Les outils numériques et l’intelligence artificielle (IA) transforment en profondeur le système de santé. Afin d’accompagner l’essor de ces technologies tout en garantissant la qualité et la sécurité des pratiques dans le respect du droit, la Commission nationale de l’informatique et des libertés (CNIL) et la Haute Autorité de santé (HAS) ont conclu une convention de partenariat. Elles s’engagent à collaborer et partager leur expertise pour accompagner les professionnels qui œuvrent sur le terrain dans les secteurs sanitaire, social et médico-social, les usagers du système de santé ainsi que les industriels qui développent de nouvelles solutions, dans la mise en place de bonnes pratiques.

Ce partenariat s’articule autour d’actions variées, dont :

• la promotion de la protection des données personnelles et des droits fondamentaux liés à l’usage d’outils numériques, notamment ceux embarquant de l’IA, dans les secteurs sanitaire, social et médico-social ;
• l’accompagnement des acteurs par l’adaptation opérationnelle des exigences européennes au contexte spécifique du système de santé français ;
• l’amélioration des pratiques des acteurs de ces secteurs en matière de protection des données personnelles et de sécurité des données de santé en particulier ;
• la prise en compte des exigences liées au développement pertinent du numérique et de l’IA dans la pratique, en lien avec la certification des établissements de santé ou l’évaluation des établissements et services du secteur social et médico-social.

Ce partenariat vise aussi, lorsque cela est pertinent, à fournir aux professionnels et établissements de santé une position commune des deux institutions référentes, afin de faciliter l’appropriation des recommandations dans la pratique clinique.
Première étape : une recommandation commune est attendue au 2e trimestre 2026 sur le bon usage de l’intelligence artificielle en contexte de soins à destination des professionnels et établissements de santé, précisant notamment le cadre légal et réglementaire.

Pr Lionel Collet, président de la HAS : « Le numérique représente un levier pour améliorer la qualité, l’accès et la pertinence des soins et des accompagnements, à travers la télésanté, les logiciels d’aide à la prescription, les systèmes d’aide à la décision et autres outils numériques qui ont vocation à aider les professionnels et les patients. Ces outils intègrent de plus en plus d’IA et entrent déjà dans les pratiques. Nous avons également conscience des défis et des risques associés liées notamment à l’exploitation, au partage et à la réutilisation des données personnelles et de santé, c’est pourquoi les questions liées à l’intégration de ces technologies dans les usages et les pratiques professionnelles occupent une place importante dans les missions de la HAS. Notre cap est clair : favoriser une utilisation réfléchie, éclairée, responsable et respectueuse du droit. Face au développement extrêmement rapide de ces technologies, nous devons travailler conjointement afin d’éclairer les utilisateurs (patients, professionnels, établissements) sur leurs usages et les bonnes pratiques, sans les mettre en porte-à-faux avec le cadre juridique qui pose un certain nombre de droits et d’obligations. Ce partenariat avec la CNIL prend tout son sens. »

Marie-Laure Denis, présidente de la CNIL : « Le développement du numérique et de l’intelligence artificielle en santé ne peut s’inscrire dans la durée sans la confiance des patients et des professionnels. Cette confiance doit reposer sur des garanties solides en matière de protection des données et sur une compréhension claire des responsabilités de chacun. À travers ce partenariat, la CNIL et la HAS entendent apporter des repères opérationnels pour sécuriser les usages, prévenir les risques d’atteinte aux droits des personnes et accompagner une innovation responsable, au service de l’intérêt général. »

 

Dédié aux soins non programmés et à l’amélioration de l’accès aux soins, CONTACT favorisera la recherche et l’innovation en santé. Il consolidera de manière sécurisée et confidentielle les données des millions de patients traités chaque année au sein des 64 associations de la fédération SOS MÉDECINS FRANCE. Ces données pourront être réutilisées au bénéfice des patients pour améliorer les pratiques de SOS MÉDECINS FRANCE et optimiser les prises en charge. CONTACT permettra d’affiner les trajectoires et les parcours de soins, facilitant ainsi l’accès aux soins pour tous. 

Avec CONTACT, SOS MÉDECINS FRANCE s’engage pleinement dans la recherche en santé, particulièrement en soins primaires, renforçant ainsi sa position d’acteur de l’innovation en médecine générale. 

Cette autorisation de la CNIL assure que les droits et libertés des patients et des professionnels de santé sont au coeur de la conception de CONTACT. Pour ce faire, SOS MÉDECINS FRANCE a choisi de s’appuyer sur l’expertise d'Arkhn et de Marguerite Brac de la Perrière et son équipe chez FieldFisher France pour mettre en place une solution pérenne et établir un cadre de confiance solide. 

Pour le Dr Jean-Christophe Masseron, président de SOS MÉDECINS FRANCE, “cette autorisation de la CNIL marque le premier jalon d’un projet ambitieux : CONTACT permettra, dès cette année, de mener des projets de recherche et d’innovation au bénéfice des patients et de l’accès aux soins, avec notamment des études en vie réelle.” 

“CONTACT ouvrira la voie à l’innovation en permettant de développer et d’évaluer des algorithmes d’intelligence artificielle pour une meilleure prise en charge des patients,” déclare le Dr Romain Varnier, vice-président de la Fédération. 
"SOS MÉDECINS FRANCE compte sur le soutien des institutions et des chercheurs pour faire de cette initiative une contribution significative dans le domaine des données de santé", ont-ils ajouté.

C’est un acquis majeur pour la confiance des patients et des professionnels.

A ce jour, 284 acteurs ont été certifiés. Neuf organismes accrédités par le comité français d’accréditation (COFRAC) ont procédé à ces certifications.

Cinq ans après la mise en œuvre de cette certification, la Délégation du Numérique en Santé et l’Agence du Numérique en Santé ont lancé une démarche de révision du référentiel de certification HDS début 2022.

Cette démarche a associé la Commission nationale de l’informatique et des libertés (CNIL), le Haut Fonctionnaire de Défense et de Sécurité du ministère de la santé (HFDS), ainsi que les fédérations d’industriels de l’écosystème et les organismes certificateurs. Cette nouvelle version du référentiel a fait l’objet d’une concertation publique fin 2022. L’ANS a reçu plus de 250 contributions qui ont été analysées et traitées.

A l’issue de plusieurs échanges avec la CNIL, celle-ci a rendu un avis favorable au projet de référentiel de certification révisé le 13 juillet 2023.

En intégrant les principales contributions, cette nouvelle version du référentiel de certification HDS permet de :

• Renforcer de manière progressive la souveraineté des données avec de nouvelles exigences pour renforcer les garanties en termes de protection (voir focus ci-après) ; 
• Clarifier le périmètre des types d’activité d’hébergement - notamment l’activité dite “5” concernant l’administration et l’exploitation, qui faisait l’objet d’interrogations, et sur laquelle un consensus général a été trouvé – et renforcer la transparence des hébergeurs sur les types d’activités sur lesquelles ils sont certifiés ; 
• Préciser l’articulation entre les exigences de la certification HDS et celles de la certification SecNumCloud proposée par l’ANSSI. 
• Intégrer dans le référentiel de certification HDS certaines évolutions de la norme ISO 27001.

La version révisée du référentiel HDS ajoute quatre exigences relatives à la souveraineté des données (exigences 28 à 31) :

• (Exigence 28) L’hébergement physique des données de santé doit être réalisé exclusivement sur le territoire d’un pays situé au sein de l’Espace Economique Européen – EEE - (Union Européenne – UE avec la Norvège, l’Islande et le Liechtenstein), ce qui n’était pas une exigence requise jusqu’alors dans HDS. Sans être suffisante pour garantir totalement leur sécurité, cette exigence de localisation apporte néanmoins des garanties importantes en termes de protection des données et permet de renforcer la confiance des patients et professionnels dans le numérique en santé ; 
• (Exigences 29 et 30) En cas d’accès distant aux données depuis un pays tiers à l’UE, par l’hébergeur ou l’un de ses sous-traitants, ou en cas de soumission de ces derniers à une législation extra-européenne n’assurant pas un niveau de protection adéquat au sens de l’article 45 du RGPD (voir la carte  de la CNIL), alors l’hébergeur doit en informer ses clients dans le contrat et lui préciser les risques associés, ainsi que les mesures techniques et juridiques mises en œuvre pour les limiter ;
• (Exigence 31) Obliger l’hébergeur à rendre public, sur son site internet, une cartographie des éventuels transferts des données qu’il héberge vers un pays n’appartenant pas à l’EEE. 

Il est à noter que le référentiel révisé ne prévoit pas, à date, un alignement sur les exigences en termes d’immunité extraterritoriale proposées par le référentiel SecNumCloud V3.2 (notamment celles du paragraphe 19.6). Ce point sera notamment revu à l’issue des discussions sur les futurs référentiels européens (European Cybersecurity Certification Scheme for Cloud services - EUCS) et au plus tard en 2027.  La prochaine révision de référentiel suivra également l’évolution de la maturité des acteurs du marché.  

Corollaire du référentiel HDS, le référentiel d’accréditation, rédigé en collaboration avec le COFRAC, décrit le processus d’accréditation des organismes de certification. Il intègre notamment les retours d’expériences des auditeurs qui ont été recueillis lors d’ateliers dédiés. 

Les principales évolutions, concernent les mises à jour en lien avec l’évolution de la norme ISO 27001, l’harmonisation des points en miroir du référentiel HDS (définition, références normatives, chapitre…) et la mise à jour des durées des audits. 

Le projet d’arrêté approuvant la version révisée des deux référentiels vient d’être notifié à la Commission européenne : à l’issue d’une période de statu quo de 3 mois, il sera publié au Journal officiel.

A compter de la publication de l’arrêté approuvant les référentiels qui devrait intervenir au cours du premier trimestre 2024, les organismes certificateurs bénéficieront d’un délai de six mois pour adapter leur procédure de certification au nouveau référentiel HDS. 

Ce nouveau référentiel sera applicable aux demandes de certificat de conformité et aux demandes de renouvellement présentées aux organismes certificateur 6 mois à partir de la publication de l'arrêté, soit au début du deuxième semestre 2024. A l’issue de ce délai de six mois, les organismes certificateurs ne pourront donc plus délivrer que des certificats de conformité au nouveau référentiel.

Source ANS - Agence du numérique en santé

ELSAN a été autorisé par la CNIL dans sa délibération n°2023-002 à constituer le premier entrepôt de données de santé hospitalier d’envergure nationale. 

L’entrepôt de données de santé d’ELSAN permettra de rassembler de manière digitalisée et sécurisée les données de santé issues des prises en charge des millions de patients hospitalisés au sein de son réseau national de 140 établissements de santé. 

Ces données de vie réelle pourront ainsi être réutilisées dans un cadre de confiance, autorisé par la CNIL et conforme aux exigences de sécurité et du RGPD pour des finalités de recherche scientifique et d’innovation, d’amélioration de la qualité des soins et d’analyse médico-économique, ainsi que pour étudier la faisabilité et préparer la mise en œuvre d’études cliniques complexes et ambitieuses.

S’inscrivant pleinement dans le cadre de la stratégie d’accélération « Santé numérique » et du plan France 2030, ELSAN est candidat à la deuxième vague de l’appel à projets ‘Accompagnement et soutien à la constitution d’entrepôts de données de santé hospitaliers’. « A travers cette démarche, ELSAN souhaite contribuer à établir l’avantage compétitif de la France et soutenir la souveraineté nationale en matière de données de santé au service de la recherche, de la qualité des prises en charge médicales et du pilotage des priorités de santé publique », déclare Samantha Pasdeloup, directrice du développement et des partenariats d’ELSAN et également vice-présidente du think tank Healthcare Data Institute. 

Cette autorisation donnée par la CNIL marque le premier jalon d’une démarche ambitieuse menée par ELSAN pour renforcer et faciliter l’accès aux données de santé pour la recherche et l’innovation. 

Le Dr Shahnaz Klouche, directrice de la recherche scientifique d’ELSAN précise : « L’entrepôt ELSAN permettra dès 2024 de mener des projets de recherche et d’innovation variés et très ambitieux telles que des études épidémiologiques, médico-économiques et de qualité de vie. Il pourra aussi permettre le développement et l’évaluation d’algorithmes d’intelligence artificielle visant à améliorer la prise en charge des patients. »

Les premières collaborations scientifiques sont en discussion et devraient être annoncées prochainement. Elles permettront d’accélérer la recherche sur des priorités de santé publique, telle que la cancérologie, première activité de recherche clinique d’ELSAN.

Bien que les technologies algorithmiques semblent donc apparaître comme des vecteurs de progrès médical, la vigilance demeure de mise : « La numérisation irréversible des corps dépasse [...] la manière d’exploiter [les] données [de santé] dans un parcours de soin stricto sensu2» , note Nathalie Devillier, docteur en droit et membre du Groupe d’experts sur la responsabilité et les nouvelles technologies de la Commission Européenne, avant d’avertir : « si la France souhaite réellement se démarquer, elle devra garantir que les considérations éthiques et déontologiques sont intégrées dès la conception des outils jusqu’après la phase de déploiement ». C’est justement sur ces réponses éthiques au développement des algorithmes et des technologies d’intelligence artificielle qu’a porté le débat public animé par la CNIL entre janvier et octobre 2017, et dont la synthèse a été présentée le 15 décembre 2017. 
 
DEUX PRINCIPES FONDATEURS POUR UNE IA AU SERVICE DE L’HOMME 
L’objectif de ces travaux ? « Garantir que l’intelligence artificielle augmente l’homme plutôt qu’elle ne le supplante », explique Isabelle Falque-Pierrotin, Présidente de la CNIL. Les débats ont ainsi permis de dégager deux principes fondateurs pour une intelligence artificielle au service de l’homme, qui pourraient s’inscrire dans « une nouvelle génération de garanties et de droits fondamentaux à l’ère numérique [....] organisant la gouvernance mondiale de notre système numérique », précise le rapport de la CNIL. Une dimension que Nathalie Devillier appelait d’ailleurs de ses vœux, en suggérant que les réflexions menées en France se positionnent « dans une pers- pective mondiale plutôt que nationale ». Le premier est un principe de loyauté appliqué à tous les algorithmes et intégrant leurs impacts collectifs et non uniquement personnels : « l’intérêt des utilisateurs doit primer », insiste la CNIL, « non pas seulement en tant que consommateurs, mais également en tant que citoyens ». Cette loyauté des algorithmes devrait par ailleurs s’étendre aux « communautés ou [...] grands intérêts collectifs dont l’existence pourrait être directement affectée ». Le second est un principe de vigilance/réflexibilité, visant à organiser un questionnement « régulier, méthodique et délibératif à l’égard de ces objets mouvants » que sont les algorithmes. La CNIL suggère par exemple ici de constituer des « comités d’éthique assurant un dialogue systématique et continu entre les différentes parties prenantes ». Il semble dès lors essentiel que tous les acteurs de la chaîne algorithmique, concepteurs, utilisateurs, citoyens, soient non seule- ment formés à l’éthique, mais puissent également être en mesure de comprendre le fonctionnement de la machine – c’est d’ailleurs là l’une des recommandations opérationnelles formulées par le rapport afin d’essayer de contrer l’effet « boîte noire ». 
 
L’ÉPINEUSE QUESTION DES DONNÉES DE MASSE 
La CNIL identifie par ailleurs un certain nombre de problématiques soulevées par les algorithmes et l’IA, dont celles en rapport avec l’utilisation de données de masse. Ainsi la médecine de précision « semble lier ses progrès à la constitution de bases de données toujours plus larges, à la fois en termes de nombres d’individus concernés qu’en termes de nombre et de variétés de données conservées sur chacun d’entre eux ». Or, et c’est justement là que le bât blesse, « rien n’indique où devrait s’arrêter la collecte de données : au dossier médical ? Au génome ? Aux données épigénétiques, c’est-à-dire environnementales (habitudes de vie, habitat, alimentation) ? En remontant à combien d’années ? ». Des interrogations qui appellent assurément un certain cadrage, bien qu’elles ne soient pas propres à la médecine. Un autre enjeu a trait aux biais, discriminations et exclusions à l’heure du machine-learning, « le plus souvent inconscients et difficilement repérables ». Nous ne sommes en effet pas tous égaux face à la médecine personnalisée. Philippe Besse, Professeur de mathématiques et de statistiques à l’Université de Toulouse, rappelle ainsi qu’en 2009, une étude a révélé que 96% des échantillons intégrés aux bases de données utilisées ont des ancêtres européens. D’autres sources de biais sont l’âge – avec une présence massive de personnes relativement âgées – et le genre – le chromosome X étant largement sous-représenté. Et Philippe Besse de souligner : « si vous êtes une femme d’origine africaine et jeune, je ne pense pas que la médecine personnalisée vous concerne ». Voilà qui mérite réflexion.