{"id":5777,"date":"2021-03-08T07:25:05","date_gmt":"2021-03-08T05:25:05","guid":{"rendered":"http:\/\/variances.eu\/?p=5777"},"modified":"2021-03-08T08:50:38","modified_gmt":"2021-03-08T06:50:38","slug":"louverture-de-donnees-confidentielles-un-besoin-croissant-qui-necessite-des-reponses-a-la-hauteur-des-enjeux","status":"publish","type":"post","link":"https:\/\/variances.eu\/?p=5777","title":{"rendered":"L\u2019ouverture de donn\u00e9es confidentielles : un besoin croissant qui n\u00e9cessite des r\u00e9ponses \u00e0 la hauteur des enjeux"},"content":{"rendered":"

Seize ann\u00e9es tr\u00e8s riches pass\u00e9es au service statistique du minist\u00e8re des solidarit\u00e9s et de la sant\u00e9, d\u2019abord sur les th\u00e9matiques des professionnels de sant\u00e9, puis sur l\u2019observation de la solidarit\u00e9, m\u2019ont permis d\u2019acqu\u00e9rir, outre une connaissance approfondie des politiques sociales, une expertise dans le traitement de donn\u00e9es personnelles consid\u00e9r\u00e9es comme sensibles\u00a0: \u00e9tat de sant\u00e9, revenus des personnes, conditions de vie et de travail, etc. Cela m\u2019a permis \u00e9galement de comprendre tout le processus de production des donn\u00e9es sur ces domaines. Celles-ci, quoi qu\u2019en pensent certains (nombreux), ne tombent pas du ciel[1]<\/a>. Dans le cadre de la statistique publique, ces donn\u00e9es peuvent \u00eatre issues en particulier de remont\u00e9es administratives (entre autres les d\u00e9clarations annuelles de donn\u00e9es sociales des entreprises, les diverses remont\u00e9es des caisses de retraite, les remboursements de l\u2019assurance maladie, etc.), ou d\u2019enqu\u00eates statistiques (aupr\u00e8s d\u2019\u00e9tablissements et services m\u00e9dico-sociaux ou de populations sp\u00e9cifiques par exemple). Ces donn\u00e9es, exploit\u00e9es en interne pour les missions du service statistique minist\u00e9riel, offrent une infinit\u00e9 de possibilit\u00e9s d\u2019exploitations, particuli\u00e8rement lorsque l\u2019on r\u00e9alise des interconnexions, d\u2019o\u00f9 l\u2019importance de les mettre \u00e0 disposition d\u2019autres acteurs.<\/p>\n

Vers le Data Protection Officer<\/h3>\n

Les nombreux liens que j\u2019ai pu tisser avec les autres administrations et les chercheurs au cours de cette carri\u00e8re m\u2019ont permis de me rendre compte de l\u2019ampleur de la demande vis-\u00e0-vis des donn\u00e9es. Cette forte demande pour des donn\u00e9es consid\u00e9r\u00e9es comme sensibles doit pouvoir trouver une r\u00e9ponse, notamment technique et juridique pour encadrer les transferts ou mises \u00e0 disposition des donn\u00e9es. En particulier, la r\u00e9glementation autour des donn\u00e9es \u00e0 caract\u00e8re personnel (c\u2019est-\u00e0-dire permettant d\u2019identifier les personnes, m\u00eame indirectement), pr\u00e9sente depuis de nombreuses ann\u00e9es en France et en Europe, a \u00e9t\u00e9 plac\u00e9e sous le feu des projecteurs au moment de l\u2019adoption en France le 25 mai 2018 du r\u00e8glement g\u00e9n\u00e9ral sur la protection des donn\u00e9es (RGPD)[2]<\/a>. Par un concours de circonstances, je suis pass\u00e9 progressivement d\u2019une expertise technique des sondages et des exploitations statistiques (ce que l\u2019on apprend \u00e0 l\u2019ENSAE) \u00e0 une expertise juridique entourant ces exploitations et les partages de donn\u00e9es (ce que l\u2019on y apprend un peu moins, du moins \u00e0 mon \u00e9poque). Une formation de Data Protection Officer,<\/em> d\u00e9livr\u00e9e par le CNAM, en poche, me voici \u00e0 analyser et contribuer \u00e0 la mise en place de la nouvelle r\u00e9glementation, en particulier sur les donn\u00e9es de sant\u00e9 et sur les appariements utilisant le NIR (num\u00e9ro inter-r\u00e9gimes, autrement appel\u00e9 num\u00e9ro INSEE, encore autrement appel\u00e9 de s\u00e9curit\u00e9 sociale). Je suis amen\u00e9 en parall\u00e8le \u00e0 travailler comme product owner<\/em>[3]<\/strong><\/em><\/a> pour un projet d\u2019infrastructure informatique \u00e0 destination des statisticiens de la DREES et de la DARES, ce qui me permet d\u2019approfondir mes connaissances sur la s\u00e9curit\u00e9 et l\u2019architecture informatique. J\u2019occupe d\u00e9sormais au sein du CASD le poste de Data Protection Officer<\/em> et expert en protection des donn\u00e9es : le CASD a en effet pour mission d\u2019offrir dans un cadre ultra s\u00e9curis\u00e9 un acc\u00e8s aux donn\u00e9es administratives ou issues de la statistique publique \u00e0 des chercheurs ou administrations demandeuses, r\u00e9pondant ainsi \u00e0 la demande expos\u00e9e plus haut, et parall\u00e8lement cochant toutes les cases de mes int\u00e9r\u00eats professionnels.\u00a0\u00a0 J\u2019y occupe d\u00e9sormais le poste de responsable DPO et d\u00e9veloppement, faisant le lien entre l\u2019offre et la demande de donn\u00e9es, tout en veillant \u00e0 la s\u00e9curit\u00e9 tout au long du cycle de vie de la Data (transferts, stockage, exploitations, exports, etc.).<\/p>\n

Une forte demande de partage des donn\u00e9es<\/h3>\n

De plus en plus, l\u2019ouverture des donn\u00e9es issues en particulier des sources publiques (mais pas seulement) rev\u00eat une importance cruciale pour l\u2019\u00e9conomie de la connaissance, tant pour la recherche scientifique que pour l\u2019innovation dans certains secteurs cl\u00e9s. On pense naturellement aux progr\u00e8s dans le domaine de la sant\u00e9 li\u00e9s au d\u00e9veloppement exponentiel des techniques d\u2019intelligence artificielle mais ce n\u2019est pas le seul domaine d\u2019innovation. L\u2019Europe ne s\u2019y est pas tromp\u00e9e en annon\u00e7ant en 2020 une politique globale de la data \u00e0 l\u2019\u00e9chelle du continent[4]<\/a>. Plusieurs textes sont ainsi en pr\u00e9paration, dont un r\u00e8glement europ\u00e9en qui devrait \u00eatre adopt\u00e9 dans le courant de l\u2019ann\u00e9e 2021\u00a0: le Data Governance Act<\/em>. Celui-ci promeut d\u2019une part la mise \u00e0 disposition de donn\u00e9es \u00e0 caract\u00e8re \u00ab\u00a0confidentiel\u00a0\u00bb, consid\u00e9r\u00e9es comme sensibles, issues des administrations, moyennant la mise en place d\u2019une gouvernance ad hoc<\/em> de partage des donn\u00e9es au niveau de chaque pays et au niveau communautaire et, d\u2019autre part, la cr\u00e9ation d\u2019un statut de \u00ab\u00a0data altruist<\/em>\u00a0\u00bb pour que les organisations priv\u00e9es d\u2019int\u00e9r\u00eat g\u00e9n\u00e9ral (type ONG ou associations) mettent \u00e9galement \u00e0 disposition les donn\u00e9es collect\u00e9es \u00e0 des fins de partage au plus grand nombre. Le but g\u00e9n\u00e9ral du r\u00e8glement est bien de r\u00e9pondre \u00e0 la fois aux besoins de la recherche scientifique et aux besoins de l\u2019\u00e9conomie de march\u00e9. On sort ici du seul cadre de l\u2019open data<\/em>, \u00e9tant entendu que l\u2019on parle bien ici de donn\u00e9es confidentielles.<\/p>\n

Un fort besoin de s\u00e9curit\u00e9 pour permettre le partage de donn\u00e9es confidentielles<\/h3>\n

Mettre \u00e0 disposition des donn\u00e9es confidentielles, en particulier celles d\u00e9tenues par les diverses administrations (imp\u00f4ts, d\u00e9clarations sociales, donn\u00e9es de l\u2019assurance maladie, des caisses de retraite, donn\u00e9es d\u2019entreprises, etc.), ne peut se faire en violation du respect de secrets que la loi a entendu prot\u00e9ger. Ainsi, en l\u2019absence d\u2019autorisation sp\u00e9cifique, les donn\u00e9es \u00e0 caract\u00e8re personnel ne deviennent enti\u00e8rement diffusables que pass\u00e9 un d\u00e9lai de 75 ans, les donn\u00e9es fiscales au bout de 25 ans par exemple. Plusieurs secrets ou mesures de protection entourent ces donn\u00e9es : on peut citer par exemple le secret m\u00e9dical, le secret des affaires, le RGPD et toutes les r\u00e8gles autour des donn\u00e9es des personnes. Le non-respect de ces secrets rel\u00e8ve du p\u00e9nal[5]<\/a> et peut conduire \u00e9galement \u00e0 des amendes administratives tr\u00e8s \u00e9lev\u00e9es[6]<\/a>.<\/p>\n

De ce fait, les diff\u00e9rentes administrations publiques ne donnent acc\u00e8s \u00e0 leurs donn\u00e9es sources qu\u2019en \u00e9change de garanties quant \u00e0 la s\u00e9curit\u00e9 entourant \u00e0 la fois la mise \u00e0 disposition des donn\u00e9es, mais \u00e9galement leur exploitation. On le comprend\u00a0: en effet, outre le non-respect de la loi, une violation de donn\u00e9es[7]<\/a> peut avoir des effets catastrophiques \u00e0 la fois pour les personnes\/entit\u00e9s qui font l\u2019objet d\u2019enregistrements dans les donn\u00e9es, mais \u00e9galement pour le producteur\/collecteur de donn\u00e9es lui-m\u00eame. On imagine par exemple assez facilement l\u2019embarras de l\u2019Urssaf si les donn\u00e9es de salaires des Fran\u00e7ais venaient \u00e0 \u00eatre diffus\u00e9es sur internet, ou si les dossiers de patients d\u2019un centre hospitalier devenaient accessibles au tout venant. Concernant le secteur priv\u00e9, les enjeux sont \u00e9videmment \u00e9conomiques\u00a0: peu d\u2019entreprises souhaitent que leurs donn\u00e9es les plus sensibles soient diffus\u00e9es dans la nature, ou m\u00eame qu\u2019elles soient conserv\u00e9es apr\u00e8s traitement par un cabinet de conseil pour obtenir des avantages comparatifs certains face \u00e0 des concurrents. L\u2019image d\u2019une entreprise ou d\u2019une administration dont les donn\u00e9es ont pu fuiter peut par ailleurs \u00eatre durablement entam\u00e9e aupr\u00e8s des usagers ou des clients.<\/p>\n

Sur le plan organisationnel, divers processus existent pour apporter des gages de s\u00e9curit\u00e9 aux propri\u00e9taires des donn\u00e9es, qu\u2019ils soient publics ou priv\u00e9s\u00a0: ainsi des certifications ISO 27001 sur le management de la s\u00e9curit\u00e9 des syst\u00e8mes d\u2019information et la tr\u00e8s r\u00e9cente ISO 27701 qui constitue une extension de la norme ISO 27001 \u00e0 la protection des donn\u00e9es personnelles, dans la logique du RGPD mais aussi d\u2019autres normes internationales relatives \u00e0 la protection des donn\u00e9es personnelles. La CNIL encourage d\u2019ailleurs vivement les organismes \u00e0 passer cette certification[8]<\/a>. Concernant les donn\u00e9es de sant\u00e9, le r\u00e9f\u00e9rentiel de s\u00e9curit\u00e9 du syst\u00e8me national des donn\u00e9es de sant\u00e9 (SNDS) constitue le socle minimal \u00e0 adopter pour pouvoir traiter lesdites donn\u00e9es\u00a0: en particulier les donn\u00e9es des prescriptions et remboursements de l\u2019assurance maladie, ainsi que le programme m\u00e9dicalis\u00e9 des syst\u00e8mes d\u2019information \u2013PMSI- sur l\u2019activit\u00e9 hospitali\u00e8re. Ce r\u00e9f\u00e9rentiel impose la \u00ab\u00a0pseudonymisation\u00a0\u00bb des donn\u00e9es (c\u2019est-\u00e0-dire emp\u00eacher l\u2019identification directe des individus, sans pour autant consid\u00e9rer que les donn\u00e9es soient totalement anonymes) et la tra\u00e7abilit\u00e9 des actions sur les donn\u00e9es, dont l\u2019acc\u00e8s auxdites donn\u00e9es. Les donn\u00e9es totalement identifiantes des patients doivent quant \u00e0 elles \u00eatre prot\u00e9g\u00e9es par une certification d\u2019h\u00e9bergeur de donn\u00e9es de sant\u00e9 (HDS), d\u00e9livr\u00e9e par l\u2019agence du num\u00e9rique en sant\u00e9 (ANS).<\/p>\n

Et un n\u00e9cessaire accompagnement des fournisseurs et des utilisateurs<\/h3>\n

Le rapport du d\u00e9put\u00e9 Eric Bothorel, fra\u00eechement publi\u00e9[9]<\/a>, en plus de rappeler les enjeux li\u00e9s \u00e0 l\u2019ouverture des donn\u00e9es, prend acte de ces contraintes et pr\u00e9sente des pistes d\u2019am\u00e9lioration pour l\u2019ouverture de ces donn\u00e9es. Il promeut en particulier l\u2019acc\u00e8s aux donn\u00e9es les plus sensibles par l\u2019interm\u00e9diaire de plateformes (hubs<\/em>), qu\u2019elles soient sectorielles (ainsi du Health Data Hub<\/em> pour les donn\u00e9es de sant\u00e9, Ag-data hub<\/em> pour le secteur agricole) ou intersectorielles (comme le CASD, dont le champ couvert est tr\u00e8s large). L\u2019id\u00e9e de plateformes de mise \u00e0 disposition de donn\u00e9es est \u00e9galement pr\u00e9sente dans le data governance act<\/em> en discussion. Ces plateformes feraient partie de l\u2019\u00e9cosyst\u00e8me imagin\u00e9 autour d\u2019organismes accompagnant la mise \u00e0 disposition concr\u00e8te des donn\u00e9es, tant du point de vue technique que juridique, et d\u2019un point d\u2019information unique r\u00e9pertoriant ces donn\u00e9es d\u00e9sormais disponibles. Le secteur priv\u00e9 peut \u00e9galement avoir un int\u00e9r\u00eat \u00e0 diffuser certaines de ses donn\u00e9es \u00e0 des chercheurs, ou tout simplement mettre \u00e0 disposition de fa\u00e7on compl\u00e8tement s\u00e9curis\u00e9e ces donn\u00e9es \u00e0 des filiales ou des prestataires pour certaines missions pr\u00e9cises.<\/p>\n

Naturellement, un tel syst\u00e8me ne peut v\u00e9ritablement fonctionner sans proposer de solutions facilitantes pour les demandeurs de donn\u00e9es\u00a0: une d\u00e9marche de certification prend beaucoup de temps, ainsi que des moyens financiers qui ne sont pas forc\u00e9ment \u00e0 la port\u00e9e de tous. S\u00e9curiser son environnement de traitement des donn\u00e9es a un co\u00fbt non n\u00e9gligeable! De plus, les d\u00e9marches administratives d\u2019acc\u00e8s aux donn\u00e9es peuvent \u00eatre \u00e9galement assez longues et complexes, d\u2019o\u00f9 la n\u00e9cessit\u00e9 d\u2019un accompagnement au plus pr\u00e8s des demandeurs.<\/p>\n

Le CASD propose des solutions \u00ab\u00a0cl\u00e9s en main\u00a0\u00bb<\/h3>\n

Le CASD propose une telle solution, \u00e0 la fois pour les chercheurs mais \u00e9galement pour les acteurs de l\u2019innovation. Concr\u00e8tement, la solution propos\u00e9e repose sur un acc\u00e8s distant (remote access<\/em>, les donn\u00e9es ne sortent pas du CASD) enti\u00e8rement s\u00e9curis\u00e9\u00a0: l\u2019acc\u00e8s n\u2019est permis que par un bo\u00eetier d\u00e9di\u00e9 contenant tous les outils n\u00e9cessaires \u00e0 l\u2019analyse et \u00e0 l\u2019\u00e9dition d\u2019\u00e9tudes, l\u2019authentification de l\u2019utilisateur se fait par carte \u00e0 puce et v\u00e9rification des empreintes digitales, le chiffrement est assur\u00e9 de bout en bout, les exports de la plateforme sont encadr\u00e9s et peuvent \u00eatre v\u00e9rifi\u00e9s selon les exigences des producteurs de donn\u00e9es\u2026 en tout plus de 300 dispositifs de s\u00e9curit\u00e9 garantissent une \u00e9tanch\u00e9it\u00e9 totale des projets h\u00e9berg\u00e9s. Les besoins de stockage et de puissance informatique sont ensuite configur\u00e9s \u00e0 fa\u00e7on en fonction du projet\u00a0: de la \u00ab\u00a0simple\u00a0\u00bb analyse de statistique descriptive sur des donn\u00e9es peu volumineuses \u00e0 l\u2019utilisation de GPGPU sur les big data<\/em> pour les utilisations de type machine learning<\/em> ou deep learning<\/em>. L\u2019ex\u00e9cution se fait enti\u00e8rement \u00e0 distance, sur les serveurs s\u00e9curis\u00e9s (remote execution<\/em>).<\/p>\n

Cette s\u00e9curit\u00e9 renforc\u00e9e permet \u00e0 l\u2019ensemble des administrations qui le souhaitent de mettre \u00e0 disposition leurs donn\u00e9es. Le CASD est certifi\u00e9 comme h\u00e9bergeur de donn\u00e9es de sant\u00e9, homologu\u00e9 au r\u00e9f\u00e9rentiel SNDS, certifi\u00e9 ISO 27001 et fait partie des premiers organismes fran\u00e7ais, si ce n\u2019est le premier \u00e0 notre connaissance, certifi\u00e9s ISO 27701 depuis juillet 2020). L\u2019h\u00e9bergement du mat\u00e9riel d\u2019acc\u00e8s est quant \u00e0 lui encadr\u00e9 par contrat avec le demandeur de donn\u00e9es, ceci afin de donner des gages suppl\u00e9mentaires de s\u00e9curit\u00e9 envers les producteurs de donn\u00e9es. Le CASD joue \u00e9galement un r\u00f4le d\u2019accompagnement des administrations dans les processus de mise \u00e0 disposition des donn\u00e9es.<\/p>\n

Par ailleurs, les d\u00e9marches administratives pour l\u2019acc\u00e8s aux donn\u00e9es peuvent \u00eatre particuli\u00e8rement ardues. Ainsi, dans le cadre de la recherche scientifique reposant sur les donn\u00e9es issues des minist\u00e8res, le demandeur doit au pr\u00e9alable obtenir une autorisation de l\u2019administration des archives prise apr\u00e8s avis du comit\u00e9 du secret statistique. Le projet de recherche y est examin\u00e9 avant toute ouverture. Tout au long du processus, le CASD accompagne le demandeur. Pour ce qui concerne les recherches dans le domaine de la sant\u00e9, le demandeur doit, avant toute mise \u00e0 disposition des donn\u00e9es, recueillir l\u2019avis d\u2019un comit\u00e9 scientifique ad hoc<\/em> qui dispose d\u2019un mois pour le rendre et, en cas d\u2019avis positif, d\u2019une autorisation explicite de la CNIL, qui dispose de 2 mois renouvelables pour r\u00e9pondre, soit en tout 5 mois de d\u00e9lai, sans compter le temps de pr\u00e9paration du dossier. La CNIL v\u00e9rifiera notamment le respect de l\u2019homologation au r\u00e9f\u00e9rentiel de s\u00e9curit\u00e9 le cas \u00e9ch\u00e9ant. Enfin, dans le cadre des donn\u00e9es d\u2019autres domaines (notamment les donn\u00e9es des caisses de s\u00e9curit\u00e9 sociale), l\u2019accord du propri\u00e9taire est requis. Les recherches cumulant \u00e0 la fois des donn\u00e9es de sant\u00e9 et d\u2019autres donn\u00e9es (administratives ou non) doivent combiner les diff\u00e9rentes d\u00e9marches, d\u2019autant plus que les projets d\u2019appariements de donn\u00e9es sont regard\u00e9s de tr\u00e8s pr\u00e8s par les diff\u00e9rentes instances, le risque de r\u00e9-identification des personnes ou des entreprises contenues dans les bases de donn\u00e9es augmentant de fa\u00e7on tr\u00e8s importante[10]<\/a>. Les appariements dits \u00ab\u00a0d\u00e9terministes\u00a0\u00bb, c\u2019est-\u00e0-dire reposant sur des identifiants uniques, n\u00e9cessitent par ailleurs des mesures de s\u00e9curisation encore plus \u00e9tendues, en particulier lorsqu\u2019est utilis\u00e9 le NIR. L\u00e0 encore, le CASD apporte une aide pr\u00e9cieuse en fournissant tous les \u00e9l\u00e9ments de s\u00e9curisation tant organisationnelle qu\u2019informatique pour compl\u00e9ter le dossier, ce qui constitue une bonne partie du dossier de demande.<\/p>\n

 <\/p>\n

Mots-cl\u00e9s : recherche – donn\u00e9es sensibles – confidentialit\u00e9 – protection des donn\u00e9es – r\u00e9glementation.<\/em><\/p>\n

\n

A propos de\u00a0:<\/strong><\/p>\n

Le CASD est un groupement d\u2019int\u00e9r\u00eat public\u00a0; il rassemble l\u2019\u00c9tat repr\u00e9sent\u00e9 par INSEE, le GENES, le CNRS, l\u2019\u00c9cole polytechnique et HEC Paris.<\/p>\n

Ses missions sont les suivantes\u00a0:<\/p>\n