Réunir des données de médecine de ville à l’échelle européenne pour mieux comprendre les parcours de soins, c’est l’ambition de LINK, le nouvel entrepôt de données de santé de Clinityx. En France, leur rapprochement avec le Système national des données de santé doit enrichir les recherches. Mais comment éviter que cette connaissance accrue des patients ne permette de retrouver leur identité ? Nicolas Glatt, directeur général de Clinityx, et Sabrina Benmoussa, responsable Compliance et déléguée à la protection des données, détaillent les usages, les protections et les défis réglementaires du projet.
Code Confiance. Qu’est-ce que LINK et que change-t-il par rapport à THIN ?
Nicolas Glatt. LINK est un entrepôt de données de santé alimenté par les logiciels de gestion des cabinets médicaux de médecins volontaires pour participer au projet. Il rassemble des informations produites lors des consultations pour permettre leur réutilisation dans des travaux de recherche. Le dispositif THIN France était essentiellement français et alimenté par des logiciels du groupe Cegedim. Avec LINK, nous voulons étendre cette approche à plusieurs pays européens.
Le périmètre annoncé comprend la France, l’Allemagne, la Belgique, l’Espagne, l’Italie, la Roumanie et le Royaume-Uni. En France, le projet prévoit aussi un appariement avec le Système national des données de santé, le SNDS. L’objectif est de rapprocher le contexte clinique observé au cabinet des informations de remboursement et d’hospitalisation, pour mieux suivre le parcours du patient. Ce déploiement se construit progressivement.
À quoi servent ces données une fois sorties du cadre de la consultation ?
Sabrina Benmoussa. Il faut distinguer deux usages. L’utilisation primaire correspond au soin : le médecin collecte des informations pour prendre en charge son patient. L’utilisation secondaire consiste à réemployer ces données, notamment pour la recherche scientifique. C’est ce que nous faisons chez Clinityx.
Nicolas Glatt. Ces recherches permettent, par exemple, d’évaluer l’usage d’un traitement, son bénéfice et ses risques, ou d’étudier les parcours de soins. Pour illustrer cette démarche, nous exploitons, dans un autre entrepôt, des données concernant des dispositifs médicaux dont certaines complications sont rares, mais graves. Des études régulières alimentent les discussions entre fabricants, communauté médicale et autorités sanitaires sur leur rapport bénéfice-risque. C’est l’intérêt de ces données : éclairer des décisions à partir de ce qui se passe réellement dans les soins.
L’autorisation de la CNIL pour dix ans permet-elle de mener librement toutes ces recherches ?
Nicolas Glatt. Non. Il faut distinguer la constitution de l’entrepôt et les études réalisées à partir de ses données. La constitution de notre base repose sur l’intérêt légitime de Clinityx en tant que bureau d’études, dans le cadre autorisé. Chaque recherche doit ensuite disposer de son propre cadre réglementaire et présenter un intérêt public.
En France, cela peut passer par les méthodologies de référence de la CNIL. À l’étranger, les démarches peuvent notamment impliquer des comités éthiques ou scientifiques. L’autorisation de l’entrepôt ne remplace donc pas les formalités propres aux projets.
Comment empêchez-vous qu’un analyste ait accès à davantage de données que nécessaire ?
Nicolas Glatt. Notre organisation distingue trois espaces : une zone de préparation des données, une zone de stockage, qui constitue l’entrepôt, et une zone d’analyse. Chacune n’est accessible qu’à certains profils.
Pour chaque recherche, un ingénieur prépare une base spécifique. Il sélectionne la population et les seules variables nécessaires aux analyses prévues, en s’appuyant sur le plan d’analyse statistique. Le data scientist travaille ensuite sur cette base projet. Il ne dispose donc jamais de l’ensemble des informations présentes dans l’entrepôt. Les analyses sont réalisées, dans des bulles sécurisées, par nos data scientists salariés, soumis aux obligations applicables à ces données.
Que devient l’identité du patient au fil de ces opérations ?
Sabrina Benmoussa. Les données que nous recevons sont déjà pseudonymisées à la source.
Nicolas Glatt. Un premier traitement est réalisé au niveau de l’extracteur du logiciel. Nous appliquons ensuite de nouvelles opérations de hachage lors du passage entre les espaces et lors de la création des bases projet. Les identifiants ne sont donc pas conservés à l’identique d’une base à l’autre.
Cette organisation permet de travailler sur les parcours nécessaires à l’étude en séparant les environnements et leurs identifiants. Mais la pseudonymisation ne règle pas, à elle seule, la question du risque de réidentification. C’est aussi pour cela que nous contrôlons les résultats avant leur sortie de l’infrastructure.
Face aux cyberattaques, comment protégez-vous l’accès à l’entrepôt ?
Nicolas Glatt. Nous travaillons dans des « bulles sécurisées », avec des environnements très peu ouverts sur Internet. L’arrivée des données passe par le protocole de transfert sécurisé SFTP, sur la base de certificats. La zone de réception est isolée de l’entrepôt et leur intégration dans la zone de préparation nécessite une intervention manuelle.
L’accès aux espaces de travail passe par le réseau du groupe, un VPN et une double authentification. Les zones concernées ne sont pas directement accessibles depuis Internet. Nous n’avons pas les mêmes contraintes qu’une application de santé destinée à être largement accessible : nos utilisateurs sont des professionnels identifiés travaillant dans un environnement dédié. La sécurité repose donc aussi sur cette restriction des accès et sur la séparation des zones.
Même sans nom ni prénom, peut-on retrouver un patient ?
Nicolas Glatt. Le risque serait très faible mais pourrait toujours exister lsi on rapprochait un grand nombre d’informations. Une année de naissance, des consultations auprès de certains médecins à certaines dates ou une caractéristique inhabituelle peuvent devenir identifiantes si on les croise avec une autre source. Une taille de 2,17 mètres, par exemple, peut rendre une personne très reconnaissable dans une petite population atteinte d’une maladie rare.
Nous ne faisons sortir de l’infrastructure que des résultats agrégés, destinés à des publications ou à des rapports. Avant leur sortie, une analyse du risque de réidentification peut conduire à supprimer ou à modifier la présentation de valeurs extrêmes, comme certains minimums ou maximums.
Sabrina Benmoussa. Nous nous appuyons sur les trois critères du G29, qui réunissait les autorités européennes de protection des données : la non-individualisation, la non-corrélation et la non-inférence. Il s’agit de vérifier qu’un résultat ne permet pas d’isoler une personne, de la retrouver par rapprochement avec d’autres données ou de déduire des informations la concernant.
Nous avons également fixé une règle interne : ne pas sortir de résultats portant sur moins de onze patients. Ce seuil est un choix de Clinityx, pas une exigence générale de la CNIL. L’analyse du risque est conduite par le responsable de l’étude, puis validée par la DPO. Nous examinons les risques résiduels et les adaptations nécessaires ; le seuil ne remplace pas cette analyse.
Comment les patients sont-ils informés et peuvent-ils refuser cette réutilisation ?
Nicolas Glatt. Pour les patients qui consultent aujourd’hui un médecin partenaire, le dispositif prévoit une information individuelle initiale par ce médecin, qui y est tenu contractuellement. Cette information renvoie vers notre portail de transparence, Sémaphore. Il présente les sources de données exploitées et les études réalisées à partir de celles-ci.
Une personne peut s’opposer à la conservation de ses données dans l’entrepôt. Elle peut, par exemple, accepter leur utilisation dans une recherche académique et s’opposer à un projet industriel.
Sabrina Benmoussa. Cette information est complétée par des affiches dans les cabinets et par les informations publiées sur le portail. Il faut organiser ces différents niveaux pour que les personnes puissent comprendre les usages et exercer leurs droits.
L’autorisation française suffit-elle pour réunir des données provenant de sept pays ?
Nicolas Glatt. La CNIL a autorisé l’entrepôt, mais elle n’a pas statué sur la licéité de la collecte dans chacun des pays concernés. Nous devons donc vérifier les dispositions nationales applicables, avec l’appui d’avocats locaux. C’est une part importante du travail actuel. Des exigences supplémentaires peuvent, en effet, concerner la technique, l’éthique ou les autorités à impliquer.
Sabrina Benmoussa. Nous avons également ressaisi la CNIL pour lui demander si elle pouvait intervenir comme autorité chef de file, afin de faciliter la coordination entre les pays. À la date de cet entretien, nous attendons sa réponse. Certaines démarches impliquent d’ailleurs des autorités autres que celles chargées de la protection des données.
En quoi le futur Espace européen des données de santé peut-il changer la donne ?
Sabrina Benmoussa. Le règlement EHDS encadre à la fois l’utilisation primaire et l’utilisation secondaire des données de santé. Son application est progressive, avec une échéance majeure à partir de 2029 pour la réutilisation secondaire. Les pays doivent notamment organiser les autorités et les modalités nécessaires à sa mise en œuvre.
Nicolas Glatt. Nous avons conçu LINK comme une préfiguration de cet espace européen. Mais, aujourd’hui, nous devons construire avec les réglementations nationales existantes et les incertitudes qui subsistent. L’enjeu est de rendre la recherche possible tout en documentant les conditions dans lesquelles les données peuvent être collectées, rapprochées et utilisées.
