Beaucoup d’acteurs de l’écosystème santé collectent des données personnelles de santé dans le cadre de leurs activités qu’ils souhaitent pouvoir valoriser.
Valoriser des données, c’est se donner les moyens de les réutiliser dans le temps à d’autres fins, de pouvoir les croiser avec d’autres données pour produire des études, des indicateurs, mener des projets d’évaluation ou recherche.
Pour mettre en œuvre cette stratégie data, les acteurs doivent se doter d’un Entrepôt de Données de Santé (EDS). Actuellement, une demande d’autorisation « santé » (hors recherche) de la CNIL, assortie d’une analyse d’impact sur la protection des données (AIPD) est requise dés lors que le consentement explicite des personnes concernées par la création de l’EDS n’a pas été recueilli.
Un nouveau référentiel de la CNIL est en cours de constitution pour simplifier et accélérer la création d’Entrepôts de Données de Santé pour les établissements ou centres où s’exercent des activités de prévention, de diagnostic et de soins.

Définition

Un entrepôt de données de santé est une base de données unique, centralisée, multi-sources permettant la collecte et la conservation de données massives pendant une longue durée (10 ans minimum). L’exploitation des données peut poursuivre des fins multiples, immédiate (production d’algorithmes, modèles prédictifs..) ou secondaire et ultérieure (recherche, évaluation et études). Il permet donc de réutiliser des données dans le temps pour des finalités secondaires (nouveaux traitements).

Il répond à un besoin beaucoup plus large qu’un recueil de données dans le cadre d’un projet d’étude précis et ponctuel, pour lequel les données sont collectées spécifiquement[1].

Etat des lieux

La constitution d’un EDS suppose le plus souvent une autorisation « santé » (Hors recherche) de la CNIL, au-delà du respect de l’obligation de démontrer la conformité aux exigences du RGPD (AIPD, documentation interne etc.). C’est le cas dès lors que le consentement explicite des personnes concernées par la collecte, l’enregistrement et la conservation des données de santé dans un entrepôt n’a pas été recueilli. Les projets de valorisation des données doivent en outre s’inscrire dans le cadre d’une réutilisation dans un « intérêt public ».

La publication d’un nouveau référentiel CNIL offre un contexte favorable à certains acteurs pour simplifier et accélérer leurs démarches. Il s’agit des établissements ou centres où s’exercent des activités de prévention, de diagnostic et de soins

Perspectives

Ce nouveau référentiel de la CNIL [2], élaboré à l’issue d’une concertation publique, permettra aux acteurs dont les traitements seront conformes au référentiel définitif de déclarer leur conformité auprès de la CNIL. Ils ne seront plus soumis à la procédure de demande d’autorisation préalable.

Ce référentiel concerne les acteurs portant un projet doté d’une « mission d’intérêt public ». Il concerne donc en premier lieu les traitements mis en œuvre par les autorités publiques elles-mêmes ou ceux envisagés par des acteurs dotés de prérogatives de puissance publique. Les organismes privés sont également susceptibles d’être concernés :

• « dès lors qu’ils poursuivent une mission d’intérêt public »
• « ou qu’ils sont dotés de prérogatives de puissance publique ».

Les entrepôts respectant ce référentiel pourront permettre la réutilisation des données réunies à des fins :

• « de recherche, d’étude ou d’évaluation de santé « 
• « de production d’indicateurs et de pilotage stratégique de l’activité d’un établissement ou centre où s’exercent des activités de prévention, de diagnostic et de soins. »

Il est à noter qu’une analyse d’impact sur la protection des données (AIPD) restera à réaliser dans tous les cas.

Prérequis

Des pré-requis concernant l’infrastructure SI et les flux de données de santé doivent être respectés. Ces derniers doivent en effet rester cloisonnés par rapport aux systèmes d’information classiques, et par conséquent l’infrastructure doit être déportée, et certifiée HDS [3].

• « Le réseau de communication sur lequel l’entrepôt est hébergé́ ou rendu accessible doit faire l’objet de mesures de cloisonnement séparant les flux réseau spécifiques à l’entrepôt du reste des flux du système d’information ».
• « Le responsable de traitement doit collecter et stocker les données à caractère personnel faisant partie de l’entrepôt sur des systèmes et bases de données distincts de ceux assurant la prise en charge des patients ».

Regard By Proxicare

Tous les acteurs collectant des données personnelles de santé sont susceptibles d’être intéressés par la création d’un EDS, ce qui laisse envisager un déploiement accéléré des EDS à court et moyen terme.
Mais cette opportunité nouvelle témoigne également d’un besoin d’accompagnement des acteurs concernés, tant sur le plan stratégique (design des modèles de valorisation des données, études d’opportunité et faisabilité, stratégie de partenariats…) que technique s’appuyant sur l’expertise d’un cabinet de conseil en stratégie expérimenté et d’un acteur certifié en matière de stockage et traitement des données de santé. N’hésitez pas à nous contacter !

Inès BOZINOVIC

[1] https://www.cnil.fr/fr/traitements-de-donnees-de-sante-comment-faire-la-distinction-entre-un-entrepot-et-une-recherche-et

[2] https://www.cnil.fr/fr/entrepots-de-donnees-de-sante-la-cnil-lance-une-consultation-publique-sur-un-projet-de-referentiel

[3] Référentiel relatif aux traitement de données à caractère personnel mis en œuvre à des fins de création d’entrepôts dans le domaine de la santé