Texte de la question

M. Philippe Latombe interroge M. le ministre des solidarités et de la santé sur le Health data hub. À la faveur de l'état d'urgence sanitaire actuel, le Gouvernement a anticipé le déploiement du Health data hub, une base de données appelée à centraliser l'ensemble des données de santé. Cette plate-forme élargit l'actuel système national des données de santé (SNDS), lequel regroupe les principales bases de données de santé publique. Elle est censée recueillir les « données de pharmacie », celles de « prise en charge en ville, telles que les diagnostics ou les données déclaratives de symptômes issues d'applications mobiles de santé et d'outils de télé-suivi, télésurveillance ou télémédecine », celles des services d'urgence, mais aussi « les enquêtes réalisées auprès des personnes pour évaluer leur vécu » et les données du SI-VIC, le système de suivi des victimes lors de catastrophes sanitaires. L'arrêté du 21 avril 2020 autorise ainsi le Health data hub et la Caisse nationale de l'assurance maladie (Cnam) à collecter, « aux seules fins de faciliter l'utilisation des données de santé pour les besoins de la gestion de l'urgence sanitaire et de l'amélioration des connaissances sur le virus covid-19 », un nombre considérable d'informations. L'objectif, dont on ne peut que se réjouir, est bien évidemment une amélioration des politiques sanitaires de du pays et du suivi sanitaire des citoyens. Cependant, le déploiement de cette plate-forme soulève un certain nombre d'inquiétudes, notamment de la Commission nationale de l'informatique et des libertés (Cnil). Dès l'an dernier, la commission s'inquiétait du fait que, géré par un groupement d'intérêt public (GIP) chargé d'administrer l'ouverture des données à des acteurs extérieurs, le Health data hub permette également aux entreprises privées d'avoir accès aux données pour un « motif d'intérêt public ». Dans son avis du 23 avril 2020, la Cnil s'alarme du contrat qui lie le HDH à Microsoft, les autorités américaines pouvant contraindre leurs entreprises nationales à leur fournir les données qu'elles hébergent, en vertu du Foreign intelligence surveillance Act de 1978 et du Cloud Act de 2018. La commission pointe ainsi un nombre certain de défaillances du dispositif : le chiffrement des données qui ne serait pas garanti, le manque d'encadrement des procédures d'accès des administrateurs de la plate-forme ou encore l'effectivité du blocage de toute possibilité d'exportation des données. Il souhaite savoir comment le Gouvernement justifie le choix de Microsoft pour l'hébergement des données du HDH et comment il est envisagé d'assurer la protection des données de santé des Français.