme c'est prévu actuellement, l'autorisation
serait revue tous les ans. Le dossier d'autorisation ou de
renouvellement serait rendu public, il indiquerait en quoi la
réutilisation répond à l'intérêt général et en quoi il n'est pas
possible d'avoir les même résultat avec des données réellement
anonymisées. Une obligation de publier les données anonymisées
résultantes et les résultats de ces travaux devrait être imposée.

Au  vu de l'organisation baroque (voire bordelique) de ce chapitre V,
nous avons un peu de mal à savoir comment ne pas proposer aux
parlementaires de réécrire totalement cette partie...

Tangui pour Regards Citoyens