Intervention de Hélène Guimiot-Bréaud

Sur le fait de savoir s'il faudrait une autorisation pour inclure des données dans un traitement de big data ou une base de données massives, tout dépend. Le terme « consentement » est peut-être un peu galvaudé, dans la mesure où le traitement de données de santé n'est pas nécessairement soumis au recueil du consentement des personnes concernées. C'est effectivement une condition au regard de laquelle la loi peut autoriser le traitement de données de santé, mais le consentement exprès n'est pas nécessairement requis. En revanche, est bien requise une information de la personne dans le cadre du RGPD comme de la loi Informatique et Libertés.

Nous pouvons prendre l'exemple du système national des données de santé (SNDS). C'est une base de données dont la CNAM est responsable. Toutes les données des assurés sociaux y figurent. Une information a été aménagée par la loi, mais le consentement de chaque assuré social n'a pas été demandé, afin que les données de tous figurent dans la base. En revanche, il y a théoriquement une information et chacun peut s'opposer à ce que ses données soient utilisées dans le cadre de projets de recherche. Ce mode de fonctionnement est mis en œuvre ailleurs, par exemple dans les grands entrepôts hospitaliers de données. Je pense notamment à l'entrepôt de données de santé qui a été constitué au sein de l'AP-HP et a fait l'objet d'une autorisation de la CNIL. C'est également un système d'information, avec une possibilité pour les personnes de s'opposer au traitement de leurs données. Théoriquement, pour tout traitement de données massif, pour toute base qui aspire des données – par exemple les entrepôts hospitaliers aspirent les données des dossiers médicaux – les personnes concernées devraient être informées.