Intervention de Philippe Latombe

En tant que rapporteur de la mission d'information « Bâtir et promouvoir une souveraineté numérique nationale et européenne », j'ai auditionné durant de longues heures l'ensemble des représentants de ce qu'on appelle les entrepôts de données de santé. J'ai déposé, avec mes collègues du groupe Mouvement Démocrate et Démocrates apparentés, un amendement qui vise non pas à supprimer l'article, mais à respecter les délais de conservation que nous avions préalablement fixés. Nous avions en effet eu une discussion sur le sujet en commission et dans l'hémicycle et le Gouvernement nous avait déclaré à cinq ou six reprises, la main sur le cœur, que jamais, au grand jamais, ces données ne seraient conservées au-delà du 31 décembre 2021. Or, aujourd'hui, il décide de faire entrer ces données dans le droit commun, avec un délai de conservation qui pourra aller jusqu'à vingt ans.

Ce que la CNIL vous a dit, monsieur le rapporteur, c'est que cette disposition ne présentait pas de difficulté dès lors qu'il existait une base légale – ce qui est logique, puisque la CNIL est légaliste. Mais elle n'a dit rien d'autre.

Or cette base légale, c'est le texte qui nous est présenté aujourd'hui. Sans lui, il ne serait pas possible de verser les données en question dans le SNDS. Mais disons les choses clairement : faisant cela, on les envoie aussi dans le Health Data Hub (HDH), qui a été confié à Microsoft ; les données de santé vont aller on ne sait où, on ne sait comment, sans aucun contrôle. Nous avions compris que le ministre envisageait de faire machine arrière et de les déposer dans un cloud souverain, mais la directrice générale a déclaré que ce n'était pas le cas, qu'il avait simplement donné l'instruction de s'entourer de garanties supplémentaires.

Tout cela pose un réel problème. Comment allons-nous expliquer aux Français que ce que le Gouvernement avait promis et que nous avions voté, en lui faisant confiance, est désormais modifié ? Quels sont les garde-fous ? Le HDH n'en est pas un, c'est même tout le contraire !

D'autre part, la pseudonymisation n'est pas l'anonymisation. Pourquoi, alors que la CNIL a validé, notamment pour les entrepôts de données de santé, des systèmes d'anonymisation tels que WeData ou Octopize, qui sont fondé sur des avatars et des calculs mathématiques afin de permettre les recherches, cette solution n'est-elle prévue ni dans le texte ni dans les décrets ? C'est tout de même gênant !