Droit et éthique du numérique en santé : « Une exigence absolue, la protection de l’humain »

Pourriez-vous, pour commencer, revenir sur votre parcours ?
Bénédicte Bévière-Boyer : Dès la rédaction de ma thèse, qui portait sur le droit de la recherche, je me suis intéressée à la protection des personnes et me suis donc lancée, en parallèle, dans des études de sociologie afin de mieux appréhender ces outils dans leur dimension sociétale. Il m’a en effet paru indispensable d’intégrer le droit dans une vision globale, qui va au-delà de ses seules règles. Devenue universitaire, je me suis inscrite en Master II d’éthique médicale, dirigé par le Pr Christian Hervé. Une formation qui a été décisive, puisqu’elle m’a permis d’avancer dans mon cheminement de recherche axé sur les interactions entre le droit et les autres disciplines, notamment la médecine, la sociologie, l’anthropologie et le numérique.

Pourquoi vous intéressez plus particulièrement à l’éthique et au numérique en santé ?
La réflexion éthique est une formidable ouverture sur les progrès du numérique en santé, avec pour exigence absolue la protection de l’humain. Elle permet de réfléchir à la fois sur les grandes évolutions en cours, les questionnements majeurs qui se posent, leur appréhension dans une dimension pluridisciplinaire, et la recherche de solutions qui soient le mieux adaptées possibles aux besoins de la société. Elle permet aussi, alors que la règle de droit a été votée, de mieux envisager son application pratique, ce qui mène, le cas échéant, à discuter de l’opportunité de la règle de droit telle qu’elle est écrite. Le domaine de la santé, fortement transformé par le numérique, est par excellence le terrain d’élection de la réflexion éthique. Les champs d’études sont immenses : autant dans le domaine de la recherche et l’innovation transformé par le numérique, que de celui de la pratique médicale bouleversé par l’intelligence artificielle. L’humain doit rester au cœur de toutes les transformations. La réflexion éthique permet de mettre en exergue cette exigence absolue.

Quels sont les principaux problèmes d’ordre juridique que pose le développement du numérique en santé ?
J’en citerais principalement deux : il génère des régulations multiples, mais engendre aussi un besoin de la simplification du droit. Sur le premier point, il faut signifier que le développement du numérique en santé est tel que tous les domaines du droit sont impactés. Toute la question est de savoir si le droit, tel qu’il existe aujourd’hui, est suffisant ou s’il convient de l’adapter, de le transformer, de le compléter. Le premier réflexe de nombre de juristes est de considérer que le droit actuel est suffisant. Pourtant, peu à peu se développe le droit du numérique en santé, notamment les règles portant sur la protection des données (RGPD), le système national des données de santé (SNDS), le Health Data Hub, la télémédecine ou encore l’article 11 du projet de loi de bioéthique portant sur le principe de garantie humaine.

Paradoxalement, dans le même temps, un lobbying important milite en la nécessité de privilégier le droit souple. Les professionnels et les entreprises de la santé doivent donc à la fois prendre en considération un code de la santé publique de plus en plus imposant, et répondre aux régulations du droit souple qui deviennent tentaculaires. Au final, cette situation pénalise les entreprises et les professionnels, mais aussi les patients qui se trouvent au cœur du dispositif de santé. Le millefeuille des régulations devient un réel fardeau.

Comment modifier le droit pour le rendre plus accessible et mieux appliqué ?
Une refonte générale du code de la santé publique avec, en début de code, la politique générale de santé publique, puis les principes généraux fondamentaux protecteurs de la personne applicables pour toutes les activités, pourrait être envisagée. Pourraient ensuite être développés la relation médicale, la recherche, le don d’organe et des produits du corps humain, etc. Il serait pertinent, pour chaque thématique, d’envisager les droits et les obligations des patients et des professionnels afin d’éviter la dispersion qui existe actuellement et fait que le droit est si complexe à identifier dans le code de la santé publique. Il demeure, pour cela, encore fortement méconnu par les professionnels qui ont pourtant l’obligation de l’appliquer. Cette refonte d’ensemble permettrait aussi de répondre aux besoins générés par la révolution numérique actuelle en santé.

Ces problèmes ont-ils été exacerbés par la crise sanitaire ?       
Cette pandémie sans précédent a généré des remises en cause spectaculaires du système de santé, et corrélativement du droit de la santé. Bien plus, elle donne l’occasion de dresser un bilan du dispositif actuel en santé et des règles de droit qui le gouvernent, et de le transformer pour répondre aux besoins réels de la société. Des problèmes multiples ont été posés par la crise sanitaire et continuent toujours à être évoqués en matière de politique de santé publique, notamment concernant la prévention qui reste un domaine encore insuffisamment développé. La crise sanitaire permet aussi de montrer que le millefeuille législatif et règlementaire en santé est très difficilement opérationnel. Une telle situation ne saurait perdurer à l’avenir. Il en va de la protection des patients, de l’intérêt général et du système de santé dans sa globalité.

Le Health Data Hub a connu de nombreux bouleversements ces derniers mois. Quel regard portez-vous sur cette solution ?
Le Health Data Hub est une formidable opportunité pour la recherche française, et doit se développer pour la lutte contre les maladies, mais aussi pour accélérer le déploiement des entreprises nationales et des organismes publics de recherche – d’autant que le secteur de la santé est fortement concurrentiel. Pour autant, la protection des données de santé ne saurait être sacrifiée. Le choix, par les responsables du Health Data Hub, de la société Microsoft, sans respecter les règles élémentaires des appels d’offre du marché public interpelle. Après avoir publié fin janvier 2019 un plan stratégique 2019-2022, les responsables de la Plateforme nationale de données de santé ont signé, le 15 avril 2020, avec la société de droit irlandais Microsoft Ireland Operations Limited, un contrat d’accès à des produits « Microsoft Azure dits Cloud computing ». La justification évoquée est que les prestations proposées par Microsoft étaient les meilleures. Encore aurait-il fallu les comparer en toute transparence avec celles d’autres entreprises, surtout que les données du Health Data Hub sont extrêmement sensibles…

Ce choix est intervenu peu de temps après la promulgation du Cloud Act aux États-Unis.
Le Cloud Act autorise les forces de l’ordre et les agences de renseignements américains à rapatrier l’ensemble des données personnelles en possession des multinationales américaines, sans recueillir au préalable le consentement des personnes intéressées. D’importants risques existent donc pour la protection des données personnelles des ressortissants européens. Cette possibilité de transfert est par ailleurs contraire aux dispositions du Parlement et du Conseil européens. Dans ce sens, une récente décision de la Cour de Justice de l’Union Européenne* a porté un coup d’arrêt aux transferts des données hors de l’Union européenne, notamment vers les États-Unis, si un niveau de protection équivalent n’est pas accordé par leur législation.

Quelles autres problématiques posent le choix de Microsoft pour le Health Data Hub ?
Au-delà de cette affaire retentissante, le choix de Microsoft est aussi contestable dans la mesure où les géants du numérique investissement massivement dans le domaine de la santé, secteur économiquement porteur et stratégiquement majeur par la connaissance des données de santé des utilisateurs. Ces dernières constituent indiscutablement un véritable “or rouge numérique”. Les hackers l’ont bien compris, ce qui explique les cyberattaques massives de nombres d’hôpitaux, industries de santé et laboratoires de par le monde. Compte-tenu des enjeux et de la nécessité d’assurer une protection nationale forte, il est indispensable que le Health Data Hub sanctuarise les données de santé en choisissant des entreprises nationales ou européenne n’ayant aucun lien avec les GAFAM [Google, Apple, Facebook, Amazon, Microsoft, NDLR] et assurant d’importantes garanties. Il en va de la souveraineté nationale, de la protection et de la confiance des citoyens et du déploiement des entreprises nationales. 

Comment garantir alors la sécurité de nos données de santé ?
L’argument de l’approvisionnement, notamment en composantes électroniques, est souvent évoqué mais il n’est pas suffisant. Les entreprises françaises et européennes doivent créer leurs propres plateformes, leurs propres systèmes, leurs propres applications. Le déploiement de la recherche et de l’innovation est indispensable. Des efforts sont déjà réalisés au niveau européen et national mais ils restent trop limités. Les démarches pour accéder aux aides de financements sont chronophages, ce qui porte atteinte à la libre création, le temps passé à monter les projets étant définitivement perdu pour la recherche. De nouvelles alternatives doivent être imaginées pour relancer la dynamique de la recherche. Ceci est d’autant plus indispensable à l’égard des GAFAM qui, de leur côté, investissent massivement dans le secteur de la santé, et à aussi à l’égard des États-Unis et de la Chine qui dominent. Une alternative intéressante serait que les pouvoirs publics constituent leurs propres entrepôts de données, à l’exemple de ce qu’a réalisé l’AP-HP. Cette piste de recherche et innovation serait à approfondir, avec l’obligation absolue de ne pas recourir à des prestataires extérieurs ayant des partenariats avec des GAFAM américains ou chinois**. 

* La décitsion du 16 juillet 2020 Data Protection Commissioner Contre Facebook Ireland Ltd, Maximillian Schrems a invalidé le bouclier de protection des données, le « privacy Shield » mis en place en 2016.