M. Philippe Latombe, rapporteur. Vous avez expliqué tout à l’heure que le hub n’était pas exclusif d’initiatives locales. Ainsi l’AP-HP disposait déjà d’une plateforme technologique et d’un entrepôt de données. Pourquoi ne pas avoir utilisé l’architecture du dispositif de l’AP-HP pour le faire grossir ? Pourquoi avoir fait le choix d’une solution technologique différente ?
Mme Stéphanie Combes. Nous avons évidemment envisagé cette option et nous avons eu l’occasion d’échanger à plusieurs reprises avec le DSI de l’AP-HP à ce sujet. L’AP-HP est l’acteur français le plus avancé en matière d’entrepôt de données hospitalières. Leur travail est formidable. Pour le moment, leur solution n’est pas conforme au référentiel de sécurité du SNDS – or cela constituait une obligation légale pour le hub. Par ailleurs, leur infrastructure sur site ne leur permet pas de passer à l’échelle pour tout type de projet, comme nous pouvons le faire avec une infrastructure cloud. Nous menons actuellement des projets en partenariat, qui montrent bien la complémentarité de nos solutions technologiques : l’AP-HP commence le projet avec d’autres partenaires, et nous arrivons en bout de chaîne par le traitement algorithmique en apportant la capacité de calcul nécessaire.
M. Philippe Latombe, rapporteur. Y’a-t-il eu de l’entrisme de la part de Microsoft auprès du Health Data Hub ? Existe-t-il des liens, des connexions – y compris amicales – entre des personnes du Health Data Hub et Microsoft ? Ces propos sont revenus fortement sur les réseaux sociaux. L’on parle beaucoup de mobilités de personnels entre les prestataires et l’administration. Est-ce l’une de vos préoccupations ? Avez-vous pu vérifier ce type de mouvements qui pourraient poser, à terme, des questions d’éthique et de déontologie ?
Mme Stéphanie Combes. Nous n’avons aucun lien, à l’origine, avec Microsoft. Je suis ingénieure utilisatrice de données et j’ai eu l’occasion d’utiliser entre autres les solutions de Microsoft Azure et d’Amazon Web Services (AWS) par le passé. Je ne connaissais absolument pas les personnes de Microsoft avec lesquelles je travaille aujourd'hui. L’équipe technique aujourd'hui présente au hub n’existait d’ailleurs pas lors du lancement du projet. Je suis administratrice de l’INSEE et s’agissant du choix des partenaires technologiques, j’ai d’abord pensé à TeraLab et au centre d'accès sécurisé aux données (CASD) qui sont les acteurs de la statistique publique. Nous nous sommes tournés vers les solutions américaines très tardivement. Nous avons élargi nos recherches lorsque nous nous sommes rendus compte que les acteurs n’étaient pas en mesure de répondre à notre cahier des charges. Nous avions un vrai problème si nous n’étions pas capables de mettre en place une plateforme de data science en santé avec des outils sur étagère. En fin de course seulement donc, nous avons commencé à interroger Microsoft, AWS et Google Platform. Je vous garantis que le choix de Microsoft n’a pas été un choix d’influence. Je suis ingénieur. Nous avons été pragmatiques et nous avons
souhaité obtenir une solution rapide dans un contexte dans lequel la France n’est pas en avance.
La législation française et européenne est très forte : cela est positif, mais cela constitue également une complexité – réaliser des projets sur des données de santé en France est complexe. Le choix de Microsoft n’a pas été un choix d’influence mais, la crise sanitaire l’a montré, l’écosystème français de la recherche en santé est confronté à plusieurs autres problèmes.
M. Philippe Latombe, rapporteur. Comment avez-vous analysé l’arrêt Schrems II, lorsqu’il a été rendu ? Maintenant que les conséquences de cet arrêt ont été formulées et que l’on vous a demandé de migrer vers un cloud souverain, où en êtes-vous de ce travail ?
Mme Stéphanie Combes. Il est intéressant que vous reliiez ces deux questions car, à mes yeux, il n’existe pas tellement de rapport entre elles.
L’arrêt Schrems II porte sur le transfert de données personnelles. Pendant toute la première moitié de l’année 2020, notre effort de pédagogie lors des débats sur le Health Data Hub a consisté à expliquer qu’il n’y avait pas de transfert de données de santé. D’aucuns affirmaient alors que les données étaient hébergées aux Pays-Bas puis traitées aux États-Unis – cela est un non-sens du point de vue technologique. Nous avons mis un certain temps à convaincre et à montrer, avenant à l’appui, que les administrateurs de Microsoft n’accédaient jamais aux données et que les services d’utilisation des données étaient également régionalisés.
Nous avons réussi à documenter cela et à en convaincre la CNIL. Le Conseil d’État en a ensuite attesté en affirmant qu’il n’y a pas de transfert de données personnelles. En revanche, Schrems II est un vrai problème pour les acteurs qui procèdent à des transferts de données, en raison des clauses contractuelles types et des mesures techniques et organisationnelles à mettre en place pour améliorer la sécurité des transferts de leurs données personnelles.
Les engagements pris en matière de souveraineté par M. Cédric O ou par le ministère de la santé sont fondés sur le risque extraterritorial, lequel n’a pas été reconnu par le Conseil d’État. La compréhension des lois extraterritoriales est donc problématique. Nous menons des travaux juridiques pour documenter l’impact des lois extraterritoriales ; nous identifions, avec la DINUM, nos services essentiels ; et enfin, nous recherchons des financements. Si nous créons demain cette plateforme, nous aurons besoin de financements. Nous avons identifié des financements dans le plan de relance – l’accélération de la stratégie du cloud souverain est portée par la direction générale des entreprises (DGE). Par ailleurs, nous participons aux projets européens et nous suivons toutes les activités de l’ANSSI autour de la cybersécurité dans le cadre du plan de relance. Je suis donc assez confiante dans notre capacité interministérielle à débloquer les 20 millions d’euros nécessaires au développement d’une solution souveraine. Évidemment, cette solution souveraine ne servirait alors pas qu’au Health Data Hub – l’enjeu d’une plateforme souveraine va concerner de nombreux autres data hubs dans beaucoup d’autres secteurs.
M. Philippe Latombe, rapporteur. C’est justement pour cela qu’il était important de vous recevoir – vous avez été précurseur en la matière s’agissant des données de santé et vous avez par conséquent essuyé toutes les critiques. Ces solutions de data science vont intéresser demain beaucoup d’autres domaines. Ne faudrait-il pas, de votre côté, accélérer autant que possible le développement du projet ? Disposez-vous du soutien financier et technique de l'État pour mener ce projet le plus vite possible ?
Mme Stéphanie Combes. Nous tenons depuis longtemps des discussions avec la DINUM, l’ANSSI, le Premier ministre, le ministère de la santé. Nous constatons un alignement avec la stratégie cloud de l'État et cela va permettre de concrétiser ces ambitions.
En tant que chef de projet, j’identifie les fonds, car sans fonds, nous ne pourrions rien faire de
concret. Je suis aujourd'hui confiante en notre capacité à faire. En revanche, le délai est extrêmement ambitieux sur le plan industriel. Mais c’est en se fixant des objectifs ambitieux que nous réussirons à franchir des paliers.
M. Philippe Latombe, rapporteur. Comme vous l’avez dit, la solution souveraine intéressera de nombreux autres ministères et de nombreux autres sujets. Il serait sensé de construire une solution qui sera utilisable par l’ensemble des acteurs.
Que retenez-vous, depuis la création du Health Data Hub jusqu’à maintenant, des difficultés auxquelles vous avez été confrontée ? Comment voyez-vous les choses dans les mois et les années à venir ? Allez-vous réussir à faire la preuve d’une réversibilité qui fera oublier le démarrage du Health Data Hub ?
Mme Stéphanie Combes. Mener des projets et produire des résultats de recherche concrets va donner du sens à notre démarche. La critique adressée au Health Data Hub s’agissant de Microsoft intéresse l’écosystème du numérique français et les acteurs nourrissant des craintes sur la protection des données – ils peuvent être rassurés par les avis apportés par les autorités prescriptrices. Les gens comprendront pourquoi nous avons mis en place le Health Data Hub quand nous pourrons mettre en avant des résultats de recherche convaincants et concrets.
Les enjeux numériques, aujourd'hui extrêmement passionnels et mal compris, doivent être mis au second plan par rapport aux finalités que les plateformes poursuivent. Il en va exactement de même pour StopCovid : les gens se sont d’abord interrogés sur la manière dont cette application traiterait leurs données personnelles. Mais il faut surtout et avant tout se demander à quoi sert cette application. Nous devons, nous, tous les acteurs du numérique, travailler à rendre l’usage final très clair.
Nous continuerons donc à travailler sur le chantier de l’infrastructure et à produire des résultats. Un écosystème très enthousiaste nous suit, et regrette que notre développement soit trop lent ; nous recevons énormément de réponses à nos appels à projets ; nous enregistrons une très forte participation à nos événements fédérateurs comme le colloque, le data challenge, la winter school.
La vraie difficulté du Health Data Hub pour les prochaines années est ailleurs. Nous sommes face à un problème culturel de réflexe en ce qui concerne les données de santé. Les données de santé n’appartiennent à personne et personne ne le sait. Certains écosystèmes de santé et établissements pensent que les données leur appartiennent parce qu’ils ont fait l’effort de collecte et qu’ils ont soigné les patients. Les acteurs ne savent pas quand ils ont le droit ou non de traiter les données. Cela est extrêmement complexe et constitue un vrai frein à l’innovation en santé. Ainsi, certaines personnes ne respectent pas le cadre applicable et certaines autres personnes sont frileuses, car elles ne maîtrisent pas le cadre. Si nous ne cassons pas cette spirale, le Health Data Hub sera un prestataire d’outils de data science pour quelques projets et nous passerons à côté de l’ambition du dispositif.
Nous avons donc besoin d’un écosystème institutionnel autour de la donnée de santé, avec une politique nationale et des financements dédiés. Je citerai l’exemple de la UK Bio Bank, une base de donnée anglaise reconnue au niveau international et dont les données sont utilisables par tous. Les contributeurs à cette base n’ont aucun réflexe de propriétaire.
Pourquoi ? Le financement de cette base est pérenne et ne dépend pas des publications des acteurs qui sont à l’origine de la base. Ainsi, n’émergent pas chez les acteurs des comportements pervers qui impliquent de réserver les données pour eux-mêmes car ils ont besoin des financements associés aux données. Le Plan national pour la science ouverte est
porté au plus haut niveau par le ministère de la recherche, mais il doit être associé à des dispositifs incitatifs : il n’est pas concevable, pour les chercheurs, d’ouvrir la science mais d’encore devoir lutter pour trouver des financements. Le hub peut porter mais ne peut pas être maître d’œuvre de cette politique de la science ouverte et de la santé – cela n’est pas notre rôle. À titre d’exemple, le Ségur du numérique ne prévoit pas d’enveloppe pour les données de santé de recherche – et ce, même à l’issue d’une crise sanitaire.
M. Philippe Latombe, rapporteur. Cela veut-il dire que le frein provient aussi de nos concitoyens, qui voient les données de santé comme une donnée sacrée, qu’on ne peut pas utiliser ni vendre ? Doit-on évoluer vers un modèle semblable à la UK Bio Bank ou bien au modèle israélien ? La nature même de la donnée de santé ne constitue-t-elle pas un frein ?
Mme Stéphanie Combes. C’est une question complexe à laquelle je ne saurais répondre de manière définitive, mais je n’en suis pas certaine. Nous avons mené plusieurs études de perception du partage des données de santé par les citoyens. Ils ne sont pas opposés à l’idée de partager leurs données de santé à des fins de recherche. Ils formulent seulement une crainte particulière quant à l’accès des assureurs aux données, et expriment une réserve supplémentaire au sujet de l’industrie pharmaceutique. La vente des données de santé est interdite par la loi française. La tarification de la mise à disposition des données, en revanche, est possible en France. Cela permettrait de tarifer la mise à disposition de données à un acteur privé afin d’investir dans la base de données. Cela est plutôt sain car investir dans une base de données est très coûteux.
À mes yeux, le sujet porte donc davantage sur l’écosystème : les acteurs qui collectent les données et se sentent insuffisamment valorisés pour ce travail. À ce titre, la politique pour la science ouverte vise à valoriser la production de données au même titre qu’une publication scientifique. Je viens du secteur de la statistique publique et je considère que la production de données est un métier essentiel. Dans l’écosystème de la recherche, au contraire, ce métier est connoté tout à fait négativement. Nous avons donc besoin de valoriser le data sharing, de financements pérennes pour les bases et que les personnes qui portent des cohortes ne soient pas inquiètes des financements pour les grandes cohortes essentielles.
M. Philippe Latombe, rapporteur. Comment les choses se passent-elles avec les bases locales, s’agissant notamment de la rémunération et du partage des coûts ?
Mme Stéphanie Combes. Nous avons mis en place une offre de services à destination des responsables de données, c’est-à-dire des acteurs à l’origine de la réunion des données.
Nous avons travaillé avec des panels d’acteurs sur une convention-type qui encadre le partage.
Deux articles ont nécessité un travail important.
Il s’agit tout d’abord d’un article sur la valorisation scientifique. Selon les recommandations internationales, une personne qui a contribué en apportant des données ne peut pas être signataire d’un article scientifique. Cela constitue un vrai problème, car être signataire permet de gagner des points qui donnent lieu à une rémunération. À ce sujet, nous avons réussi à trouver un compromis dont nous sommes assez satisfaits.
Le second article problématique portait sur la tarification : la question est de définir l’assiette possible de la tarification. Les bases publiques à finalité administrative ont, pour la plupart, toutes déjà été financées par des fonds publics. En revanche, les bases de recherche supposent la création d’une infrastructure pérenne, avec des équipes et des investissements technologiques importants, qui sont très coûteux. Les réflexions sont toujours en cours à ce sujet. La Commission européenne réfléchit en ce moment même, notamment avec la mise en place du Data Governance Act et la réflexion autour de l’espace commun des données de
santé. Le Data Governance Act prévoit un article sur la tarification et les mêmes questions vont émerger sur le point de savoir ce que doit recouvrir ce tarif.
M. Philippe Latombe, rapporteur. Nous avons souhaité cette audition car vous êtes précurseur des enjeux de souveraineté en matière de données de santé avec la création du Health Data Hub. L’utilisation d’un écosystème afin de créer un support pour toutes les data science est une idée. Je vous remercie pour ces échanges.
Mme Stéphanie Combes. N’hésitez pas à me dire si vous souhaitez que je documente certains points auxquels j’ai fait référence pendant mon intervention.
Pour conclure, je pense qu’il est extrêmement important de ne pas réduire la question de la souveraineté à l’hébergement, mais d’y inclure également la question de l’usage. De cette manière, nous ne nous retrouverons pas dans cinq ans à tenir les mêmes échanges, cette fois sur l’intelligence artificielle. Les acteurs américains développent des services « managés »
d’intelligence artificielle de façon très rapide. Cela est un sujet majeur : nous avons tous les atouts en France pour développer ces usages, mais nous risquons de nous retrouver dans quelques années dans la même situation qu’actuellement pour le cloud.
M. Philippe Latombe, rapporteur. Cela est tout à fait intégré. Je vous remercie.
Audition, ouverte à la presse, de Mme Laurence Jay-Passot, déléguée générale du groupement de coopération sanitaire des hôpitaux universitaires Grand Ouest (HUGO), et du professeur Marc Cuggia, professeur des universités-praticien hospitalier au centre hospitalier universitaire (CHU) de Rennes, sur la plateforme de données hospitalières Ouest Data Hub
(18 février 2021)
La séance est ouverte à 12 heures.
Présidence de M. Jean-Luc Warsmann, président.
M. le président Jean-Luc Warsmann. Nous poursuivons nos auditions consacrées à la thématique des données de santé et de la souveraineté numérique. Le Ouest Data Hub est une plateforme de données hospitalières permettant de regrouper de façon anonymisée les données de six établissements membres du groupement, à savoir les centres hospitaliers universitaires (CHU) d’Angers, de Brest, de Nantes, de Rennes, de Tours ainsi que l’institut de cancérologie du Grand Ouest.
Ce hub est un nouveau concentré des problématiques qui intéressent notre mission d’information. Il interroge notre capacité à procéder à des choix opérationnels qui garantissent à la fois la protection des données de nos concitoyens et un niveau le plus élevé possible de performance. Il s’agit de numériser rapidement notre système de santé pour gagner en maturité sur certaines technologies clés pour l’avenir et de rendre un service d’une qualité toujours croissante à nos concitoyens. Nous avons également – et l’actualité de ces derniers jours nous le rappelle à nouveau – le devoir d’assurer la plus haute sécurité possible de nos systèmes d’information contre les cyberattaques. Nous nous réjouissons donc d’échanger avec vous sur ces différents sujets.
M. Philippe Latombe, rapporteur. Je souhaite vous interroger sur trois points en particulier.
J’aimerais d’abord que vous nous présentiez en détail le Ouest Data Hub : son organisation, son fonctionnement et son actualité pour l’année 2021. Il me semble important de comprendre comment fonctionne cette plateforme de données de santé, dont l’objectif est de soutenir la recherche et l’innovation en santé.
Je souhaiterais également savoir comment l’action du Ouest Data Hub s’articule avec les autres hubs de données de santé, et en particulier au niveau national avec le Health Data Hub, dont nous avons auditionné la directrice plus tôt ce matin. Il s’agit pour nous de comprendre comment le Ouest Data Hub s’intègre à l’écosystème du numérique en santé.
Le second sujet que je souhaite aborder avec vous a trait au cœur des travaux de notre mission d’information : la souveraineté numérique dans le domaine de la santé. Comment percevez-vous cet enjeu et comment l’avez-vous intégré à vos choix opérationnels au sein du Ouest Data Hub ? Quels ont été les choix techniques réalisés pour l’hébergement des données de santé et leurs motivations ? Cela nous permettra également d’échanger sur l’existence, ou non, d’arbitrages entre performance et sécurité à court et à moyen termes.
Enfin, et M. le président l’a souligné, l’actualité récente est marquée par des cyberattaques contre les systèmes d’information des établissements de santé. Face à la
sophistication de la menace cyber, comment est-il possible, selon vous, de garantir un niveau de protection maximale à nos infrastructures numériques, en particulier dans le domaine de la santé ?
Mme Laurence Jay-Passot, déléguée générale du groupement de coopération sanitaire des hôpitaux universitaires Grand Ouest (HUGO). Le Ouest Data Hub est un hub interrégional de données de santé qui permet de mener des études nécessitant d’agréger des données issues des entrepôts de données de santé des six établissements que vous avez mentionnés. Sa création s’inscrit dans une stratégie volontariste sur les données massives en santé qui a été construite, depuis plusieurs années, par notre réseau de CHU. Cette stratégie poursuit trois objectifs principaux. Le premier est de potentialiser l’expertise de nos CHU en matière de données, en s’appuyant à la fois sur le réseau des experts en données et sur les réseaux d’experts cliniciens du Grand Ouest. Le deuxième objectif est de pouvoir atteindre, par un travail collectif, une masse critique nécessaire pour réaliser des projets d’envergure.
Enfin, le troisième objectif est de nous interfacer avec l’écosystème en santé et numérique sur notre territoire afin de favoriser et de servir l’innovation.
La caractéristique principale de ce hub interrégional est qu’il s’inscrit dans une logique de maîtrise de toute la chaîne de la donnée – depuis la production de la donnée, la structuration de sa collecte puis sa mise en qualité et jusqu’à son usage. Ainsi nous avons toujours le souci de rester en lien avec les professionnels de terrain et les cliniciens.
Il est tout d’abord important d’expliquer pourquoi notre CHU a fait le choix d’exploiter de façon prioritaire les données massives en santé.
Pr Marc Cuggia, professeur des universités, praticien hospitalier au centre hospitalier universitaire (CHU) de Rennes. L’informatisation des données de santé crée un potentiel de transformation et d’innovation : nous pouvons utiliser ces données de santé pour engendrer de l’information et de nouvelles connaissances grâce à des méthodes en plein développement, comme les fouilles de données et l’intelligence artificielle.
Les cliniciens et les acteurs de l’écosystème identifient plusieurs champs d’usages de ces données. Tout d’abord, ces données sont utiles pour soutenir la recherche biomédicale.
Elles peuvent servir, par exemple, à identifier de nouveaux traitements ou de nouveaux biomarqueurs, à soutenir la recherche clinique par la réalisation d’études de faisabilité ou encore d’études populationnelles dans le champ de l’épidémiologie.
Ces données servent également la prise de décision, puisqu’elles fournissent des outils d’aides à la prescription ou à l’interprétation des examens biologiques. Elles permettent ainsi de mettre au point des outils qui vont aider le clinicien dans la prise en charge des patients.
Ces données alimentent également le champ de la vigilance et de la veille sanitaire.
Au-delà de la veille sanitaire lors des épisodes épidémiques, les données permettent d’évaluer les traitements en vie réelle et de documenter leurs effets indésirables. Elles contribuent également à la matériovigilance, c’est-à-dire à la surveillance des dispositifs médicaux en vie réelle. L’usage de données massives en vie réelle est une source d’information extrêmement riche.
Enfin, les données contribuent au pilotage du système de santé. L’accès à des données transversales permet de mieux appréhender les parcours de santé de nos concitoyens et d’adapter le système en fonction des contraintes. Tous ces domaines sont extrêmement importants et peuvent bénéficier des données massives.
Mme Laurence Jay-Passot. Partant de ce constat partagé, nous avons identifié un enjeu stratégique à exploiter ces gisements de données. Nous nous sommes ainsi engagés dans une démarche en plusieurs étapes – toutes sont fondatrices du hub interrégional aujourd'hui en place.
La première étape fondamentale a consisté à structurer les gisements de données dans chaque établissement. Nous avons fait en sorte que les CHU puissent chacun développer un entrepôt de données de santé de la manière la plus convergente et homogène possible. Cela nous permet aujourd'hui de disposer de six entrepôts de données qui fonctionnent en utilisant des technologies similaires.
La seconde étape, débutée il y a plusieurs années, a consisté à mutualiser dès l’origine les expertises sur les données massives en santé et à mettre en réseau ces entrepôts de données de santé. Grâce à cette base, nous avons créé, il y a deux ans, un data hub partagé et sécurisé, le Ouest Data Hub, en même temps que nous travaillions à la stimulation des usages et à l’exploitation multicentrique des données, pour pouvoir d’emblée tester la plateforme interrégionale sur de vrais projets.
Ce hub interrégional n’a de sens que s’il s’appuie sur des centres de données cliniques solides : les entrepôts de données des établissements qui composent notre réseau constituent le socle fondamental du hub. Ces centres de données ont été construits en plusieurs années dans notre interrégion. Chaque CHU du réseau propose ainsi, dans son centre de données clinique, une expertise pluridisciplinaire, un accompagnement auprès des professionnels de santé et des éléments d’infrastructure normalisés qui garantissent la sécurité des données. Ces centres de données cliniques sont le fondement de notre Ouest Data Hub.
Ces centres de données cliniques prennent appui sur un réseau d’expertises structuré.
Ceci permet de disposer d’une vraie feuille de route technique et opérationnelle pour travailler ensemble et d’évoluer vers une exploitation multicentrique des données.
La plateforme interrégionale de données de santé Ouest Data Hub rassemble six hôpitaux et est permise par le déploiement d’une technologie commune dans les différents centres de données cliniques des établissements. La plateforme donne ainsi accès à un volume très important de données issues des six établissements. Le catalogue est nourri par les informations produites par les patients et continue à s’enrichir régulièrement. Ce potentiel considérable de données a du sens car ces données sont homogènes et de qualité : la possibilité d’exploiter les données de manière intéressante est un enjeu capital.
La plateforme interrégionale est composée de plusieurs éléments. La dimension infrastructure est essentielle pour connecter et faire communiquer entre eux les différents centres de données cliniques. L’infrastructure est hébergée au sein du CHU de Nantes. Le Pr Marc Cuggia détaillera plus tard ses éléments de logiciels très spécifiques.
Nous avons ensuite mis en place une gouvernance afin de définir les règles de partage et d’accès aux données et de rappeler le cadre éthique, déontologique et juridique qui doit être appliqué. La particularité de notre Ouest Data Hub est de mobiliser des structures juridiques distinctes, car chaque CHU constitue une personne morale propre.
Enfin, une politique scientifique qui s’articule autour des usages possibles des bases de données est animée grâce au réseau d’experts et à une politique d’appels à projets.
La gouvernance du Ouest Data Hub est structurée à plusieurs niveaux. Le pilotage stratégique est organisé par un comité stratégique impliquant les gouvernances des six établissements. Le pilotage scientifique, incarnée par une direction scientifique tripartite, permet d’orienter les choix que nous faisons. Nous avons également organisé un pilotage opérationnel sous la forme d’un guichet unique, qui permet de répondre aux sollicitations et de faire vivre cette plateforme. Nous avons enfin été attentifs à la dimension éthique et juridique de notre dispositif, c’est pourquoi nous avons mis en place un comité scientifique et éthique dédié. Un délégué à la protection des données (DPO) a également été choisi.
L’année 2019 et le premier semestre de l’année 2020 ont été consacrés à la conception et à la structuration de cette plateforme interrégionale ainsi qu’à la constitution du socle de données commun qui permet de la nourrir. Depuis la mise à disposition technique de notre plateforme à l’été 2020, nous sommes passés dans une phase de projet. Il s’agit maintenant de mener à bien les premiers projets interrégionaux utilisant cet outil, de poursuivre l’enrichissement des catalogues de données et de réfléchir au modèle économique de cette plateforme, qui est également un sujet important.
M. Philippe Latombe, rapporteur. Comment avez-vous construit l’architecture des différents entrepôts de données ? Quelles technologies utilisez-vous ?
Pr Marc Cuggia. Nous utilisons une technologie développée au sein du laboratoire de l’Institut national de la santé et de la recherche médicale (Inserm) dans lequel je travaille, en lien avec le CHU de Rennes. Il s’agit de technologies assez standard dans le domaine des données massives et du développement logiciel. L’objectif est d’intégrer les données du système d’information hospitalier dans les entrepôts locaux. Cette technologie est le fruit d’une activité de recherche et développement menée depuis plusieurs années. Un élément clé du déploiement était de s’adosser à une logique industrielle pour pouvoir déployer, alimenter et construire ces entrepôts. Pour cela, nous avons noué un partenariat avec la société Enovacom, aujourd'hui devenue une filiale d’Orange. Nous avons couplé cette technologie avec le savoir-faire de cette société pour nous aider à construire ces flux de données. Cela nous a permis à nous, laboratoire de recherche et CHU de Rennes, de nous focaliser sur l’innovation sur ces sujets et d’assurer un déploiement et une maintenance industriels de ces socles de données au niveau de chaque établissement.
Le développement de la plateforme Ouest Data Hub, c’est-à-dire de la plateforme collectant les données, a également été réalisé par notre équipe à Rennes. Nous avons développé l’ensemble des éléments logiciels et de mise en œuvre de cette plateforme. La partie technologique ayant trait à la sécurité et aux serveurs est assurée par le CHU de Nantes, qui met à disposition une infrastructure de stockage et de calcul. Nous nous appuyons pour cela sur son savoir-faire en matière d’hébergement de données de santé. Le CHU de Nantes est en effet l’un des établissements hébergeurs de données de santé disposant de la plus grande expérience dans ce domaine. Ce dispositif a donc été élaboré dans une logique de coconstruction grâce à des dynamiques de recherche et développement à la fois académiques et industrielles.
Nous utilisons des technologies à l’état de l’art. Pour réaliser des traitements sur des données complexes, il faut bénéficier de capacités de calcul mais aussi de logiques industrielles pour que ces outils puissent être déployés et maintenus par les directions des systèmes d’information (DSI). Les entrepôts sont hébergés directement par les DSI de chaque établissement. Le Ouest Data Hub, quant à lui, est hébergé par le CHU de Nantes car cet établissement est hébergeur de données de santé. L’écosystème s’est construit de cette manière.
M. Philippe Latombe, rapporteur. Les données de santé sont-elles pseudonymisées et sécurisées ?
Pr Marc Cuggia. Nous avons deux niveaux d’agrégation. Le premier niveau est celui de l’établissement : un entrepôt de données est géré par le centre de données cliniques de chaque établissement. Nous récupérons les données produites par les différents logiciels métiers de l’établissement et nous alimentons ainsi l’entrepôt de données avec des données dé-identifiées afin qu’elles puissent être utilisées à des fins d’innovation et de recherche.
Chaque établissement reste souverain dans l’usage de ses données. Les établissements traitent donc en premier lieu les données et peuvent les mettre à disposition de leurs collègues cliniciens pour des projets monocentriques, par exemple.
Dès lors que nous devons partager des données entre plusieurs établissements, nous nous appuyons sur la plateforme Ouest Data Hub qui permet de collecter les données sur projet. Ces données, collectées à partir des différents entrepôts de données, sont dé-identifiées puis collectées et agrégées sur projet. Nous ne déversons pas l’ensemble des données sur le Ouest Data Hub : nous mettons au catalogue ces données, puis nous ne mettrons à disposition que les données nécessaires à la réalisation d’une étude. Ces données sont agrégées dans des espaces projets dédiés à chaque projet, sécurisés et cloisonnés. En quelque sorte, les données quittent la bulle sécurisée de l’entrepôt de données de chaque établissement pour rejoindre une autre bulle sécurisée dans laquelle se réalisent les traitements.
M. Philippe Latombe, rapporteur. Sous quelle forme se présentent ces entrepôts de données dans chaque établissement ? La bulle de l’espace projet est-elle hébergée en cloud ou bien dans le serveur physique de l’endroit où se déroule la recherche ?
Pr Marc Cuggia. Les données sont hébergées sur des serveurs au sein de chaque établissement. Les données sont donc physiquement présentes dans des serveurs hébergés dans chaque CHU, sous la responsabilité des DSI. Les centres de données cliniques sont là pour exploiter les données pour l’établissement. La plateforme Ouest Data Hub est également hébergée au sein du CHU de Nantes, sous la direction de la DSI qui met à disposition les serveurs sécurisés et les ressources de stockage et de calcul pour réaliser les travaux. L’accès aux données présentes sur le Ouest Data Hub est strictement réservé aux équipes projets qui vont exploiter les données mises à disposition dans leur espace projet. Cet écosystème est complètement intégré. La plateforme Ouest Data Hub est en capacité de collecter les données issues de chaque établissement en fonction des besoins de chaque projet.
M. Philippe Latombe, rapporteur. Vous avez donc opté pour un hébergement physique. Vous n’utilisez pas de cloud.
Pr Marc Cuggia. Nous n’utilisons pas du tout de cloud.
M. Philippe Latombe, rapporteur. Comment allez-vous procéder avec le Health Data Hub, qui, lui, utilise des solutions de cloud ?
Pr Marc Cuggia. Nous conduisons actuellement un projet avec le Health Data Hub.
Nous agrégeons un certain nombre de données collectées à partir des centres de données cliniques. Ces données sont dé-identifiées et transmises dans l’espace projet mis à disposition par le Health Data Hub. Les données collectées dans le cadre du projet seront couplées avec les données de l’Assurance maladie. Ainsi, des jeux de données seront extraits de chaque entrepôt de données correspondant aux besoins de l’étude, puis déposés sur la plateforme du Health Data Hub. L’Assurance maladie extraira elle aussi un jeu de données, qu’elle déposera
sur la plateforme. Nous réaliserons alors l’appariement de ces données pour les besoins de l’étude. La logique est la même : les données quittent une bulle sécurisée pour rejoindre une autre bulle sécurisée. Les données collectées ne sont pas anonymisées mais dé-identifiées :
l’on applique des algorithmes qui vont supprimer les éléments de ré-identification potentielle des données.
M. Philippe Latombe, rapporteur. Nous venons de conduire une audition avec le Health Data Hub. L’utilisation du cloud et le recours à des solutions américaines, notamment Azure de Microsoft, ont donné lieu à beaucoup de discussions. Comprenez-vous le choix fait par le Health Data Hub ? Le Health Data Hub aurait-il pu opter pour la même solution physique que vous et la développer à une échelle beaucoup plus importante ?
Pr Marc Cuggia. J’ai été l’un des trois copilotes de la mission de préfiguration du Health Data Hub. La mission de préfiguration visait à mettre à disposition un ensemble de solutions techniques pour permettre le traitement des données de façon sécurisée et pour garantir une souveraineté nationale ou européenne sur ces sujets. La lettre de mission confiée par Mme la ministre mentionnait clairement ces éléments.
Les solutions, qu’elles soient complètement indoor ou cloud, peuvent être utilisées. Je n’ai pas réellement compris pourquoi l’on a fait le choix d’utiliser des technologies qui ne sont pas portées par des acteurs français ou européens, si l’on souhaitait mettre en place une solution souveraine. Cela est paradoxal.
Nous avions exploré un certain nombre de pistes lors de la mission de préfiguration.
La structure TeraLab est une initiative très intéressante, qui a été développée pour mettre en place des traitements big data pour accompagner différents projets. Elle aurait pu constituer une bonne solution, au moins transitoire, pour tester et organiser le déploiement et l’usage du Health Data Hub.
Ceci étant dit, les choix opérés étaient sans doute justifiés d’un point de vue technologique. L’architecture Azure est très performante sur le plan du traitement des données.
Mais il est vrai que je n’ai pas très bien compris pourquoi nous n’avons pas pu examiner d’autres solutions.
Un certain nombre d’éléments de discussion ont été apportés à la suite du Cloud Act.
Les acteurs américains hébergent aussi des données de santé : Microsoft est homologué hébergeur de données de santé. Dans ce cas, ces données sont nominatives et orientées sur le soin.
Des solutions viables, indoor ou sous cloud, existaient et elles auraient pu être explorées, au moins le temps d’une phase projet et de montée en charge. Il y a également une volonté de réversibilité de ces choix, c’est-à-dire une volonté d’utiliser un environnement plus souverain. À partir du moment où les données sont sécurisées, nous n’avons pas de raison de ne pas contribuer à cet effort national par le projet HUGO-Share, car le Health Data Hub est un formidable projet.
Les auditions conduites dans le cadre de la mission de préfiguration nous ont montré que l’écosystème était très enthousiaste à l’idée de mettre en place un projet qui l’aide à développer des innovations. Il faut désormais probablement réfléchir à la façon d’y arriver, repenser ces choix et coconstruire. La mission de préfiguration avait insisté sur le fait que l’ensemble des acteurs devait être impliqués dans la coconstruction de ce hub national. Le Ouest Data Hub a appliqué cette stratégie pour se structurer et s’organiser : le hub doit être au
service de l’écosystème. Il convient donc d’orienter la feuille de route du Health Data Hub pour nous aider à développer ces logiques territoriales.
M. Philippe Latombe, rapporteur. Votre architecture est-elle justifiée par votre organisation en réseau de CHU ? Le poids de l’histoire a-t-il joué dans cette architecture ? Le Health Data Hub, au contraire, est une création ex-nihilo – cela pourrait expliquer le fait que d’autres choix technologiques ont été opérés.
Pr Marc Cuggia. Si l’histoire de l’informatisation de l’hôpital est ancienne, l’informatisation du dossier médical est, en revanche, relativement récente. Dès lors que nous numérisions les données du dossier médical, nous avons souhaité les utiliser à des fins de recherche et d’innovation.
Au départ, un prototype qui nous permettait de croiser ces données en format papier avait été développé. La vague de la santé numérique a complètement transformé le secteur :
nous avons désormais à notre disposition des capacités de stockage et des méthodes qui nous permettent de répondre à des questions médicales.
Un prototype avait donc été développé par mon équipe à Rennes. À Brest, une équipe avait, elle, déjà pensé la création d’un centre de données cliniques. Nous avons développé un projet commun et nous avons déployé ces centres de données cliniques. Nous étions, dès le départ, convaincus que nous devions le faire de manière groupée. Nous ne pouvions pas dégager d’axes d’innovation isolément. La création des centres de données cliniques nous a donc amenés à nous interroger sur des projets multicentriques et des moyens communs. La plateforme actuelle est ainsi le fruit d’un travail de coopération existant depuis très longtemps.
Nous sommes confrontés à des problématiques très complexes de qualité de données.
En France, notre système de données de santé est extrêmement fractionné ; aucun système d’information ne ressemble à un autre. L’enjeu de collecter les données et de les harmoniser est essentiel, et implique tout un panel d’acteurs. Cela implique des actions tout au long de la chaîne de production de données et d’expertise. C’est tout l’enjeu des centres de données cliniques.
Mme Laurence Jay-Passot. Il existe une dimension historique aux choix opérés. Mais au-delà de cela, nous avons conduit des choix stratégiques parfaitement assumés. En premier lieu, nous avons fait le choix d’un dispositif qui nous permet de maîtriser la donnée de bout en bout, pour des raisons d’éthique et d’acceptation par les patients et les communautés médicales. Nous avons également fait le choix de garder un lien très fort avec le terrain, les investigateurs et les cliniciens. Ce lien garantit que les données seront de qualité, aussi bien dans leur collecte que dans leur traitement.
Les choix techniques et d’organisation sont donc assis sur ces convictions. Nous appliquons ainsi un principe de subsidiarité : les centres font localement tout ce qui leur est possible de faire. Tous les projets n’ont pas vocation à être portés à l’échelon interrégional.
Mais dès lors que nous identifions un intérêt à massifier, nous utilisons l’infrastructure commune.
Nous avons discuté de la création d’un entrepôt mutualisé. Nous avons jugé qu’un entrepôt mutualisé n’apporterait pas de plus-value particulière pour le moment et dans le contexte actuel. Ce dispositif est en effet extrêmement complexe et pourrait poser des questions de sécurisation. Nous avons conclu que nous pouvions travailler très efficacement et répondre à nos objectifs avec le modèle des plateformes locales.
M. Philippe Latombe, rapporteur. Cela a-t-il nécessité de mener un important travail de pédagogie en direction des équipes ? Avez-vous eu besoin d’acculturer les équipes à la nécessité de partager les données ? Votre gouvernance, avec un comité d’éthique et un DPO spécialisé, a-t-elle permis lever les freins et les réticences qui pouvaient exister ?
Pr Marc Cuggia. La création de la confiance est un sujet extrêmement important. Les centres de données cliniques sont créés pour exploiter les données produites par les différents services des hôpitaux de manière transversale. Cette chaîne de confiance est donc fondamentale.
La pédagogie se met en place très rapidement car la plateforme que nous avons développée répond à des questions posées par les cliniciens. Des réponses qu’il n’était pas possible d’obtenir auparavant s’obtiennent maintenant de manière plus fluide et plus facile. Il s’agit d’une pédagogie par l’exemple. Cela crée une boucle vertueuse, car la prise de conscience de ces résultats a un impact sur la qualité des données ; et cela crée un effet d’entraînement.
Les centres de données cliniques accueillent également en leur sein des cliniciens qui se forment au code, aux méthodes et aux technologies d’intelligence artificielle. Cela permet à nos collègues cliniciens de développer de nouvelles compétences et de s’approprier ces outils.
Le comité scientifique et éthique interrégional est un élément majeur de notre gouvernance. Il doit répondre aux problématiques de qualité scientifique des projets, d’intérêt de santé publique et de protection des données. Ce comité réunit les établissements membres d’HUGO ainsi qu’une association de patients et des éthiciens. Il porte donc un regard véritablement pluridisciplinaire sur ces enjeux.
Mme Laurence Jay-Passot. La pédagogie est un sujet permanent. Une maturité collective se développe dans le Grand Ouest depuis plusieurs années. Nous avons constaté une prise de conscience de l’intérêt du travail collaboratif, de l’intérêt de mutualiser les données et de mener des projets multicentriques au travers de nos réseaux thématiques. Les groupes de travail thématiques sont aujourd'hui tout à fait matures pour développer les usages des données massives en santé.
Nous associons toujours à la dimension d’infrastructure un autre volet : celui de la stimulation des usages et de l’animation de l’écosystème de la recherche et de l’innovation.
En parallèle de la construction du dispositif, nous avons ainsi lancé un appel à projets pour démontrer d’emblée l’intérêt de la plateforme.
M. Philippe Latombe, rapporteur. Les patients sont-ils au courant de l’existence d’HUGO, de l’utilisation des données et de la protection qu’ils peuvent en attendre ? Dans le cas du Health Data Hub, le grand public s’est également posé de nombreuses questions sur l’utilisation des données de santé.
Mme Laurence Jay-Passot. Nous avons communiqué régulièrement sur le sujet en nous appuyant sur nos centres de données cliniques. Je n’ai pas le sentiment que les discussions sur le Health Data Hub aient rejailli particulièrement sur le déroulement de nos projets. Cela s’explique en partie par le fait que notre Ouest Data Hub ne naît pas de rien : il est l’aboutissement de la constitution des centres de données cliniques, au sujet desquels des communications régulières ont été faites auprès du grand public et qui respectent toutes les
exigences de la Commission nationale de l'informatique et des libertés (CNIL) quant à la formation des entrepôts et à l’information des patients.
M. Philippe Latombe, rapporteur. Quelle est votre sensibilité aux cyberattaques, et plus généralement à la sécurité et à l’atteinte à l’intégrité des données ? Votre architecture fragilise-t-elle la sécurisation, ou au contraire, constitue-t-elle un avantage en la matière ?
Pr Marc Cuggia. Un certain nombre de mesures technologiques et organisationnelles sont nécessaires pour renforcer la sécurité. S’agissant des cyberattaques, il faut éviter les effets d’attractivité ou « pot de miel ». C’est une des raisons qui nous a conduit à ne partager des données que sur projets : ne sont donc mises à disposition sur la plateforme hébergée à Nantes que les données strictement liées à des projets.
Nos établissements entrent dans une logique de sécurisation. Le CHU de Nantes est hébergeur de données de santé, et le CHU de Rennes est en cours d’obtention de la labellisation. Les mesures de sécurité en sont donc considérablement augmentées. Nous sommes hébergés au sein du système d’information de l’hôpital. L’entrepôt de données collecte donc des données, qui sont stockées au sein de l’hôpital ; ces données sont par ailleurs toutes déjà présentes dans les différents outils utilisés par les médecins. Nous nous appuyons sur le savoir-faire de la DSI pour assurer la sécurité des données.
Les données sont pseudonymisées. Nous avons nourri des échanges très poussés avec les équipes techniques de la CNIL, qui nous ont beaucoup aidés. Ils nous ont exprimé un certain nombre de préconisations que nous avons mises en œuvre. Nous veillons à ce que les mesures de sécurité maximales puissent s’appliquer.
La cybersécurité est évidemment un sujet de recherche et développement. Dans le cadre du développement de la plateforme, nous menons des projets de recherche et innovation sur des solutions comme le crypto-tatouage de bases de données ou l’avatar des données. Nous souhaitons expérimenter ces solutions dans nos environnements. Les données massives en santé constituent un objet d’innovation en cybersécurité. Nous sommes sensibles au fait que les données confiées par les patients soient tout à la fois protégées et permettent l’innovation et la recherche, au bénéfice du patient.
M. Philippe Latombe, rapporteur. Développez-vous ces solutions en interne ou faites-vous appel à des solutions développées par des sociétés privées extérieures ?
Pr Marc Cuggia. Je vous présenterai le projet actuellement mené sur le crypto-tatouage des bases de données. Cette technologie a été développée dans un laboratoire cyber universitaire et nous allons l’expérimenter dans le centre de données cliniques du CHU de Rennes, puis nous en évaluerons les performances. Cette technologie doit permettre d’assurer la traçabilité des traitements sur des données par tatouage des données.
L’enjeu est de créer un terrain multidisciplinaire pour appliquer ces objets de recherche dans nos domaines. Nous souhaitons, si les technologies que nous expérimentons sont suffisamment éprouvées et matures, qu’elles puissent être développées avec des start-up et qu’elles deviennent un objet industriel. Nous avons donc vocation à travailler avec des start-up et des industriels sur nos sujets. Nous travaillons également en partenariat avec des start-up pour le développement d’outils d’aide au diagnostic.
M. Philippe Latombe, rapporteur. Ce projet a nécessité une homogénéisation des données et des systèmes d’information. Cela a-t-il un effet d’entraînement sur d’autres domaines, pas nécessairement ceux de l’informatique et de la recherche ?
Mme Laurence Jay-Passot. Oui, cela a plusieurs effets d’entraînement. Nous cherchons à inventer un modèle de hub interrégional ; notre action a du sens si elle peut permettre la structuration d’autres hubs interrégionaux sur le territoire. Nous travaillons très étroitement avec deux autres réseaux de CHU constitués plus récemment qu’HUGO : le G4 dans le Nord et le groupement Grand Est. Ils suivent la même trajectoire de constitution d’un hub interrégional. Cela fait sens de disposer de hubs interrégionaux qui pourraient s’articuler avec le dispositif national, comme cela avait été imaginé dans le rapport de préfiguration.
Il existe également des sujets connexes pour lesquels un effet d’entraînement se fait sentir et permet d’avancer plus loin les dynamiques de partage de données et d’expertises.
C’est le cas, par exemple, dans le Grand Ouest de la réflexion sur la génomique. Cette dynamique de partage est permise par la grande transversalité des données massives en santé.
Pr Marc Cuggia. Nous avons largement partagé notre expérience avec les autres établissements en matière de structuration des entrepôts de données, de qualité, de protection, de gouvernance, d’usages. Cela crée un effet d’entraînement national très important, qui se traduit par la mise en place d’entrepôts de données dans la plupart des CHU de France et dans les centres de lutte contre le cancer, ainsi que par la création d’équipes spécialisées dans ces domaines.
Je souhaite saluer l’initiative InterHop qui intervient sur des sujets très techniques. Il est nécessaire que l’on s’accorde sur des standards et des terminologies pour harmoniser nos données. J’insiste sur le fait que l’harmonisation n’est pas encore complète dans le Grand Ouest. Ce processus est progressif et nos efforts sont constants en la matière.
Je salue également les initiatives comme celle portant le modèle Osiris, qui normalise les données dans le champ de la cancérologie pour la réutilisation secondaire des données. Ces initiatives sont portées par des équipes d’informatique médicale et il faut absolument les encourager. Le Grand Ouest va développer ses propres projets, certes, mais l’enjeu est national, voire international. Ces travaux ne sont pas forcément très visibles pour le grand public mais ils sont extrêmement importants.
L’effet d’entraînement est également majeur pour les éditeurs de logiciels médicaux, qui développent des outils utilisés par les cliniciens. Il existe un enjeu majeur en matière de structuration et de normalisation des données ainsi que d’utilisation de standards dans nos systèmes d’information. L'Agence du numérique en santé a publié une stratégie en la matière.
L’innovation et la recherche vont bénéficier directement de ces efforts au long cours. Il est essentiel que les industriels mettent en œuvre les préconisations de standardisation, afin que les équipes des établissements de santé puissent facilement disposer des données.
L’enjeu de la qualité et de la maîtrise de la donnée est crucial tout au long de la chaîne de traitement de la donnée, depuis le lit du patient jusqu’à l’innovation. Une stratégie forte doit certainement être mise en place à ce sujet aux niveaux national et européen. L’Allemagne, par exemple, l’a fait.
Mme Laurence Jay-Passot. Nous souhaiterions que cet effet d’entraînement alimente également la réflexion sur le modèle économique des entrepôts de données et des hubs interrégionaux. Ce travail, que le Pr Marc Cuggia a très bien décrit, nécessite un fort
investissement aussi bien en matière d’infrastructures que de ressources humaines. La région Grand Ouest a mené une action volontariste en la matière : elle a fait le choix d’aligner une énergie collective avec des choix financiers collectifs. Mais une réflexion doit s’engager sur son modèle économique qui, aujourd'hui, n’est pas du tout accompagné. Nous sommes convaincus que les hubs interrégionaux ont toute leur place pour collecter des données et les mettre en qualité, puis les articuler avec un dispositif national. Mais il va falloir nous aider collectivement à le faire. Je comprendrais aisément que toutes les interrégions et tous les groupements d’établissements ne fassent pas les mêmes choix que ceux que nous avons faits.
M. Philippe Latombe, rapporteur. Faut-il penser un modèle économique pour les hubs interrégionaux ? Faut-il que vous puissiez vendre les données ? Comment ces sources de revenus pourraient-elles être compatibles avec tous les efforts déployés en faveur de l’éthique et de la protection des données ?
Mme Laurence Jay-Passot. Ce modèle économique est encore à inventer, mais il est nécessairement mixte. La structuration des entrepôts de données et des centres de données cliniques n’est aujourd'hui pas intégrée dans le financement des hôpitaux. Cela soulève un sujet de financement.
Il pourrait également y avoir un sujet de structuration des hubs interrégionaux. La possibilité avait été évoquée de lancer des appels d’offres structurants pour les hubs interrégionaux.
La valorisation des données des entrepôts locaux et des plateformes interrégionales constitue un autre sujet. Nous ne pouvons pas vendre les données en tant que telles, mais nous pouvons valoriser par un échange monétaire le travail fourni par nos équipes en termes de mise en qualité des données et de réponse à une question scientifique. Dans un conventionnement, nous pouvons mettre en avant l’expertise que nos équipes sont capables d’apporter en mobilisant des données pour répondre à une question posée. Cela pourrait participer de la constitution d’un futur modèle économique, mais il existe encore peu de choses sur le sujet.
M. Philippe Latombe, rapporteur. Avez-vous chiffré le coût en investissements de la création d’HUGO ? Si un groupement devait aujourd’hui créer un tel dispositif en partant de zéro, combien cela lui coûterait-il ? De tels investissements constituent un choix pour l’avenir. Je m’interroge sur les fonds qui devraient être mobilisés pour créer ces dispositifs régionaux, par exemple dans le plan de relance actuel.
La création d’HUGO a-t-elle apporté un plus à l’écosystème de la recherche publique ou privée dans l’Ouest ? A-t-elle drainé, par exemple, l’installation d’entreprises ou de structures de biotechnologies ?
Mme Laurence Jay-Passot. Avant toute chose, une clarification terminologique :
HUGO est notre réseau de CHU. L’Ouest Data Hub est l’un des projets qu’il porte en matière de données massives. Nous portons par ailleurs beaucoup de projets en soin, enseignement et recherche.
Le coût d’amorçage de la plateforme comprend un coût d’hébergement et un coût de ressources humaines. Ce coût est aujourd'hui de l’ordre de 300 000 euros par an, couvrant uniquement la partie mutualisée. En revanche, si l’on chiffre la contribution apportée par les centres données cliniques à chacun des projets, les coûts sont évidemment plus élevés : je les évalue entre 500 000 euros et un million d’euros à moyen terme.
Il n’est pas possible de créer une plateforme interrégionale sans disposer de centres de données cliniques et d’entrepôts de données de santé dans les établissements. Cela représente un vrai coût. Aucun centre de données cliniques n’est le même et ne requiert le même investissement en infrastructure et en ressources humaines. Néanmoins, nous savons qu’a minima, en conditions de fonctionnement pérennes, un établissement doit investir près de 400 000 euros chaque année pour faire fonctionner son centre de données cliniques déjà existant. Ce coût ne comprend pas la constitution initiale du centre de données. Ces sommes, mises bout à bout, pèsent sur les budgets. Ces évaluations sont, qui plus est, très minimalistes.
Si l’on voulait inclure le temps investi pour faire grandir ce genre de projet, cela nécessiterait de chiffrer encore davantage de charges indirectes que je n’ai pas citées.
Pr Marc Cuggia. Je répondrai à votre question, s’agissant de la valorisation de la recherche. L’exploitation des données massives dans le champ de la santé est un sujet de compétition internationale. Nos centres sont encore beaucoup trop peu dotés, en termes de matériels et de chercheurs, pour pouvoir s’intégrer dans cette compétition, qui se développera de manière très forte dans les prochaines années. Des centres aux États-Unis sont, par exemple, composés de 75 enseignants-chercheurs permanents. L’Allemagne a fait le choix de mailler l’ensemble de son territoire avec des centres de données : leur stratégie a été de doter les établissements de data information centers. 120 millions d’euros ont donc été investis sur tout le territoire pour constituer des centres de données cliniques, créer des postes de permanents hospitalo-universitaires, embaucher des data scientists. Je pense que l’infrastructure ne fera pas l’innovation. L’enjeu principal réside dans le potentiel humain de formation et d’interdisciplinarité sur le terrain. C’est cela qui nous permettra d’avoir collectivement une chance de développer une souveraineté sur les enjeux de numérique en santé. L’écosystème des établissements publics à caractère scientifique et technologique (EPST), des start-up, des industriels est extrêmement important.
En termes d’attractivité, nous constatons de plus en plus de sollicitations d’acteurs qui souhaiteraient développer ou codévelopper avec nous des projets sur les données. Cela suppose de monter en charge et de construire notre capacité à accompagner ces acteurs.
L’enjeu est pour nous très important de pouvoir répondre à cette dynamique. Nous essayons de mettre cela en œuvre avec le Ouest Data Hub, grâce à une gouvernance qui se veut transparente. Nous avons une volonté collective de réussir et d’innover. Mais il ne s’agit pas d’être dans une logique purement financière : en tant que chercheur, ce qui m’intéresse est que le contenu de nos recherches serve avant tout au patient. Cela est notre mission première. Nous ne nous interdisons pas de travailler avec des industriels, mais l’enjeu est de faire grossir ces centres de données cliniques et cette expertise sur le territoire.
Mme Laurence Jay-Passot. Effectivement. Sinon, nous serons très limités par rapport au potentiel que représentent ces données.
M. Philippe Latombe, rapporteur. Croyez-vous que ce fonctionnement en hub, qui fonctionne pour les données massives en santé, peut servir à d’autres secteurs ? Cela vaudrait-il la peine de le développer pour d’autres domaines que les données de santé ?
Mme Laurence Jay-Passot. Évidemment. Nous avons fait le choix de privilégier ces modes de fonctionnement en hub ou en plateforme, et nous considérons que dès que la notion de masse critique fait du sens, nous devons construire une réponse collective. Cela ne veut pas dire centraliser et perdre le lien avec les initiatives locales. Le modèle de hub est absolument reproductible dans d’autres domaines, si on le conçoit comme un dispositif qui permet de mutualiser uniquement ce qui doit l’être et que l’on arrive à penser des systèmes de gouvernance agiles, qui continuent à s’appuyer sur toutes les compétences disponibles dans
les centres locaux. Nous y croyons très fortement. Il existe plusieurs sujets – et les données massives en santé en sont un – pour lesquels le modèle de hub sera pertinent, s’il est dupliqué à l’échelle interrégionale sur l’ensemble du territoire.
Pr Marc Cuggia. Ces réflexions dépassent les données de santé stricto sensu et s’appliquent également à des projets mettant en œuvre des approches similaires, en lien avec les citoyens. Je citerai trois expériences auxquelles nous sommes associés. D’abord, Rennes Métropole travaille à mettre au point un portail des données personnelles qui vise à exploiter les données de transport, d’énergie, de santé à des fins de recherche et d’innovation. Une réflexion de hub pourrait être mise en place à ces fins. Ensuite, l’université de Sherbrooke au Québec a mis en place un projet similaire de système d’information apprenant ; le projet Pulsar de l’université de Laval, enfin, fait le lien entre les données de santé et les données de territoires. Des projets d’innovation très importants existent donc, qui ont un lien très fort avec les citoyens. Ces pistes me semblent extrêmement intéressantes à suivre pour pouvoir mettre en place une santé numérique durable.
M. Philippe Latombe, rapporteur. Souhaiteriez-vous aborder un dernier sujet en matière de données de santé, que nous n’avons pas déjà évoqué au cours de l’audition ? À quoi devrons-nous être vigilants à l’avenir ?
Pr Marc Cuggia. Il faut garder à l’esprit que nos activités doivent être au service des patients. Les innovations que nous développons ont utilisé des données de qualité très variables, avec des méthodes de machine learning qui peuvent parfois poser des problèmes d’interprétabilité. Il y a donc un enjeu majeur d’évaluation des produits d’innovation, c’est-à-dire des algorithmes. Les algorithmes doivent être évalués au même titre qu’un dispositif médical ou qu’un produit de santé. Les équipes des CHU, de l’Inserm, tout le maillage de recherche clinique et d’innovation doivent se saisir de cette opportunité. Dans le Grand Ouest, nous avons mis en œuvre plusieurs tests de ces algorithmes en vie réelle, à la manière d’un essai clinique. Nous devons fermer la boucle : nous collectons des données de santé, nous en tirons des connaissances qui permettent de construire des outils utiles au patient et au clinicien, qui devront enfin être évalués. Ces algorithmes devront être évalués sur les patients suivant une véritable démarche de recherche clinique. Nous devons pouvoir mettre en place ce cercle vertueux. Cela suppose également d’entrer dans des logiques de normalisation et de labellisation des centres de données cliniques. Cela constitue un élément majeur de la confiance : il s’agit à la fois de la confiance du clinicien envers l’outil qu’il utilise tous les jours et de la confiance du patient.
Mme Laurence Jay-Passot. La réflexion du Pr Marc Cuggia a beaucoup de sens et remet toutes nos discussions en perspective.
M. Philippe Latombe, rapporteur. Je vous remercie.
Audition commune, ouverte à la presse, de M. Adrien Parrot, médecin-ingénieur, président, et de Me Juliette Alibert, avocate, membre de l’association InterHop
(18 février 2021)
Présidence de M. Jean-Luc Warsmann, président.
M. le président Jean-Luc Warsmann. Bonjour à toutes et à tous. Je souhaite la bienvenue à Maître Juliette Alibert et à M. Adrien Parrot. Nous poursuivons avec vous des échanges très nourris, depuis ce matin, sur la thématique des données de santé et de la souveraineté numérique. InterHop est une association qui promeut et développe l’utilisation de logiciels libres et open source pour la santé – vous nous en direz plus tout à l’heure. Je crois savoir que vous prônez une utilisation autogérée des données de santé à l’échelle locale. Vous souhaitez en quelque sorte « dégoogliser » la santé numérique en proposant des hébergements de données décentralisés, transparents et éthiques. Vous œuvrez également en faveur du respect du Règlement général sur la protection des données (RGPD). Enfin, je dois noter que vous avez participé aux activités du comité SantéNathon à l’origine du recours intenté devant le Conseil d’État contre le choix effectué par « Health Data Hub » (HDH) en faveur du cloud de Microsoft pour l’hébergement de ces données. Nous sommes très heureux de pouvoir échanger avec vous aujourd’hui. La protection des données nous intéresse, évidemment, tout comme le recours à des logiciels libres et la question des communs numériques. Je vais laisser la parole à notre rapporteur afin qu’il introduise nos échanges.
M. Philippe Latombe, rapporteur. Je voudrais, en guise d’introduction, vous interroger sur trois points qui occupent nos travaux et qui ont été esquissés par M. le président.
J’aimerais d’abord que vous nous présentiez votre association, InterHop, ainsi que votre combat en faveur des logiciels libres et de l’interopérabilité des systèmes d’information. Ces questions entrent en effet dans le champ des travaux de notre mission d’information. Ils suscitent un intérêt croissant et des discours parfois très tranchés. Nous sommes donc particulièrement intéressés par votre avis sur ces sujets que vous connaissez bien. Je résumerai ici mon propos au travers des questions suivantes : quel logiciel libre pourrait être utilisé ou substitué, selon vous, à des solutions propriétaires ? Quels seraient les avantages de cette approche ? Quels en sont également les limites et les risques ? Enfin, comment, selon vous, la question des communs numériques peut-elle nourrir aussi nos réflexions sur la souveraineté numérique ?
Le second point sur lequel je souhaiterais échanger avec vous concerne le HDH et l’hébergement des données de santé. InterHop, comme l’a rappelé M. le président, fait partie des membres du collectif SantéNathon, qui a attaqué en Conseil d’Etat le choix du HDH de recourir au cloud de Microsoft pour héberger les données de santé. Le ministre des Solidarités et de la Santé, M. Olivier Véran, s’est engagé à ce que le transfert du HDH vers un autre hébergeur que Microsoft intervienne dans un délai compris entre 12 et 18 mois. J’aimerais savoir quel regard vous portez sur la situation actuelle, quelle leçon il est possible, selon vous, d’en tirer pour les autres projets numériques portés par les pouvoirs publics. J’aimerais également vous entendre, dans le prolongement de cette réflexion, sur l’initiative européenne GAIA-X, qui doit permettre à l’Europe de retrouver une forme de souveraineté sur le segment du cloud. Enfin, mon dernier sujet ne vous étonnera pas au regard de l’actualité très récente, à savoir la vague de cyberattaques sur les systèmes d’information d’établissements de santé.
Face à la sophistication de la menace cyber, comment pensez-vous qu’il soit possible de garantir un niveau de protection maximale de nos infrastructures numériques, en particulier dans le domaine de la santé qui est un domaine critique par nature ?
M. Adrien Parrot, président de l’association InterHop. Je suis médecin anesthésiste-réanimateur et informaticien. J’ai travaillé deux ans aux Hôpitaux de Paris, à l’entrepôt de données de santé – une plateforme qui regroupe l’ensemble des données des hôpitaux à des fins de recherche essentiellement. En guise de préambule, je souhaite souligner que l’association InterHop n’est en aucun cas opposée à la recherche en santé. J’en veux pour preuve que j’ai travaillé à l’entrepôt de données de santé de l’AP-HP, qui fait de la recherche.
La question n’est pas là. De la même manière, en ce qui concerne le traitement des données, nous sommes conscients de la nécessité que les données ne soient pas accaparées, mais au contraire partagées. InterHop est le diminutif d’« interopérabilité », avec un H pour « hôpitaux ». L’interopérabilité des systèmes d’information est au centre de notre démarche.
L’interopérabilité des informations permet d’échanger des informations, au besoin, entre systèmes d’informations différents. La problématique du HDH et de notre combat, par exemple au Conseil d’État, réside dans la protection des libertés fondamentales. Nous agissons exclusivement sur ce terrain. Encore une fois, nous ne sommes pas opposés à un projet de recherche, comme pourrait l’être le HDH. Le HDH est emblématique d’une problématique systémique, avec plusieurs composantes : une centralisation extrême des données, qui s’oppose par exemple au Ouest Data Hub dont vous a entretenu le Pr Marc Cuggia. Dans ce modèle, les projets peuvent être centralisés mais ils le sont au cas par cas, projet par projet, sans que cela ne devienne la norme : autrement dit, toutes les données ne sont donc pas stockées au même endroit, sur une même plateforme. Enfin, ce sont avant tout les problématiques de Microsoft et de l’extraterritorialité du droit américain qui nous ont alertés.
Concernant les alternatives, outre le Ouest Data Hub ou l’AP-HP, centre dans lequel j’ai travaillé, il existe également des entrepôts de données de santé à Marseille, Toulouse, Bordeaux, Lille, Grenoble – et j’en oublie. Les alternatives sont multiples. Pour revenir à l’exemple de l’AP-HP, son entrepôt de données de santé traite plusieurs millions de données de patients (10 à 11 millions sur le site de l’entrepôt de données de santé) avec une plateforme issue des logiciels open source. Quand je faisais encore partie de l’équipe, l’autonomie numérique était pensée grâce au logiciel open source, celui-ci permettant d’être autonome et de protéger au maximum les données confiées.
L’AP-HP a par ailleurs plusieurs dizaines de projets en cours, sur le Covid -19 actuellement. Si nous voulons aller vite et que nous partons du principe – ce qui est vrai – que le traitement des données et la recherche vont améliorer la qualité de vie et le soin, alors autant renforcer l’existant, que ce soit avec l’AP-HP ou Ouest Data Hub – je n’ai pas de parti pris sur une plateforme en particulier. D’autres alternatives existent. En dehors du secteur public, le Pr Marc Cuggia a parlé du TeraLab tout à l’heure. Le Centre d’accès sécurisé aux données (CASD), qui est homologué au Système national des données de santé (SNDS) et qui possède la certification Hébergeur de Données de Santé (HDS), va jusqu’à proposer des boîtiers physiques où l’utilisateur doit mettre son empreinte digitale pour accéder aux données. Ce système a la qualité de ne pas déporter la sécurité sur le poste utilisateur, celui-ci étant par ailleurs également sécurisé via l’infrastructure. Le boîtier se connecte ensuite à une plateforme, qui peut être une plateforme big data.
Pour finir, je dirai que les critiques sont nombreuses. Elles ne sont pas propres à notre association : la Commission nationale de l’informatique et des libertés (CNIL) et la Caisse nationale de l’assurance maladie (CNAM) ont également émis de telles critiques. Lorsque j’étais encore en poste aux Hôpitaux de Paris, un courrier rédigé par M. Martin Hirsch et révélé par Mediapart avait en outre pointé les risques de perte de confiance des citoyens, des citoyennes et des patients en cas de doute sur l’extraterritorialité, par exemple du droit américain.
Me Juliette Alibert, avocate, membre de l’association InterHop. Je voulais revenir, puisque vous nous posez la question, M. le rapporteur, sur le contexte autour du contentieux qui englobe le HDH. Vous avez rappelé qu’InterHop était membre de SantéNathon et avait porté ce contentieux devant le Conseil d’État. Pour rappeler le contexte, cela me paraît important, le projet HDH est né fin 2018 et a été mis en place début 2019. Nous avons très tôt su que le choix de la solution technique serait porté sur Microsoft, et ce, sans qu’un appel d’offres ne soit réalisé comme Mme Stéphanie Combe l’a rappelé lors de l’audition de ce matin. Un décret devait normalement permettre de régir le traitement des données au sein du SNDS – le périmètre historique de celui-ci étant modifié. Nous étions dans l’attente de ce décret réglementaire pour procéder à la mise en place et au traitement des données au sein du HDH. Cependant, le contexte sanitaire lié à la crise du Covid -19 et l’état d’urgence ont permis, au regard d’un cadre dérogatoire, de « pousser » le droit commun et de mettre en place les projets et les bases au sein du HDH, alors même que le décret réglementaire n’était pas sorti. Une logique inverse s’est mise en place. Je tiens à rappeler que, normalement, les données de santé d’ores et déjà présentes sur le HDH devront être supprimées à l’issue de l’état d’urgence sanitaire, sauf si le décret d’application venait – lors de sa sortie – à les rendre légales et utilisables à l’issue de cette période.
Dans ce contexte, l’association InterHop s’est saisie de la jurisprudence Schrems II de juillet 2020. Cet arrêt a fait valoir que le droit américain n’assurait pas, en l’état, un niveau de protection équivalent au RGPD, ce qui a donné lieu à la fin du Privacy Shield. Au-delà, l’intérêt de cette jurisprudence réside dans le fait qu’elle a permis l’appréciation concrète, par le juge européen, des pratiques de renseignement des services américains, sur le fondement notamment de deux bases légales intéressantes : la section 702 du Foreign Intelligence Surveillance Act (FISA), qui permet l’obtention immédiate et rapide, par le gouvernement, d’informations très larges, sans aucune notification et sans garantie pour les citoyens européens, et, plus attentatoire aux libertés fondamentales et au droit à la protection des données personnelles, l’Executive Order 12333. Ce décret présidentiel autorise, à des fins de renseignement, des techniques d’interception sur les signaux en transit, mais également en dehors des États-Unis, par les câbles sous-marins, ce qui n’est pas sans faire écho aux révélations d’Edward Snowden de 2013.
L’existence de cette collecte large, massive, soumise à la discrétion du gouvernement, sans aucun ciblage et sans autorité indépendante, sans même de droit opposable pour les citoyens européens, s’avère totalement en inadéquation avec le RGPD. Je tiens à le rappeler car, lors des différentes auditions que vous avez pu mener, le Cloud Act est souvent évoqué, alors que ces deux bases légales ne le sont pas. Microsoft y est pourtant soumis, en tant que personne morale soumise au droit américain. Il serait donc contraint de transmettre des données si elles lui étaient demandées au titre du FISA ou de l’Executive Order 12333, et ce, bien que ces données soient conservées sur le territoire européen.
Dans le référé-liberté porté par SantéNathon, dont InterHop est membre, nous avons essayé de faire valoir l’atteinte à cette liberté fondamentale que constitue le droit à la protection des données et à la vie privée, en faisant reconnaître du juge administratif que les risques étaient avérés au regard du FISA ou de l’Executive Order et que cela constituait une violation des libertés fondamentales. Entre le moment où nous avons déposé le référé et le moment où l’ordonnance a été rendue, un arrêté émanant du ministre de la Santé a été pris le 10 octobre pour interdire le transfert des données vers le territoire des États-Unis. Cependant, nous voulions faire valoir que, indépendamment de ce transfert-là, les données étaient, quoi qu’il en soit, mises en péril de par ces deux textes dont je viens de vous parler. La CNIL l’a très clairement rappelé. Un mémoire en observation a été produit lors de l’audience. Nous sommes donc dans une situation où ces risques ont été reconnus à la fois par le Conseil d’État, puisque
le juge des référés a admis qu’il y avait effectivement des risques, par la CNIL et par le juge de l’Union Européenne, dans l’arrêt Schrems II. C’est un élément important qui mérite, je pense, d’être rappelé. Le ministre de la Santé a d’ailleurs lui-même reconnu qu’il existait des risques dans un échange de courriers avec la CNIL. Ces risques existent et sont donc avérés.
Dans ce contexte, il nous semble essentiel de défendre les données personnelles des citoyens français comme européens.
Cette audience a également été l’occasion d’aborder les enjeux de sécurité, en particulier la centralisation des données de santé. Il est question ici des données de santé de plus de 67 millions de Français, ainsi que de celles des personnes étrangères soignées sur le territoire français. Il a été rappelé que les clés de chiffrement étaient détenues par Microsoft.
Il semblerait d’ailleurs que cette information n’ait pas été démentie dans l’audition que vous avez menée, ce matin. Nous sommes dans une situation où la société Microsoft conserve elle-même les clés de chiffrement. C’est un peu comme si on avait un prisonnier à qui l’on remettait les clés de la cellule. Selon nous, dès lors que les data scientists – qui fondent la recherche au sein du HDH – ont besoin d’utiliser ces données, et que Microsoft a accès aux clés de chiffrement, cela signifie que Microsoft déchiffre les données pour permettre la recherche. Or, même si ces données sont pseudonymisées, elles sont ré-identifiables en les croisant entre elles.
M. Adrien Parrot. On voit bien que les enjeux sont moins liés au Cloud Act, qu’aux autres textes, de portée extraterritoriale, des États-Unis. On pourrait aussi se poser la question des répercussions, et si cela ne reste qu’un risque. Sur ce terrain, il faut déjà dire que cela ne concerne pas uniquement le terrorisme. J’en veux pour preuve M. Frédéric Pierucci, ancien cadre d’Alstom, qui s’est fait arrêter aux États-Unis et a passé plusieurs mois dans un quartier de haute sécurité, parce que l’État américain avait eu accès à des données provenant de ses mails. C’est bien la portée extraterritoriale du droit américain qui a des répercussions et qui fait pression sur les entreprises – françaises, en l’occurrence. Nous ne parlons pas que du terrorisme, mais de l’intelligence économique au sens large. Il ne faut pas être naïf : les données de santé constituent aussi des enjeux économiques importants. À titre d’exemple, l’investissement sur les données de santé compte pour un tiers du budget « santé » d’Alphabet, la maison-mère de Google.
Concernant les enjeux autour des données de santé, plus précisément, le logiciel libre a pour principe central l’autonomie des utilisateurs et des utilisatrices. Ces derniers peuvent lancer le logiciel directement sur leur poste de travail. Avec l’arrivée du cloud et des serveurs distants, cette autonomie s’effrite progressivement, heurtant de plein fouet les enjeux liés aux données de santé. L’un des principes fondateurs de la médecine réside dans le serment d’Hippocrate, autrement dit dans le secret médical. On sait qu’il n’y a pas de confidence sans confiance, et que le secret permet de créer une relation de confiance entre le médecin et le patient. En parallèle, les données doivent être utilisées à des fins de recherche. Les données constituent en quelque sorte l’or du 21ème siècle, dans la mesure où les algorithmes d’intelligence artificielle, les réseaux de neurones, apprennent grâce aux données. Nous avons donc besoin de traiter des données. Cela n’est pas nouveau : la recherche les utilise depuis plusieurs années. Nous sommes confrontés à une balance bénéfices/risques, où il faut faire de la recherche tout en conservant un cadre de sécurité pour ne pas faire peur, pour garder la confiance millénaire, pluri-centenaire, de la relation médecin-malade. Cet enjeu de confiance est central.
Je vais citer une phrase, relative au développement des plateformes, du rapport de la mission présidée par M. Éric Bothorel : « les infrastructures nécessaires à la donnée sont de plus en plus exposées à des formes de dépendance logicielles, ce qui soulève un enjeu
d’autonomie stratégique. Il ne faut surtout pas que le patient ou la patiente soit pris dans des enjeux d’autonomie et perde confiance dans le système. Les retentissements en termes de santé publique peuvent aussi être importants sur ce terrain-là ».
Me Juliette Alibert. Pour compléter ces propos, je pense qu’il faut aussi parler des risques majeurs en termes de mise à mal de la Sécurité sociale. On voit bien, aujourd’hui, que les GAFAM – Google, Apple, Facebook, Amazon et Microsoft – et d’autres entreprises privées ont compris l’intérêt financier majeur que les données représentent. L’exemple de la maison mère de Google, Alphabet, qui investit plus de 30 % de son budget dans les données de santé, illustre bien cette prise de conscience. Or, les pratiques des entreprises privées pourraient mettre à mal le système actuel de la Sécurité sociale, qui repose sur une collectivisation des risques. Les pratiques de ces sociétés et les outils connectés pourraient en effet permettre aux GAFAM, demain, de cibler très spécifiquement les individus et d’identifier ceux porteurs de risques, au regard de leur profil, menant ainsi à une forme de médecine prédictive. Ce type de pratiques pourrait progressivement mettre à mal le système actuel en faisant reposer le risque sur l’individu et non plus sur la solidarité et le collectif, dans le même esprit que le principe « pollueur payeur ». Nous pensons que le risque de délitement de la Sécurité sociale constitue l’un des enjeux majeurs des données de santé.
M. Adrien Parrot. Nous avons vu le cadre, à savoir la portée extraterritoriale du droit américain ainsi que les enjeux autour des données et de la santé numérisée. Nous souhaitons maintenant enchaîner sur les solutions que nous espérons modestement apporter. Concernant la gouvernance, nous pensons que l’erreur originelle du HDH est d’avoir fondu la technique et la gouvernance. Nous sommes d’accord pour avoir plutôt une gouvernance centralisée.
Nous partageons le constat de la complexité de l’accès aux données et sommes favorables à un guichet unique d’accès, comme se propose de l’être le HDH, avec des facilitations d’accès pour les chercheurs et des publications de cahiers des charges pour que les acteurs du numérique, par exemple, puissent être au courant de ce qui est en train de se passer. Nous ne sommes pas non plus opposés à une plateforme centralisée de gestion des consentements. Des améliorations méritent effectivement d’être apportées à ce niveau. Sur la gouvernance, et pour partir de l’existant, nous pensons qu’il faut créer le plus rapidement possible un comité de pilotage indépendant et multipartite, avec des utilisateurs publics et privés – les pouvoirs publics et les acteurs du numérique – pour engager ces travaux de réversibilité. J’ai appris ce matin que la direction interministérielle du numérique (DINUM) a réalisé une étude sur le sujet. Au titre de nos actions, nous avons demandé l’accès aux rapports de réversibilité. À ce jour, nous avons uniquement pu voir le premier rapport, datant de novembre 2019, mais pas le deuxième. Je pense que ce rapport doit être public et « auditable » par les experts comme par les citoyens.
D’un point de vue technique, c’est un petit peu plus compliqué. Nos propositions consistent à centraliser le développement de codes. Ce mouvement est d’ores et déjà à l’œuvre avec l’existence des forges logicielles (GitLab, GitHub, etc.), qui permettent le regroupement des codes et la collaboration des développeurs sur ces codes. Cette plateforme peut être française ou européenne. Elle permet uniquement de développer des logiciels qui utiliseront les données, sans qu’elle n’ait jamais accès à ces données. Il s’agit donc seulement de développement de code, sur ce principe plutôt centralisé – français ou européen. Par contre, nous sommes radicalement opposés – et nous sommes rejoints, je pense, par le Ouest Data Hub sur ce point – à la centralisation dans les données ou à la centralisation a minima, projet par projet. Nous sommes favorables en revanche à la fédération d’acteurs. Cela représente, pour nous, l’application du RGPD. La décentralisation permet de restreindre l’accès aux données à des finalités – une plateforme n’a pas accès à tout, en permanence – et la fédération
permet de répondre aux enjeux d’interopérabilité et de portabilité des données. Ainsi, nous répondons très bien au RGPD avec cette décentralisation technique.
Dernière chose, nous proposons un réseau de fédérations d’ingénieurs avec Inter-CHU, qui regroupe les ingénieurs des hôpitaux français. Ces derniers se réunissent dans ce cadre pour échanger autour de leurs pratiques. Il ne s’agit en aucun cas d’échanger des données, évidemment, mais bien des pratiques – autour du code, par exemple.
Me Juliette Alibert. Nous voulions aussi vous présenter rapidement des propositions davantage tournées vers le volet juridique. Dans la lignée de la loi pour la République numérique, qui prône le recours, pour les administrations, au logiciel libre, nous pensons que le logiciel libre répond, de la meilleure manière possible, à l’intérêt général et au service public, si l’on se réfère aux lois de Rolland par exemple. Nous pensons que le législateur a un rôle important à jouer, dans la mesure où la philosophie du logiciel libre est celle qui « colle »
le mieux à la philosophie du service public. Nous pensons que le législateur doit augmenter la part de logiciels libres, peut être en imposant une part obligatoire dans différents secteurs et notamment en matière de santé. Nous souhaitons une exigence particulière dans ce domaine et que tout ce qui relève de la santé soit principalement porté par des acteurs du logiciel libre.
Cela permet aussi une protection efficace des données de santé, qui sont des données particulièrement sensibles.
Nous pensons aussi qu’il faut renforcer la certification HDS. Alors que nous étions sous une forme d’agrément, nous sommes récemment passés sous la forme « certification », avec plusieurs niveaux. Dans les différentes auditions menées par votre mission d’information, certains intervenants ont émis des propositions de label. Nous pensons au contraire que le label n’a pas une valeur juridique assez contraignante. Nous souhaiterions plutôt renforcer l’existant en introduisant, par exemple, des clauses spécifiques restreignant le traitement et la sous-traitance des données de santé – parce que c’est ce qui nous intéresse et qu’il s’agit de données particulières, sensibles, prisées – à des acteurs européens a minima, permettant d’exclure de fait tous les acteurs hors de l’Union Européenne. Par contre, il serait nécessaire de mener une analyse comparée, notamment au niveau européen, en matière de droit de la concurrence. Bien que cela demande un peaufinage un peu plus important, nous espérons que des travaux seront conduits dans ce sens. Et cela ne peut pas se faire, de notre point de vue, par un label qui n’a pas assez de force coercitive pour garantir l’ensemble de ces conditions.
La troisième proposition juridique que nous souhaitons formuler consiste à renforcer les pouvoirs de la CNIL. Nous voyons aujourd’hui que son budget est largement moins important que celui de la CNIL allemande. Il s’agit donc de la renforcer dans ses moyens, mais également dans ses avis. Aujourd’hui, la CNIL rend des avis, dans le cadre d’un « droit souple ». Autrement dit, ces avis sont de l’ordre de la recommandation et de la préconisation en matière réglementaire, mais n’ont pas de force contraignante. Il ne s’agit pas d’avis conformes. Or, s’agissant de terrains particulièrement sensibles, comme celui les données de santé, il serait peut-être nécessaire d’imposer un cadre d’avis conformes pour ces données.
Cela fait partie de nos recommandations.
Enfin, nous sommes persuadés que l’enjeu se joue au niveau européen. Le Privacy Shield a fait l’objet d’une annulation par l’effet de la jurisprudence Schrems II en juillet dernier. Nous pensons que les négociations doivent être menées de façon particulièrement stricte au niveau européen pour ne pas avoir un nouveau Safe Harbor ou un nouveau Privacy Shield. Nous voudrions que la gouvernance européenne se saisisse bien de ces enjeux, au regard de ce qui a pu être mis en exergue par le juge européen sur les pratiques actuelles des renseignements américains. Il est important de se rendre compte qu’il n’y a pas de protection
équivalente et qu’on ne peut pas s’en remettre simplement à une nouvelle habilitation de la Commission européenne.
M. Philippe Latombe, rapporteur. Je souhaiterais vous demander quelques précisions dans la mesure où cette audition est publique et doit permettre d’éclairer les gens qui nous écoutent, qui ne sont pas forcément experts du domaine. Aujourd’hui, vous avez mélangé – parce que c’est votre avis – la souveraineté, avec le HDS et le fait que le cloud de Microsoft soit utilisé par le HDS, et le logiciel libre. Si nous avions une solution qui ne relève pas du logiciel libre, mais qui soit une offre possible de cloud souverain, cela vous conviendrait-il quand même ? Si le HDH n’avait pas utilisé Azure mais OVH, par exemple, seriez-vous allés au Conseil d’État de la même façon ?
Ensuite, et c’est ma deuxième question, le logiciel libre nous assure-t-il de ne pas passer à côté des innovations dans l’avancée technologique, notamment de l’intelligence artificielle, du machine learning ou des réseaux neuronaux ? Sommes-nous sûrs que cette solution permettrait d’aller le plus vite possible tout en étant en permanence au bon niveau de l’état de l’art ? Je voudrais séparer les deux questions parce que vous les avez liées. Peut-on les prendre une par une ?
Me Juliette Alibert. Nous avons fait valoir une atteinte au droit à la protection des données devant le Conseil d’État. Si le choix ne s’était pas porté sur une solution technique américaine, je pense que nous n’en serions effectivement pas arrivés là. Pour autant, nous ne sommes pas en faveur d’une hypercentralisation des données. Au contraire, nous sommes favorables à un système reposant sur l’existant – sur les entrepôts de données de santé – et fédérant davantage les acteurs, dans la mesure où nous pensons que la centralisation des données fait reposer sur les données des enjeux de sécurité. En effet, en cas de faille de sécurité, l’ensemble des données de santé des citoyens – Français, Françaises et citoyens étrangers sur le sol français – peuvent devenir accessibles. Nous ne sommes donc pas favorables à ce type de solution et d’organisation du traitement des données de santé en matière de recherche. Nous pensons plutôt qu’il faut fédérer et travailler à des échelons décentralisés.
À l’évidence, les risques sont moindres dans le cadre d’une solution européenne portée par un acteur français ou par un acteur européen.
M. Adrien Parrot. Une étude d’IBM pointe le fait que le hacking provient, pour 60 %, des organisations en interne. Évidemment, plus on concentre des données dans un point et plus il y a de risques. Ce risque existe vraiment. Ce qui peut être fait, au final, en matière de centralisation, c’est peut-être d’avoir une plateforme pour centraliser certains projets. C’est ce que fait aussi le Groupement de Coopération Sanitaire Hôpitaux Universitaires du Grand Ouest (HUGO). Certaines données sont parfois centralisées à Nantes, sans que cela ne devienne pour autant la norme. Ce qui nous dérange clairement, c’est la dépendance au droit américain. Pour moi, en tant que médecin et au regard du secret médical, les révélations d’Edward Snowden, l’affaire Pierucci ou le FISA sont autant d’éléments qui scellent un « no go » absolu.
Concernant la deuxième question, je dirais que les logiciels libres et open source nous permettent d’atteindre l’état de l’art. C’est uniquement grâce au logiciel open source que nous sommes à l’état de l’art. Toute la plateforme technique de l’AP-HP repose sur des logiciels open source. Microsoft en utilise aussi. Il y a deux différences : qui exécute ce code ? – s’il s’agit de serveurs que l’on possède, cela change tout – et est-ce qu’il y a des interfaces de programmation (API), des couches qui englobent le logiciel open source ? Par exemple, Microsoft enveloppe un logiciel développé par la communauté, parfois même en partie par lui-même, au sein d’API propriétaires qui emprisonnent l’utilisateur. Aujourd’hui, les projets
sont énormes et mondialisés et, pour collaborer, ceux qui fonctionnent sont presque essentiellement liés au logiciel open source.
M. Philippe Latombe, rapporteur. Je reviens sur l’audition précédente des représentants du Ouest Data Hub. Ils nous ont expliqué qu’ils rencontraient une difficulté assez particulière quant aux données et à la certitude que les données soient de bonne qualité et que les mêmes référentiels soient utilisés d’un entrepôt à l’autre – ils citaient par exemple les données de biologie –, dans la mesure où ils ont pu constater des problèmes d’harmonisation.
Ils ont indiqué être parvenus à le gérer en raison de leur taille suffisamment importante, mais également grâce à leur histoire et grâce à un mode de fonctionnement très collaboratif entre eux, entre CHU de l’Ouest qui se connaissaient bien. On peut l’entendre aussi au niveau de l’AP-HP, où un certain nombre de discussions ont lieu entre les différents hôpitaux. Le fait de fonctionner de façon décentralisée, avec des entrepôts dans chacun des CHU, qui soient ensuite regroupés sous une forme régionale, avec l’équivalent d’un Ouest Data Hub pour chacune des régions, puis sous une couche nationale et éventuellement une couche européenne, ne générerait-il pas des difficultés sur la qualité de la donnée ?
M. Adrien Parrot. La qualité de données passera nécessairement par la localité, et donc les hôpitaux, peut-être même le cabinet du médecin généraliste. Si on veut faire des traitements de données de qualité, on est obligés d’être très proches du contexte de recueil des données et de comprendre comment les informations sont saisies. Parfois, les systèmes d’information sont tellement mal faits que le médecin entre la donnée où il peut dans son système, mais elle n’est pas forcément au bon endroit. Nous avons donc besoin d’être très proches des chercheurs qui veulent avoir accès aux données. Nous devons savoir à quoi ils ont besoin d’avoir accès. Le chercheur pourra se diriger vers les soignants, à l’endroit où les données sont stockées, regarder sous quel format elles le sont et poser des questions. C’est ce dialogue local, au plus proche de la recherche, des patients et des soignants, qui permettra d’atteindre une recherche de qualité. Il est indispensable que les données soient qualifiées – et 80 % du travail consistant précisément à la qualification des données. En effet, le fait d’envoyer des données brutes en dehors du lieu de production serait tout de suite beaucoup moins pertinent.
Me Juliette Alibert. Cette question se pose sans doute de la même manière si tout est directement centralisé. Si les données sont mal renseignées à la source, le HDH ou les projets hypercentralisés seraient confrontés aux mêmes difficultés de qualité.
M. Philippe Latombe, rapporteur. Sur la partie juridique, il y a deux aspects dans ce que vous dîtes. On nous dit aujourd’hui, assez fréquemment, que l’utilisation d’un cloud américain n’est pas problématique dans la mesure où tout est pseudonymisé, où tout est chiffré, et où l’utilisateur est le seul à détenir les clés de chiffrement. Vous avez dit que, dans l’audition, vous aviez compris que les clés de chiffrement étaient chez Microsoft. Pourtant, d’autres organismes qui utilisent des clouds américains avancent qu’il n’y a pas de risque parce qu’ils ont leur propre clé de chiffrement et que, au-delà, le transfert a été interdit et les données sont stockées en Europe. En quoi ces éléments ne vous paraissent-ils pas suffisants ? Ce point fait partie des oppositions que vous avez eues lors de la discussion au Conseil d’État notamment.
Me Juliette Alibert. C’est ce que j’essayais d’expliquer tout à l’heure. Effectivement, les données sont pseudonymisées. Cependant, plusieurs études – nous pourrons vous communiquer les références – démontrent que, dès lors qu’on croise les données, même si celles-ci ne sont pas directement ré-identifiantes, il est en réalité très facile de ré-identifier des personnes, lorsqu’on dispose d’informations telles que la localisation, l’âge, le sexe, etc.
Sur l’aspect chiffrement, je tiens à rappeler que nous nous sommes appuyés sur un avis de la CNIL, datant du 20 avril 2020. La CNIL a avancé, dès le début, qu’il y avait plusieurs risques de sécurité importants, notamment sur ces clés de chiffrement détenues par Microsoft.
Il nous a été confirmé ce matin – et cela l’avait été lors de l’audience devant le juge du référé – que Microsoft détient bien ces clés. Un système de « customer lockbox » permet en théorie un système d’accès sécurisé. Cependant, peut-on remettre les clés à un prisonnier dont on ne veut pas qu’il sorte de sa cellule, et lui dire de ne pas y toucher ? Techniquement, il n’y a aucune modalité qui empêche l’accès aux données par Microsoft. Par ailleurs, dès lors que ces données sont utilisées à des fins de recherche, d’intelligence artificielle – et, encore une fois, nous le rappelons, nous ne sommes pas contre la recherche –, cela signifie qu’elles sont à un moment déchiffrées. Pour permettre à ces data scientists de faire leur travail, il faut bien qu’elles soient déchiffrées. Elles leur sont délivrées de façon déchiffrée. La problématique reste donc pleine et entière.
Enfin, concernant l’interdiction des transferts de données vers les États-Unis, nous étions heureux de savoir que, dans l’instruction de notre recours devant le Conseil d’État, le ministre avait effectivement décidé d’empêcher les transferts. C’est une première garantie.
Cependant, cela ne modifie pas en substance les risques des citoyens, quant à l’accès à leurs données personnelles sensibles, qui sont les données de leur sphère la plus intime, et vis-à-vis desquelles ils peuvent être victimes de discrimination (par exemple s’ils ont le VIH). Ces risques sont toujours présents, comme l’ont souligné le juge de l’Union européenne, la CNIL ainsi que d’autres acteurs. En tout état de cause, les pratiques du droit américain et ses effets extraterritoriaux ne sont pas conformes, dans le sens qu’ils ne remplissent pas les critères minimums de la protection telle qu’elle est aujourd’hui exigée par le RGPD. Elle ne l’est pas en raison des deux actes que je présentais tout à l’heure : l’Executive Order, ce fameux décret présidentiel, et la section 702 du FISA. Ces deux fondements juridiques permettent aux services de renseignement d’avoir accès, de façon massive, discrétionnaire et indiscriminée, aux données, sans que les citoyens ne puissent s’y opposer d’aucune manière. Aujourd’hui, en tant que citoyen, nous sommes dans un système que nous avons a minima choisi : nous avons choisi nos représentants légaux, nos députés, etc. Nous avons accepté d’avoir tout cet ensemble et d’être régis par le RGPD. Cela fait partie du contrat social. Le problème réside dans le fait que des États tiers puissent, en méconnaissance de nos droits et du droit à la protection de nos données, accéder à ces données sensibles. Cela nous semble absolument insuffisant en termes de garantie. Ces pratiques s’inscrivent aujourd’hui en violation du RGPD et, plus largement, du droit à la protection des données, tel qu’il est garanti au niveau européen.
M. Adrien Parrot. Les arrêtés sont protecteurs et nous avons confiance dans la gouvernance du HDH. Cependant, en l’occurrence, Microsoft sera contraint – à son corps défendant – de donner accès aux données, si son supérieur hiérarchique le lui demande, en raison du FISA et de l’Executive Order. C’est vraiment sur ce point que les garanties sont insuffisantes. Dans ce contexte, nous devons nous interroger : est-il techniquement possible pour Microsoft d’avoir accès à ces données ? Où sont réalisées les analyses ? Le stockage est chiffré. C’est une garantie. Sur quel processeur les analyses sont-elles réalisées ? Est-ce sur un processeur soumis au droit américain ? Ce processeur est-il détenu par Microsoft ? Si le processeur – et c’est le cas – est soumis au droit américain, alors les données ne sont plus protégées.
Quant à la pseudonymisation, on peut toujours, en effet, ré-identifier un individu. Il existe deux techniques principales d’appariement entre bases de données. La première consiste à lier des bases de données à partir d’un même numéro présent dans deux bases différentes (par exemple un numéro de sécurité sociale). En l’absence d’un tel numéro, et si l’on dispose uniquement d’informations telles que l’âge ou le sexe, d’autres techniques permettent de lier
des bases de données entre elles. Ce sont des techniques qui existent, qui sont utilisées en routine. Il est possible de ré-identifier des données de cette manière.
M. Philippe Latombe, rapporteur. Pensez-vous que le recours en Conseil d’État ait pu jouer un rôle dans la position de la CNAM quant à l’interdiction de transférer les données au HDH ? Par ailleurs, percevez-vous des risques équivalents dans d’autres domaines que les données de santé ? Existe-t-il, selon vous, une sorte de « HDH » dans d’autres domaines, pour lesquels le HDH pourrait servir de jurisprudence, d’exemple, si nous devions intervenir ?
Me Juliette Alibert. Je pense effectivement que les réserves de la CNAM sont en lien avec cette mobilisation autour de la protection des données et le recours en Conseil d’État. Le collectif SantéNathon représente de nombreuses personnes de la société civile, des associations de patients, des syndicats de médecins mais également des personnalités ayant travaillé sur la santé. Ces personnes ont soutenu le recours dans la mesure où les enjeux en présence sont importants. En effet, sous couvert d’urgence en lien avec le Covid, et pour aller vite, une solution technique comme Microsoft – qui était présentée comme la plus avantageuse et la seule solution – a été choisie, alors qu’elle met en péril les données de santé. Cela a donné lieu à de nombreux articles de presse et à de nombreuses prises de position dans les médias.
Le collectif et le recours ont permis de mettre en lumière l’importance des risques, même s’ils avaient déjà été préalablement dénoncés par plusieurs personnes. Nous restons modestes dans notre démarche. Il est clair que plusieurs personnalités avaient pris position pour dénoncer ces risques importants. Cependant, cette mobilisation du collectif et ce recours ont – je pense – contribué à nourrir les inquiétudes, à faire émerger l’idée que nous étions peut-être allés trop vite, que nous n’avions peut-être pas vérifié si des solutions plus sécurisées étaient possibles, si la gouvernance ne pouvait pas être revue, ce qui a donné lieu à ses réserves de la part de la CNAM, mais également de la CNIL et d’autres autorités indépendantes qui se sont positionnées.
M. Philippe Latombe, rapporteur. Dans le collectif, vous qui avez porté ce recours devant le Conseil d’État, comment percevez-vous l’avenir du HDH ? Pensez-vous que la CNAM va obtempérer et transmettre ses données à terme ? Cela signifie-t-il que les données doivent être transférées très rapidement vers un cloud souverain ?
M. Adrien Parrot. La CNAM est historiquement très proche du SNDS. J’ai plutôt confiance dans les prises de position de la CNAM, dans les prochains jours et les prochaines semaines. En effet, l’idée consiste à ne pas bloquer le système ni la recherche. Je pense que tous les travaux qui ont été engagés sur la gouvernance, les travaux légaux, la loi de 2019 sur l’extension du SNDS, doivent être poursuivis et repris. C’est un travail indéniable, qui est tout à fait respectable. Par contre, en ce qui concerne l’hébergeur, notre souhait est que Microsoft s’arrête au plus vite. Les alternatives existent. Si nous ne voulons surtout pas d’interruption, nous pouvons nous tourner vers le CASD, vers Ouest Data Hub pour centraliser un projet de recherche dans les infrastructures – ils savent le faire –, vers l’AP-HP ou encore vers des industriels. En tout état de cause, le savoir de traitement des données est déjà actif, au moins au sein des hôpitaux. La CNAM sait aussi traiter des données. Je suis sûr que, si nous demandons de l’aide à l’existant pour centraliser les données sur certains projets, nous pourrons rentrer dans un cadre protecteur, en l’espace de deux secondes, sans que l’activité ne soit interrompue. Il est important d’avoir conscience que nous sommes dans un no man’s land juridique, dès lors que nous faisons appel à des sociétés de droit américain. Actuellement, la jurisprudence Schrems est en cours, et on n’en mesure pas encore toute la portée. Dans ce contexte, il me paraît déraisonnable de faire courir un risque important aux personnes alors que de nombreuses alternatives existent.
M. Philippe Latombe, rapporteur. Selon vous, la réversibilité est donc faisable rapidement : cette réversibilité pourrait être accomplie, certes en mode peut-être un peu dégradé, dans le sens où elle « n’embarque pas » la totalité de ce qui était prévu au départ par le HDH, mais plus rapidement que le délai annoncé de dix-huit à vingt-quatre mois.
M. Adrien Parrot. Oui. Pour moi, il suffit de décider. Les plateformes fonctionnent.
Si on décide de renforcer l’existant, l’existant existe. C’est presque de l’instantané. La sécurité nécessite effectivement d’être renforcée. Cependant, les travaux de sécurité ont d’ores et déjà été initiés. Les hôpitaux n’ont pas attendu le HDH pour renforcer la sécurité, surtout dans les entrepôts de données de santé qui sont des concentrateurs, à leur niveau, de données.
L’exemple que je le connais le mieux est celui des hôpitaux de Paris. Sur la sécurité, la plateforme libre de l’AP-HP a subi des audits de sécurité et des tests de pénétration de plate-forme. Tout cela est déjà en cours.
Me Juliette Alibert. Nous avions posé la question lors de l’audience devant le Conseil d’État. Nous avions demandé quel était l’état des travaux et des bases implémentées au sein du HDH. À ce moment, je crois que seules trois bases étaient implémentées et qu’aucun projet de recherche n’était versé. En tout état de cause, il s’agit uniquement des données de santé de recherche en lien avec le Covid. En termes d’opportunité de favoriser une réversibilité rapide, je pense donc que nous sommes justement dans le bon timing. Il est nécessaire de se saisir de l’occasion avant que d’autres bases ne soient versées sur la plateforme.
M. Philippe Latombe, rapporteur. Ce n’est pas ce qui a été dit ce matin lors de l’audition du HDH. La CNIL a par ailleurs annoncé qu’un délai de 18 à 24 mois serait nécessaire, en ligne avec le ministère de la Santé. Une divergence en terme de temporalité apparaît ici nettement.
M. Adrien Parrot. Il est certain qu’une plateforme centralisée, comme peut la faire Microsoft actuellement et le HDH, nécessite des développements et du temps. Par contre, si l’idée consiste à ne pas bloquer la recherche, il est possible de la poursuivre dans des solutions un peu dégradées, en attente de cette infrastructure. Le CASD ou le TeraLab constituent d’excellents exemples de plateformes « clés en main », qui sont disponibles pour faire des tests et pour avancer. Je pense que c’est le bon moment pour enclencher la réversibilité avant que les projets ne soient trop avancés, en utilisant l’existant. Pour moi, les délais annoncés sont trop importants.
M. Philippe Latombe, rapporteur. Au-delà des données de santé, d’autres domaines sont-ils selon vous confrontés aux mêmes problématiques ?
Me Juliette Alibert. Je pense que la problématique se pose dans tous les domaines faisant appel à des données sensibles au regard des publics qu’elles touchent. On peut, par exemple, penser à l’Éducation nationale. On peut penser à des données relatives à des personnes qui peuvent être exposées à des discriminations importantes, par exemple, des données sur des personnes qui sont en prison. Dans le secteur de l’éducation, le même niveau d’exigence devrait être appliqué, dès lors qu’il s’agit de données portant sur des mineurs.
M. Adrien Parrot. Il s’agit en effet d’un problème systémique. Encore une fois, la portée de la jurisprudence Schrems n’est pas encore dévoilée en entier. Nous savons cependant qu’elle concerne les données personnelles de façon large et que tous les secteurs sont touchés.
Les enjeux d’intelligence économique sont très larges. Ils s’étendent, par exemple, à la R et D de nos entreprises pharmaceutiques et au développement des vaccins. Ce problème doit être traité dans une dimension systémique, qui dépasse largement la santé.
M. Philippe Latombe, rapporteur. Quelles seraient ou quelles sont vos attentes vis-à-vis du législateur dans le domaine des données de santé ? Certaines choses sont-elles aujourd’hui insuffisamment claires ? Certaines choses nécessiteraient-elles que l’on puisse légiférer ? Est-ce d’abord du domaine du législateur ? Vous avez dit tout à l’heure qu’il faudrait que la CNIL puisse rendre des avis conformes sur un certain nombre de sujets.
Certainement, cela relève du législateur. C’est à nous de pouvoir l’imposer. Souhaitez-vous attirer notre attention sur d’autres sujets appelant, selon vous, des évolutions ?
Me Juliette Alibert. Le fait de permettre à la CNIL de rendre les avis conformes sur des données particulièrement sensibles fait effectivement partie de nos propositions. L’une de nos propositions consistait à interdire le traitement des données sensibles – et notamment des données de santé – par des acteurs extra-européens. Nous ne souhaitons pas que le traitement des données s’effectue dans le cadre d’un label, parce que nous sommes convaincus que la sécurité et la force contraignante d’un label n’offrent pas des garanties suffisantes. Il s’agirait plutôt d’un cadre de certification/agrément, ce qui relève en l’occurrence du pouvoir réglementaire. Cela pourrait donc éventuellement passer par une loi, en faisant valoir le caractère spécifique de ces données. Par contre, il faudrait effectivement croiser cette approche avec le droit de la concurrence au niveau de l’Union européenne.
Nous avons également émis une proposition consistant à imposer davantage de logiciels libres dans les administrations, et notamment dès lors que des données de santé sont en jeu. Il est possible, dans ce domaine, d’aller au-delà de la loi pour une République numérique de 2016, avec peut-être des quotas plus importants. En tout état de cause, on sent bien qu’un changement philosophique important est actuellement à l’œuvre. Une mairie – Échirolles, je crois – s’est récemment engagée à mettre en place des solutions de logiciels libres. Je pense vraiment que les services publics et les administrations ont tout intérêt à reposer sur ce type de solution beaucoup plus éthique, où effectivement les données sont protégées (personne n’a accès en clair aux données) mais où une transparence est faite sur le code. Le citoyen peut savoir dans quel cadre ses données sont sécurisées ou non. La lisibilité du code donne énormément d’informations. Ces solutions offrent donc un cadre éthique à la fois très protecteur et très transparent. C’est pour cette raison que nous souhaitons que le législateur légifère en ce sens.
M. Philippe Latombe, rapporteur. Des annonces ont été faites la semaine dernière concernant la création d’une mission sur le logiciel libre au sein de la DINUM, issue de la mission Bothorel. Nous suivrons ce qui en découle. Je souhaite maintenant vous poser la même question que la précédente, mais au niveau européen. Qu’est-ce qui, selon vous, relève du domaine du législateur ou du domaine réglementaire national, et qu’est-ce qui relève – ou pourrait être amélioré – au niveau européen ?
Le combat que vous avez porté auprès du Conseil d’État est issu d’une jurisprudence de la Cour de justice de l’Union européenne, qui invalide le Privacy Shield par Schrems II.
Vous proposez une solution qui serait « RGPD by design » et donc décentralisée, en affirmant que cette solution est la plus proche de l’esprit du RGPD, qui constitue lui-même une réglementation d’origine européenne. Que faudrait-il changer, que faudrait-il améliorer au niveau européen sur les données de santé ? Pensez-vous qu’il manque un cadre ?
Me Juliette Alibert. Je pense que le législateur européen doit effectivement réfléchir à aller éventuellement au-delà du cadre du RGPD, notamment sur des données particulièrement sensibles. Un cadre existe et il est très protecteur. Cependant, dans la perspective d’un éventuel futur Privacy Shield, les négociations empêchent peut-être la reconnaissance d’un niveau de protection équivalente. En ce qui nous concerne, nous sommes
plutôt opposés à ce type d’accord. Il s’agit de notre positionnement militant. Cependant, il me semble indispensable que le législateur européen travaille sur ses aspects.
M. Adrien Parrot. Tant que les services de renseignement américains sont ce qu’ils sont, et tant que le droit américain dispose de cette portée extraterritoriale, l’Europe doit rester très vigilante face à l’émergence de futurs textes et se méfier d’un éventuel Privacy Shield ou d’un Safe Harbor III.
Me Juliette Alibert. Peut-être faudrait-il imaginer, au-delà du RGPD, des directives européennes spécifiques permettant de laisser à chacun des États des marges de manœuvre pour protéger certaines données particulièrement sensibles. En tout état de cause, je pense qu’il y a énormément à faire au niveau européen. L’enjeu que constitue la protection des données personnelles ne peut s’affranchir de cet échelon-là.
M. Philippe Latombe, rapporteur. Concernant la protection cyber des données, vous avez, dans votre propos liminaire, avancé que le fait d’avoir un système centralisé pouvait générer des risques plus importants, dans la mesure où une faille pourrait mener à l’ensemble des données. Un système décentralisé permettrait à l’inverse de ne pas « mettre tous ses œufs dans le même panier ». Comment expliquez-vous les attaques qui surviennent actuellement et comment s’en prémunir ? Faut-il créer un écosystème spécialement dédié aux données de santé, qui soit à la main des directions des systèmes d’information (DSI) dans chacun des CHU – si je prends votre modèle décentralisé ? Faut-il recourir à des solutions privées ?
M. Adrien Parrot. Les DSI ne disposent pas de moyens financiers suffisamment importants pour répondre aux besoins. Elles peinent à obtenir des ingénieurs de qualité en quantité suffisante. La difficulté est en partie liée à cette situation, et c’est typiquement ce que le logiciel open source peut faire et peut apporter. L’État – et il s’agit peut-être de l’une des prochaines missions de la DINUM – devra, dans un premier temps, recenser les logiciels existants, mettre en avant un catalogue de logiciels et s’appliquer à « mettre de la glu » entre ces différentes briques logicielles. Cela permettra ensuite de proposer des briques, unifiées dans un tout cohérent, aux hôpitaux et aux professionnels de santé. Ces derniers pourront aider localement à l’installation des logiciels, qui peuvent être certifiés. Le fait d’initier une gouvernance qui fournit du code et du logiciel libre – pour le secteur public, en l’occurrence – semble être une très bonne idée. C’est aussi reprendre ce que pourrait faire Framasoft et ce qui est partiellement fait par l’État, avec son ébauche d’annuaire. Il faut renforcer ces actions, créer des forges logicielles et embaucher des développeurs qui créent des logiciels prêts à être utilisés directement dans les hôpitaux. Ce travail est tout à fait nécessaire. Notre association s’efforce d’œuvrer dans cette direction afin de pallier le manque que nous observons sur ce terrain. Nous essayons ainsi de « mettre de la glu » entre plusieurs logiciels et de les proposer aux professionnels de santé.
M. Philippe Latombe, rapporteur. Souhaitez-vous aborder certains sujets que nous n’aurions pas traités, qu’il s’agisse des données de santé ou de la souveraineté ?
Me Juliette Alibert. En ce qui concerne la souveraineté, je préciserai simplement que nous nous attachons plutôt à une notion d’« autonomie numérique » que de « souveraineté numérique ». En effet, les enjeux de souveraineté relèvent à notre sens de l’autonomisation des acteurs – au sens de la capacité de ces derniers à avoir la maîtrise de leurs données et de leur sphère numérique. Selon nous, les enjeux se situent à tous les niveaux : à l’échelle individuelle, à l’échelle départementale, à l’échelle régionale, au niveau de l’État et, enfin, entre les États eux-mêmes. La souveraineté nous semble trop rattachée à la notion souverainiste des États-nations face aux États tiers, alors même qu’une collaboration est à l’œuvre au niveau européen entre les membres de la Communauté européenne. Pour nous,
cette notion de souveraineté ne fait donc pas nécessairement sens. C’est pour cette raison que nous préférons la notion d’autonomie numérique.
M. Adrien Parrot. C’est en construisant que nous avancerons. Il est nécessaire de coconstruire localement pour produire des données de qualité, ces dernières étant ensuite utilisées par les algorithmes. Il faut donc repartir de la localité et coconstruire des logiciels, peut-être grâce à l’appui de la puissance publique. En tout état de cause, un travail de coconstruction entre les hôpitaux doit clairement être favorisé et animé.
Nous devons par ailleurs bien nous rappeler que le principe du secret médical est au centre de la question du traitement des données de santé. Ce principe est pluri-centenaire et cela me semblerait déraisonnable de renier le serment d’Hippocrate. Nous nous devons de sécuriser les données, et particulièrement les données de santé, sans quoi une perte de confiance des patients est à craindre.
Me Juliette Alibert. Concernant le risque de perte de confiance des patients, il est indispensable de démontrer un niveau d’exemplarité et de transparence important, lors de l’implémentation de projets tels que le HDH. Par exemple, il nous a été dit qu’aucun appel d’offres n’avait été conduit car une solution existait et que les autres solutions n’étaient pas envisageables. Il faudrait pourtant que le citoyen ait accès, de façon transparente, à l’ensemble des documents qui montrent que toutes les solutions existantes ont été auditées, et qui expliquent pour quelle raison le choix s’est porté sur cette entreprise plutôt qu’une autre. Il est nécessaire que le choix soit a minima expliqué. Il a été indiqué ce matin que le choix se porterait de nouveau sur Microsoft si un marché public venait à être reconduit. Or, nous n’avons pas les moyens de comprendre ce choix en tant que citoyens. Nous avons pourtant besoin de comprendre les décisions politiques pour y adhérer, notamment lorsque ces décisions mobilisent des enjeux de sécurité importants. Je pense qu’il est indispensable de donner les clés de lecture aux citoyens. L’association InterHop a en outre soumis des demandes d’informations concernant plusieurs documents annoncés comme « publics » sur le site de la DINUM. Or, nous peinons à y accéder. Je ne dis pas que nous nous heurtons à une mauvaise volonté de l’État de nous fournir ces documents, mais simplement qu’il sera difficile de comprendre les choix qui sont faits en l’absence d’une plus grande transparence. Cette lisibilité est cruciale dans la mesure où nous ne pouvons pas transiger avec les libertés individuelles, ni avec le droit au secret médical. Il est clair qu’on ne peut pas avoir recours à ces solutions en méconnaissance des libertés fondamentales, et d’autant plus quand aucune explication n’est fournie et quand l’accès à certains documents clé qui permettraient de comprendre et de réfléchir de façon concertée – en réunissant, en terme de gouvernance, des associations de patients – n’est pas communiqué. Je pense que les choses ont été très rapidement exécutées, alors qu’on avait peut-être le temps pour prendre des décisions. Ces dernières ont été rapidement mises en place, et ce, alors même que nous n’étions pas encore dans l’urgence du Covid. En effet, le choix de Microsoft a été opéré en amont de la crise sanitaire, et non pour y répondre.
M. Philippe Latombe, rapporteur. En tant que rapporteur, je serais preneur de la liste des documents publics auxquels vous avez demandé d’avoir accès, mais que vous n’avez pas obtenus. Cela m’intéresserait, en tant que parlementaire, que vous puissiez me la faire parvenir dans la note écrite que vous nous transmettrez.
Me Juliette Alibert. Bien sûr.
Audition, ouverte à la presse, de M. Benoît Darde, administrateur de Syntec Numérique
(25 février 2021)
Présidence de M. Jean-Luc Warsmann, président.
M. le président Jean-Luc Warsmann. Nous recevons aujourd'hui M. Benoît Darde, administrateur de Syntec Numérique. Il est accompagné de Mme Philippine Lefèvre, déléguée aux relations institutionnelles, et de Mme Anissa Kemiche, chargée des affaires européennes.
Syntec Numérique est une organisation professionnelle rassemblant des entreprises de services du numérique, des éditeurs de logiciels et des sociétés de conseil en technologies. Syntec Numérique regroupe plus de 2 000 entreprises adhérentes, qui représentent environ 90% du chiffre d’affaires de ce secteur d’activité.
Nous souhaitons échanger avec vous sur la façon dont l’écosystème du numérique perçoit la problématique de la souveraineté numérique. Nous sommes évidemment intéressés par votre regard et vos propositions sur la meilleure façon de soutenir le développement de cet écosystème. Nous souhaiterions également aborder le sujet de la numérisation des entreprises françaises, qui constitue un impératif important pour que nos entreprises tirent le meilleur profit de la révolution numérique tout en conservant la maîtrise de leur destin numérique.
M. Philippe Latombe, rapporteur. Je souhaite vous interroger sur trois points en particulier.
J’aimerais d’abord que vous nous indiquiez ce que recouvre, pour vous, la notion de souveraineté numérique. Ce concept fait l’objet d’une attention croissante de la part des pouvoirs publics, notamment depuis la crise sanitaire. Au cours de nos auditions, nous avons eu l’occasion de recueillir plusieurs définitions de cette notion très large, que certains rapprochent parfois d’une forme d’autonomie stratégique ou décisionnelle. J’aimerais donc savoir comment, en votre qualité de représentant d’une partie de l’écosystème des entreprises du numérique, vous appréhendez cette notion.
Je souhaiterais ensuite vous entendre sur la situation actuelle des entreprises du numérique. J’aimerais notamment savoir comment elles appréhendent cette crise sanitaire qui dure et quelles sont leurs anticipations pour les prochains mois. J’aimerais également vous interroger sur le niveau de maturité de l’écosystème du numérique français et sur ses attentes vis-à-vis des pouvoirs publics. Quels sont, selon vous, nos forces, nos faiblesses et les leviers d’action prioritaires à mobiliser ? Nos précédentes auditions ont fait apparaître des points clés, comme par exemple le rôle de la commande publique, en particulier à destination des petites et moyennes entreprises (PME). Je souhaiterais savoir si vous identifiez d’autres points sensibles et prendre connaissance de vos propositions pour accélérer le développement des entreprises du numérique dans les prochaines années.
Enfin, je souhaiterais vous entendre sur les différents projets à l’œuvre au niveau européen dans le domaine du numérique, notamment avec le Digital Services Act ou le Digital Markets Act. Ces projets vous paraissent-ils adaptés aux défis que nous devrons affronter ces prochaines années ? Formez-vous des attentes spécifiques sur ces textes, que vous souhaiteriez partager avec nous ?
M. Benoît Darde, administrateur de Syntec Numérique. Je suis partner et membre du comité exécutif de la société Wavestone. Par mes activités de conseil, j’accompagne mes
clients, depuis un peu plus de vingt-cinq ans, dans leur transformation numérique. Je suis également administrateur au sein de Syntec Numérique, où je suis chargé notamment d’animer la communication sur le secteur et le marché du numérique. Je préside par ailleurs la commission des relations institutionnelles de Syntec Numérique.
J’ajouterais quelques points à votre brève introduction de Syntec Numérique. Nos 2 000 entreprises adhérentes représentent environ 57 milliards d’euros de chiffres d’affaires en France et 80% des entreprises du secteur du numérique. Elles regroupent un panel d’entreprises varié : des entreprises de services, des entreprises d’édition de logiciels et des entreprises de conseil en technologies. Elles se composent d’une trentaine de très grands comptes, de 150 entreprises de taille intermédiaire (ETI) ainsi que d’un maillage très fin de mille PME, mille start-up et très petites entreprises (TPE) sur tout le territoire. Nous couvrons ainsi l’écosystème sur ses différents métiers et dans ses différentes tailles, et prenons connaissance de ses différents besoins et préoccupations.
Nous espérons que vos travaux permettront de clarifier les débats autour du terme de souveraineté numérique et d’apporter des propositions permettant de renforcer l’écosystème numérique français et européen.
La souveraineté suppose à mon sens trois choses : tout d’abord, un support de financement, ensuite, un cadre réglementaire, et, enfin, des opérations de formation et d’attractivité sur les sujets de la transformation numérique.
La souveraineté suppose tout d’abord un support de financement : comme dans tout projet public ou privé, les ambitions et les lignes stratégiques de développement doivent être soutenues par des moyens. Nous devons déclencher la capacité à encourager davantage l’investissement public et privé vers des technologies de pointe, choisies comme des cibles majeures pour la France et l’Europe, ainsi que vers des sujets plus généraux comme la cybersécurité.
La souveraineté soulève également un sujet d’ordre réglementaire. Disposer d’un écosystème européen fort dans le domaine du numérique suppose de pouvoir mettre l’ensemble du marché européen à disposition de notre écosystème et de construire la capacité de nos acteurs à recourir au marché européen le plus facilement possible. Le marché européen représente environ 500 millions d’habitants : en ce sens, il constitue un bien meilleur terrain de jeu que chaque marché domestique. Plus nous donnerons la possibilité à nos entreprises de se développer rapidement sur l’ensemble du marché européen, plus nous verrons émerger de grands acteurs qui concourront à notre autonomie, à notre performance et donc à notre souveraineté dans le monde du numérique.
Enfin, la formation constitue un vecteur essentiel de souveraineté. Des plans de reconversion importants, intervenant au cours de l’évolution des parcours professionnels des personnes, peuvent amener de nouvelles compétences dans le domaine du numérique. Nous devons également construire l’attractivité du secteur auprès des futures générations. Certaines avancées ont eu lieu en la matière ces dernières années, mais nous devons aller plus loin dans l’attractivité des activités du numérique.
Les États et l’Europe doivent donc continuer à investir dans les nouvelles technologies et favoriser l’accompagnement de tous les secteurs – car le numérique n’est pas seulement constitué par les entreprises que Syntec Numérique représente : le numérique concerne toutes les entreprises. Il faut absolument accompagner la transformation dans tous les secteurs et pour toutes les tailles d’entreprises. Il convient également de répondre à un certain nombre de défis au sujet du numérique, notamment en matière d’inclusion, de mixité et de transition
écologique. Toutes ces conditions garantissent notre propre souveraineté technologique et numérique, et permettront de faire émerger et d’installer durablement des acteurs européens clés qui constitueront des alternatives aux acteurs actuellement en place dans le monde du numérique.
Je répondrai maintenant aux questions que vous avez posées. Je commencerai par faire un point sur la situation actuelle des entreprises du numérique. Le secteur du numérique représente environ 57 milliards d’euros de chiffres d’affaires. Il a connu une très forte croissance ces dernières années, se situant entre trois à cinq points de croissance annuelle. Il a généré un nombre important d’emplois : il a permis 175 000 créations nettes d’emplois ces dix dernières années, dont 23 000 créations en 2019, selon les données statistiques de l’emploi de l’Agence centrale des organismes de sécurité sociale (ACOSS). Ce secteur connaît donc une importante dynamique de croissance, alimentée par les activités du numérique, les réseaux sociaux, les technologies mobiles, les problématiques d’analytique, de cloud et de sécurité.
Nous rassemblons ces problématiques tractant une forte croissance sous le terme de SMACS (acronyme de Social – Mobility – Analytics – Cloud & Security).
Les difficultés, suite à la crise sanitaire, sont réelles. Puisque le numérique a été essentiel pour le télétravail, l’idée s’est répandue dans l’imaginaire collectif que le secteur passait au travers de la crise sanitaire sans encombre, voire en en retirant des contributions positives. Cela n’est pas du tout le cas. Nos prévisions établissaient un taux de croissance d’un peu moins de 5% pour l’année 2020 : en réalité, nous sommes en décroissance de 4,6%. Nous prévoyons un redécollage extrêmement léger, de l’ordre de 1%, de l’ensemble de notre secteur en 2021.
Les fonctionnements diffèrent à l’intérieur du secteur. L’édition de logiciels a plutôt bien résisté à la crise : elle ne connaît pas de décroissance, mais a maintenu un taux de croissance flat pendant l’année 2020. Elle repartira plus fortement que les autres en 2021, avec une perspective au-delà de 3% de croissance – cette perspective est inférieure à la dynamique de la croissance de l’édition de logiciels, qui se situait autour de 6% l’année précédente. Les activités des entreprises de services numériques connaîtront une légère reprise de la croissance l’année prochaine. Enfin, les entreprises de conseil en technologies ont été les plus durement touchées pendant l’année 2020 : elles ont subi une baisse d’activité de 7 %. Cela s’explique par le fait qu’elles servent énormément les secteurs de l’aéronautique et de l’automobile, qui ont été durement impactés par la crise sanitaire. En conséquence, nos entreprises de conseil en technologies, sous-traitantes de ces industries, ont été fortement touchées. Leur situation devrait encore être décroissante l’année prochaine.
Évidemment, nous ne sommes pas aussi touchés que l’aéronautique, l’automobile, l’hôtellerie ou la restauration. Néanmoins, nous subissons un réel impact de la crise. Nous sommes passés d’une situation de croissance soutenue à une décroissance structurante au cours de l’année 2020. Nous espérons une reprise aux alentours de 1% en 2021, mais ces perspectives de croissance sont encore assujetties aux évolutions de la crise sanitaire.
J’en viendrai maintenant à la définition de la souveraineté numérique. Nous devons dépasser les débats manichéens. Il est essentiel que l’Union européenne dispose d’un cadre réglementaire propice au développement d’un leadership technologique européen à portée mondiale, tout en préservant son attractivité pour des investissements étrangers, afin d’exploiter des capacités d’innovation qui proviennent d’autres pays que les pays européens.
Le terme de souveraineté technologique, sur la définition duquel tous les États européens ne se sont pas encore alignés, devrait, à notre sens, renvoyer à l’ambition de retrouver la compétitivité de nos économies. Cela demande d’investir massivement dans les individus et dans les compétences en matière de technologiques numériques. Cette ambition de servir des
économies compétitives au niveau mondial suppose d’investir massivement dans la recherche européenne, pour lui permettre de trouver des débouchés industriels et pour disposer d’un marché européen qui constituera la première base d’émergence et de passage à l’échelle pour les entreprises du secteur.
Nous pensons qu’il faut saisir l’opportunité ouverte par la stratégie numérique de la Commission européenne. Cette stratégie vise à créer les conditions favorables à l’innovation en Europe sans tomber dans le piège du protectionnisme. Il ne faut pas priver les entreprises de leurs perspectives de développement à l’international au-delà des frontières européennes, ni priver les entreprises de pouvoir recourir à des technologies provenant d’autres périmètres.
Le protectionnisme ne rendrait donc pas service à la compétitivité ni au développement des entreprises. Nous pensons qu’une entreprise doit développer des services avec une proposition de valeur différenciante et utiliser l’ensemble des technologies et des éléments de compétitivité à sa disposition pour procéder à sa différenciation dans son propre secteur.
L’Union européenne ne doit donc pas se fermer à la collaboration avec les autres régions du monde en matière d’innovation et de numérique. Elle ne doit pas non plus réglementer son marché et les activités de toutes les entreprises qui en sont issues. Nous ne devons pas subir de choc lourd de mise en réglementation en Europe qui restreindrait la capacité de développement de nos entreprises. Nous devons trouver un équilibre entre la coopération avec des acteurs internationaux et la capacité à fournir un marché européen pour l’ensemble des acteurs européens, tout en trouvant les moyens de répondre aux attentes des utilisateurs sur le territoire européen. Il ne faut donc pas entrer dans des débats manichéens. Il serait bon de mettre en place des règles et de veiller au respect strict de ces règles sur le marché unique, notamment en matière de distorsion de la concurrence, d’obstacles au marché du numérique et de pratiques commerciales déloyales à l’échelle européenne. Ces règles seraient respectées par tous les acteurs, y compris par les acteurs étrangers qui viendraient travailler sur le marché européen. Ces règles doivent être renforcées afin de mettre en place un environnement économique propice au développement du numérique, lequel constitue, pour nous, la clé de l’émergence d’une souveraineté technologique et numérique.
Je répondrai maintenant à votre question sur le niveau de maturité des entreprises françaises, leurs forces et leurs faiblesses. Si l’on veut créer des champions numériques européens, nous devons continuer à penser en écosystèmes. Il ne faut pas comprendre la souveraineté technologique comme une logique de fabrication de produits de souche européenne, qui seraient constitués à 100% de sujets de souche européenne. Cela n’est pas faisable. À titre d’exemple, nous sommes en train de mettre en place un certain nombre d’investissements publics dans le domaine de l’informatique quantique afin de pouvoir disposer d’un ordinateur quantique opérationnel. Être détenteur d’une telle technologie représente un axe stratégique extrêmement important en termes de souveraineté technologique, c’est-à-dire d’autonomie. Pour autant, il n’est pas nécessaire que cet ordinateur soit constitué de composants exclusivement européens de souche. En revanche, nous devons être autonomes dans notre capacité à sourcer les composants dont nous avons besoin pour intégrer cet ordinateur quantique. L’autonomie dans la fabrication des batteries de véhicules nécessite, elle aussi, d’étudier l’ensemble de la filière d’extraction des minerais, et du cobalt notamment. L’autonomie dans la fabrication de l’ordinateur quantique se mesure, de la même manière, par notre capacité à disposer de plusieurs filières de fournitures de pièces électroniques comme les microcontrôleurs. Cela est une manière d’éviter d’être lié et menotté à un seul fournisseur. Créer une autonomie stratégique et une souveraineté technologique suppose donc de se doter de capacités différenciantes sans avoir besoin de tout monter par soi-même. Nous devons donc regarder où se situe notre différence, puis maîtriser notre sourcing, c’est-à-dire notre capacité à diversifier nos sources d’approvisionnement.
Nous devons également apporter aux écosystèmes la maîtrise des données sensibles. Il est légitime, pour certaines données, d’avoir recours à des solutions qui proposent des protections supplémentaires en matière d’hébergement, de chiffrement ou même de protection juridique. Cela doit passer par des capacités d’encadrement ainsi que par des services de sécurisation technologique et juridique pour installer ces données particulièrement sensibles, qu’elles soient publiques ou privées.
M. Philippe Latombe, rapporteur. Que sont les données sensibles pour vous ?
Parlez-vous des données sensibles au sens du Règlement général sur la protection des données (RGPD), ou cela va-t-il au-delà ? Quelles données devons-nous garder grâce à une protection juridique et technologique suffisante pour éviter leur fuite ?
M. Benoît Darde. Notre compréhension des données sensibles va au-delà de celle du RGPD. Une entreprise travaillant sur sa stratégie et ses éléments différenciateurs dispose d’informations confidentielles et de secrets industriels. Il revient donc à chacune de nos entreprises ainsi qu’à nos administrations de définir les données et les savoirs qu’il faut absolument protéger. Il est nécessaire d’obtenir, pour ces données, des conditions de traitement et d’hébergement qui permettent aux entreprises et aux administrations de garder un avantage compétitif dans chacun de leurs secteurs d’activité. Les données sensibles recouvrent donc un spectre assez large. Elles ne peuvent pas être définies immédiatement : il faut les définir au cas par cas, selon les entreprises et les usages.
La capacité à maîtriser les traitements et l’hébergement des données varie en fonction des structures. À titre d’exemple, une start-up de trente personnes est en train de développer une solution extrêmement pointue et innovante dans une biotech, nécessitant l’exploitation de données d’analyses, mais sa capacité à définir les conditions d’hébergement et de sécurisation de son environnement est faible. Comment garantir à cette start-up de bien protéger son asset, c’est-à-dire son différenciateur ? L’écosystème est intéressant car il permet de disposer de capacités et d’apporter des garanties à ce sujet à un certain nombre d’entreprises.
À ce titre, GAIA-X définit des modèles avec des protocoles technologiques et juridiques qui proposent des solutions pour garder les secrets des entreprises. Il revient ensuite à chaque entreprise et à chaque administration de définir ses données sensibles. Nous ne pouvons pas définir une donnée sensible ex nihilo pour tous. Une réglementation, secteur par secteur, pourrait contribuer à définir des sets de données sensibles, mais je suis méfiant quant à l’idée de légiférer sur ce qu’est une donnée sensible, car une telle définition serait sujette à des interprétations très complexes à traiter ensuite par les entreprises.
M. Philippe Latombe, rapporteur. Pensez-vous que les entreprises françaises sont suffisamment conscientes de la valeur des données comme actifs ou assets ? Sont-elles suffisamment informées des risques de sécurité dont elles doivent se prémunir ? Où en est le niveau de maturité des entreprises en la matière ? Je ne parle pas seulement des entreprises innovantes ou des entreprises du numérique, mais bien de l’ensemble des entreprises. Toutes les entreprises sont en effet concernées par les secrets industriels et les secrets de fabrication.
Pensez-vous que les entreprises sont aujourd'hui conscientes de la nécessité de protéger leurs données et leurs savoir-faire ?
M. Benoît Darde. La prise de conscience de l’importance du sujet a beaucoup progressé sur le temps récent. Les cas de fuites de données, qui sont relatés quasiment quotidiennement depuis l’obligation de les divulguer décidée par le RGPD, montrent bien l’importance des données. La prise de conscience est donc aujourd'hui réelle.
En revanche, la maturité nécessaire pour savoir comment réagir et comment se prémunir face à ces risques est encore faible. La complexité de ces sujets est forte et la maturité des entreprises en la matière est encore faible. Dans certains épisodes très récents de fuites de données comme SolarWinds ou Centreon, les attaques ont été introduites par des composants logiciels édités par des fournisseurs de solutions et des éditeurs de logiciels. Ces fournisseurs et éditeurs sont attaqués et, sans le savoir, embarquent un code malveillant dans leurs produits.
Les clients achètent à ces éditeurs une solution de comptabilité et, quand ils l’installent, ouvrent sans le savoir une faille de sécurité dans leur système. Les acteurs du numérique sont donc conscients que la protection de leurs données est un sujet complexe et important, et qu’il faut absolument, demain, mieux protéger leurs produits, mais leur compétence en cybersécurité n’est pas au niveau de celle des attaquants. À titre d’exemple, la capacité d’une petite entreprise ou d’une start-up élaborant une solution de vidéoconférence à se protéger face à des entreprises criminelles est faible.
L’écosystème a donc encore du travail à faire en la matière. Les travaux avec l’Agence nationale de la sécurité des systèmes d'information (ANSSI) doivent être poursuivis. Les investissements en faveur de l’écosystème cyber doivent être renforcés, qui permettront de passer à 40 000 emplois dans le secteur – à ce sujet, nous sommes complètement en ligne avec les objectifs décidés par le Président de la République. Mais cela va prendre du temps.
Nous appelons à disposer de labellisations et de certifications pour apporter de la compétence. Ainsi, les logiciels mis sur le marché qui auront passé un certain nombre de tests bénéficieront d’un label qui garantit la confiance dans le produit. Pour fonctionner, l’économie numérique a besoin de reposer sur de la confiance. Si l’on perd la confiance, on perdra des points de performance dans le développement du numérique, et donc dans l’économie globalement, car le numérique concerne toutes les entreprises. Nous devons absolument travailler à augmenter cette confiance, à mettre en place des systèmes de labellisations et de certifications, et à faire émerger des normes et des standards forts au niveau européen, qui pourront compter mondialement. La normalisation est un sujet central dans la souveraineté technologique de demain. La Chine suit de près ce qui se passe en la matière, s’attache à prendre des positions auprès de tous les acteurs internationaux de normalisation de technologies, voire influence la construction de ces normes. Nous devrions aussi mener ce travail, collectivement et en écosystèmes. Nous devons accompagner l’émergence de normes et de standards européens en matière technologique, pour qu’ils soient alignés avec les pratiques commerciales et de concurrence que nous souhaitons.
Pour conclure, les entreprises sont conscientes des risques, mais elles n’ont pas la maturité nécessaire pour y faire face. Et plus les entreprises sont petites, moins elles sont conscientes de ces risques. La maturité collective en la matière, toutes entreprises confondues, est donc encore faible.
M. Philippe Latombe, rapporteur. Vous avez abordé les enjeux d’éducation dans votre propos liminaire. Quel serait, selon vous, le bon niveau d’éducation en matière de numérique ? Quel socle commun devrait être présenté aux enfants à l’école, et jusqu’à quel âge ? Dans l’enseignement primaire et secondaire, que devrions-nous faire qui manque aujourd'hui ? Quelles sont vos préconisations ou vos pistes sur ce sujet ?
M. Benoît Darde. Nous pensons que notre offre de formation actuelle est de qualité.
Elle a évolué de manière très positive. J’en veux pour exemples la création de l’enseignement des sciences numériques et technologiques en classe de seconde générale, la spécialité du numérique et des sciences informatiques en classe de première et en terminale dans les lycées généraux, et la filière mathématiques, physique, informatique et ingénierie (MP2I) dans les classes préparatoires aux grandes écoles. Beaucoup d’avancées ont eu lieu. La capacité de
formation pour le secteur des métiers du numérique, de l’ingénierie et du conseil est satisfaisante. Nous considérons que l’offre est suffisante, à la fois en termes de contenus et de capacités de formation.
En revanche, l’attractivité est insuffisante. La promotion de ces parcours de formation et des métiers du numérique doit être amplifiée. Nous menons des actions, organisons des événements appelés les Day-Click, nous intervenons dans les forums métiers des écoles. Il faut augmenter ces actions et leur accorder beaucoup plus de moyens, et des moyens qui soient modernes et « catchy » (accrocheurs en français). J’ai vu la dernière vidéo sur les problématiques de cybersécurité inspirée de la série « Le bureau des légendes ». Il faut communiquer sur les réseaux sociaux et montrer à quel point les sujets du monde du numérique sont intéressants et ambitieux. Il faut également expliquer que ces métiers ne sont pas dédiés aux titulaires d’un bac+5 et qu’ils ne sont pas seulement destinés aux hommes. Des moyens doivent donc être déployés pour l’attractivité du numérique – c’est là que le plus grand travail reste à faire. Beaucoup d’initiatives existent à ce sujet, et nous avons tout intérêt à les amplifier.
Je salue le programme Femmes du numérique et la fondation Femmes numériques, qui travaillent à faire évoluer les stéréotypes de genre sur le marché de l’informatique et de l’ingénierie en informatique. Nous devons absolument atteindre les différents publics : cela comprend évidemment les jeunes, mais aussi leurs parents. Nous devons travailler à des communications qui les « percutent ». À titre d’exemple, je trouve la communication de l’armée, sur ses métiers, extrêmement intéressante. Nous pourrions nous en inspirer et rendre le monde du numérique, ainsi que le sujet de la cybersécurité, extrêmement attractifs. La cybersécurité n’est pas seulement le stéréotype du garçon en sweat à capuche dans une pièce sombre, assis devant son ordinateur à coder. Faire évoluer cette perception constitue un vrai enjeu.
Cela passera également par la formation et la promotion de l’usage de certains composants numériques pour toute la population. Un classement récent montrait que la France se situait à la 15e
place de l’indice 2020 relatif à l’économie et à la société du numérique (DESI). Trop peu de personnes se distinguent, par leurs compétences, dans les technologies du numérique. Je constate que beaucoup de très bons élèves, et notamment les filles, optent pour des parcours dans la santé et fuient le monde du numérique par mécompréhension. Or le numérique est essentiel dans les sciences de santé de demain.
En matière de formation, l’enjeu principal, à mes yeux, est donc de changer l’image du numérique, de montrer qu’il sera demain un des principaux pourvoyeurs d’emplois et que les femmes pourront y être indépendantes, avec des activités bien rémunérées car créatrices de grande valeur.
M. Philippe Latombe, rapporteur. Quel est, selon vous, le rôle de l'État dans le soutien de l’ensemble de la filière du numérique ? À titre d’exemple, la commande publique constitue-elle aujourd'hui un relais suffisant pour les entreprises du numérique ? Des éléments doivent-ils être améliorés ? L’État devrait-il prendre conscience de certains enjeux à ce sujet ?
M. Benoît Darde. Les pouvoirs publics ont pris le parti d’encourager le développement de l’écosystème en France et en Europe. Nous le voyons par un certain nombre d’annonces et de décisions.
L’action des pouvoirs publics, et notamment leur capacité d’investissement, doit encourager l’émergence d’écosystèmes qui va créer un marché et une économie. Le numérique n’a pas besoin de subventions : il a besoin de marchés et d’opportunités de business. La puissance d’investissement des pouvoirs publics doit donc faire émerger ces éléments d’écosystèmes et les appuyer dans leur lancement.
Des initiatives d’investissements et d’aides au lancement de ces écosystèmes sont intéressantes. Les verticaux de données sectorielles, par exemple, seront très importants : il est intéressant de poursuivre cette approche portée par GAIA-X. D’autres initiatives doivent être soutenues : l’accès à une donnée partagée et en libre circulation sur notre marché européen, l’innovation dans le domaine de la santé, l’accélération de la stratégie en matière de 5G, les offres de solutions d’intelligence artificielle. Orienter la puissance d’investissement public, mixée à des capacités d’investissement privé, sur ces sujets serait le bon moyen de permettre à ces écosystèmes de créer leurs marchés, leurs différentiations et in fine d’apporter une valeur économique ajoutée en Europe.
Cela nécessite également de faciliter les liens entre la recherche publique et la recherche privée, et de faire en sorte que la recherche débouche sur des projets industriels.
Nous devons absolument faire en sorte que tous les acteurs – c’est-à-dire les start-up, les PME, les ETI – soient présents dans ces travaux de recherche. Nous devons aller chercher l’émergence des écosystèmes. L’Aerospace Valley en Midi-Pyrénées incarne la rencontre entre le public et les différentes structures privées. Cela crée, au fil du temps, des solutions différenciantes qui vont trouver leur marché et pouvoir se développer.
Il importe aussi, à notre sens, que ces initiatives soient coordonnées au niveau européen. La particularité du numérique est qu’il n’a pas de frontières. Les frontières au sein de l’Europe pourraient donc constituer des freins au développement de ces écosystèmes. Si une entreprise doit s’adapter à une réglementation différente dans chacun des 27 pays, elle peinera à trouver un espace assez large pour se développer. Le Règlement européen sur la libre circulation des données participe de cette démarche et nous soutenons totalement ce texte.
L’échelon européen nous semble également intéressant pour mobiliser des financements conséquents. Certains sujets d’un plan industriel et technologique européen requerront de très lourds financements. Ainsi, il est éclairant d’étudier les financements accordés dans d’autres régions du globe. Après avoir investi 250 millions de dollars dans le développement d’un ordinateur quantique, les États-Unis ont investi à nouveau 1,2 milliard de dollars sur les cinq prochaines années pour appuyer la capacité de développement de cette technologie. La Chine vient également d’investir près de 240 millions d’euros en la matière.
Cela représente de très grands budgets. Nous devons utiliser l’échelon européen afin de définir des axes stratégiques et de dédier nos capacités financières à faire émerger le bon écosystème.
Cela nous garantira ainsi d’être présents et d’être souverains dans cette technologie en Europe.
S’agissant de la commande publique, nous constatons que la commande des collectivités territoriales et des administrations est peu ouverte aux start-up, aux PME et aux ETI. Les grands marchés sont souvent contractualisés avec les plus grandes structures, et les petites structures sont, par la suite, sous-traitantes de ces grandes structures. Nous le constatons dans l’activité de nos membres : les plus grandes entreprises de services du numérique « décrochent » les marchés publics, puis contractualisent avec des sous-traitants. Cela n’est pas récent. Les petites structures, dans leur développement, doivent intégrer un facteur d’innovation et un facteur différenciant particuliers. Les grandes structures ont évidemment, elles aussi, une capacité à l’innovation. Mais nous aurions tout intérêt à ce que la commande publique soit plus ouverte aux acteurs de plus petite taille. Parmi nos adhérents, 2 000 entreprises sont des PME ou des entreprises de taille inférieure. Leur ouverture vers les marchés publics est très faible. Cela mériterait d’être corrigé à l’avenir.
M. Philippe Latombe, rapporteur. Quelle en est la raison, selon vous ? Les directeurs des systèmes d’information (DSI) dans les collectivités territoriales et les administrations ne sont-ils pas suffisamment informés ? Ou bien cela s’explique-t-il par le fait que les grandes structures pratiquent l’entrisme ou proposent des solutions intégrées et globales ?
M. Benoît Darde. À mon sens, la principale raison tient au code de la commande publique, qui impose des protocoles d’achats lourds à mettre en place. Puisque les protocoles sont lourds, les administrations et leurs DSI préfèrent sûrement mettre en place un protocole d’achat unique et global sur un large périmètre. Cela oriente forcément leurs choix vers des grands acteurs. Si la capacité d’achat des acteurs publics était moins contrainte par de lourds protocoles, la distribution des flux de la commande publique vers un plus grand nombre d’acteurs serait, à mon sens, largement facilitée.
M. Philippe Latombe, rapporteur. À l’inverse, les petites et moyennes entreprises n’ont-elles pas trop peu l’habitude de se regrouper et de travailler en consortium pour répondre de manière collective et globale à ce type d’appels d’offres ? Cela ne marche-t-il pas dans les deux sens ?
M. Benoît Darde. Cela est un bon point. Je trouverais intéressant que l’on trouve des appels à consortiums dans les appels d’offres, et que les acteurs aient cette capacité à se regrouper dans la préparation de leurs réponses. Mais il est très compliqué de faire en sorte qu’un certain nombre de petites structures réussissent à monter un consortium. Les règles en matière de concurrence imposent qu’il n’est pas possible de se mettre d’accord en amont sur la manière dont les activités du marché seront partagées. Un certain nombre de contraintes pèsent sur les appels d’offres, qui risquent de faire considérer les accords entre les membres du consortium comme des ententes. La réponse en consortium est donc également complexe dans sa mise en œuvre. Le plus simple est ainsi que les acteurs de grande taille répondent à l’appel d’offres, puis recourent à une sous-traitance. Mais cela n’aide pas le développement des plus petites structures, car la prime aux marchés publics revient toujours aux acteurs de grande taille.
M. Philippe Latombe, rapporteur. Je comprends que le consortium n’est pas forcément la solution la plus simple ; l’allotissement l’est bien davantage.
Vous employez, depuis le début de l’audition, le terme d’« écosystème ». Pensez-vous que les start-up et les entreprises du numérique ont aujourd'hui la capacité de discuter entre elles de leurs innovations et de leurs orientations, qu’elles s’entraînent mutuellement pour aller plus loin, pour créer une émulation ? Les écosystèmes accueillent-il des discussions qui permettent une mobilisation globale ? Ou, au contraire, le secteur fonctionne-t-il avec des entreprises indépendantes qui protègent leurs activités individuelles ? En bref, pourrait-on facilement atteindre l’interopérabilité ?
M. Benoît Darde. Tous les éléments sont en place pour atteindre l’interopérabilité.
J’en veux pour preuve les initiatives en faveur de la création d’un cyber campus, c’est-à-dire un lieu de vie pour cet écosystème et ses entreprises. Mon entreprise de conseil en cybersécurité fait partie du projet de cyber campus. Nous n’avons aucun problème à partager nos visions sur l’évolution de la cybersécurité. Notre manière de coopérer, notre capacité à amener les bonnes compétences au bon moment et au bon endroit feront la différence. Bien sûr, la concurrence existe entre nos acteurs, mais il y a aussi beaucoup de complémentarité.
La cybersécurité n’est pas possible sans les éditeurs de logiciels, sans les acteurs de conseil, sans les entreprises de services du numérique, sans les entreprises de conseil en technologies.
Nous avons besoin de tout le monde. Cet écosystème échange beaucoup. Je suis témoin des discussions nourries qui ont lieu au sein de la commission des relations institutionnelles de Syntec Numérique. Tous les acteurs y sont réunis, nous discutons des évolutions réglementaires et nous étudions comment ces évolutions ouvriront des chemins propices pour le développement de l’écosystème numérique. Je ne vois pas d’incompatibilité a priori.
Mais il faut initier cette dynamique, et cela n’est pas si simple. L’initiative cyber campus va dans ce sens : elle nous aide à nous rencontrer, à être ensemble et à étudier comment dégager des pistes de développement encore plus pertinentes. Grâce au cyber campus, nous serons plus forts ensemble en France pour nous développer à l’international.
M. Philippe Latombe, rapporteur. Faudrait-il développer le concept du cyber campus à l’échelle européenne ?
M. Benoît Darde. Oui.
M. Philippe Latombe, rapporteur. Pour vous, quelle est la bonne échelle ? Est-ce celle du cyber campus européen ?
M. Benoît Darde. La création du cyber campus est France est une excellente première étape. Je pense qu’il faut avancer par étapes, plutôt que de viser tout de suite trop haut et d’échouer. Nous avons besoin de pragmatisme. Il ne faut pas sous-estimer les barrières linguistiques et culturelles en Europe. Nous nous en rendons compte, dans nos entreprises, dans nos propres développements à l’international. Nous devons faire les choses par étapes.
Mais il faut viser la coopération à l’échelle européenne, demain ou après-demain.
M. Philippe Latombe, rapporteur. Souhaitez-vous évoquer un sujet sur lequel nous n’avons pas encore échangé ?
M. Benoît Darde. Oui, je souhaiterais aborder le Digital Services Act (DSA) et le Digital Markets Act (DMA). Nous considérons que ces règlements européens ambitieux sont très bienvenus. Il est très positif de créer un espace de confiance pour les usagers et de savoir proscrire des contenus illicites. Nous sommes complètement partisans de cette approche. Ces règlements encouragent la concurrence tout en reprenant les éléments clés de la directive sur le e-commerce, comme le pays d’origine et la non-obligation de contrôler tous les contenus par les hébergeurs. Ces principes sont très bien repris de la directive sur le e-commerce, qui a fait ses preuves ces dernières années.
Nous retenons néanmoins quelques sujets d’attention dans la mise au point de ce règlement : par exemple, la description du champ d’application et des critères de classification des différents acteurs. Ces aspects sont encore trop flous à notre sens. La Commission a donc encore un peu de travail à réaliser avant la finalisation de ces règlements, dans quelques mois.
Nous sommes attentifs à ces travaux, car certaines définitions sont encore beaucoup trop sujettes à interprétation ou renvoient à d’autres textes, eux-mêmes en cours de révision, ce qui limite la capacité d’application et de contrôle de ces textes. Nous serons également contributeurs et vigilants à la gouvernance du DSA et du DMA. Cette gouvernance permettra de faire évoluer les critères, et nous devons nous assurer que cette évolution est bien maîtrisée et cohérente. Nous gardons donc quelques points d’attention, mais nous considérons très bienvenu le renforcement de la réglementation.
Je souhaite également aborder la fiscalité et le financement du numérique. Le sujet de la fiscalité du numérique doit être traitée au niveau de l’Organisation de coopération et de développement économiques (OCDE). Il faut porter une solution globale. Nous ne sommes pas partisans des solutions nationales, même si celles-ci peuvent constituer une première étape.
Nous ne sommes pas favorables aux solutions nationales car l’existence de fiscalités particulières en France peut constituer une barrière à l’entrée pour nos propres entreprises nationales. Cela peut créer des handicaps compétitifs pour les entreprises françaises.
S’agissant du financement, nous considérons qu’il faut continuer à encourager l’innovation dans le numérique et les technologies. Tous les dispositifs fiscaux existants tels que le statut de jeune entreprise innovante, le crédit d’impôt en faveur de la recherche, le crédit d’impôt en faveur de l’innovation, doivent être stabilisés. Ces dispositifs doivent perdurer.
Nous devons également recentrer le crédit d’impôt en faveur de la recherche vers les TPE et les PME. En ce sens, nous proposons de supprimer l’agrément fiscal du crédit d’impôt recherche, qui permet la restitution du crédit d’impôt recherche aux sous-traitants. Un certain nombre d’acteurs innovants du numérique sont sous-traitants de grandes entreprises et restituent leurs droits au crédit d’impôt recherche à leurs clients. Or ce sont bien eux qui innovent. Cela est surtout vrai pour les TPE, les PME voire les ETI. Nous demandons donc que ces petites structures puissent faire leur propre déclaration de crédit d’impôt recherche et obtenir des aides leur permettant de poursuivre leur développement. Ce point d’adaptation nous paraît intéressant. Notre écosystème technologique est aussi animé par les petites structures qui se lancent dans une démarche entrepreneuriale et qui sont génératrices de valeur et d’innovation. Le financement doit donc également leur revenir à elles, en direct.
M. Philippe Latombe, rapporteur. Est-ce une position majoritaire et unanime au sein de Syntec Numérique ?
M. Benoît Darde. C’est la position de Syntec Numérique, et c’est un consensus. Ce débat ne se joue pas entre les entreprises membres de Syntec Numérique. Cette position s’entend vis-à-vis des clients. Les entreprises clientes sont, par exemple, de grandes entreprises de certains secteurs. Elles cherchent la restitution du crédit d’impôt recherche par leurs sous-traitants qui sont, eux, des acteurs du numérique. Les plus grands acteurs du numérique réussissent à dire non ; les plus petites structures ne peuvent pas dire non.
Mme Amélia Lakrafi. Je suis absolument d’accord avec M. Benoît Darde sur ce sujet.
Ma question porte sur les financements européens. Quelques milliards d’euros sont consacrés à l’innovation pour tous les pays européens. Je sais que les entreprises françaises, et surtout les start-up, ont du mal à y accéder car les demandes de financements doivent être rédigées en anglais. Certaines entreprises n’ont pas les moyens de traduire en anglais un dossier de recherche très technique. Est-ce un sujet sur lequel vous avez travaillé et sur lequel vous avez formulé des propositions ? Avez-vous agi pour que les demandes de financements européens puissent être rédigées en français ?
M. Benoît Darde. Je parle sous le contrôle de Philippine Lefèvre et d’Anissa Kemiche.
Je n’ai pas connaissance d’une action que Syntec Numérique aurait menée sur le sujet.
Mme Anissa Kemiche, chargée des affaires européennes, Syntec Numérique. En effet. Nous proposons à nos adhérents un service leur permettant d’être tenus informés des financements ouverts aux niveaux européen, nationaux ou parfois régionaux. Nous menons un certain nombre de travaux et de webinaires avec la Commission européenne, Bpifrance et nos différentes délégations régionales au niveau local.
M. Benoît Darde. Le comité international de Syntec Numérique organise des partages d’expériences en matière de développement des entreprises du numérique en Europe. Un certain nombre d’entreprises viennent témoigner des difficultés qu’elles ont rencontrées et des choix qu’elles ont opérés dans leur développement. En revanche, je ne pense pas que nous ayons mené une action directe sur le point particulier de la constitution des dossiers de demande de financements.
Mme Amélia Lakrafi. Je plaide pour que nos start-up puissent monter des dossiers en français. L’Europe dispose d’un des plus grands systèmes de traduction du monde. L’Union européenne traduit tout. Pourquoi imposer à une start-up de traduire son dossier en anglais ?
M. Benoît Darde. C’est un point qui me paraît plein de bon sens, en effet.
M. Philippe Latombe, rapporteur. Je vous remercie. Si vous souhaitez apporter des compléments à nos échanges du jour, je vous indique que les contributions a posteriori seront également prises en compte.
M. Benoît Darde. Nous en prenons bonne note. Nous vous communiquerons également une contribution écrite sur tous les sujets abordés ce jour.
Audition, ouverte à la presse, de M. Nicolas Brien, directeur général de France Digitale
(25 février 2021)
Présidence de M. Jean-Luc Warsmann, président.
M. le président Jean-Luc Warsmann. Nous recevons M. Nicolas Brien, directeur général de France Digitale. France Digitale est la première association de start-up en France.
Elle a été fondée en 2012 et réunit désormais plus de 1 800 entrepreneurs et investisseurs, avec l’ambition de soutenir l’émergence de futurs champions européens du numérique.
Nous souhaitons échanger avec vous sur la façon dont les entreprises de l’écosystème du numérique perçoivent la problématique de la souveraineté numérique. Nous sommes évidemment intéressés par votre regard et vos propositions sur la meilleure façon de soutenir le développement de cet écosystème. Nous souhaiterions également aborder le sujet de la numérisation des entreprises françaises, qui constitue un impératif important pour que nos entreprises tirent le meilleur profit de la révolution numérique tout en conservant la maîtrise de leur destin numérique.
M. Philippe Latombe, rapporteur. Je souhaite vous interroger sur trois points en particulier.
J’aimerais d’abord que vous nous indiquiez ce que recouvre, pour vous, la notion de souveraineté numérique. Ce concept fait l’objet d’une attention croissante de la part des pouvoirs publics, notamment depuis la crise sanitaire. Nous avons, au cours de nos auditions, eu l’occasion de recueillir plusieurs définitions de cette notion très large, que certains rapprochent parfois d’une forme d’autonomie stratégique ou décisionnelle. J’aimerais donc savoir comment, en votre qualité de représentant d’une partie de l’écosystème des entreprises du numérique, vous appréhendez cette notion.
Je souhaiterais ensuite vous entendre sur la situation actuelle des entreprises du numérique. Comment appréhendent-elles cette crise sanitaire qui dure et quelles sont leurs anticipations pour les prochains mois ? J’aimerais également vous interroger sur le niveau de maturité de l’écosystème du numérique français et sur ses attentes vis-à-vis des pouvoirs publics. Quels sont nos forces, nos faiblesses et les leviers d’action prioritaires à mobiliser ?
Nos précédentes auditions ont fait apparaître des points clés, comme le rôle de la commande publique, en particulier à destination des petites et moyennes entreprises (PME). Je souhaiterais savoir si vous identifiez d’autres points sensibles et prendre connaissance de vos propositions pour accélérer le développement des entreprises du numérique, dans les prochaines années.
Enfin, je souhaiterais vous entendre sur les différents projets à l’œuvre au niveau européen dans le domaine du numérique, notamment avec le Digital Services Act (DSA) ou le Digital Markets Act (DMA). Ces projets vous paraissent-ils adaptés aux défis que nous devrons affronter ces prochaines années ? Avez-vous des attentes ou des points d’alerte spécifiques sur ces textes, que vous souhaiteriez partager avec nous ?
M. Nicolas Brien, directeur général de France Digitale. La souveraineté, pour nous, est assez simple : elle consiste à avoir le choix. Une personne est souveraine quand elle a le choix.
En entrant dans le détail, j’identifie un piège, qui dépend du point de vue auquel on se place pour aborder la notion de souveraineté. Parle-t-on de la souveraineté nationale ou bien de la souveraineté populaire ? J’entends par souveraineté populaire l’idée selon laquelle chaque citoyen est en capacité de faire des choix face aux grandes orientations technologiques que la révolution numérique induit dans son quotidien. Je prendrai un exemple simple : la 5G.
Les citoyens ont-ils le choix, ou du moins, ont-ils l’impression d’avoir le choix sur ces questions ? Cela est très important car le numérique est une vague technologique et elle n’est pas anodine. Elle influence notre conception de la démocratie. Nous le verrons lors de la prochaine campagne présidentielle de 2022 : le débat public a lieu de manière croissante dans le champ numérique et à travers des plateformes.
J’attire l’attention sur la souveraineté populaire en ayant recours à une référence historique. Gutenberg a inventé la presse au XVème siècle et a, de cette manière, commencé à démocratiser le livre. Jules Ferry a rendu l’instruction laïque obligatoire à la fin du XIXème siècle et a, de cette manière, démocratisé notre capacité à lire. Nous sommes exactement face au même sujet avec le numérique aujourd'hui : nous inventons des solutions numériques absolument remarquables, notamment en intelligence artificielle, mais avons-nous vraiment démocratisé la capacité des citoyens à comprendre ces solutions technologiques ? Je schématiserai de la façon suivante : en matière de numérique, nous avons connu la révolution de Gutenberg, mais nous ne connaissons pas encore la révolution de Jules Ferry. Cela pose problème du point de vue de la souveraineté populaire.
J’explorerai maintenant la problématique de la souveraineté nationale. Nous sommes confrontés à un enjeu intrigant, et pourtant pas très neuf. Avec l’émergence des géants technologiques, notamment américains, les États n’ont plus le monopole des attributs régaliens de la souveraineté comme le cadastre, le fait de battre monnaie, le monopole de la violence physique légitime, l’état civil. Il est de notoriété publique que le fisc grec préfère aujourd'hui utiliser Google Maps plutôt que son propre cadastre. Il est de notoriété publique que Facebook détient davantage de photos d’identité de chacun d’entre nous que n’importe quel service de renseignement. Sur le continent africain, l’on préfère aujourd'hui utiliser Libra plutôt que n’importe quelle autre monnaie émise par un État. Enfin, dans le cadre de la protection de la campagne électorale américaine, il est de notoriété publique que Microsoft a mené l’équivalent de cyberattaques préventives sur des acteurs étatiques russes, iraniens et nord-coréens notamment. Les acteurs privés se dotent aujourd'hui d’attributs régaliens et sont tout à fait capables de se substituer à la souveraineté nationale.
Cela n’est pas nouveau. J’aime à dire que l’on vit un moment « Compagnie des Indes orientales ». Des acteurs privés se sont, par le passé, dotés d’attributs régaliens : cela a soit très bien, soit très mal fini. Que faire face à ces compagnies des Indes numériques ? Je suis d’avis que Mark Zuckerberg finira soit président des États-Unis, soit en prison.
J’en viendrai aux préoccupations concrètes. Plusieurs problématiques liées à la souveraineté ont été posées récemment, notamment du fait des confinements et du COVID.
Nous venons de vivre, du fait des confinements, des moments d’accélération digitale sans précédents dans l’histoire de l’humanité. Ces moments d’accélération ont permis de réaliser que le roi était nu. Nous connaissons tous des exemples de décrochage scolaire en raison de la fracture numérique, d’institutions de santé qui n’ont pas pu partager les données car elles n’étaient pas équipées pour le faire, de cyberattaques contre des collectivités locales, de commerçants qui ont basculé dans le digital sans y être préparé, ou d’administrations qui n’étaient pas prêtes au télétravail.
Que fait-on maintenant ? Depuis plusieurs mois, nous nous sommes équipés avec des solutions américaines, ce qui pose problème. Nous ne l’avons d’ailleurs pas tellement fait par
choix, mais plutôt par paresse. Nous avons constaté qu’un processus grave était à l’œuvre : le désarmement technologique de l'État. L’État, les administrations, la haute fonction publique sont aujourd'hui extrêmement démunis d’un point de vue technologique. Le dernier rapport annuel de la Cour des comptes le montre très bien : des monographies sur Pôle Emploi, l’Éducation nationale et Bercy mettent en valeur la perte grave d’expertises technologiques au sein de ces administrations. Cela a un effet pervers, car cela conduit à l’externalisation de l’apport d’expertises technologiques, notamment via des contrats. Sur les 450 millions d’euros de contrats pour des prestations de conseil passés par l'État, l’immense majorité concerne des cabinets de conseil technologique. Cela se traduit de la manière suivante : dans les administrations, les personnes ne savent plus expertiser des solutions technologiques et se contentent de passer des contrats avec des intégrateurs (Capgemini, Sopra Steria, Onepoint).
Cela peut donner l’illusion, comme ces intégrateurs sont français, que l’on achète français.
Cela n’est pas du tout le cas : ces entreprises intègrent des solutions qu’ils ne produisent pas eux-mêmes et qui sont souvent des solutions sur étagère américaines. Devoteam, par exemple, est le premier intégrateur de solutions Google en France. Tout cela est dramatique. Puisque les ministères manquent d’expertises technologiques, personne n’est capable d’expertiser des solutions de start-up françaises ou européennes et de travailler à monter des consortiums et des assemblages technologiques qui pourraient permettre de résoudre un certain nombre de problèmes.
S’agissant des réglementations européennes, j’attire l’attention sur le fait qu’il ne faut pas construire de lignes Maginot numériques. Vous connaissez sûrement la plaisanterie suivante : « Les Américains innovent, les Chinois copient, les Européens régulent ». Nous ne devons pas nous contenter d’une approche défensive. Cette approche est nécessaire : nous devons rééquilibrer nos relations commerciales avec un certain nombre de géants technologiques, notamment américains et chinois. En revanche, nous avons besoin de nos deux jambes pour avancer : la jambe offensive et la jambe défensive.
Je mettrai cela en lien avec la question de la souveraineté populaire. Nous avons aujourd'hui un gros problème d’éducation et de formation : « science sans conscience n’est que ruine de l’âme ». Je vous invite collectivement à relire le rapport Villani à ce sujet, qui esquissait quelques pistes intéressantes, notamment sur l’enseignement des mathématiques et de l’algorithmique. Les élèves ne devraient pas quitter le système éducatif français sans savoir ce qu’est exactement le smartphone qu’ils tiennent dans la main toute la journée. En matière de souveraineté populaire, cela devrait être un objectif central de nos politiques afin de réarmer le citoyen.
S’agissant de la formation, la France forme les meilleurs, mais elle en forme peu. Il est très bon d’avoir des médailles Fields, des Prix Nobel, mais il ne peut pas y avoir que des ingénieurs du code. Nous avons également besoin d’ouvriers du code : il s’agit de tous ces métiers qui sont aujourd'hui délocalisés vers la Tunisie, l’Inde, la Roumanie car nous sommes confrontés à une pénurie terrible des métiers du numérique. Les quelques écoles formant ces ouvriers du code en France – Simplon, Epitech, école 42 – ne sont le fruit que d’initiatives privées. Il n’existe pas d’initiative publique en la matière. La Grande école du numérique existe certes, mais elle est arrivée trop tard. En ce sens, il me paraît essentiel de redonner ses lettres de noblesse au terme de « technologie » dans les instituts universitaires de technologie (IUT). L’apprentissage des compétences numériques est extrêmement faible dans les IUT.
Cela devrait pourtant être le canal de formation de nos ouvriers du code.
La commande publique est également fondamentale. Nous nous situons à un tournant en la matière : le plan de relance européen de 750 milliards d’euros prévoit d’allouer 20% de son budget, soit 150 milliards d’euros, à la transformation numérique. Il serait dommage que
ces 150 milliards d’euros, plutôt que de dynamiser notre écosystème de start-up européen, aillent gonfler le cours boursier des Google, Apple, Facebook, Amazon et Microsoft (GAFAM). France Digitale milite ardemment pour un Buy European Technology Act (BETA) : nous devons établir une forme de préférence européenne, ou de préférence start-up, dans la commande publique. Partout ailleurs dans le monde, il existe un lien extrêmement fort entre la commande publique et les écosystèmes d’innovation. La commande publique y est utilisée comme un levier pour développer les start-up. Nous, Européens, sommes les seuls à ne pas le faire. Cela est assez dramatique.
La loi d'accélération et simplification de l'action publique (ASAP) constitue une initiative intéressante en France. Un de ses articles prévoit de réserver une part de chaque marché public aux PME et aux artisans. Les start-up appartiennent aux PME. Il serait donc ainsi possible de flécher une part des achats publics innovants vers les écosystèmes des start-up. Cela constitue une forme de protectionnisme déguisé : il y a peu de chance pour que les start-up américaines ou malaisiennes étudient les notices de marchés publics en Europe, et ainsi ce seront vraisemblablement les start-up françaises, allemandes ou italiennes qui y répondront.
Pour conclure, il me paraît essentiel de ne pas nous enfermer seulement dans une approche défensive de régulation de l’existant. Nous devons être capables de nous développer grâce à une approche offensive et prospective, qui nous permettra de faire émerger des champions européens.
Je ferai enfin le lien avec la question de la souveraineté nationale et des attributs régaliens grâce à une métaphore historique. Si tout le monde a en tête que la Révolution française de 1789 a entraîné un changement de régime politique, peu de gens ont à l’esprit que la Révolution française a également engendré un changement de normes technologiques. Nous avons évolué des systèmes monarchistes de l’once et du pied vers le mètre et le kilogramme, des systèmes inventés par les Encyclopédistes. Dès lors, la France passera des décennies à exporter son modèle politique et ses normes technologiques, à savoir le système métrique et le kilogramme. Cela a permis à notre pays de dominer la scène scientifique internationale pendant des décennies. Aujourd'hui, les normes technologiques et scientifiques internationales sont imposées par des acteurs non étatiques américains et chinois. Si nous voulons projeter notre propre système de valeurs, nous devons être en mesure de disposer d’acteurs européens en mesure d’exporter des normes scientifiques et technologiques internationales. Cet enjeu est au cœur de la création de champions technologiques européens. Il n’est pas seulement question de créer des emplois et de réussir des levées de fonds à plusieurs centaines de millions d’euros.
La question est bien plutôt de savoir si notre continent dispose d’acteurs non étatiques capables de créer et de projeter des normes scientifiques et technologiques internationales. Les normes internationales ne sont pas neutres. Elles sont toujours enracinées dans des systèmes de valeurs. L’émergence des champions technologiques européens est au cœur de l’enjeu d’exportation de normes scientifiques internationales, et cette question doit être prise très au sérieux par nos décideurs.
M. Philippe Latombe, rapporteur. Comment vont les entreprises du numérique depuis la crise et quelles sont vos perspectives à leur sujet ?
M. Nicolas Brien. Je commencerai par évoquer le grand bond en avant digital. Nous avons beaucoup parlé, lors des confinements, de distanciation sociale. En réalité, nous avons connu une distanciation physique mais la plupart de nos interactions sociales ont basculé dans la sphère numérique. Cela a engendré une vaste accélération des usages numériques au niveau mondial. La moyenne d’âge pour l’achat sur les sites de e-commerce, par exemple, a augmenté de dix à quinze ans. Nous sommes donc indéniablement face à un grand bond en avant digital.
À qui profite donc ce grand bond en avant digital ? J’ose penser, d’abord, qu’il profite aux utilisateurs. Il y a toutes les raisons de penser que ces usages ne disparaîtront pas après le COVID. Nous allons subir une intensification des événements climatiques extrêmes du fait du changement climatique. Nous serons donc demain peut-être confinés en raison des feux de forêts ou des tempêtes de neige. Les nouveaux usages numériques développés pendant le confinement sont donc appelés à durer, voire à s’intensifier tout au long du XXIème siècle.
Comment réagit l’écosystème du numérique face à cela ? Les Américains vont bien, voire très bien : nous nous sommes tous équipés en urgence avec des solutions sur étagère et déjà à l’échelle, c’est-à-dire avec les solutions des GAFAM. L’écosystème des start-up, en revanche, réagit différemment. La crise est très injuste : une start-up opérant dans l’événementiel, le tourisme ou la restauration, sera en échec ; une start-up dans le cloud s’en sortira bien mieux. Il ne suffit donc pas d’être actif dans le numérique : il faut avoir déployé des usages numériques dans des secteurs dont les activités ont connu une accélération.
Enfin, le numérique ne se développe pas seulement dans les start-up : il concerne également les grands groupes et les administrations. Nous avons, je l’ai dit, observé en la matière que le roi était nu. Certains grands groupes du CAC40 se sont retrouvés incapables de paramétrer un réseau privé virtuel (VPN) ou d’équiper leurs collaborateurs pour le télétravail.
M. Pierre-Alain Raphan. Je reviendrai tout d’abord sur la formation et sur l’enjeu de l’acculturation aux enjeux du numérique dès le plus jeune âge. Ces aspects constituent, à mon sens, une priorité. La loi a proposé de mettre en place un permis Internet pour sensibiliser les jeunes à ces sujets. Est-il possible d’aller encore plus loin ?
Nous avons soumis hier une tribune proposant de créer des écoles du numérique dans chaque quartier prioritaire de la politique de la ville. À Grigny, dans ma circonscription, le taux de chômage s’élève à 45% chez les 15-25 ans, alors que 100 000 emplois ne sont pas pourvus dans le secteur du numérique. Nous aimerions, peut-être avec votre soutien, que les écoles comme l’école 42 et Simplon puissent ouvrir le champ des possibles pour tous.
Je souhaite par ailleurs évoquer la commande publique. Comment faire en sorte que l'État soit exemplaire dans le soutien à nos pépites ? Le gouvernement prépare une feuille de route à ce sujet. J’aimerais connaître ta vision, Nicolas, au sujet de la commande publique.
J’aborderai enfin la régulation. Nous savons que les textes du DSA et du DMA sont en préparation. Souhaites-tu relayer des propositions à ce sujet ? Peut-on proposer des régulations de l’économie de l’attention, par exemple ? S’agissant du paiement en ligne, nous savons que certains acteurs sont en abus de position dominante et empêchent l’émergence de start-up françaises. Est-il possible de discuter avec ces acteurs et ces oligopoles ? Comment nous, représentants de la nation, pouvons-nous vous aider à ce sujet ?
M. Nicolas Brien. J’ai lu avec attention votre tribune sur l’éducation. Les jeunes des quartiers populaires sont nombreux à aller en IUT ou en lycées technologiques. Le problème est que ces structures n’ont de « technologique » que le nom. Les écoles du numérique sont peut-être déjà présentes dans chaque quartier sous la forme des IUT et des lycées technologiques. Ne devrions-nous pas former nos ouvriers du code dans ces structures ? Les métiers du numérique sont en tension et cela est vraiment dommage. Du point de vue de la souveraineté nationale, cela implique que nous délocalisons ces métiers à l’étranger. Du point de la souveraineté populaire, il est essentiel de réarmer les citoyens, y compris les catégories populaires. En ce sens, l’une des décisions les plus stupides récemment prises par l’Éducation nationale a été, selon moi, l’interdiction des smartphones à l’école. Ne faut-il pas apprendre
aux jeunes à s’en servir, à les dompter, à en avoir un usage éclairé, plutôt que de faire comme si cet objet n’existait pas ?
S’agissant de la commande publique, nous avons observé à la fois un problème de compétences et un problème de conscience. Jusqu’à récemment, très peu de décideurs publics comprenaient l’intérêt des questions de souveraineté numérique. France Digitale a monté le programme France Digitale Campus pour conscientiser les décideurs publics sur ce sujet. Je souhaitais créer un institut des hautes études en souveraineté numérique (IHESN), à l’instar de l’institut des hautes études de défense nationale (IHEDN). L’IHEDN avait été créé par le général de Gaulle pour créer un consensus national parmi les élites autour du programme nucléaire français. Il me désole aujourd'hui qu’aucune structure n’existe pour créer du consensus autour des questions de souveraineté technologique. L’IHESN permettrait de faire émerger du consensus et cela est très important. La France est le seul pays dans lequel le terme de start-up nation est politisé ; il fait l’objet de clivages et de débats. Aux États-Unis, en Israël ou en Corée du Sud, personne ne remettrait en cause une forme de consensus technologique.
La formation des catégories populaires et la formation des élites sont donc toutes deux importantes.
Il est très compliqué de passer un marché public quand les start-up et les intégrateurs n’ont pas d’interlocuteur compétent et formé au ministère. Qui plus est, les marchés publics de très grande taille excluent de fait les petites entreprises. Si l’on souhaite que la commande publique s’adresse aux start-up françaises et européennes, il faut procéder à de l’allotissement.
Mais cela demande une expertise technologique très conséquente au niveau de l'État pour ensuite assembler les « briques ». Personne au sein de l'État, aujourd'hui, ne sait assembler ces briques technologiques. Comme le montre le rapport de la Cour des comptes, il y a trop peu de polytechniciens ou de data scientists dans les administrations centrales. Nous constatons donc un désarmement de l'État, qui s’en remet aux grands intégrateurs français qui lui fournissent des solutions américaines intégrées. Le cas du Health Data Hub l’illustre bien : les Américains sont entrés dans le projet par le biais d’un intégrateur français qui était titulaire d’un contrat avec l’Union des groupements d'achats publics (UGAP).
La commande publique pose donc à la fois une question de conscience – qui peut être résolue par la création d’un IHESN – et une question de compétence – qui suppose le recrutement d’expertises technologiques au sein de l'État pour permettre l’allotissement des marchés publics et la bonne utilisation des outils légaux en place. La loi ASAP en vigueur permet d’établir qu’un certain pourcentage des marchés publics innovants revient aux PME.
Si cette clause était appliquée, cela serait absolument fabuleux.
Au niveau européen, nous travaillons à pousser un Buy European Technology Act, mais nous nous heurtons au sacrosaint droit de la concurrence et à la question des aides d’État. La Commission européenne considère que le fait de privilégier les start-up ou les acteurs communautaires va à l’encontre des traités. Mais un aggiornamento est en cours s’agissant du droit de la concurrence, en raison du COVID. Nous espérons ainsi faire aboutir un certain nombre de nos demandes avant la fin du mandat d’Ursula von der Leyen. Mais nous n’avons pas vraiment le temps d’attendre, car le plan de relance va se déployer dans les dix-huit prochains mois.
Nous sommes favorables au DSA et au DMA. Ces textes donnent des outils pour rééquilibrer les relations commerciales entre les petits acteurs du numérique et les géants technologiques. Apple, par exemple, produit environ 50% des smartphones et commercialise également les applications mobiles à travers son App Store. L’entreprise adopte des pratiques commerciales extrêmement rugueuses, comme l’obligation de passer par son propre système
de paiement. Le DMA permettrait de rééquilibrer cette situation en mettant en concurrence différents systèmes de paiement au sein de l’App Store.
Ces textes vont dans le bon sens, néanmoins ils ne doivent pas nous exonérer d’une approche offensive et prospective. Celle-ci passe par l’éducation, la formation et l’orientation de la commande publique vers les start-up. Cela est absolument prioritaire. Cette approche a fait le succès de la Corée du Sud, d’Israël et des États-Unis. Les États-Unis disposent d’un copieux droit de la concurrence, mais ils ont surtout adopté une approche extrêmement offensive : celle-ci s’incarne dans l’agence pour les projets de recherche avancée de défense (DARPA), l’orientation de la commande publique, la présence d’un chief digital officer (CDO) dans chacune des administrations américaines.
Nous avons deux options pour que l'État reprenne le contrôle sur son expertise technologique. Soit l’on recrée cette expertise technologique en nommant un chief digital officer dans chaque administration et ministère – ils formeront un réseau qui permettra de pousser la transformation digitale de l'État de manière offensive. Soit l’on crée enfin une direction générale du numérique qui regrouperait la French Tech, l’Agence nationale de la sécurité des systèmes d'information (ANSSI), certaines compétences du Conseil national du numérique et de l’Autorité de régulation des communications électroniques et des postes (ARCEP) ainsi que toutes les directions des systèmes d’information (DSI) de l'État. Cette direction générale serait confiée au ministre du numérique, qui aurait enfin du pouvoir car il disposerait alors d’une administration conséquente.
M. Philippe Latombe, rapporteur. Ce point est important. Nous avons reçu en audition la direction interministérielle du numérique (DINUM). La DINUM n’est-elle pas cette direction centrale du numérique ? Que devrait-elle alors être ?
M. Nicolas Brien. Non, la DINUM n’est absolument pas cela. Aujourd'hui, l’expertise technologique est faible et éclatée. La DINUM n’est pas capable de donner des instructions au DSI du ministère de la santé, par exemple. Dans ce cas de figure, le DSI s’en remettrait directement au ministre de la santé.
Soit on décide que chaque ministère mène sérieusement sa propre transformation digitale, et on nomme alors un chief digital officer dans chaque ministère ; soit la DINUM devient une administration aussi prestigieuse et puissante que la direction générale du Trésor, et on la dote alors des moyens nécessaires en recentralisant un certain nombre de compétences aujourd'hui éparpillées.
M. Philippe Latombe, rapporteur. Vous avez évoqué le problème des compétences au sein des ministères. Pensez-vous que nous disposions actuellement des compétences suffisantes pour monter ce projet de direction générale du numérique, ou devrions-nous nécessairement les recruter à l’extérieur ?
M. Nicolas Brien. Non, nous ne disposons actuellement pas des compétences nécessaires. L’application TousAntiCovid montre bien que l'État ne sait pas fabriquer de solutions technologiques. Cet enjeu est passionnant et se pose souvent aux entreprises qui souhaitent réaliser leur transformation digitale : elles ont le choix entre buy (acheter) et make (fabriquer). Aujourd'hui, l’État ne sait pas fabriquer et il achète mal. L’on comprend alors aisément que rééquilibrer les rapports commerciaux avec les GAFAM prenne du temps. L’État se rattrape sur d’autres choses, comme la régulation. Je suis d’accord avec cette approche, mais elle ne suffira pas.
M. Philippe Latombe, rapporteur. Que pensez-vous de l’arrêt Schrems II ?
Déclenche-t-il un séisme, ouvre-t-il une nouvelle ère, ou représente-t-il au contraire un épiphénomène ?
M. Nicolas Brien. On ne peut pas mettre un tigre et un chaton dans une cage et espérer un combat égal. Cela n’est pas spécifique au numérique, mais la relation transatlantique est plutôt déséquilibrée. Je n’attendrais pas grand-chose d’une négociation avec les Américains, d’autant que l’affaire Snowden avait, elle aussi, eu lieu sous l’administration démocrate. Il ne faut pas être naïf : les Américains ont une conscience extrêmement claire de leurs intérêts, et ces intérêts ne sont pas les nôtres.
S’agissant de Schrems, la question qui se pose est la suivante : souhaitons-nous faire du protectionnisme numérique ou souhaitons-nous rééquilibrer les forces de marché dans une économie ouverte ? Pour l’instant, il me semble que l’approche adoptée est celle du rééquilibrage des forces de marché dans une économie ouverte : c’est le sens du DSA et du DMA, du droit de la concurrence ainsi que du Privacy shield. Peut-on aller plus loin ? Il me semble que nous glisserions alors dans des considérations dangereuses, comme des impératifs de localisation de la donnée. Je ne suis pas très à l’aise avec cela, ne serait-ce que pour des raisons techniques : il est toujours bon de diversifier ses hébergements, et donc, d’avoir recours à plusieurs serveurs sur plusieurs continents. Je n’ai pas d’opinion tranchée dans ce débat.
La question de l’autonomie stratégique se pose néanmoins dans le registre numérique pour une raison simple : Edward Snowden. Depuis l’affaire Snowden, nous devons arrêter d’être naïfs.
M. Philippe Latombe, rapporteur. Vous avez évoqué, dans votre propos liminaire, le besoin de construire des normes scientifiques et technologiques. L’Europe peut-elle participer à la construction de normes internationales à partir des valeurs qu’elle a développées, notamment s’agissant de la protection des données ? La protection des données constitue-t-elle un critère discriminant, de nature à créer des normes qui feront date ?
M. Nicolas Brien. Fareed Zakaria a publié un essai à la suite de la crise financière de 2008. Il y explique que le XXIème siècle sera le siècle des trois empires : américain, chinois et européen. Il avance que la seule manière pour l’empire européen de projeter sa puissance sera le droit. Les Européens ont cette capacité à se mettre d’accord à vingt-sept, puis à projeter sur le monde des normes qui ont déjà fait l’objet d’une forme de consensus. Je constate que c’est exactement ce qui s’est passé avec le Règlement général sur la protection des données (RGPD) : l’empire européen, car il est arrivé à un point de consensus à ce sujet, a exporté ses normes et ses valeurs à travers le droit. Nous n’allons évidemment pas exporter le RGPD en Chine, mais le Règlement a fait quelques incursions en Californie, et des pays tels que le Japon et le Brésil se sont alignés sur ce texte. Il s’agit de la projection de la puissance européenne à travers le droit, et en particulier le droit du numérique.
Nous essayons actuellement d’aligner un certain nombre d’États sur nos préoccupations environnementales à travers les accords de libre-échange. Nous devons également être en capacité d’aligner un certain nombre d’États sur nos préoccupations numériques et nos standards en matière de souveraineté numérique à travers les accords de libre-échange. C’est ce qui s’est passé lors des négociations de l’accord entre l’Union européenne et le Japon : le mandat des négociateurs mentionnait clairement le besoin de faire adopter le RGPD par le Japon. Cela constitue, à mon sens, une belle et habile manœuvre de souveraineté européenne : si le cadre normatif qui s’applique au marché japonais est semblable
au cadre normatif européen, les sociétés européennes sont en capacité d’exporter leurs solutions technologiques à moindre coût.
Le droit constitue, selon moi, une approche assez défensive. Mais l’on peut, à travers les accords de libre-échange par exemple – et à la condition d’en confier le mandat à nos négociateurs –, en faire des instruments très offensifs.
M. Philippe Latombe, rapporteur. Je souhaiterais vous interroger sur la fiscalité.
Nous sommes confrontés à la fois au problème européen de la fiscalité, qui s’incarne notamment dans la situation de l’Irlande, et au problème des taxes sur les GAFAM, que les pays souhaitent imposer à l’échelon national, à défaut de pouvoir le faire au niveau de l’Organisation de coopération et de développement économiques (OCDE). Quelle vision portez-vous sur les enjeux fiscaux ? Ils constituent, par bien des aspects, le nerf de la guerre en matière numérique.
M. Nicolas Brien. Je suis extrêmement mal à l’aise avec ce débat. Il n’existe pas, à mon sens, d’activités numériques. Le data center de Lafarge appartient-il à la catégorie des activités numériques ou du ciment ? Apple est-il un fabricant de hardware ou un géant du numérique ? Que devons-nous taxer ? La même question se pose avec Uber et les travailleurs indépendants des plateformes.
Le numérique remet souvent au jour des débats très anciens. J’ai conclu mes études à Colombia University par la rédaction d’un mémoire sur la quantification des flux financiers illégaux. Je m’étais alors intéressé au cas de Starbucks. Les mécanismes d’évitement fiscal mis en place par les géants du numérique sont anciens. Ils ont, pour la plupart, été inventés par Starbucks et McDonald's, dont les activités n’appartiennent pas au champ du numérique. Nous redécouvrons donc aujourd'hui les sujets d’évasion et d’évitement fiscaux sous l’angle du numérique, alors que ces sujets existent depuis bien longtemps. Il en est de même au sujet des travailleurs indépendants pauvres, que nous redécouvrons aujourd'hui sous l’angle de Uber. Je suis mal à l’aise à l’idée de participer à ces débats sous l’angle du numérique, car je crois que ces problématiques sont beaucoup plus larges que le monde du numérique. En mentionnant l’Irlande, vous soulevez la question de la taxation des multinationales. À mes yeux, Starbucks et Apple sont donc exactement dans la même situation.
M. Philippe Latombe, rapporteur. Que pensez-vous de la taxation sur l’activité ?
Habituellement, les entreprises sont taxées sur leurs résultats. La taxation sur l’activité implique un changement de paradigme.
M. Nicolas Brien. Je suis mal à l’aise avec cela. Je trouve étrange l’idée de taxer les entreprises sur leur chiffre d’affaires plutôt que sur leurs bénéfices.
M. Philippe Latombe, rapporteur. Cette vision, qui est plutôt une vision européenne, peut-elle poser problème dans nos relations – notamment nos relations concurrentielles – avec les acteurs américains ?
M. Nicolas Brien. Ne vous méprenez pas : je ne suis pas en train d’affirmer qu’il n’est pas besoin de remettre à jour notre corpus fiscal pour épouser les nouveaux produits et services issus du digital. Lors des débats sur la taxe sur les GAFAM, France Digitale a publié une tribune. Nous y mettions en avant l’idée d’une taxe sur la data plutôt qu’une taxe sur le chiffre d’affaires. Cette taxe permettrait de faire le lien entre l’utilisation des données personnelles et la production de valeur. Aujourd'hui, les géants technologiques étrangers utilisent cette externalité positive, qui n’est pas taxée. Une telle taxe est difficile à mettre en place car elle suppose de définir le délai et le volume d’utilisation des données personnelles. Nous ne
soutenions pas du tout la taxe sur les GAFAM dans la forme proposée : nous poussions, en revanche, pour l’instauration d’une taxe sur la data. Nous nous étions alors fait « taper sur les doigts » par Facebook, qui en avait compris le danger. Je pense qu’il est beaucoup plus habile de taxer la data que de taxer le chiffre d’affaires des activités numériques. Il est extrêmement difficile de définir les activités numériques. La première mouture du texte de la taxe sur les GAFAM établissait comme premiers acteurs du numérique en France les groupes Accor et La Poste – il est en effet possible de faire du numérique sans être une start-up et sans produire de solutions digitales.
Évidemment, il serait préférable qu’une telle taxe soit mise en place au niveau européen et international plutôt qu’au niveau national. La technologie n’a pas de frontière, il n’y a pas de raison pour que les régulations technologiques en aient.
M. Philippe Latombe, rapporteur. Y’a-t-il des sujets que nous n’avons pas encore évoqués et sur lesquels vous souhaitez attirer notre attention ?
M. Nicolas Brien. Vous m’aviez interrogé en introduction sur la stratégie européenne en matière de données et sur la cybersécurité. Souhaitez-vous aborder ces enjeux ?
M. Philippe Latombe, rapporteur. Il est vrai que vous avez constaté notre désarmement sur ces sujets. Vous avez affirmé que « le roi était nu ». Pensez-vous que les entreprises françaises sont aujourd'hui suffisamment informées des enjeux du numérique et des risques que celui-ci comporte en matière de protection des données et de sécurité ?
M. Nicolas Brien. Je distinguerai, dans mon propos, les entreprises du CAC40, d’une part, et les TPE et PME, d’autre part.
Les TPE et les PME traditionnelles sont confrontées au sujet de la transformation numérique. Ce sujet n’est pas spécifique à la France, mais il n’a jamais été une priorité des politiques publiques dans notre pays. Les Allemands, eux, ont pris cette question très au sérieux. La France accuse donc aujourd'hui un retard en la matière. Je prendrai pour exemple le dossier de demande d’aides au titre de la transformation digitale des entreprises qu’une commerçante de la région de Nantes m’a fait suivre. Le dossier que les pouvoirs publics demandent aux commerçants de remplir est extrêmement conséquent et détaillé. Qui plus est, ces aides doivent nécessairement couvrir des dépenses supérieures à 5 000 euros – alors que certains commerçants souhaitent seulement créer un site Internet. Cela est problématique, d’autant que l’on sait que la moyenne d’âge des patrons de PME en France se situe autour de 55 ans. La puissance publique prend donc progressivement conscience du besoin de digitalisation des TPE et PME, mais les petites entreprises sont confrontées à des situations folles.
Je suis beaucoup plus dur à l’égard des sociétés du CAC40. Elles ont une responsabilité historique dans le retard de notre pays en matière de numérique. Nous attendons souvent des lobbies qu’ils soient très sévères à l’égard de l'État – France Digitale est également extrêmement sévère à l’égard du CAC40. La situation est affligeante. Je ne comprends pas comment les dirigeants du CAC40 peuvent être aussi peu visionnaires. Ils adoptent des comportements de rentiers et ne voient pas venir les dangers de la transformation numérique pour leur business model. Cette situation se traduit par un sous-investissement chronique des entreprises du CAC40 dans le numérique et dans les technologies en général. À titre d’exemple, les débats sur la 5G ont fait rage tout l’été. Quel opérateur de télécommunications français investit aujourd'hui dans les communications quantiques ? Deutsche Telekom et South Korea Telecom sont en train d’investir des millions dans ce sujet et de déployer les premiers réseaux de télécommunications quantiques – alors que nos opérateurs français sont
encore en train de déployer les pylônes 4G. Je constate donc un sujet de sous-investissement chronique dans les nouvelles technologies chez les entreprises du CAC40.
La situation se traduit également par le rachat de start-up. Sans se soucier de nouer des collaborations avec les start-up, les grandes entreprises se contentent de les racheter très cher.
J’en veux pour exemple les quelques rachats de start-up à plus de 100 millions d’euros en France : cela est indigent – d’autant que les grandes entreprises n’en font rien.
S’agissant de la cybersécurité, je rappellerai que la France est le deuxième budget de l’Organisation du traité de l'Atlantique Nord (OTAN). Nos grands groupes sont « biberonnés »
à la commande publique : Safran, Thales, Dassault Systèmes. Aucune de nos pépites de la cybersécurité ne travaille avec eux ni n’est rachetée par eux. Il n’est pas étonnant alors que les Américains nous dament le pion et que nous ayons du mal à construire une autonomie stratégique.
L’on dit souvent que le poisson pourrit par la tête ; je pense que cela est absolument vrai en matière de transformation digitale de l’économie française. Les réponses devraient se traduire par davantage d’investissements technologiques par les grandes entreprises et surtout par la croissance externe via le rachat de pépites technologiques françaises.
M. Philippe Latombe, rapporteur. À quoi cela est-il dû ?
M. Nicolas Brien. Nous en revenons aux compétences. Cela est terrible à dire : les entreprises du CAC40 recrutent des DSI et non des chief digital officers. Et quand ceux-ci existent, ils siègent rarement au comité exécutif et ne sont que rarement dotés de budgets importants. Par ailleurs, les chief financial officers opèrent les choix financiers stratégiques.
Or ces personnes sont peu conscientisées sur les problématiques technologiques.
M. Philippe Latombe, rapporteur. Pourquoi ne le sont-elles pas ? Vous avez dit que les entreprises du CAC40 adoptaient des « comportements de rentiers ». Est-ce à dire qu’elles n’interviennent pas sur les sujets numériques parce que ces investissements coûtent cher et qu’ils les empêchent de verser suffisamment de dividendes à leurs actionnaires ? Ou est-ce uniquement en raison d’un manque total de vision ?
M. Nicolas Brien. Je distingue deux choses. Amazon n’a jamais versé un euro de dividende – et c’est le cas de beaucoup d’entreprises américaines, notamment dans le secteur technologique. Cela s’explique par des raisons culturelles. Les Américains croient que le cours de l’action crée la valeur, et non les dividendes. Il y a vingt ans, Apple était seulement un fabricant de téléphones portables – comme Alcatel ou Nokia. L’entreprise s’est construite progressivement par des acquisitions. Apple n’a pas eu d’idée de génie : elle a racheté des entreprises qui avaient eu des idées de génie – dont l’entreprise française qui a créé la technologie de Siri. L’entreprise est donc progressivement devenue l’entreprise technologique que nous connaissons aujourd'hui. Amazon a connu exactement la même trajectoire :
initialement fondée par des libraires, l’entreprise a racheté une start-up de cloud, devenue Amazon Web Services. Elle a alors développé une activité de services de cloud avec ses serveurs dont la capacité d’utilisation était partielle pendant certaines périodes de l’année. En France, de tels choix stratégiques de croissance externe ne seraient pas acceptés. La priorité se concentre sur la rentabilité envers les actionnaires. Cela constitue une différence culturelle.
M. Philippe Latombe, rapporteur. Si cette différence est culturelle, la situation est-elle la même chez nos voisins allemands ou européens ?
M. Nicolas Brien. Notre rapport annuel sur l’intelligence artificielle a montré que les grands groupes américains investissent six fois plus dans les start-up de l’intelligence artificielle que leurs homologues européens. Cela n’est donc pas seulement un problème français. Nous sommes un vieux continent avec des legacy players – cela se traduit culturellement.
Le rachat des entreprises constitue tout de même un sujet particulier en France. Les groupes technologiques français – Atos, STMicroelectronics, Orange – pourraient racheter des start-up, mais ils ne le font pas pour des raisons culturelles et de financement. Il manque un certain nombre d’acteurs financiers pour fluidifier ces transactions. Je souligne, à ce sujet, le rôle des fonds de tech buy-out aux États-Unis. Ces fonds sont capables de racheter une première start-up, puis une seconde qui lui est complémentaire, de les fusionner puis de les revendre à un grand groupe. Il existe une cinquantaine de fonds de tech buy-out sur Market Street à San Francisco : vous en trouverez péniblement deux en France. Nous pourrions en créer. J’avais suggéré à l’Élysée l’idée que le Fonds européen d’investissement (FEI), qui a aujourd’hui des activités de fonds de fonds dans les domaines de Venture Capital ou de Private Equity, pourrait conduire des activités de fonds de fonds de tech buy-out. Cela permettrait, par exemple, qu’un fonds de tech buy-out rachète Blablacar puis Flixbus et les fusionne pour créer un champion européen.
M. Philippe Latombe, rapporteur. Relevez-vous d’autres sujets que notre mission d’information devrait absolument explorer ? Nous avons déjà traité la question des achats et de la commande publique. L’éducation fera l’objet d’un prochain cycle de travaux. Devrions-nous être attentifs à d’autres sujets ?
M. Nicolas Brien. Je pense avoir mentionné les enjeux principaux, en particulier la commande publique et l’éducation et la formation. L’éducation et la formation concernent aussi bien les catégories populaires que les élites. Les élites ont un rôle à jouer. Si vous nous le demandiez, nous transformerions demain notre France Digitale Campus en IHESN.
La question stratégique est essentielle. Jouer défensif est bien, jouer offensif est mieux.
Nous avons tout ce qu’il faut pour le faire. Nous devons définir notre vision : quelle est, aujourd'hui, la troisième voie européenne ? Nous devons être capables de projeter une vision positive. Nous ne pouvons pas être simplement la voie alternative à la Chine et aux États-Unis.
France Digitale réfléchit beaucoup à l’entreprenariat technologique à impact. Parmi les start-up à impact environnemental ou social positif, les leaders mondiaux ou européens sont français. Il s’agit de l’application de covoiturage Blablacar, qui permet d’économiser l’équivalent de la production de CO2 de la ville de Paris ; de Too good to go, qui permet d’éviter le gaspillage alimentaire ; de BackMarket, qui permet de commercialiser des smartphones reconditionnés. Je pense que nous tenons quelque chose. En Europe, nous avons à cœur de ne pas innover pour innover, mais d’innover à des fins de progrès social. Nous avons des champions pour porter ce message. À mon sens, ces champions méritent d’être valorisés.
À titre d’exemple, le Président de la République a réuni à l’Élysée le Tech for Good Summit :
il y a invité le fondateur de Twitter et la Première ministre de Nouvelle-Zélande, mais je n’y ai pas vu beaucoup d’entrepreneurs technologiques à impact français ou européens.
L’entreprenariat technologique à impact est une vision intéressante à porter.
M. Philippe Latombe, rapporteur. L’idée est bien prise. Si vous souhaitez apporter des compléments à nos échanges du jour, les contributions a posteriori seront également prises en compte.
M. Nicolas Brien. À nos yeux, le seul critère est le critère d’urgence. Le plan de relance va se déployer au cours des dix-huit prochains mois. Les missions d’information et d’enquête sont précieuses, mais elles sont rarement orientées vers une temporalité aussi courte. À mon sens, il faut définir une feuille de route très pratique et très claire en matière de souveraineté technologique dans les dix-huit prochains mois. Nous avons la possibilité de mobiliser des moyens énormes, profitons-en.
M. Philippe Latombe, rapporteur. C’est l’objectif que nous nous sommes fixés.
Audition, ouverte à la presse, de M. le docteur Laurent Treluyer, directeur, Mme Hélène Coulonjou, directrice déléguée auprès du directeur, et Mme Elisa Salamanca, responsable du département Web, Innovation, Données, de la direction des systèmes d’information de l’Assistance publique – Hôpitaux de Paris (AP-HP)
(4 mars 2021)
Présidence de M. Jean-Luc Warsmann, président.
M. le président Jean-Luc Warsmann. Nous poursuivons nos auditions sur la souveraineté numérique et les données de santé. Après avoir échangé avec les représentants du Health Data Hub et du Ouest Data Hub, au mois de février dernier, nous recevons aujourd'hui trois représentants de la direction des systèmes d’information de l’Assistance publique – Hôpitaux de Paris (AP-HP).
L’AP-HP rassemble 39 hôpitaux qui accueillent chaque année plus de huit millions de patients. Elle agit en faveur de la transformation numérique de notre système de santé au service d’une meilleure prise en charge des patients. L’utilisation du logiciel Orbis, par exemple, facilite la dématérialisation des informations de santé et leur échange entre praticiens. L’AP-HP possède également un entrepôt de données de santé : celui-ci constitue un outil de recherche et d’expérimentation des technologies de pointe, comme l’intelligence artificielle et le big data. L’AP-HP est donc directement concernée par les enjeux de protection des données et des systèmes d’informations face aux cyberattaques.
M. Philippe Latombe, rapporteur. Je souhaite vous interroger sur trois points en particulier.
Je souhaiterais tout d’abord que vous nous présentiez un état des lieux de la politique du numérique de l’AP-HP : nous aimerions disposer d’une vision claire des principales initiatives mises en œuvre dans ce cadre. Notre mission d’information portant sur le thème de la souveraineté numérique, j’aimerais savoir comment vous appréhendez cet enjeu et comment vous l’intégrez à vos choix technologiques. Cela nous permettra d’échanger sur les principaux choix techniques effectués et leurs motivations. Enfin, pour être complet sur la transformation numérique de la santé, je voudrais savoir comment ces évolutions sont perçues par les acteurs de la santé et de quelle façon il est possible de les mobiliser au service de cette politique.
Ma deuxième question concerne la collecte et la gestion des données de santé. Plusieurs initiatives sont à l’œuvre en la matière, et l’une d’entre elles a été fortement médiatisée : le Health Data Hub. En 2019, le directeur de l’AP-HP, M. Martin Hirsch, s’était inquiété de ce que « le Health Data Hub puisse fragiliser l’expertise des centres hospitaliers sur leurs données ». Je voudrais savoir si ces inquiétudes sont levées, d’une part, et, d’autre part, recueillir votre avis sur le recours, par le Health Data Hub, à une solution américaine, le cloud Azure de Microsoft, pour héberger les données. Je souhaiterais également vous entendre, en comparaison, sur le fonctionnement concret de l’entrepôt de données de l’AP-HP.
Enfin, l’actualité récente est marquée par des cyberattaques contre les systèmes d’information des établissements de santé. Face à la sophistication de la menace cyber, comment est-il possible, selon vous, de garantir un niveau de protection maximale à nos infrastructures numériques, en particulier dans le domaine de la santé ?
Dr Laurent Treluyer, directeur des systèmes d’information de l’Assistance publique – Hôpitaux de Paris (AP-HP). L’AP-HP est un établissement universitaire qui couvre Paris et sa petite couronne : il réunit 39 établissements et plus de 100 000 personnels médicaux et non médicaux. Nous avons défini cinq axes pour le développement de nos systèmes d’information – ces axes ont été renforcés en 2015 dans les schémas directeurs pour la période 2015-2020.
Le premier axe consiste à établir un système d’information orienté sur le patient.
L’objectif d’Orbis est de permettre à l’ensemble des professionnels de santé de l’AP-HP d’utiliser le même outil et d’accéder au même dossier patient informatisé sur l’ensemble de l’AP-HP. Ce logiciel couvre des fonctions extrêmement larges : le dossier médical, la prescription, les urgences et le dossier social. Nous avons déployé cet outil dans 80% de nos services et au sein de l’ensemble de nos établissements. Ce déploiement a commencé il y a près de dix ans et devrait prendre fin en 2022. Cet outil, maintenant largement déployé au sein de l’AP-HP, permet un meilleur suivi des patients tout au long de leurs parcours. À titre d’exemple, un malade arrivant aux urgences de Lariboisière, transféré à la Pitié Salpêtrière en réanimation, puis admis en soins de suite dans un autre hôpital, dispose du même dossier patient tout au long de son parcours et bénéficie d’un suivi extrêmement précis de ses données médicales. Plus de 10 millions de patients et 80 000 utilisateurs sont aujourd'hui référencés dans Orbis.
Nous avons également informatisé l’ensemble de nos plateaux médico-techniques. Un outil commun à l’ensemble de l’AP-HP permet à tous les radiologues et les cliniciens de consulter les radios, les scanners et les imageries par résonance magnétique (IRM) réalisés dans tous les établissements de l’AP-HP. Nous avons également mis en place un système d’échange avec nos collègues des autres établissements publics et privés, à l’échelle régionale.
Nous avons également informatisé l’ensemble des parcours de soins en biologie. Ce travail de refonte est long, et nous menons également un important travail de mutualisation. En médecine nucléaire, par exemple, nous utilisions par le passé quatre logiciels différents : nous avons acquis un seul logiciel pour l’ensemble des douze services de médecine nucléaire de l’AP-HP.
Ce travail de refonte, de mutualisation, de consolidation de nos dossiers patients a lieu en continu.
Nous avons également travaillé sur les parcours et les territoires de santé. Nous avons implanté de nouveaux outils comme la messagerie de sécurité de santé, qui permet en particulier de fluidifier les relations avec les médecins traitants. Nous expérimentons et déployons également le dossier médical partagé (DMP), ainsi que des outils régionaux comme Terr-eSanté.
Nous avons également voulu fortement améliorer la relation avec les patients. Pour cela, nous avons mis en place un portail « patient » : 15 000 patients étaient inscrits au 15 janvier 2020, ils sont plus de 160 000 désormais. Grâce à ce portail, les patients peuvent s’inscrire dans nos établissements, préparer leur parcours administratif grâce à la préinscription administrative, prendre rendez-vous, procéder aux règlements de leurs soins ainsi qu’accéder à l’ensemble de leurs comptes rendus et de leurs ordonnances. Ce service a connu une montée en puissance très importante tout au long de l’année 2020. Nous déployons également de nouveaux services sur le portail : il sera prochainement intégré dans l’espace numérique de santé.
Nous avons également refondu toutes nos activités de gestion financière, logistique et patrimoniale. Nous évoluons ainsi vers la dématérialisation des bulletins de paie. La fonction publique hospitalière, contrairement à la fonction publique d’État, n’a pas l’obligation de dématérialiser les fiches de paie. Le directeur général a décidé d’évoluer vers la
dématérialisation. Nous avons également refondu l’ensemble de nos logiciels de facturation :
nous utilisions par le passé un seul outil, qui était implanté dans nos 39 hôpitaux. Nous utiliserons désormais un seul outil mutualisé pour l’ensemble de nos hôpitaux et relié à Orbis.
Nous avons également investi dans les outils de gestion des ressources humaines.
Nous menons également un travail important sur nos infrastructures, nos systèmes d’information, l’architecture et l’hébergement. Ces travaux sont très conséquents et grandement consommateurs de ressources et de compétences.
Notre dernier axe « recherche » porte sur les systèmes d’information qui aident la recherche. Cet axe représente un investissement important. Le directeur général a ainsi souhaité implanter dès 2015 un entrepôt de données de santé, qui collecte l’ensemble des données de santé de l’AP-HP et les met à disposition des chercheurs. L’AP-HP est également opérateur national pour la banque nationale des données de maladies rares, et opérateur du projet SeqOIA sur la bioinformatique. Elle est également opérateur et maître d’œuvre du système d’information de dépistage populationnel (SIDEP), un des trois grands projets pour le suivi de la crise COVID.
Mme Elisa Salamanca, responsable du département Web, Innovation, Données, de la direction des systèmes d’information de l’Assistance publique – Hôpitaux de Paris (AP-HP). La création de l’entrepôt de données de santé a été engagée à la fin de l’année 2015.
Il se compose de structures organisationnelles et de gouvernance ainsi que d’infrastructures technologiques. Je vous présenterai, pour ma part, les choix technologiques opérés pour développer ces différentes infrastructures.
L’entrepôt de données de santé repose sur la collecte des données, puis sur leur consolidation : il s’agit de leur mise en forme, leur mise en qualité, leur standardisation.
Interviennent ensuite les outils mis à disposition pour traiter les données, c’est-à-dire l’infrastructure de calcul.
Nous distinguons en la matière trois grands cas d’usage. Le premier, et le plus connu des cas d’usage, concerne la mise à disposition des données de soins à des fins de recherche ou d’appui à la recherche clinique. Le second cas d’usage concerne le pilotage : il s’agit d’utiliser les données médicales pour piloter l’activité hospitalière. Enfin, le dernier cas d’usage bénéficie à l’innovation : il consiste à réutiliser les données pour faciliter l’innovation numérique, par exemple par le développement d’algorithmes d’intelligence artificielle ou par la création d’interfaces d’accès standardisées aux données de l’AP-HP.
Nous avons choisi l’open source pour développer l’entrepôt des données de santé pour des raisons assez diverses. Tout d’abord, aucun outil sur étagère n’était capable de traiter notre projet dans sa globalité. Nous nous sommes donc appuyés sur l’outil i2b2 (Informations for Integrating Biology & the Bedside) : ce logiciel permet de créer des cohortes de patients. Il s’agit d’un outil open source développé par un hôpital aux États-Unis, qui est aujourd'hui utilisé par environ 250 hôpitaux dans le monde. Le recours à l’open source permet de bénéficier d’une très grande communauté. Nous avons souhaité nous insérer dans cette communauté internationale de l’open source, pour deux raisons principales : d’une part, aucun outil propriétaire n’était disponible sur le marché pour répondre à l’ensemble de nos besoins ;
d’autre part, nous souhaitions maîtriser les outils que nous mettions en place et jouir d’une certaine indépendance. En matière de stockage de bases de données par exemple, nous utilisons PostgreSQL plutôt qu’Oracle. La maîtrise des coûts entre évidemment également en jeu : les solutions open source sont parfois moins chères que les solutions propriétaires. Enfin, nous estimions qu’utiliser l’open source nous permettait d’atteindre une meilleure capacité d’adaptation et d’être plus agiles dans le déploiement de nos outils.
Comment s’est construit l’entrepôt de données de santé ? La base de données de l’AP-HP contient à ce jour les données de plus de treize millions de patients. Nous avons mis en place la plateforme Jupiter, qui permet aux équipes de recherche de travailler sur les cohortes d’intérêt. Chaque espace de travail dispose des outils de data science classiques comme Python et R, et a accès à notre cluster de calcul qui est capable de conduire tout type de traitement sur les données : il permet de procéder aussi bien à des biostatistiques classiques qu’à de l’apprentissage automatique grâce à la puissance de calcul mise à disposition.
L’AP-HP a fait le choix, dès 2015, d’opter pour une infrastructure on-premise et non en cloud. Ce choix répondait à deux considérations : d’une part, la communauté médicale avait exprimé le souhait de maîtriser les données de l’AP-HP ; d’autre part, nous n’avons pas ressenti, jusqu’à présent, le besoin technique de recourir à des infrastructures cloud extérieures. La puissance de calcul que nous sommes capables de mettre à disposition de nos équipes de recherche est largement suffisante pour couvrir les besoins des projets en cours.
Plus d’une centaine de projets ont été déposés auprès de nos instances et une centaine de projets sont aujourd'hui en cours sur nos infrastructures. La mise à disposition des données à des fins de recherche bénéficie donc d’une stack logicielle open source.
En revanche, en ce quoi concerne l’utilisation des données de santé pour le pilotage de l’activité hospitalière, nous avons eu recours à un outil existant sur le marché. Il était à la fois plus efficace et moins coûteux de s’appuyer sur cet outil, qui répondait complètement à nos besoins. Nous avons donc choisi une solution propriétaire d’IBM. Nous utilisons cette solution pour produire des indicateurs que nous restituons aux cliniciens, aux cadres de services médicaux, à la direction générale et aux directions des groupes hospitalo-universitaires.
Les choix opérés en matière de solutions technologiques nous laissent donc aujourd'hui la capacité de créer des interfaces entre plusieurs solutions. Par exemple, en matière de services d’information pour la recherche, nous souhaitons créer une boucle de rétroaction, c’est-à-dire alimenter la recherche clinique avec les données de soin et vice-versa. Nous travaillons ainsi à la fois avec des éditeurs de logiciels et avec des solutions open source, pour ouvrir un large spectre d’outils à nos chercheurs et couvrir l’intégralité de leurs besoins.
Mme Hélène Coulonjou, directrice déléguée auprès du directeur des systèmes d’information de l’Assistance publique – Hôpitaux de Paris (AP-HP). L’AP-HP a organisé une gouvernance de la donnée, principalement centrée aujourd'hui sur l’entrepôt de données de santé, mais qui a vocation à s’étendre à l’ensemble des données de vie réelle produites au sein de notre centre hospitalier universitaire (CHU). L’entrepôt de données de santé ne couvre en effet qu’une partie des données de santé, car les données qui y sont stockées sont structurées et directement exploitables.
La gouvernance s’organise en trois niveaux. Le niveau de terrain, d’abord, est extrêmement important. Il rassemble, au sein des départements hospitalo-universitaires (DHU), des data scientists en poste au sein des unités de recherche clinique. Ces unités sont dirigées par des professeurs d’université et des praticiens hospitaliers qui ont pour mission de piloter la recherche clinique de l’AP-HP. Le niveau de terrain rassemble également des représentants des médecins des départements d’information médicale (DIM) qui interviennent sur le versant pilotage. Ces comités d’utilisateurs font remonter les préoccupations du « terrain », et inversement, diffusent les bonnes pratiques mises en œuvre.
Au cœur de la gouvernance se trouve le comité scientifique et éthique (CSE) de l’entrepôt de données de santé. Il est dirigé par Mme Marie-France Mamzer, professeure d’éthique médicale à l’université de Paris. Il rassemble une trentaine de membres. Il a été refondé il y a moins de deux ans pour être plus représentatif et plus adapté à sa fonction : il
rassemble désormais non seulement des médecins, mais aussi des praticiens de la recherche (chefs de projets ou biostatisticiens par exemple), des personnels paramédicaux, puisqu’ils utilisent aussi bien que les médecins les données de l’entrepôt de données de santé, des représentants des patients et, enfin, des invités extérieurs. Les invités extérieurs n’ont pas de droit de vote mais ils apportent une expertise complémentaire à celle des cliniciens, notamment dans le domaine des mathématiques appliquées. Le CSE réunit ainsi des représentants de l’Institut national de recherche en sciences et technologies du numérique (Inria) ou de l’université de Paris dans ce domaine. Le CSE est ainsi le « cœur du réacteur ».
Il a pour mission, dans un certain nombre de cas, de donner accès aux données.
Au sommet de cette gouvernance se trouve un comité de pilotage de la donnée au sein de l’AP-HP. Il est très majoritairement composé de médecins directement intéressés par le sujet, représentants de la commission médicale d’établissement et de ses sous-commissions recherche et numérique. Il est co-présidé par le vice-président « recherche » du directoire de l’AP-HP et par une directrice générale adjointe de l’AP-HP. Ce comité poursuit une vocation décisionnelle : il se réunit chaque trimestre afin de décider des arbitrages et des orientations pour l’ensemble de la politique de la donnée à l’AP-HP.
Comment accède-t-on aux données de l’entrepôt de données de santé ? On distingue quatre cas de figures. Si le périmètre de l’accès souhaité est celui de l’équipe de soins, c’est-à-dire de l’unité fonctionnelle au sein du service, l’accès pour ces personnels est direct et sans formalisme particulier. L’accès se fait via les outils et les portails que Mme Elisa Salamanca a décrits précédemment.
Si le périmètre déborde celui de l’équipe de soins, c’est-à-dire qu’il se situe toujours au sein de l’AP-HP mais qu’il va au-delà de l’unité fonctionnelle, ce cas de figure est celui d’une recherche multicentrique. Le porteur du projet de recherche est tenu d’adresser ce projet pour examen et validation au CSE. Ce comité se réunit mensuellement : sa validation est la condition pour qu’un espace sécurisé d’accès aux données, individualisé et propre à la recherche en question, soit ouvert sur le portail Jupiter avec les outils afférents.
Dans le troisième cas de figure, un projet de recherche, quel que soit son périmètre, associe un partenaire extérieur public ou privé. Dans ce cas, notre commission médicale d’établissement a récemment formalisé les règles d’accès aux données. Ce partenariat est possible à la condition que le CSE ait validé le projet, c’est-à-dire suivant la même procédure que dans le deuxième cas de figure.
Enfin, dans le quatrième cas de figure, la demande d’accès concerne les données de l’entrepôt de données de santé de l’AP-HP, en plus des données de santé d’autres établissements de santé. S’applique alors la procédure classique : le porteur de projet doit bénéficier d’une autorisation délivrée par la Commission nationale de l'informatique et des libertés (CNIL) sous réserve d’examen. Ce cas de figure sort du cadre de référence de l’entrepôt de données de santé de l’AP-HP, qui est celui de l’engagement au respect de la méthodologie de référence dite MR-004 de la CNIL, qui permet les trois cas de figure précédents.
Dans tous les cas, la règle est que les données de santé de l’AP-HP ne sortent pas de l’environnement de l’AP-HP. Le cas exceptionnel dans lequel les données en sortiraient est, le cas échéant, soumis à la validation du comité de pilotage. Ce cas s’est présenté une seule fois, il y a deux ans, dans un projet conduit avec l’Inria : les données ont été temporairement exportées, pour des raisons de puissance de calcul, au centre de l’Inria de Sophia Antipolis.
Aucun autre cas ne s’est présenté jusqu’à présent.
Je souhaiterais enfin mentionner les productions réalisées à partir de l’usage de ces données. Il faut distinguer les données de l’entrepôt de données de santé de l’ensemble des données massives de l’AP-HP, lesquelles sont aujourd'hui le plus fréquemment utilisées dans de grands projets de recherche et développement. Nous menons ces projets avec des partenaires privés, soit de projets européens, soit de projets nationaux, de type projets structurants pour la compétitivité, comme par exemple l’action de recherche hospitalo-universitaire en santé (RHU) qui est gérée par l’Agence nationale de la recherche (ANR) ou par Bpifrance au titre des investissements d’avenir. Nous pourrons évidemment vous transmettre, si vous le souhaitez, la liste des travaux en cours et des objectifs visés ainsi que la liste des publications d’ores et déjà réalisées à partir des données de l’entrepôt de données de santé.
M. Philippe Latombe, rapporteur. Comment votre entrepôt de données et l’ensemble de votre gouvernance s’inscrivent-ils dans le projet Health Data Hub ?
Dr Laurent Treluyer. Il nous semble important que des centres de données régionaux se créent dans les CHU. Il existe une notion de proximité s’agissant des données. Nous constatons tous la difficulté de mettre ensemble des données d’origines diverses dans un monde peu standardisé et non normalisé. Il est illusoire de rassembler dans un même entrepôt de données de santé, par exemple, l’ensemble des données de biologie et de vouloir en tirer de la valeur. Nous avons donc souhaité mettre en place la proximité avec la donnée et la proximité des outils avec nos chercheurs. Considérant la taille de l’entrepôt de données de santé de l’AP-HP, celui-ci réunit aujourd'hui suffisamment de données pour conduire l’ensemble des recherches qui nous sont demandées. Il est un des plus importants et des plus riches entrepôts de données de santé en ce qui concerne la quantité et la qualité de la donnée.
Nous entretenons des liens forts avec le Health Data Hub, car nous conduisons des projets communs de collaboration. Plusieurs de nos personnels sont financés par le Health Data Hub pour un certain nombre d’études. Nous menons donc une discussion permanente avec lui. Même si notre place est très minoritaire dans sa gouvernance, nous sommes néanmoins membre de son conseil d’administration.
Cette articulation n’est pas toujours simple, mais nous y travaillons de manière importante. Nous nous rencontrons régulièrement et nos équipes nourrissent de nombreux échanges. Nous avons par exemple récemment partagé avec le Health Data Hub nos travaux sur le langage naturel. Il s’agit donc d’un processus de travail permanent. Il est vrai, cependant, que notre communauté médicale nourrit une attention particulière quant au transfert de données médicales vers des tiers. Cela fait partie des sujets sur lesquels le Health Data Hub est extrêmement prudent. Ce sujet fait débat au sein du comité de pilotage, et une attention particulière lui est accordée.
M. Philippe Latombe, rapporteur. Nous avons récemment auditionné les représentants du Ouest Data Hub, hub interrégional qui fonctionne de manière similaire au vôtre, au regard, à la fois, de l’infrastructure technologique et de la gouvernance de la donnée.
Le Health Data Hub, lui, adopte une architecture tout à fait différente. Il constitue donc une couche supplémentaire qui s’ajoute à vos infrastructures, avec un cloud. Comment les deux structures peuvent-elles se marier de façon efficace ? Est-il possible de garder votre gouvernance et votre structure propres tout en contribuant au Health Data Hub ?
Dr Laurent Treluyer. Je répondrai à votre question en abordant tout d’abord le cloud.
Nous ne sommes pas opposés au cloud : nous sommes très attentifs à ce sujet, et nous réfléchissons aujourd'hui à des solutions de cloud souverain. Nous menons ces discussions avec des fournisseurs de cloud. Pour le moment, notre infrastructure supporte la charge de nos
besoins en matière de puissance de calcul. Nous savons cependant que nous devrons faire face, à l’avenir, à des demandes de puissance de calcul supplémentaires auxquelles nous ne pourrons répondre. Nous pourrons alors avoir besoin de recourir à des puissances de calcul extérieures, soit via des instituts publics comme l’Inria, soit via des hébergeurs de cloud privés.
Il n’y a pas d’opposition au cloud de notre part. Nous sommes face à un vrai sujet technique.
Nous menons actuellement des projets pilotes, des expérimentations et des collaborations avec différents fournisseurs de cloud.
Il est nécessaire de penser l’articulation dans la gouvernance. Nous menons actuellement des discussions sur la valorisation des données et un certain nombre de débats sont en cours. Nous défendons le fait qu’il faut différencier nos études. Dans le cas des études de recherche par exemple, les chercheurs formulent certaines de leurs demandes au niveau de l’AP-HP, mais conduisent également des études nationales, pour lesquelles le Health Data Hub a toute sa place. Nous n’allons pas collecter dans notre entrepôt les données de santé de l’ensemble des CHU de France : c’est le travail du Health Data Hub. Les rôles dépendent donc vraiment du périmètre de recherche. Il faut considérer l’articulation comme une complémentarité et non comme une opposition. Nous avons toujours insisté sur le fait que le Health Data Hub intervenait en complémentarité de nos activités. Un entrepôt de données de santé est composé de plusieurs couches et il est normal qu’il existe des couches régionales. Il est évident que chaque groupement hospitalier de territoire (GHT) ne va pas construire son entrepôt de données de santé, en raison des investissements et des compétences importantes requises. Nous ne sommes donc pas en opposition avec le Health Data Hub : il s’agit de construire une complémentarité entre différentes couches, en fonction des besoins de nos cliniciens et de nos chercheurs.
Les débats qui ont cours actuellement concernent par exemple le point de savoir comment nos entrepôts de données de santé régionaux pourraient facilement accéder au système national des données de santé (SNDS). Nous devons travailler avec eux à ce sujet. Ce sont des sujets techniques, qui posent encore des difficultés. Nous devons trouver les bonnes solutions.
M. Philippe Latombe, rapporteur. Vous avez opéré un choix très marqué d’utilisation des logiciels open source, notamment en ce qui concerne l’utilisation des données de santé pour la recherche. Ces choix logiciels sont-ils compatibles avec les choix d’autres CHU ou d’autres hubs régionaux d’utiliser des outils sur étagère ? Ou au contraire, cela va-t-il donner lieu à une convergence vers des outils communs ?
Dr Laurent Treluyer. Il s’agit de vrais choix stratégiques. Je ne crois pas à l’existence d’une solution unique pour l’ensemble du territoire. Il peut y avoir des choix stratégiques différents. Nous devons nous y adapter. Si d’excellents outils étaient mis sur le marché et qu’il était plus simple et moins coûteux de recourir à des logiciels sur étagère, nous le ferions.
Nous avons opéré le choix de l’open source, au départ, car nous n’avions pas les outils nécessaires quand nous avons démarré le projet de l’entrepôt de données de santé. En ce qui concerne le pilotage, en revanche, nous avons recouru à des logiciels du marché. Nous opérons donc des choix très pragmatiques. L’open source fonctionne bien, nous sommes satisfaits de nos solutions et nos chercheurs le sont aussi. Mais nous n’avons jamais décidé de n’utiliser que de l’open source : ces questions pourront se reposer au comité de pilotage si de nouveaux outils efficients et simples émergeaient sur le marché.
Ces expérimentations font partie de l’activité d’un hôpital universitaire comme l’AP-HP, notamment dans nos collaborations avec l’Inria. Nous avons créé un véritable laboratoire
de recherche sur les données, en commun avec l’Inria, qui a été inauguré hier. Il est normal qu’un établissement comme l’AP-HP prenne un peu d’avance sur ce type de sujet.
M. Philippe Latombe, rapporteur. Je vous ai interrogé, dans mon propos liminaire, sur la cybersécurité. Disposer d’une équipe de développeurs en interne, capables d’utiliser et de développer les solutions dont vous avez besoin à partir de logiciels en open source, constitue-t-il une force pour la protection et la sécurité de vos données ? Cela vous apporte-t-il une réactivité supplémentaire ? Était-ce aussi une composante des choix stratégiques que vous avez opérés dès le départ ?
Dr Laurent Treluyer. Il s’agit ici davantage de souveraineté que de sécurité. Les grands fournisseurs de cloud américains ont une expertise manifeste et importante en matière de cybersécurité. Évidemment, les hackers sont en train d’essayer de s’infiltrer dans le cloud.
On entend dire que le cloud est sécurisé et qu’à l’inverse, les infrastructures on-premise ne le sont pas. Tout cela est un peu plus compliqué : il y a en réalité beaucoup plus de valeur dans le cloud que dans chaque établissement de soin.
L’open source est un choix stratégique de développement. Nous intégrons la cybersécurité dans nos choix de développement le plus en amont possible, selon le principe de security by design et de privacy by design. Il n’est pas simple de disposer des deux aspects, à la fois la sécurité et la confidentialité, dès le démarrage. Nous nous efforçons de le faire avec le responsable de la sécurité des systèmes d'information (RSSI) et la déléguée à la protection des données (DPO) de l’AP-HP. Les éditeurs ont du mal à incarner cette vision : les audits d’intrusion et de sécurité montrent que les éditeurs ont encore du travail à faire pour se mettre à jour à ce sujet.
M. Philippe Latombe, rapporteur. Vous vous efforcez d’intégrer la partie cybersécurité très en amont, suivant le principe de security by design. Comment faites-vous ?
Utilisez-vous des solutions ou des expertises déjà existantes, par exemple développées par des start-up ? Travaillez-vous vous-mêmes à la création de solutions de cybersécurité ?
Dr Laurent Treluyer. La partie développement est une faible partie de notre activité.
En matière de systèmes d’information, nous développons des solutions quand nous constatons un manque dans les solutions du marché. Par exemple, nous avons développé le portail pour les patients car nous avons considéré que les solutions disponibles sur le marché n’étaient pas facilement intégrables ou n’offraient pas les services qui nous intéressaient. S’agissant du développement du portail pour les patients, nous avons opté d’emblée pour la security by design et la privacy by design. Cela signifie que les équipes de développement, le RSSI et la DPO sont intégrés dans le cycle de développement. S’agissant de l’entrepôt de données de santé, nous intégrons également ces enjeux plus en amont. Cela n’est pas simple. Nous intégrons donc les enjeux de sécurité dans notre cahier des charges et dans notre expression de besoins.
La cybersécurité couvre un sujet beaucoup plus large que celui de nos propres développements. Les dernières attaques montrent que les hackers n’ont pas attaqué un logiciel du marché : ils se sont introduits par des portes dérobées, par des vulnérabilités de logiciels d’infrastructure. Ils n’ont pas attaqué un dossier patient informatisé. Ils sont entrés par une porte, qui était ouverte pour un tas de raisons, et se sont introduits plus avant dans le système.
Il faut y réfléchir.
Nous avons mis en place beaucoup d’outils de sécurité. Nous possédons une bonne sécurité périmétrique : cela signifie qu’entrer et sortir de l’AP-HP est compliqué. Nous avons recours pour cela à des outils classiques du marché : nous avons, par exemple, investi, sur le
volet antivirus, dans Vade Secure, qui est une entreprise lilloise. Nous possédons quelques très bons acteurs français en la matière mais nous avons du mal à les valoriser. Vade Secure fait partie des leaders mondiaux sur le sujet. Nous avons opéré un vrai choix afin de soutenir une entreprise française. S’agissant de la cybersécurité, l’AP-HP recourt à des outils classiques, conduits des audits – cela est très insuffisant de mon point de vue, mais ce sujet est devenu très prégnant depuis deux ans.
M. Philippe Latombe, rapporteur. Je souhaitais vous interroger sur le code des marchés publics. Lors de son audition, Mme Stéphanie Combes nous a expliqué qu’aucun appel d’offres n’avait été lancé pour le Health Data Hub, mais que si un appel d’offres avait été lancé, Azure de Microsoft aurait été la seule solution en mesure de répondre. Vous expliquez, de votre côté, que vous cherchez à élargir le spectre des solutions à utiliser.
Comment composez-vous avec le code des marchés publics pour atteindre cet objectif sans pour autant vous mettre en difficulté juridique ? Procédez-vous systématiquement à un allotissement ? Passez-vous des petits marchés ?
Dr Laurent Treluyer. Oui, nous faisons de l’allotissement. Auparavant, nous passions de gros marchés de 20 ou 25 millions d’euros. L’allotissement nous a permis de diversifier nos fournisseurs et de disposer d’une expertise beaucoup plus pointue, en recourant à des entreprises spécialisées plutôt qu’à un opérateur très généraliste qui sous-traite.
Le code de la commande publique est une contrainte. Nous sommes passés par une centrale d’achat pour acheter Vade Secure. Il existe trois centrales d’achat public dans le domaine de la santé : l’Union des groupements d'achats publics (UGAP), le Réseau des acheteurs hospitaliers (RESAH) et la Centrale d'achat de l'informatique hospitalière (CAIH).
Ces centrales d’achat passent des appels d’offres. Une grande partie de nos achats se font par leur intermédiaire afin de bénéficier de leur expertise juridique et technique.
Le code de la commande publique interdit de favoriser une entreprise française ou européenne. La situation est différente dans les autres pays : Joseph Biden, dès son investiture, a renforcé le Buy America Act et a obligé les organismes fédéraux à acheter américain. Aux États-Unis, l’achat public constitue une vraie politique, pour des raisons économiques et pour des raisons de souveraineté. Nous ne possédons pas, en France, ces outils-là. Quand nous lançons un appel d’offres, nous pouvons essayer d’y inclure des éléments qui permettront d’orienter les réponses, mais en réalité, toutes les entreprises peuvent être compétitrices.
En matière de cybersécurité, nous sommes opérateurs de services essentiels et nous avons par conséquent déclaré des systèmes d’information essentiels. Nous pouvons donc exiger que certains éléments soient référencés auprès de l’Agence nationale de la sécurité des systèmes d'information (ANSSI). Cela nous permet, en partie, d’orienter nos commandes.
Mais c’est encore compliqué et cela cause également des problèmes en matière de coûts.
M. Philippe Latombe, rapporteur. L’AP-HP a atteint une masse critique assez importante. Vous devez également, je l’imagine, rencontrer vos homologues des CHU ou des centres hospitaliers européens de taille similaire à la vôtre. Ont-ils, eux aussi, les mêmes difficultés en matière de commande publique ? Ou bien la France est-elle la seule à limiter les marges de manœuvre en raison du code de la commande publique ?
Dr Laurent Treluyer. Nous sommes clairement confrontés aux mêmes sujets que nos collègues français. En matière de comparaison avec nos collègues européens, je ne connais pas les situations et les législations applicables en matière de commande publique en Europe.
Nous collaborons avec différents collègues européens dans une organisation rassemblant neuf
grands CHU européens, mais nous n’avons pas abordé ensemble la question de la commande publique.
M. Philippe Latombe, rapporteur. Existe-t-il des solutions techniques françaises ou européennes qui seraient utilisées par des centres hospitaliers européens et dont vous ne disposez pas ? Autrement dit, un écosystème se crée-t-il autour de vos activités en France et en Europe ?
Dr Laurent Treluyer. Nous ne savons pas orienter notre commande publique afin de favoriser le développement d’un écosystème français ou européen. Cela constitue, à ma connaissance, un sujet important. Il est plus difficile de discuter avec un donneur d’ordre américain qu’avec un donneur d’ordre français. Je suis très souvent contacté par des commerciaux représentant des donneurs d’ordre américains. Les commerciaux sont sous pression et il est, à la vérité, impossible de discuter avec le vrai donneur d’ordre. Nous avons certainement une plus grande capacité à agir si le donneur d’ordre est en France ou en Europe.
Il s’agit également de savoir comment nous pouvons faire émerger des idées de nos CHU et les valoriser. L’antivirus Vade Secure est le fruit du travail de chercheurs sur l’intelligence artificielle en France. Ils ont cherché à mettre en place une rupture technologique autour de leur outil, s’agissant notamment du phishing, et ont créé une vraie compétence. Ils ont ouvert un bureau en France, à Lille, et un bureau à Boston, et génèrent maintenant un chiffre d’affaires confortable. Il est important de savoir comment nous pouvons les aider. Il est plus facile, pour nous, d’avoir un donneur d’ordre en France qu’aux États-Unis. L’Europe est très ouverte en la matière, à la différence des autres pays comme la Chine, les États-Unis ou la Russie.
M. Philippe Latombe, rapporteur. Je souhaite revenir sur les logiciels que vous utilisez. Avez-vous opéré ces choix technologiques car votre fonctionnement est décentralisé ?
L’AP-HP rassemble 39 établissements. Vos choix technologiques dépendaient-ils de ce fonctionnement décentralisé, notamment du point de vue de la standardisation des données ?
Mme Elisa Salamanca. Ces éléments ne sont pas complètement corrélés. Le Dr Laurent Treluyer l’a expliqué : nos systèmes d’information sont partagés – c’est le cas, par exemple, du dossier patient informatisé. Nous avons donc commencé par nous appuyer sur ces logiciels et sur les données qu’ils contenaient pour constituer l’entrepôt de données de santé de l’AP-HP. Les solutions techniques mises en place pour exploiter les données découlent de cette stratégie de mise en réseau. Nous étions soucieux de créer une offre de service centrale pour tous nos utilisateurs. Mais je ne pense pas que cette question ait guidé nos choix au début.
La question s’est en revanche posée en matière de gouvernance : il s’agissait de savoir comment gérer ces 39 hôpitaux, qui possèdent tous une culture de gestion de la donnée différente et entre lesquels existe toujours, forcément, une compétition interuniversitaire. Les questionnements sur la centralisation et la décentralisation ont donc été plus importants en matière de gouvernance et de règles d’accès aux données. Ces questionnements persistent aujourd'hui. Face aux initiatives historiques de certains de nos hôpitaux – à titre d’exemple, un entrepôt de données de santé existe dans l’un des hôpitaux de l’AP-HP depuis plus de dix ans –, il s’agit pour nous de savoir comment offrir le même niveau de service à tous les chercheurs.
M. Philippe Latombe, rapporteur. S’agissant de la gouvernance, vous avez mis en place un comité scientifique et éthique réunissant des médecins, des chercheurs, des paramédicaux, des représentants de patients. Disposer d’une telle instance était-il important
en matière de management et de culture au sein de l’AP-HP, notamment pour favoriser l’acceptation de l’entrepôt de données de santé et son utilisation ?
Mme Elisa Salamanca. Cela était essentiel. Ce comité a été parmi l’un des premiers points abordés, lorsque nous avons lancé le projet en 2015. Nous avons rassemblé la communauté médicale et les représentants de patients afin qu’ils se donnent des règles communes pour partager ces données. Sans ces règles communes, notre entrepôt de données de santé n’aurait pas pu connaître un tel essor.
Ces questions sont encore aujourd'hui présentes : nous avons dernièrement refondu les règles d’accès de notre entrepôt de données de santé ; cela a été discuté avec les collégiales médicales de l’AP-HP et la présidente du CSE. Ces sujets sont essentiels. Ils permettent de faire émerger un débat sur ce qu’est un entrepôt de données de santé, quelles règles nous lui fixons et quels objectifs sont poursuivis avec l’utilisation de ces données. Il est normal de discuter régulièrement de ces sujets car cela constitue une des conditions d’acceptation du projet. Des chercheurs vont déposer des demandes d’accès aux données de l’entrepôt parce que des règles d’accès ont été partagées et que les utilisateurs sont en phase avec la manière dont les données sont utilisées. La gouvernance était essentielle pour que le projet puisse se développer.
Dr Laurent Treluyer. Dès le départ, nous avons défini non seulement des règles d’accès à la donnée, mais aussi d’information et d’utilisation des données. Nous avons également récemment rediscuté des règles de publication. Ces éléments sont extrêmement importants pour nos médecins et pour nos professeurs des universités et praticiens hospitaliers (PUPH). Nous avons voulu intégrer dans cette gouvernance des lieux de discussion. Nous n’aurions pas pu mener à bien ce projet sans cette gouvernance et sans le travail du professeur Marie-France Mamzer, qui a été essentiel. Nous ne pouvons pas nous en passer. Nous avons d’ailleurs été le premier entrepôt de données de santé à être autorisé par la CNIL, et ce point a été souligné par la CNIL dans son autorisation.
M. Philippe Latombe, rapporteur. Quelles discussions menez-vous aujourd'hui sur la valorisation des données et qu’en attendez-vous ? La construction d’un entrepôt de données de santé et sa maintenance ont évidemment un coût. Comment est-il possible de valoriser les données collectées ?
Dr Laurent Treluyer. Cette question fait partie des débats qui ne sont pas complètement clos avec le Health Data Hub. Pour nous, valoriser ne signifie pas vendre la donnée, car nous n’en sommes pas propriétaires. Il n’existe pas de propriété de la donnée.
Nous sommes dépositaires des données de santé de l’AP-HP.
Il convient, pour pouvoir la valoriser, de disposer d’une certaine masse critique de données. Il faut également que la donnée atteigne un certain niveau de qualité. Les équipes de Mme Elisa Salamanca travaillent à ce que la donnée soit formatée, standardisée, facilement utilisable. Ce travail d’extraction et de mise à disposition de la donnée est un travail extrêmement important, qui doit être valorisé.
Nous travaillons dans un CHU. Nous collectons des données, certes, mais qu’en faire ?
Si la donnée alimente la recherche en matière d’algorithmes d’intelligence artificielle, il est encore besoin de tester ces algorithmes. La compétence de notre CHU consiste donc à produire de la donnée, à la valoriser, puis à tester cette valeur. Notre rôle n’est pas de créer des algorithmes d’intelligence artificielle – nous pouvons le faire, mais nombre de start-up peuvent également le faire. En revanche, qui va tester l’algorithme d’intelligence artificielle pour savoir s’il est correct ? Enfin, nous nous interrogeons pour savoir comment intégrer ces outils
dans le parcours clinique d’un patient. Il faut intégrer les algorithmes dans les outils existants et dans le parcours de soin des patients. Ce sont ces éléments que nous souhaitons valoriser.
Il n’est donc pas question de dire : « Nous possédons dix millions de scanners et nous vendrons trois euros chaque scanner pour atteindre un revenu de trente millions d’euros ».
Cela n’est pas le sujet. Au contraire, il s’agit de valoriser les activités d’un CHU avec toutes ses compétences : à la fois les compétences informatiques, de data scientists, de valorisation de la donnée et les compétences en recherche clinique. L’AP-HP réunit des personnes qui produisent de la donnée et des chercheurs cliniques. Cette confrontation permanente, qui s’incarne dans la notion de campus, crée de la valeur.
Nous voulons conserver notre avance en la matière et pour cela, nous avons besoin d’investissements. La question, pour nous, est de savoir comment intégrer de plus en plus de données. La France accuse un énorme retard dans la collecte de données, par exemple des données de pathologies numériques, car nous ne numérisons pas nos labs, à la différence des autres pays européens. Notre capacité d’intégration et de valorisation de la donnée est en revanche excellente. Mais nous avons des besoins supplémentaires pour intégrer de nouvelles données, les valoriser et travailler ensemble pour avancer encore davantage.
Mme Hélène Coulonjou. J’abonde dans le sens des propos du Dr Laurent Treluyer.
Pourquoi est-ce qu’un CHU investit-il autant de temps et d’argent dans un entrepôt de données de santé, et dans ses données de vie réelle en général ? Cela conditionne l’attractivité du CHU pour nos médecins et chercheurs, et donc l’amélioration de la prise en charge des patients.
Dans un second temps, il s’agit d’améliorer la soutenabilité de tous ces dispositifs que nous créons autour des systèmes d’information.
Il faut faire fi de cette croyance selon laquelle nous sommes assis sur un tas d’or et que nous pouvons vendre les données brutes. Les laboratoires pharmaceutiques sont largement revenus de ce type d’expérience. La donnée brute n’a aucune valeur : elle n’a de valeur que qualifiée par l’expertise clinique et outillée par des algorithmes ou des instruments issus de la mathématique appliquée.
L’AP-HP a largement travaillé avec les acteurs industriels sur l’intelligence artificielle et la valorisation des données de santé, dans l’élaboration du contrat stratégique de filière des industries et technologies de santé. Cela a donné lieu à un travail assez intéressant. Les équipes qui gèrent la propriété intellectuelle en matière de recherche et les collaborations y ont travaillé. Nous sommes partis d’assez loin avec les industriels sur le sujet de savoir comment, pourquoi et de quelle manière valoriser la donnée de santé. Nous étions les seuls représentants publics hospitaliers. Parmi les acteurs publics, l’Institut national de la santé et de la recherche médicale (Inserm) était également présent dans ce groupe sur l’intelligence artificielle. Nous sommes arrivés à des positions relativement conciliables. Nous avons conclu que nous pouvions tirer un parti mutuel de la valeur de cette donnée de santé. Ces débats sont complexes, et il est important qu’ils aient pu exister et qu’ils existent encore.
La collaboration avec les acteurs privés se fait de manière très concrète dans des projets de recherche et développement en santé qui sont largement fondés sur des données massives et des données de vie réelle. Le dernier et le plus probant de ces projets est le projet AI DReAM, dont le coût total s’élève à 55 millions d’euros et qui est financé par Bpifrance. Il réunit pour les hôpitaux l’AP-HP, Gustave Roussy, l’Institut Curie et l’hôpital Saint-Joseph à Paris. Il est piloté par GE Healthcare avec d’autres acteurs industriels. Ce projet travaille sur l’image avec cinq cas d’usage. Nous avons, dans ce projet, réussi à créer une infrastructure pour la donnée image à trois niveaux :
– les entrepôts de données au sein de chacun des établissements de santé, avec la possibilité pour l’établissement de continuer à travailler sur la donnée acquise et outillée, pour d’autres usages que ceux prévus par le projet ;
– une plateforme constituée par l’industriel GE Healthcare, qui produit de l’algorithme et qui procède, par exemple, à de l’automatisation de contouring d’images ;
– le dernier niveau consiste à verser au catalogue du Health Data Hub des jeux de données standardisés issus du projet – il s’agit d’un engagement pris envers Bpifrance. Ce type de valorisation est donc possible.
D’autres formes de valorisation sont également possibles : l’AP-HP a noué depuis plus de deux ans un partenariat avec la start-up française d’intelligence artificielle Owkin. Le partenariat est fondé sur l’apport mutuel. Owkin entraîne ses modèles sur des données de santé de l’AP-HP et à l’issue de cet entraînement, la valeur créée par ces modèles et par les produits logiciels qui en découlent est partagée selon un ratio 50-50. Ce type de modèle de valorisation existe dans le cadre de collaborations.
Nous travaillons enfin à l’idée de créer une offre de services qui permettrait de proposer des prestations, en particulier à l’industrie pharmaceutique, sur la base des trois piliers suivants : de la donnée de haute qualité, de l’expertise clinique et un environnement clinique adapté pour le calcul sur les données.
M. Philippe Latombe, rapporteur. Quels sont vos projets-phares, et comment pouvons-nous, parlementaires, vous aider dans la conduite de ces projets ? Vous manque-t-il des outils législatifs et réglementaires pour poursuivre les travaux que vous avez entamés ?
Mme Hélène Coulonjou. Le Dr Laurent Treluyer a évoqué la difficulté d’effectuer le chaînage avec les données du SNDS, notamment celles issues de nos recherches cliniques prospectives. Au cours de la crise, nous avons créé une cohorte massive de patients porteurs du virus SARS-CoV-2 et cela n’a toujours pas abouti. Il nous semble que la CNIL se situe aujourd'hui dans une pratique de surinterprétation du règlement général sur la protection des données (RGPD). Suivant le ratio bénéfices-risques, cela condamne beaucoup de recherches en santé. J’ai conscience que ce que je dis est délicat, mais je ne sais pas l’expliquer autrement.
S’agissant des données de soins de patients pris en charge par l’AP-HP, les patients sont informés par tous moyens que leurs données de soins peuvent être réutilisées à des fins de recherche. Ils sont également informés du fait qu’ils ont le droit de s’y opposer. Pourtant, lorsque la CNIL statue sur un projet de recherche, elle demande des choses impossibles, comme de réinformer individuellement chacun des patients dont les données de soins sont prêtes à être réutilisées dans une recherche. Cela constitue un obstacle important.
M. Philippe Latombe, rapporteur. Quelle est la profondeur des données dont vous disposez au sein de l’entrepôt de données de santé ? Il est compréhensible qu’il soit besoin de réinformer un patient si celui-ci a donné son accord, il y a dix ans. La profondeur des données peut donc générer le besoin de réinformer les patients.
Dr Laurent Treluyer. Nous disposons de données de plus de dix ans, et nous pouvons accéder à des données jusqu’à quinze ans en arrière. Il est difficile de réinformer des patients d’il y a quinze ans : un certain nombre d’entre eux sont décédés ou bien nous ne possédons plus leurs coordonnées à jour.
L’autorisation de la création de l’entrepôt de données de santé accordée par la CNIL prévoit la possibilité de montrer que l’AP-HP a fait tous les efforts possibles pour se conformer
au RGPD. L’entrepôt de données de santé a été agréé par la CNIL dans ces conditions. Nous entretenons de vrais débats avec la CNIL : cela est normal et notre collaboration est plutôt bonne sur l’ensemble des sujets.
Le SNDS ne dépend pas seulement de la CNIL. Je dispose de beaucoup de données nominatives personnelles, et j’ai l’impression qu’accéder à des données pseudonymisées ou anonymisées est impossible. Il faut, pour cela, mettre en place des dispositifs de sécurité extrêmement importants. Il existe une hypersensibilité sur le sujet qui nous rend les choses compliquées. Les CHU n’ont pas été extrêmement favorisés dans la facilitation des accès au SNDS et dans le décret qui en découle.
S’agissant de la souveraineté, la commande publique est un vrai choix politique. Nous devons atteindre un équilibre dans l’ouverture par rapport aux États-Unis, à la Chine et à la Russie qui sont nos principaux compétiteurs en matière numérique. Ces pays opèrent des choix très différents des nôtres. Restons-nous toujours très ouverts ou pouvons-nous aider nos entreprises à émerger ? L’un des facteurs pour encourager cette émergence est la commande publique. Le président Joseph Biden a clairement exprimé que le budget annuel de 600 milliards de dollars de la commande publique serait utilisé pour soutenir les entreprises américaines. Nous ne devons pas être exclusifs, car nous ne pouvons pas acheter européen en tout domaine, mais nous devons pouvoir favoriser, dans nos choix, le soutien aux entreprises européennes. Sur le long terme, il est plus facile et plus intéressant que nos donneurs d’ordre soient en France pour créer une vraie collaboration de plusieurs années avec eux. Ces débats se présentent sans cesse à nous.
Notre budget est trop faible, et nous avons du mal à trouver des fonds. L’entrepôt de données de santé a été construit car le directeur général a décidé d’allouer des fonds à ce projet.
Nous avons ensuite bénéficié de dons et d’aides. Il est compliqué d’investir. Or l’investissement conditionne notre capacité à faire. Cela fait partie des débats que nous avons eus avec le Health Data Hub : il est de l’intérêt du Health Data Hub, de notre intérêt et de l’intérêt de la France de constituer un véritable réseau de hubs régionaux. Nous avons vraiment besoin de votre aide dans ces débats.
Enfin, la France souffre de son absence au niveau européen. L’Europe va investir beaucoup d’argent dans les sujets d’innovation et de santé. Comment accéder à ces budgets ?
Nous sommes très mauvais dans l’accès aux subventions européennes. Nous étudions actuellement comment construire une stratégie d’influence en la matière, et notamment constituer des consortiums avec nos collègues. Nous devons absolument y arriver. Nous laisserons passer des montants importants, si nous ne sommes pas organisés dès maintenant pour répondre aux projets européens.
Mme Hélène Coulonjou. Lorsque la directive européenne sur la commande publique a été transcrite en France, Bercy avait oublié que les établissements de santé étaient des acheteurs et ne les avait par conséquent pas consultés. L’organigramme de la direction du budget ne comprend aucun bureau pour les hôpitaux. Or, le montant des achats des établissements de santé en France est considérable.
Au-delà du retour sur investissement que pourrait dégager une stratégie d’influence auprès des institutions européennes, je note également l’intérêt d’une synergie avec nos collègues européens. L’intérêt mutuel sur la donnée, et la donnée de santé en particulier, est absolument majeur.
Audition, ouverte à la presse, de M. Dominique Pon, responsable ministériel du numérique en santé
(4 mars 2021)
Présidence de M. Jean-Luc Warsmann, président.
M. le président Jean-Luc Warsmann. Nous poursuivons nos auditions sur la souveraineté numérique et les données de santé en recevant M. Dominique Pon, responsable ministériel du numérique en santé et directeur général de la clinique Pasteur de Toulouse.
La stratégie Ma santé 2022 a été présentée par le Président de la République et par la ministre des solidarités et de la santé en 2018. Elle a été reprise au sein de la loi du 24 juillet 2019 relative à l’organisation et à la transformation de notre système de santé. Cette loi a encouragé le déploiement de la télémédecine et du télésoin, a prévu la création d’une plateforme de données de santé – le Health Data Hub – ainsi que la possibilité pour chaque usager d’ouvrir un espace numérique de santé (ENS) d’ici le 1er janvier 2022. Nous sommes heureux d’échanger avec vous, M. le directeur général, sur l’état d’avancement de ces différents projets et la manière dont ils intègrent l’impératif de souveraineté numérique.
M. Philippe Latombe, rapporteur. Je souhaite vous interroger sur trois points en particulier.
Je souhaiterais tout d’abord que vous nous présentiez un état d’avancement de la stratégie Ma santé 2022. Notre mission d’information portant sur le thème de la souveraineté numérique, j’aimerais savoir comment vous appréhendez cet enjeu et de quelle façon vous l’intégrez au sein de vos choix techniques. Cela nous permettra de revenir sur le lancement du Health Data Hub et en particulier sur le choix de recourir au cloud de Microsoft. J’aimerais également savoir si vous avez été confronté, en pratique, au même type d’arbitrage au sein des projets dont vous avez la charge et quelle a été, le cas échéant, votre doctrine pour trancher entre les différentes offres disponibles.
Le deuxième point concerne la gestion et la protection des données de santé. L’actualité récente est marquée par des cyberattaques contre les systèmes d’information des établissements de santé. Face à la sophistication de la menace cyber, comment est-il possible, selon vous, de garantir un niveau de protection maximale à nos infrastructures numériques, en particulier dans le domaine de la santé ?
Enfin, le dernier point concerne la formation aux technologies du numérique en santé.
Votre action témoigne de l’importance croissante du numérique et des technologies de pointe pour la prise en charge des patients. Selon vous, quelle est la place du numérique dans les formations de santé ? Quels progrès envisagez-vous grâce à la numérisation de notre système de santé ?
M. Dominique Pon, responsable ministériel du numérique en santé. Nous publions chaque année un document de bilan portant sur l’ensemble de la feuille de route du numérique en santé. Nous nous astreignons chaque année à la transparence quant aux engagements que nous avons pris en avril 2019. Nous tenons, à la semaine près, la totalité des engagements compris dans cette feuille de route qui regroupe cinq orientations et trente actions extrêmement concrètes. Nous dépensons, Mme Laura Létourneau, la totalité des équipes et moi-même, une énergie folle pour tenir, à la semaine près, les engagements pris. Cette feuille de route définit
un cadre d’action et d’orientation allant jusqu’à la mi-2022. Nous irons au bout et nous ferons ce que nous avons promis.
Je rappellerai le principe général de la feuille de route. Son point de départ est le rapport présentant un état des lieux du numérique en santé en France préparé par Mme Annelore Coury et moi-même. Je m’occupe du pilotage national de la stratégie du numérique en santé et je suis également directeur d’établissement. Depuis vingt ans, je suis confronté à la réalité du numérique en santé en France. Je constate qu’en la matière, nous naviguons entre le fantasme et la frustration. Nous fantasmons les apports positifs du numérique en santé, mais nous sommes incapables d’être humbles, pragmatiques, de décider d’actions claires, d’avancer collectivement et dans la durée. Beaucoup d’autres pays ont adopté une approche beaucoup plus humble que la nôtre, ont moins fantasmé le numérique et avancent depuis quinze ans, brique après brique, pour construire un système numérique de santé cohérent.
Ces quinze dernières années, je constate qu’il n’y a eu aucune doctrine, aucun portage politique, aucun volontarisme : chacun a développé ce qu’il souhaitait – les régions, les hôpitaux, les professionnels de santé, les industriels, les start-up. Sans socle commun, sans référentiel commun, sans logiciels communiquant entre eux, aucune règle n’existe aujourd'hui pour garantir la sécurité suffisante des données de santé. Les professionnels de santé sont extrêmement frustrés car ils sont confrontés à des ruptures dans les parcours de soin, puisque les logiciels ne communiquent pas entre eux. Le citoyen, lui, n’a toujours pas accès à ses informations de base et à ses données de santé en ligne pour devenir acteur de sa santé.
Dans ce contexte, plusieurs choix étaient possibles. La feuille de route du numérique incarne le parti-pris selon lequel il n’existe pas d’homme, ni de femme, ni de logiciel providentiel pour résoudre la totalité des sujets du numérique en santé en France. La meilleure façon d’avancer est d’adopter une posture humble et extrêmement pragmatique. Il nous faut fixer un cadre de valeurs et une vision communs, dans lesquels nous obligerons l’ensemble des acteurs à s’inscrire. Nous sommes un peuple frondeur et dans l’autodénigrement permanent. Nous devons donc imposer une vision. L’État est le seul acteur capable de réguler, d’organiser tout cela et de proposer des services numériques socles.
Nous proposons donc le cadre de valeurs suivant :
– tout d’abord, nous devons être redevables d’une stratégie de résultats qui s’inscrit dans un cadre de valeurs souverain. Je crois à la souveraineté nationale et européenne en matière de numérique en santé ;
– ensuite, le numérique en santé ne doit pas concerner seulement les professionnels :
il doit également concerner les citoyens. Le numérique en santé doit être directement orienté vers les citoyens. Nous devons proposer des plateformes numériques pour le citoyen français ;
– enfin, le cadre éthique du numérique en santé n’est pas seulement lié à la souveraineté et qu’au Règlement général sur la protection des données (RGPD). L’éthique doit être la marque européenne et française du développement du numérique en général, et du numérique en santé en particulier.
Notre cadre de valeur se résume donc par ces trois points clés : souveraineté, citoyenneté, éthique.
Nous portons également une vision. Elle consiste à demander à l’ensemble des acteurs qui développent des outils numériques de converger vers des référentiels-socles construits par l'État et imposés à l’ensemble des acteurs. Ces référentiels socles comprennent, par exemple,
un téléservice permettant de créer une identité numérique de base pour chaque citoyen et de s’échanger des données de santé. Cela est désormais fait. Cela comprend également le référencement des professionnels de santé dans des annuaires proposés par l'État ainsi que des référentiels des terminologies de santé. L’État arbitre, il fixe le cadre – s’inscrivant pour cela dans un référentiel international et européen – et l’impose à tous les acteurs. L’État construit également des briques techniques en matière de cybersécurité imposées à l’ensemble de l’écosystème.
Le cœur du dispositif est l’espace numérique de santé. Il s’agit d’une plateforme souveraine portée par l'État, permettant à chaque citoyen français de gérer ses données de santé, de donner des consentements d’accès à ses données de santé, de posséder une adresse de messagerie sécurisée pour ses données de santé, de posséder un agenda santé et d’avoir accès à un catalogue numérique d’applications développées par l’écosystème et référencées par l'État dans l’espace numérique de santé du citoyen. Cette plateforme constitue réellement le point clé de toute notre stratégie. Pour être souverain, l'État doit créer les fondations du numérique en santé en France. Il doit construire la plateforme – le contenant –, ouverte et destinée au citoyen, et référencer les services numériques qui ont accès à cette plateforme. Je suis profondément convaincu que nous sommes en train de construire ce qui va nous permettre d’être souverains en matière de numérique en santé.
M. Philippe Latombe, rapporteur. S’agissant de la souveraineté, le Health Data Hub a fait le choix de recourir à un cloud américain, à savoir la solution Azure de Microsoft. Nous avons auditionné le Ouest Data Hub et l’AP-HP : ils sont tout à fait favorables au Health Data Hub, mais ils portent une vision différente et mettent en avant un souci de souveraineté.
Pourquoi donc avoir fait le choix de recourir à un cloud américain pour le Health Data Hub ?
Ce choix ne représente-t-il pas un boulet dans la construction de votre stratégie ?
M. Dominique Pon. Cela est compliqué. Je suis redevable des actions dont j’ai la responsabilité, et la totalité de ces actions s’inscrit dans une stratégie régalienne et souveraine – c’est le cas, par exemple, de l’espace numérique de santé. La seule action dont je n’ai jamais eue la responsabilité est le Health Data Hub. Or, vous me questionnez à ce sujet.
S’agissant de la situation du Health Data Hub, je comprends que la commande politique donnée exigeait de construire une plateforme d’hébergement des données de santé dans un cloud, à très court terme et avec un niveau de sécurité très élevé. Cela signifie que, dans tous les cas, la commande politique court-termiste conduisait au choix d’un cloud qui n’était pas souverain. À l’état de l’art, compte tenu des délais et des exigences de sécurité donnés, il n’était pas possible de faire le choix d’un cloud souverain. Si j’avais moi-même reçu la commande politique, j’aurais lutté du mieux possible pour faire comprendre que la commande politique n’était pas la bonne. La bonne commande politique suppose de se donner davantage de temps et de construire un cloud souverain avec quelques industriels européens.
J’aurais alors demandé si la commande politique pouvait évoluer. En matière de numérique en santé en France, depuis mes prises de fonction, j’ai milité et tenu bon en faveur du modèle souverain. Alors que quand je parlais de la notion de souveraineté, il y a cinq ans, j’étais considéré comme un « ringard ».
M. Philippe Latombe, rapporteur. Je veux bien vous croire. Le sens de ma question est le suivant : la caisse nationale d'assurance maladie (CNAM) a fait savoir par communiqué de presse qu’elle refusait de transmettre ses données aux Health Data Hub. Cela a forcément des impacts sur l’avancement de votre stratégie. Je vous interroge donc sur les conséquences de ces choix sur l’ensemble de la stratégie de Ma santé 2022.
M. Dominique Pon. Cette affaire du Health Data Hub est le symptôme d’une maladie française. Nous fantasmons le fait de devenir l’un des leaders du numérique en santé, mais la réalité est que nous ne disposons pas des bases souveraines pour le faire. Je milite pour une solution souveraine, pragmatique, humble, progressive et collective. Nous devons construire notre modèle humblement et pas à pas, sans chercher à copier des modèles libertaires à l’américaine ou autocratiques à la chinoise. Nous devons fixer un cadre éthique et souverain pour le numérique. Évidemment, nous n’aurons pas instantanément un cloud du niveau d’Amazon ou de Microsoft, mais nous attirerons des talents car nous créerons du sens autour du numérique, dans la tradition humaniste et éthique européenne.
Je milite donc pour que nous fixions d’abord ce cadre de valeurs. Il faut pour cela faire preuve d’humilité : nous ne serons pas capables de tout faire tout de suite. Nous avons dix années de retard sur les Américains en matière de numérique. Le modèle du futur n’est pas forcément « big », il consiste avant tout à réussir à donner du sens au numérique. L’humanisme numérique est l’avenir. Il créera de la valeur. Nous attirerons les talents si nous tenons bon dans cette vision. Cela nécessite d’être humbles.
M. Philippe Latombe, rapporteur. Je partage en grande partie votre position. Un ensemble d’auditions précédentes a relayé l’idée selon laquelle la commande publique ne permet pas l’émergence d’un écosystème ni de favoriser des solutions françaises et européennes. Ressentez-vous également cela au quotidien dans votre métier de « terrain » ?
Avez-vous pris cela en compte dans l’élaboration de la stratégie ?
M. Dominique Pon. Je dirige une clinique privée, mais je suis extrêmement attaché au bien commun et à l'État. Je suis désormais en immersion dans l’administration et je comprends ses contraintes et ses lourdeurs.
Si l’exigence d’être souverains est réellement portée, si émerge une conscience citoyenne que la souveraineté est essentielle pour sauvegarder notre système de santé, notre modèle de société, notre tradition de pensée, alors je crois qu’un mouvement se déclenchera qui amènera également de nouvelles clauses dans les appels d’offre pour les hôpitaux publics.
Je pense que nous finirons donc, malgré tout, par y arriver. À mes yeux, il a manqué, depuis dix ans, une vision politique durable qui définit ce cadre de valeurs. Cette vision politique a toujours été floue ; cela explique le cadre actuel des marchés publics. Nous nous intéressons aux problématiques de souveraineté seulement récemment et après-coup.
Construire notre souveraineté numérique est possible. Les services numériques de la stratégie Ma santé 2022 existent aujourd’hui dans un cadre souverain. L’espace numérique de santé que nous construisons avec l’Assurance maladie sera souverain. Cette action est peut-être humble ; mais elle constitue une brique fondamentale pour construire notre souveraineté numérique du futur. Nous devons donc fixer un cap sur le long terme et cesser de changer de direction.
M. Philippe Latombe, rapporteur. Comment faudrait-il donc faire pour élaborer cette stratégie et la maintenir dans le temps ? Cela nécessite-t-il selon vous des changements organisationnels ?
M. Dominique Pon. Quand Mme Annelore Coury et moi-même avions rédigé notre rapport, nous nous étions demandés : qui dirige le numérique en santé en France ? La seule solution de court-terme, que nous avions trouvée alors, était la création d’une délégation ministérielle. La délégation pilote les différentes agences : l’agence du numérique en santé, les équipes de l’Assurance maladie, l’agence technique de l'information sur l'hospitalisation (ATIH), les agences régionales de santé (ARS). Cela permettait de poser clairement une
responsabilité et de savoir qui arbitre et définit une vision. Le problème a donc été partiellement résolu par la création de cette délégation ministérielle du numérique en santé.
Je pense néanmoins que ces enjeux mériteraient la création d’une direction centrale.
Le numérique n’est pas seulement un outil : il constitue une stratégie en soi. Nous avons pour l’instant créé une délégation ministérielle. Cela a déjà beaucoup amélioré la capacité de coordination. Nous avons construit une vision commune, et les échelons territoriaux, régionaux et nationaux sont alignés et travaillent ensemble.
Comment faire pour que cela perdure dans le temps ? Je n’en sais trop rien. Ma conviction profonde est qu’il faut impliquer le citoyen français. Dès lors que le citoyen français disposera d’un espace numérique de santé et qu’il commencera à comprendre les enjeux liés au numérique en santé – notamment depuis la crise COVID –, il donnera un cap politique. Le cap politique apportera la pérennité – voilà ce que j’espère.
M. Philippe Latombe, rapporteur. Faut-il impliquer le citoyen français en l’obligeant à entrer dans le système tel que vous l’avez défini, ou faut-il l’amener à entrer dans le système de façon volontaire ? Une partie de la population est réfractaire à ces questions du numérique. Certains enjeux ne sont aujourd'hui pas bien perçus. Faut-il imposer un système au citoyen ou bien montrer les avantages du système pour susciter son intérêt ? Par exemple, le dossier médical partagé n’a pas trouvé le succès que l’on espérait au départ.
M. Dominique Pon. Je m’exprime avec mes mots – que cela ne soit pas mal reçu. En France, nous infantilisons trop les citoyens. Nous ne responsabilisons pas les citoyens, nous les infantilisons. Il faudrait bien plutôt dire aux gens : voilà où l’on en est et cela n’est pas parfait ; et les interroger : quel modèle de société voulons-nous ? Nous restons passifs, à moitié fascinés et à moitié effrayés par ce que font les géants du web – Google, Apple, Facebook, Amazon et Microsoft (GAFAM). Ne voulons-nous pas plus humblement construire un système souverain ? L’État n’est-il pas le meilleur tiers de confiance qu’un citoyen puisse avoir, même si celui-ci n’apprécie pas son gouvernement ? Ne peut-on pas proposer aux citoyens de construire ensemble – l’État, les professionnels de santé et les citoyens – un système qui leur permette de se réapproprier les enjeux du numérique en santé ? Ce discours doit être transparent. Il ne doit pas annoncer le Grand Soir. À ma connaissance, ce discours n’a jamais été tenu.
Nous avons commandé une enquête Opinion Way pour présenter aux Français le principe de l’espace numérique de santé et ses fonctionnalités. À la question « Préférez-vous que ce projet soit porté par un acteur privé ou par l'État ? », 80% des personnes interrogées préfèrent l’État. Cette question n’avait jamais été posée publiquement auparavant. À la question « Que pensez-vous de ses fonctionnalités ? », les résultats montrent deux préoccupations majeures : la sécurité des données et l’inclusion numérique. L’État doit montrer qu’il essaie, avec les acteurs de terrain, de progresser vers l’inclusion numérique. Ce discours, non infantilisant, constitue la première étape. Le volet coercitif ne peut pas précéder ce débat citoyen que nous n’avons jamais organisé sur le numérique en général, et sur le numérique en santé en particulier.
M. Philippe Latombe, rapporteur. Faut-il donc généraliser ce débat citoyen ? Doit-on organiser un débat sur le numérique en général, dont le numérique en santé est une des composantes ?
M. Dominique Pon. Cela constitue, à mes yeux, le point clé. Nous jouons notre modèle de société, notre tradition de pensée et notre cadre de valeurs. Les modèles libéraux et libertaires à l’américaine ne correspondent pas à notre culture. La France a connu le siècle des
Lumières et l’essor des Droits de l’Homme. Sans aucun jugement de valeur, cela n’est pas notre tradition de pensée. Il est ultra pragmatique de tenir ce débat pour essentiel.
En tant que directeur d’établissement de santé, j’ai pleuré pendant la crise du COVID que nous ne soyons pas capables de fabriquer des masques, des circuits clos de respirateurs, des stents de cardiologie ou des valves chirurgicales. Je sais que, de la même manière, mes enfants pleureront demain que nous n’ayons pas fait le travail nécessaire pour être souverains en matière de numérique.
M. Philippe Latombe, rapporteur. Comment amorceriez-vous le débat avec les citoyens ?
M. Dominique Pon. Cela doit faire partie de l’éducation populaire. Dès lors que l’on commence à expliquer l’idéologie sous-jacente aux outils numériques américains, les gens comprennent très bien les enjeux. Ce sujet est accessible. Il faudrait aborder ces enjeux par les canaux d’éducation populaire normaux, en parler sur des chaînes de télévision grand public.
Cela devrait faire partie de notre responsabilité collective car nous jouons notre modèle de société pour les dix prochaines années. Le numérique se démocratise et il entraîne avec lui de nouveaux enjeux. Il faut faire confiance aux gens : ils sont capables de comprendre, d’appréhender les enjeux et de se positionner. Nous avons tous la responsabilité – les politiques, les journalistes, les citoyens, les associations – d’introduire ce débat populaire sur cet outil majeur pour notre liberté.
M. Philippe Latombe, rapporteur. Comment est aujourd'hui vécu le numérique dans la population des soignants ? Constitue-t-il une contrainte ou un outil d’avenir ?
M. Dominique Pon. Il est extrêmement difficile de faire des généralités : je ne me prononcerai donc pas. Je vous répondrai par un exemple. Les personnes qui s’expriment sur le numérique dans le secteur de la santé expriment tout d’abord des frustrations.
Il y a dix-huit ans, j’ai été embauché à la clinique Pasteur de Toulouse comme informaticien. Un schéma directeur du numérique avait été élaboré par la société de conseil Ernst & Young. J’y ai opposé une autre solution : j’ai proposé de construire notre propre dossier patient informatisé, d’en faire une start-up, d’industrialiser cette solution, puis de la déployer dans d’autres établissements en France. Nous l’avons fait. L’ensemble des professionnels de santé ne croyait pas possible de créer notre propre dossier patient informatisé. Ce processus a pris du temps, il a donc fallu rester humble et gérer les frustrations des professionnels de santé. Plusieurs années après, les médecins considèrent cet outil comme indispensable et se prononcent tous en faveur de la numérisation. La première phase est donc la résistance, puis s’en suivent la frustration et enfin la réussite et la capacité à développer une activité.
Ensuite, nous avons proposé de développer un outil pour les patients. À nouveau, les professionnels de santé ont opposé de la résistance. Le taux d’adhésion des patients à cet outil a été d’environ 90%, alors même que la moyenne d’âge des patients se situait autour de 65 ans. L’outil leur a simplifié la vie et nous avons mis en place des métiers numériques de soignants qui humanisent l’outil. La résistance s’est donc dissipée, alors que le lancement du projet avait suscité un tollé auprès des professionnels de santé.
Dès lors qu’ils constatent la sincérité dans les engagements et les valeurs, et dès lors qu’ils sentent que l’outil dispose d’une vraie capacité à être utilisé dans le réel, les professionnels de santé accompagnent le changement. Il faut cependant faire preuve de sincérité, d’engagement et montrer des valeurs humanistes et de terrain. Cela est vrai dans le
numérique et cela est vrai dans tous les secteurs. Il faut recréer la confiance collective dans le fait que nous allons nous en sortir.
M. Philippe Latombe, rapporteur. Faisons-nous suffisamment de place au numérique dans les études des praticiens de santé ? Dressons-nous suffisamment les perspectives d’évolutions de leurs métiers à l’horizon de quinze ou vingt ans grâce à l’essor du numérique en santé ? N’avons-nous pas intérêt à faire évoluer les programmes pédagogiques des professionnels de santé pour y intégrer les enjeux du numérique ?
M. Dominique Pon. Cela constitue à mes yeux un point clé. Le numérique manque cruellement aux formations. Mais nous ne pourrons consacrer une plus grande part au numérique dans les études des professionnels de santé que si nous disposons d’une vision claire de ce que nous voulons pour le numérique en santé en France. Nous ne pourrons proposer une offre claire de formation au numérique, incluant des outils concrets pour les professionnels de santé, que si nous optons pour une feuille de route et un socle de valeurs communs et clairs, par exemple, construire un numérique placé directement au service du citoyen. Pour intégrer le numérique dans les programmes de formation, il faut au préalable avoir défini notre cadre de valeurs et notre vision pour le numérique. Sinon, cela revient à fragmenter à nouveau une vision collective, car aucun cadre n’a été fixé pour les programmes.
Il ne suffit pas de dire que le numérique est important, qu’il va changer les métiers de la santé grâce à l’intelligence artificielle. Il faut d’abord cadrer la vision et les objectifs que nous poursuivons grâce au numérique.
M. Philippe Latombe, rapporteur. Pour élaborer la stratégie Ma santé 2022, vous êtes-vous inspiré des modèles européens ou étrangers dont vous avez jugé l’architecture convaincante ? À titre d’exemple, la vaccination contre le COVID a montré qu’Israël disposait d’un système de numérique en santé très intégré, qui permettait aux laboratoires de dresser des retours d’expérience très rapides sur les effets de la vaccination. La stratégie Ma santé 2022 inclut-elle aussi des référentiels européens ou internationaux ?
M. Dominique Pon. Nous avons inclus des référentiels, mais pas des modèles. Je commencerai par une anecdote. Il y a trois ans, un patient de 75 ans venant de Bilbao en Espagne et passant ses vacances à Toulouse est hospitalisé en urgence dans mon établissement.
Vivant à 300 kilomètres au sud de Toulouse, il m’a montré sur son smartphone ses antécédents médicaux, son traitement en cours, son pilulier virtuel. Ce genre de solutions n’existe pas en France. En Espagne, l’équivalent des espaces numériques de santé est déjà opérationnel. J’ai donc creusé le sujet et j’ai étudié les stratégies en vigueur en Belgique et au Danemark. J’étais par ailleurs allé me former en tant que directeur d’établissement aux États-Unis.
Tous ces modèles concrets reposent sur un système citoyen et sur une reprise en main du cadrage par l'État. Je me suis donc posé la question de savoir comment adapter cela à notre culture et nos valeurs. Imposer un système unique (par exemple, imposer à tous les médecins généralistes un même logiciel) n’est pas possible en France, compte tenu de notre tradition de pensée et de notre culture. J’en suis donc venu à la conclusion que tous les logiciels existants doivent se baser sur les mêmes briques régaliennes. En France, il est impossible de réformer au point d’uniformiser de manière autocratique. Cela n’est pas du tout en phase avec notre culture. Nous proposons donc la logique d’État-plateforme : l’État fournit la plateforme et les industriels fournissent les briques à y intégrer.
M. Philippe Latombe, rapporteur. Quels éléments sont aujourd'hui manquants d’un point de vue législatif ou réglementaire pour avancer dans la construction de la stratégie Ma santé 2022 ? Doit-on modifier, faire évoluer, supprimer des freins législatifs ou réglementaires ?
M. Dominique Pon. Je constate absolument partout des manques réglementaires. Je n’identifie pas un point central qu’il conviendrait de modifier pour tout régler. Il existe de nombreuses incohérences dans les textes réglementaires : puisqu’aucune vision n’était portée, tout s’est construit par strates, par décrets et par arrêtés qui ne sont pas cohérents les uns avec les autres.
La feuille de route inclut un important volet juridique pour rendre tous ces éléments cohérents. Nous avons aujourd'hui besoin de davantage des fonctionnaires sur ces sujets. Il nous manque de la main d’œuvre compétente pour accélérer les réponses à tous ces manques et rendre tous les textes cohérents.
M. Philippe Latombe, rapporteur. Ce que vous construisez actuellement en matière de données de santé peut-il être mutualisé avec d’autres domaines ? Votre méthode pourrait-elle être déployée dans d’autres domaines et si oui, lesquels ?
M. Dominique Pon. Cela est sûr et certain.
M. Philippe Latombe, rapporteur. Puisque nous ne disposons pas, hélas, d’un ministère du numérique transversal, comment pouvons-nous donner envie à d’autres ministères de s’inspirer de votre méthode et de votre stratégie ?
M. Dominique Pon. Ma conviction profonde est que tous les principes de conduite du changement mis en œuvre dans ce modèle peuvent être dupliqués. À mes yeux, les ressorts essentiels en sont les suivants :
– tout d’abord, un cadre de valeurs porté de manière sincère ;
– ensuite, une forte présence sur le terrain pour convaincre et définir une vision commune ;
– enfin, une fondation constituée de quelques briques techniques fixées par l'État, dans une logique ouverte à l’écosystème afin que l’innovation portée par le système privé vienne compléter les services numériques de l'État.
Ce modèle peut se répliquer dans l’éducation, la justice, la recherche – dans quasiment tous les domaines.
L’autre point clé est la numérisation des démarches administratives, avec un seul identifiant. La notion d’espace numérique de santé pourrait être un espace numérique citoyen.
Général, il pourrait regrouper une brique pour les données administratives, une brique « santé », une brique « éducation », et ainsi de suite. À mes yeux, l’objectif final est de proposer ce type de service aux citoyens. L'État apporterait à ce sujet une garantie à l’écosystème, grâce à un catalogue numérique d’applications développées par l’écosystème et référencées par l'État dans l’espace numérique. Toutes les démarches administratives, tous les identifiants, tous les sujets clés de la vie quotidienne pourraient être rassemblés dans cet espace numérique, dont l’État proposerait le socle de base, sans en développer tous les services numériques. Cela serait le modèle du futur en France. Cette proposition est ultra basique, mais nous en avons besoin.
M. Philippe Latombe, rapporteur. Quelles sont, pour vous, les perspectives du numérique en santé en France, en Europe et dans le monde ? Quelle sera la place du numérique en santé dans dix ans et à quoi servira-t-il ?
M. Dominique Pon. Ma réponse n’est pas basée sur une analyse objectivée et prospectiviste. Mon ressenti est que l’usage du numérique en santé par le citoyen constituera le futur. Cela dépassera les avancées de l’intelligence artificielle. Les investissements, partout dans le monde, pour proposer des applications citoyennes de santé créeront un impact réel et feront bouger les lignes. J’en veux pour exemple le boom des digital therapeutics – cela constitue d’ailleurs une filière industrielle forte en France. À mes yeux, l’avenir du numérique est de se développer du côté des usages du citoyen : cela recouvre les applications de détection précoce des maladies, de prévention, d’auto-surveillance, de lien avec son médecin, de gestion de son parcours de soin impliquant le patient lui-même et tous les usages de la médecine 4P (personnalisée, préventive, prédictive, participative).
M. Philippe Latombe, rapporteur. L’actualité récente rapporte de nombreux cas de cyberattaques sur des établissements de santé. La protection informatique des hôpitaux et des cliniques est-elle au niveau en France ?
M. Dominique Pon. Je peux vous assurer que n’importe quel hacker déterminé peut casser n’importe quel système d’information d’un hôpital en France – y compris mon établissement, et pourtant, nous faisons tout ce que nous pouvons en la matière. Nous sommes fragiles. Ce sujet n’a jamais été une priorité pour les directeurs généraux. Cette préoccupation est très récente.
Je milite pour conduire un exercice « Plan blanc » dans tous les établissements de santé : cela permet de tester en réel nos capacités à continuer à soigner, sans avoir accès à aucun service numérique. À mes yeux, un tel exercice constitue le B.A-BA. Mais cela n’a jamais fait partie des priorités nationales, car la maturité et les connaissances des enjeux du numérique font défaut. Nous sommes fragiles et il faut donc y mettre les moyens : il faut acculturer les personnels, il faut créer des compétences. Il est extrêmement difficile de recruter des personnels compétents en matière cyber dans les hôpitaux publics. Bien souvent, les grilles de salaires ne permettent pas de recruter des personnes compétentes.
La cybersécurité et la sécurité des systèmes d’information se construisent sur des années. Cela constitue un travail de long terme. Cela nécessite de travailler tout un tas de sujets dans une démarche d’amélioration continue. Nous sommes en retard en la matière.
M. Philippe Latombe, rapporteur. Il n’y a donc pas de plan de continuité d’activité en cas de cyberattaque ?
M. Dominique Pon. Cela ne fait pas partie des exercices demandés dans les plans blancs. Nous allons l’inclure dans les exercices obligatoires. De mon propre chef, j’avais décidé de conduire dans ma clinique des exercices de simulation « sans informatique dans les services ».
Un autre point extrêmement important en matière de cybersécurité concerne la centralisation des données. Ce sujet donne lieu à des débats que je juge un peu immatures. En France, l’on a souvent peur que la centralisation des données cause une atteinte aux libertés individuelles. Il faudrait expliquer que nous sommes en mesure de donner un maximum de gages de sécurité sur les données recentralisées. Nous ne pouvons pas garantir qu’il n’y aura jamais aucune faille. Mais nous pouvons garantir que nous avons tout fait pour rendre le système le plus sécurisé possible. Puisque le débat sur la centralisation suscite des peurs, nous préférons fermer les yeux et répartir nos données dans divers lieux, qui créent des « passoires »
de sécurité partout. Ce sujet n’a jamais été abordé franchement. Les gens pourraient comprendre qu’il y a un intérêt à centraliser certaines données dans un lieu sécurisé. Ce débat
n’a jamais été tenu, et cela donne donc lieu à des débats immatures portant sur les peurs et les libertés individuelles.
M. Philippe Latombe, rapporteur. Y a-t-il un sujet que nous n’avons pas abordé et que vous souhaiteriez évoquer ?
M. Dominique Pon. J’aborderai un dernier point extrêmement important. Sur ces sujets, nous sommes un peuple qui a perdu confiance en lui. Nous mettons en œuvre un mécanisme de défense par rapport à cette perte de confiance dans notre modèle :
l’autodénigrement. Nous croyons que nous n’y arriverons pas, nous pointons constamment ce qui ne marche pas. Ce comportement est névrotique. Une de nos responsabilités collectives – les parlementaires en particulier, mais aussi les médias – est de changer de principe. Nous devons revenir à un principe d’humilité, en ayant confiance dans nos valeurs et en mettant en avant les avancées positives, les réussites de terrain. Cela peut nous redonner une dynamique de construction positive. Ce comportement, que je constate dans les discours et dans les politiques publiques, pose un problème très profond à mes yeux. Nous en souffrons énormément dans le numérique.
M. Philippe Latombe, rapporteur. Il faut donc raconter des belles histoires pour donner l’envie d’avancer.
M. Dominique Pon. Oui, de belles histoires réelles. Il faut mettre en avant les héros du quotidien, les gens de terrain qui réalisent des actions qui s’inscrivent dans le cadre de valeurs que nous souhaitons pour notre pays. Ils sont nombreux. Il faut les mettre en lumière.
M. Philippe Latombe, rapporteur. Si vous avez de très bons exemples, nous les rencontrerions avec plaisir.
Audition, ouverte à la presse, de M. Olivier Micheli, président de DATA4 (4 mars 2021)
Présidence de M. Philippe Latombe, rapporteur.
M. Philippe Latombe, rapporteur. Nous poursuivons nos auditions sur le thème de la souveraineté numérique et des données, en recevant M. Olivier Micheli, président directeur général de DATA4 et de France Data Center, association professionnelle rassemblant les principaux acteurs de cette filière. Nous nous réjouissons de pouvoir échanger avec vous, afin de mieux connaître cette filière et évoquer les moyens de soutenir son développement en France et en Europe.
Je souhaiterais d’abord vous interroger sur trois points.
En premier lieu, que recouvre pour vous la notion de souveraineté numérique ? Ce sujet fait l’objet d’une attention croissante de la part des pouvoirs publics depuis la crise sanitaire, et nous avons eu l’occasion d’entendre, au cours de nos auditions, plusieurs définitions de cette notion très large, que certains rapprochent parfois d’une forme d’autonomie stratégique, ou d’autonomie décisionnelle. J’aimerais donc savoir comment vous appréhendez cette notion, en tant qu’acteur clé du stockage et de la sécurisation des données.
En second lieu, j’aimerais que vous nous présentiez la filière française des data centers, dont vous constituez un acteur important. Comment appréhendez-vous la situation actuelle, marquée par la crise sanitaire et la volonté de tous les États de promouvoir leur souveraineté numérique ? Quelle est la situation de DATA4, et plus généralement des acteurs de ce secteur d’activité ? Quelles sont vos éventuelles difficultés, et vos propositions pour renforcer le rythme d’installation des data centers en France ? Je m’interroge également sur les échanges que vous pouvez entretenir avec vos homologues européens. La structuration d’une filière des data centers européenne est-elle envisageable à terme ?
Enfin, au regard de l’actualité récente, marquée par des cyberattaques sur les systèmes d’information des établissements de santé, et face à la sophistication de la menace, quels risques pèsent sur les data centers et comment assurent-ils la protection des données qu’ils stockent ?
M. Olivier Micheli, président de DATA4. Ma définition de la souveraineté numérique s’articule autour de deux volets, l’un défensif, l’autre offensif.
D’un point de vue défensif, la souveraineté numérique signifie qu’il est important de conserver la maîtrise opérationnelle du numérique. En cas de crise (de fermeture des frontières, de tension internationale, etc.), il faut s’assurer que les entreprises, les administrations et les citoyens aient toujours accès à leur environnement numérique, et notamment à leur environnement numérique essentiel. En d’autres termes, les entreprises pourront-elles continuer à fonctionner en temps de crise ? Auront-elles accès à leurs applications et à leurs données sans trop de difficultés ?
D’un point de vue offensif, la question est de savoir comment créer des champions numériques européens. La plupart des acronymes connus pour désigner les champions du numérique renvoient à des entreprises étrangères : les GAFAM aux États-Unis ; les BATX en Asie et notamment en Chine. Quand un tel acronyme renverra-t-il à des acteurs majeurs, connus et puissants, du numérique en Europe ?
Il est essentiel de travailler sur ces deux volets.
Disposer de data centers localisés en France constitue à cet égard une composante incontournable de la souveraineté numérique.
Le numérique est souvent considéré comme virtuel, de sorte que la question de la localisation des données ne semble pas se poser. En simplifiant à l’extrême, le numérique peut être décomposé en trois couches : les infrastructures numériques, incluant les réseaux et les data centers ; les équipements informatiques, incluant les serveurs et les systèmes d’exploitation (qui sont hébergés dans les data centers) ; enfin les applications, que nous utilisons quotidiennement. Les applications étant installées sur des serveurs, qui sont hébergés dans des data centers, il est indispensable que ces derniers soient bien maîtrisés. Ils constituent le socle du numérique, et si nous soulignons la nécessité de disposer de data centers en France, c’est qu’il est important de pérenniser ce socle sur le sol français, afin, premièrement, ne pas dépendre d’un acteur tiers qui pourrait décider de l’accès ou non aux data centers en cas de crise.
Deuxièmement, il est essentiel de maîtriser la qualité et la continuité du service assuré par les data centers. Un data center doit fonctionner jour et nuit, 24 heures sur 24. Or, sans électricité, les data centers ne fonctionnent pas. Nous maîtrisons en France le réseau électrique français. Nous connaissons ses forces et ses faiblesses. Nous connaissons son état. En revanche, nous ne maîtrisons pas l’état des réseaux électriques dans les autres pays. En Afrique du Sud, par exemple, des coupures d’électricité ont lieu tous les jours. Par conséquent, les data centers n’y peuvent fonctionner que sur des groupes électrogènes. Tous les pays d’Europe ne sont certes pas dans cette situation. En tout cas, les data centers doivent reposer sur des réseaux électriques fiables et pérennes.
Troisièmement, un data center nécessite des capitaux considérables. Il crée des emplois directs et de très nombreux emplois indirects, avec un impact économique fort.
Pourquoi laisser ces capitaux partir à l’étranger, alors que la France, du fait de ses atouts (sur lesquels nous reviendrons plus loin), a la capacité d’en attirer énormément pour construire des data centers sur son sol ?
Quatrièmement, conserver les data centers en France permettra d’y disposer d’un bon niveau de connaissances et de compétences. Un data center suppose des techniciens qualifiés et des ingénieurs. Il permet de regrouper au sein d’un même bâtiment un grand nombre de compétences : des ingénieurs et des techniciens spécialisés en génie mécanique et en électricité, des informaticiens, des ingénieurs en télécommunications, des ingénieurs méthodes, etc. Si les data centers partent à l’étranger, la France perdra autant de personnes qualifiées sur ces sujets clés.
Pour toutes ces raisons, nous pensons donc qu’il est essentiel de conserver des data centers en France.
De plus, nos voisins européens s’organisent. Ils ont compris l’importance des data centers. Ils ont compris que les infrastructures numériques comprenaient les réseaux de télécommunications, qui sont clés, mais aussi les data centers, et ils cherchent désormais à attirer des capitaux pour en construire davantage sur leurs territoires.
La filière des data centers en France dispose d’abord d’une très belle association professionnelle, France Data Center, qui comprend plus de 100 membres. Elle existe depuis douze ans et est aujourd’hui très bien organisée, puisqu’elle regroupe l’ensemble des acteurs majeurs du data center en France. Elle a pour objectif à la fois de développer des
connaissances et des savoirs, de partager des bonnes pratiques et de travailler à des sujets clés comme l’optimisation de la consommation électrique, l’impact environnemental, etc.
200 data centers commerciaux, mutualisés pour un grand nombre de clients, sont localisés en France, d’une manière qui reflète parfaitement l’organisation très centralisée de notre pays, puisque 75 % de l’activité des data centers est réalisée à Paris et en région parisienne. C’est là que les développements les plus importants ont lieu, même si des développements plus modestes existent aussi en région.
Au total, la France compte environ 5 000 data centers, en comptant les data centers commerciaux et tous les data centers privés : ceux des collectivités locales, des administrations, des entreprises, etc., pour lesquels des salles blanches de quelques mètres carrés seulement sont parfois nécessaires. Cette filière est très active. Elle investit beaucoup, à hauteur d’environ un milliard d’euros chaque année sur le territoire français.
Par ailleurs, la France a la chance de disposer de champions mondiaux dans le secteur des data centers, et ce, sur l’ensemble de leur chaîne de valeur : en amont, avec les concepteurs et constructeurs avec Schneider, Saft (très belle société de batteries), Bouygues, Imogis, etc. ;
ensuite au niveau de la maintenance en condition opérationnelle des data centers avec Engie ;
enfin, en aval, avec les opérateurs utilisateurs. Or, pour être fort à l’international, il est important d’être fort au niveau national. Pour conserver ces leaders, il est donc essentiel de disposer d’un marché domestique puissant du data center en France, puisqu’il permettra à ces écosystèmes et à ces champions de se développer, de produire de la R&D, et ainsi de s’exporter encore davantage à l’international.
S’agissant de la crise sanitaire, les deux vagues de confinement n’ont pas impacté le secteur de la même manière.
La première vague, de mars-avril 2020, a été difficile à gérer, pour différentes raisons.
L’ensemble de l’activité économique de construction a d’abord été arrêtée brutalement. Or, si arrêter des chantiers aussi complexes que ceux des data centers est difficile, les reprendre l’est encore plus : redémarrer un chantier implique des pertes de productivité considérables. Le maintien en conditions opérationnelles des data centers a été difficile également, car un data center ne cesse jamais de fonctionner. DATA4 a donc été obligée de faire venir sur site des employés spécialisés, malgré la crise sanitaire. Or, en mars 2020, la situation était mal connue, les kits de protection étaient peu nombreux et l’anxiété relative à la pandémie était très grande.
Nous avions alors demandé au gouvernement son soutien plein et entier à l’égard de notre secteur d’activité. Il s’était en effet engagé auprès des opérateurs de télécommunications, mais non auprès des opérateurs de data centers, et il nous était essentiel de pouvoir continuer à circuler pour accéder à nos data centers. Une grande confusion en avait résulté, même si nous avons finalement réussi à gérer la situation.
Une fois la première crise sanitaire passée, la deuxième vague n’a en revanche pas eu le même impact sur la filière et sur DATA4, et la situation est désormais bien maîtrisée.
Surtout, le trafic internet a augmenté de 30 % durant la crise sanitaire. Du jour au lendemain, toutes les organisations (entreprises privées ou publiques, etc.) ont adopté le travail à distance, et la filière a garanti une continuité de service sans rupture sur l’ensemble du territoire, en parfaite transparence pour l’ensemble des citoyens, des organisations, de l’administration, des collectivités locales, etc. Tout le monde a pu continuer à travailler à distance grâce aux data centers, et nous en sommes naturellement très fiers.
Vous me demandiez également comment renforcer la filière des data centers en France.
M. Philippe Latombe, rapporteur. Je vous le demandais, parce qu’il résulte de l’arrêt Schrems II, notamment, une volonté de stocker les données sur le territoire national ou européen. S’agit-il pour vous d’une opportunité à investir rapidement, et de quelle manière ?
M. Olivier Micheli. Oui, complètement.
La France dispose d’atouts magnifiques. Son territoire est parfaitement adapté au développement des data centers, qui constituent des bâtiments techniques hébergeant des serveurs sur lesquels reposent des applications telle que Zoom, que nous utilisons actuellement.
Une grande quantité d’énergie est donc nécessaire pour alimenter ces serveurs (qui fonctionnent à l’électricité), mais aussi leurs groupes de refroidissement, car ils dégagent une chaleur considérable. Des réseaux de télécommunication sont enfin requis, puisqu’un data center est une « maison du numérique », où les données sont stockées, traitées et renvoyées vers les différents utilisateurs. La France dispose d’une grande quantité d’énergie décarbonée, à un prix compétitif. Le prix de l’électron est beaucoup plus compétitif en France qu’en Allemagne ou en Italie, en Angleterre, etc. C’est une chance.
Les risques naturels doivent être limités également. La France connaît certes des risques d’inondation, mais son climat est tempéré d’une manière générale, et les risques sismiques y sont faibles. Ils sont plus importants dans d’autres pays voisins.
La France dispose également de bonnes formations, et de deux hubs internet majeurs, à Paris principalement, mais aussi à Marseille, car les routes de l’internet suivent approximativement les anciennes routes commerciales. L’axe Paris-Marseille (ou Marseille-Paris) regroupe ainsi 80 % du trafic internet entre l’Europe et trois régions majeures :
l’Afrique, le Moyen-Orient et l’Asie du Sud-Est. La plupart des câbles de ces régions passent en effet par le canal de Suez, remontent par la Méditerranée, avant de s’arrêter en Grèce et en Sicile, puis à Marseille. C’est une grande chance pour la France. Or, là où passent les câbles internet, des data centers sont nécessaires.
Pour autant, des freins existent également au développement des data centers en France. Il a notamment besoin de stabilité, de prévisibilité et de cohérence dans les politiques publiques. En 2019, la réduction de près de 50 % de la taxe sur l’énergie consommée dans les data centers leur a permis de gagner en compétitivité en France, et d’y devenir plus compétitifs que dans certains pays voisins. Deux ans plus tard, toutefois, ce prix préférentiel a été soumis à des conditions très impactantes pour le secteur : mettre en place un système de gestion de l’énergie ; faire partie d’un groupement de bonnes pratiques en consommation de l’énergie ;
etc. La réglementation peut donc changer très rapidement en France. En l’occurrence, la loi de finances a évolué. La question est donc de savoir quelle sera l’étape suivante. Ce nouveau cadre sera-t-il pérenne ? Nos investissements se font sur un temps long. Un data center dure près de quarante ans. Il est donc essentiel que les politiques publiques soient stables et cohérentes.
Le décret Tertiaire pose également problème. Il n’est pas du tout adapté aux data centers, puisqu’il vise à réduire le nombre de kilowattheures consommés dans les data centers, ce qui est impossible. Il n’est pas possible de supprimer des serveurs du jour au lendemain pour atteindre un objectif en valeur absolue défini par décret. Certains de ses critères ne sont
donc pas pertinents. Or, il est important que la réglementation soit cohérente avec l’activité des data centers.
Nos propositions sont donc les suivantes : il faut adapter le cadre administratif ; gagner en compétitivité pour attirer des capitaux (comme tous nos pays voisins le font) ; passer des commandes publiques aux acteurs français ; enfin, accorder aux data centers le statut d’infrastructure critique. D’autres crises que celle du Covid-19 auront lieu. Comme celle des opérateurs de télécommunications, l’activité des data centers doit être encadrée par un statut permettant de maintenir ces actifs en condition opérationnelle de manière permanente.
Chaque grand pays européen dispose de sa propre organisation professionnelle :
l’Angleterre avec techUK, l’Allemagne avec eco, l’Irlande, la Hollande, bientôt l’Espagne et probablement l’Italie. Un ensemble d’actions de concertation et d’échanges ont déjà été lancées, au niveau européen, entre ces différentes organisations professionnelles, mais aussi à l’initiative du CISPE (Cloud Infrastructure Services Providers in Europe), qui regroupe les acteurs du cloud en Europe. Une coordination européenne mensuelle a été mise en place, et des engagements forts de la profession sont constitués volontairement auprès de la Commission européenne, s’agissant notamment de la consommation électrique d’ici à 2025 et 2030.
S’agissant des cyberattaques, il est important de distinguer le contenant et le contenu.
Les data centers ne sont qu’un contenant pour les serveurs et les applications, qui en constituent le contenu. Nous ne sommes pas responsables des applications hébergées par les clients dans nos data centers. La responsabilité de la sécurité logique des systèmes d’information que nous hébergeons revient aux administrations, organisations, etc. qui les possèdent. Pour autant, les opérateurs de data centers, et notamment DATA4, ont mis en place un programme complet de sécurisation physique et logique de leurs data centers. En ce qui concerne la sécurité physique, DATA4 a prévu plus de sept barrières de sécurité avant l’accès aux salles informatiques, avec des gardes, des systèmes de vidéosurveillance, etc. Des tests d’intrusion réelle sont réalisés chaque année dans l’ensemble de nos campus, pour tester leur sécurité physique. Un programme de sécurité logique est prévu également, avec des systèmes informatiques embarqués, et un cloisonnement strict entre différents réseaux : les systèmes d’information industriels (portant sur la gestion technique du bâtiment, par exemple) sont ainsi situés sur un réseau cloisonné et non accessible de l’extérieur. Naturellement, nous réalisons chaque année des tests de cyberattaque et nous disposons d’une équipe de plus en plus nombreuse de responsables de la sécurité des systèmes d’information, lesquels, en permanence, testent nos systèmes et étudient leurs failles de sécurité.
M. Philippe Latombe, rapporteur. Vous avez dit que 75 % des data centers commerciaux étaient situés à Paris. Est-ce lié à l’organisation des voies de l’internet que vous avez mentionnée, ou uniquement à des questions de compétences ou d’accessibilité ? Le numérique est souvent conçu comme une industrie d’avenir susceptible d’échapper à l’attractivité des grandes villes et de réindustrialiser les territoires ruraux. Les data centers commerciaux pourraient-ils donc être situés ailleurs qu’à Paris et créer ainsi un dynamisme économique dans des territoires qui en manquent, comme la Creuse, la Vendée ou l’Aveyron, etc. ?
M. Olivier Micheli. La première raison pour laquelle les grandes villes comme Paris, Francfort, Londres, Amsterdam, etc. rassemblent de nombreux data centers est qu’elles constituent des hubs majeurs où tout converge, et notamment les réseaux de télécommunications. Il est tout à fait logique, en effet, que les data centers se développent là où sont situés les grands « nœuds » Internet : à Madrid, Milan, Paris, Francfort, etc. Il est possible sur une carte de voir physiquement tous les réseaux de télécommunications converger
dans ces villes. Toutes les données y arrivent, et sont donc ensuite stockées dans des data centers.
La deuxième raison est économique. Les sièges sociaux des grandes sociétés françaises sont situés à Paris. Chaque région ou grande métropole en France accueille une grande société, mais Paris en concentre un nombre considérable. De très nombreuses équipes informatiques y sont donc également situées, et elles souhaitent que leurs équipements informatiques soient à proximité, afin qu’elles puissent y intervenir. Même si nous pouvons réaliser de nombreux gestes de proximité pour nos clients, eux-mêmes interviennent également sur site. Or, une société dont le siège social est situé à la Défense ou à Vélizy interviendra beaucoup plus rapidement sur un data center parisien que sur un data center situé dans la Creuse, à Lyon ou à Marseille, etc.
Vous avez parfaitement raison par ailleurs d’évoquer la question des compétences.
Notre secteur est confronté à une réelle pénurie de compétences. D’ici 2025, cette pénurie est estimée dans le monde à près de 500 000 salariés spécialisés dans les data centers. Or, c’est à Paris que le plus grand nombre de personnes formées, compétentes et qualifiées (ingénieurs, techniciens, etc.) se trouvent. Ce n’est pas nécessairement là qu’elles sont les plus qualifiées, mais c’est là qu’elles sont les plus nombreuses.
Néanmoins, je crois beaucoup au développement des data centers en région. Ils n’atteindront certes pas la taille des « méga data centers », de plusieurs milliers de mètres carrés, que l’on trouve dans les grands hubs. Toutefois, pourquoi faire remonter les données de Lyon à Paris avant de les faire redescendre à Lyon, ou de Bordeaux à Paris avant de les faire redescendre à Bordeaux, etc. ? Les grandes villes françaises auront ainsi de plus en plus besoin de disposer de leurs propres data centers, de taille plus modeste, mais quand même importante, pour répondre aux besoins de leurs entreprises régionales, mais aussi aux besoins des villes et des territoires intelligents. En effet, tout se numérise : les entreprises, mais aussi les villes et les services, qui sont de plus en plus accessibles par l’intermédiaire de plateformes numériques. Et plutôt que d’être renvoyées vers de grands hubs comme Paris, les données afférentes devront être traitées localement, ne serait-ce que pour des raisons techniques de latence. Pour certaines applications (par exemple celles destinées aux voitures autonomes), le temps de latence entre l’émetteur et le récepteur doit ainsi être le plus court possible. Une distance de 400 kilomètres peut avoir un impact à cet égard. Si tout est traité au niveau de la ville même, le temps de latence sera réduit et la qualité du service encore améliorée.
Je suis plus dubitatif, en revanche, concernant la possibilité d’implanter des data centers dans des régions plus reculées comme la Creuse ou la Corrèze, etc. Je ne saurais toutefois me prononcer sur l’avenir au-delà de 2030. D’ici là, je prévois le développement de méga data centers dans les grands hubs, mais aussi de data centers de taille plus raisonnable dans les grandes villes et métropoles françaises.
M. Philippe Latombe, rapporteur. Vous venez d’indiquer que l’avenir des data centers tenait aussi à la numérisation des villes et des collectivités pour développer des « villes intelligentes », « smart cities », « données de la ville », etc. Quel développement des besoins en data centers la filière envisage-t-elle par cet intermédiaire : un développement exponentiel ou plus continu ?
M. Olivier Micheli. En premier lieu, la filière France Data Center ne s’appelle pas Paris Data Center, parce que nous y disposons d’acteurs présents sur l’ensemble du territoire (à Metz, Toulouse, Marseille, Lyon, etc.). Nous pensons donc fortement que l’avenir du data center en France impliquera bien toutes les régions, de Lille à Marseille. Ce point est donc parfaitement partagé.
En deuxième lieu, il faut bien comprendre que la production de données est en pleine « explosion ». En 2020, la Terre a produit en une année autant de données qu’elle l’avait fait au total jusqu’en 2020. Nous produisons et nous échangeons donc de plus en plus de données.
Les data centers résultent alors de nos usages numériques. Plus nous produisons, plus nous avons besoin de stockage, donc de data centers. C’est ce que nous observons. Le développement des data centers est très important dans le monde, en Europe et en France, mais France Data Center pense que la France peut faire davantage. Elle dispose d’atouts magnifiques, mais présente aussi des freins, que j’ai évoqués. De plus, les data centers sont trop souvent mal compris, et ainsi perçus comme des actifs se contentant de rejeter de la chaleur non consommée dans l’atmosphère. Ils sont bien plus que cela. Un travail pédagogique important est à effectuer à cet égard, non pas tant auprès des citoyens qu’auprès du gouvernement, de l’administration et des élus, pour expliquer à quoi servent les data centers et pourquoi il est important d’en posséder. À condition de réaliser ce travail et de lever ces freins, les data centers ont de l’avenir partout en France.
M. Philippe Latombe, rapporteur. Les data centers sont de grands consommateurs d’électricité, ce qui est beaucoup reproché au numérique depuis quelque temps, maintenant que chacun sait chiffrer l’impact du numérique en termes de production de gaz à effet de serre et de consommation électrique. Investissez-vous dans la réduction de la consommation électrique ? Comment pouvez-vous « verdir » votre activité pour éviter ces critiques, conduisant à limiter le volume de données stockées et le recours aux data centers, qui nuirait à la planète ? Disposez-vous de pistes à cet égard ?
M. Olivier Micheli. La filière travaille depuis plus de quinze ans sur la réduction de son impact environnemental et l’optimisation de sa consommation électrique. Une étude publiée dans la revue Science a montré que, de 2010 à 2018, le nombre des serveurs a été multiplié par six, pour une augmentation de seulement 6 % de la consommation d’électricité des data centers, précisément parce que l’ensemble du secteur travaille à optimiser cette consommation. Elle y travaille d’abord pour une raison économique : la consommation électrique d’un data center représente 30 à 40 % de sa charge financière. La réduire impactera donc directement votre rentabilité.
La filière est également consciente de sa responsabilité. Elle constitue la partie émergée, visible, du numérique. Le numérique est souvent conçu comme virtuel, tandis que les data centers sont réels. Le cloud n’est pas situé dans les nuages, mais bien dans nos data centers, de manière très tangible et concrète. Il est donc facile de cibler les data centers, qui sont des actifs physiques et tangibles.
En matière de performance énergétique, il faut travailler à la fois sur la quantité et sur la qualité.
En termes de qualité, nous pensons qu’il est indispensable de se tourner de plus en plus vers les énergies renouvelables. Depuis 2007, 100 % de la consommation électrique de DATA4 est d’origine renouvelable. Nous avons mené cette conversion en France, en Italie, en Espagne et au Luxembourg, et nous continuerons en ce sens dans les prochains pays où s’étendra l’entreprise. À travers l’engagement volontaire PACTE pris auprès de l’Union européenne, des objectifs chiffrés nous sont fixés pour accroître d’ici 2025 et 2030 notre recours à l’énergie renouvelable.
S’agissant de la quantité d’énergie, les data centers de nouvelle génération de DATA4 utilisent l’air externe pour refroidir les serveurs hébergés dans leurs bâtiments. Le climat tempéré de la France le permet. Un air de très bonne qualité est également requis pour cette technologie, car les serveurs supportent très mal la poussière. L’air très pur dont nous
disposons sur notre campus de Marcoussis nous permet d’utiliser l’air externe 85 % du temps pour refroidir les serveurs hébergés dans nos salles informatiques. Cela nous a permis de réduire de près de 20 % la consommation électrique de nos bâtiments, de même que leur power usage effectiveness (PUE). Cet indicateur de performance énergétique rapporte l’énergie qui arrive dans le bâtiment à celle qui est utilisée par le serveur. La finalité d’un data center est en effet d’apporter de l’électricité à un serveur, pour qu’il puisse fonctionner. Plus ce rapport tend vers 1, plus votre data center est vertueux. Grâce à l’utilisation de l’air externe dans le cadre de notre technologie de free cooling, notre PUE est passé de 1,8 à 1,2, ce qui constitue un très bon niveau dans notre industrie. C’est donc sur ce type de technologies que nous travaillons pour réduire la quantité d’énergie consommée dans nos bâtiments.
DATA4 prône aussi très fortement une approche globale, « holistique », de l’ensemble du cycle de vie des data centers : de leur conception à la fin de vie des équipements, en passant par leur construction et leur exploitation. Le free cooling par exemple doit être intégré dès la conception. En construction, nous envisageons de recourir à des matériaux comme le béton vert. C’est en exploitation que des gains d’efficacité énergétique sont particulièrement possibles. Nous travaillons à cet égard sur des solutions consistant à compartimenter et cloisonner des allées de serveurs, pour concentrer la chaleur produite sur certains points précis, et y propulser l’air froid. Cela fait gagner considérablement en efficacité énergétique par rapport à une diffusion homogène de cet air.
La filière travaille donc depuis très longtemps à la fois sur la qualité et la quantité de l’énergie consommée, et sur l’ensemble du cycle de vie des bâtiments.
M Philippe Latombe, rapporteur. S’agissant de la cybersécurité, nous avons interrogé ce matin un spécialiste des données de santé. Selon lui, il n’existe pas aujourd’hui de plan de continuité d’activité dans les hôpitaux en cas de cyberattaque. Vous avez développé une expertise dans le domaine de ces plans de continuité d’activité. En cas de panne de courant, vous disposez de générateurs susceptibles de prendre le relais. Je suppose que vous avez également mis en place des mesures en cas de coupure des réseaux de télécommunications, et des plans de continuité d’activité en cas de cyberattaque, afin notamment d’isoler les points concernés et d’éviter ainsi la diffusion de l’attaque. Pourriez-vous partager ces compétences avec des acteurs stratégiques comme les hôpitaux, qui sont encore loin d’avoir suffisamment pris en compte ces considérations, alors même qu’ils stockent également des données, en l’occurrence dans des entrepôts de données de santé (EDS) ?
M. Olivier Micheli. L’association travaille beaucoup sur l’échange de bonnes pratiques. Elle est à cet égard ouverte à tous : collectivités locales, administrations, entreprises, etc. J’encourage les acteurs publics concernés (par exemple les hôpitaux de Paris, s’il s’agit d’eux) à nous rejoindre pour participer à ce partage, afin que les bonnes pratiques soient diffusées autant que possible.
La continuité de service constitue une question de moyens. Généralement, les données essentielles sont stockées sur un site primaire, et il est très important de se doter d’un site secondaire en cas de perte du site primaire, idéalement en « actif-actif », ce qui permet de répliquer les données du site primaire vers un site secondaire en temps réel, de sorte que le site secondaire reprend totalement la charge du premier, de manière parfaitement transparente.
« L’actif-actif » s’oppose à « l’actif-passif » où cette réplication n’est pas en temps réel.
Naturellement, se doter d’un site secondaire coûte cher, et se doter d’un site secondaire en « actif-actif » coûte encore plus cher. Tout dépend donc des moyens alloués. Pour les infrastructures et activités critiques, nous encourageons en tout cas la création de sites de secours. À DATA4, plusieurs sites sont disponibles et de nombreuses entreprises y installent leur informatique primaire sur un site et leur informatique secondaire sur un autre.
Au-delà du partage de bonnes pratiques, que nous pouvons proposer, des moyens financiers sont donc nécessaires, mais aussi des équipes compétentes en interne qui aient le temps et la capacité de mettre en place ce type de systèmes et surtout de les maintenir en conditions opérationnelles, ce qui prend beaucoup de temps.
M. Philippe Latombe, rapporteur. Vous l’avez évoqué : le cloud est lui aussi hébergé dans les data centers. Avec Schrems II, la possibilité d’utiliser des clouds souverains ou des clouds américains s’est posée. Quelle vision ont vos clients de l’utilisation du cloud ?
Ont-ils commencé à s’interroger sur la localisation des données et la manière de les protéger et de les rendre souveraines au sens de Schrems II ? Ou s’agit-il encore pour eux d’une question mineure, par rapport à la recherche de solutions techniques et la question des coûts ?
M. Olivier Micheli. Ce n’est pas du tout une question mineure. Tous les clients se posent la question de la localisation des données. Une tendance de fond parmi les entreprises consiste à segmenter les données essentielles et les données accessoires. Une base de données client et les données de R&D notamment n’ont pas la même valeur que les données d’un site institutionnel Internet, même si ce dernier représente l’image d’une société. Selon qu’il s’agit des unes ou des autres, la perte n’a pas le même impact. Toutes les entreprises sont donc engagées dans la segmentation de leurs données, en fonction de leur niveau de criticité, et adaptent les environnements numériques de ces données à cette criticité.
Les réglementations entrent également en compte à cet égard. En Europe comme en France, la réglementation est ainsi très claire concernant le pourcentage d’informations pouvant être stockées dans le cloud ou non.
Il revient ensuite à chacun de déterminer où il localisera ses données en fonction de la segmentation retenue. Le « cloud privé » appartient à l’entreprise : il est hébergé dans ses propres machines et systèmes, fondés sur ses procédures propres, etc. Le « cloud public »
quant à lui est hébergé par des plateformes mutualisées, que nous connaissons tous : il existe une très belle solution française, des solutions américaines, etc. Enfin, le « cloud hybride »
consiste précisément à choisir entre le cloud privé et le cloud public en fonction de la criticité des données concernées.
Quelle est la définition d’un « cloud souverain », c’est-à-dire d’un cloud de confiance, permettant aux entreprises d’importance vitale, aux administrations, au gouvernement, de stocker leurs données en fonction de leurs besoins ? Je n’ai pas d’avis sur la question de savoir si son acteur doit être américain ou européen, etc. L’important est surtout qu’un cloud souverain doit fonctionner en autonomie, c’est-à-dire ne doit pas dépendre d’un État tiers, afin qu’il puisse continuer à fonctionner en temps de crise. Il doit également pouvoir fonctionner avec des ressources situées en France, ce qui signifie que des ressources capables de gérer les opérations du cloud doivent s’y trouver. Enfin, il est très important que les données soient localisées en France. Il faudrait très rapidement définir la notion de cloud de confiance, ou de cloud souverain, afin que différentes propositions y répondant (donc ne dépendant pas d’États tiers) soient rendues disponibles en France, ce qui ne signifie pas que leurs acteurs doivent tous être français. Une communication devrait alors être réalisée auprès des acteurs concernés, pour leur permettre d’héberger leurs données sur différents types d’infrastructures et de plateformes, en fonction de leur criticité.
M. Philippe Latombe, rapporteur. Il est fréquent d’entendre que les entreprises françaises ne sont pas suffisamment digitalisées ou numérisées, par opposition, par exemple, à l’Allemagne, en raison de la taille des entreprises, mais aussi de leur culture. Partagez-vous ce constat ? Vos data centers sont-ils principalement sollicités par des grands clients ou par
une multitude de petits comptes très atomisés, et la taille de vos clients a-t-elle évolué durant les dernières années ?
M. Olivier Micheli. Nous sommes présents dans différents pays européens voisins, et, si je connais moins la situation de l’Allemagne, la France n’a pas à rougir de sa situation par rapport à l’Italie ou à l’Espagne. Entre l’Europe du Sud et l’Europe du Nord, les pratiques sont toutefois différentes. Le recours à l’externalisation, notamment, est beaucoup plus fréquent en Europe du Nord qu’en Europe du Sud. Dans le domaine du numérique comme dans d’autres, les entreprises des pays du Sud sont ainsi plus réticentes à faire confiance à des sociétés tierces pour héberger et gérer leur informatique. Elles préfèrent s’en occuper elles-mêmes. Cet écart tend toutefois à se résorber sous l’effet des crises successives (financière, sanitaire, etc.) et de la compétition mondiale. Les entreprises ont besoin de se concentrer sur leur cœur de métier, et ont de moins en moins les moyens d’allouer des fonds importants à des activités pour elles accessoires. Elles font donc de plus en plus appel à des sociétés tierces pour gérer ces activités, et pouvoir ainsi concentrer leur énergie et leur capital à innover et se différencier sur leur cœur de métier.
Notre base de clients est très diverse. Nous travaillons avec la plupart des entreprises du CAC40, mais aussi avec de très belles entreprises de taille intermédiaire (ETI) et quelques PME. Nous travaillons donc avec des entreprises de toutes tailles, et toutes externalisent de plus en plus. Nous travaillons aussi avec des entreprises de la Tech, qu’il s’agisse d’intégrateurs, d’entreprises des services numériques (ESN) ou d’acteurs du cloud, et elles aussi externalisent beaucoup. De plus en plus, les entreprises font donc confiance à des acteurs spécialisés dans des télécommunications ou les data centers comme DATA4 pour externaliser leurs systèmes d’information.
M. Philippe Latombe, rapporteur. Au-delà des questions de taxation, y a-t-il selon vous des freins législatifs ou réglementaires à lever absolument pour améliorer l’écosystème numérique en France ?
M. Olivier Micheli. Je le répète : disposer d’une stabilité réglementaire est très important, car les investissements dans les data centers se font sur des temps très longs.
Par ailleurs, construire un data center en France est complexe en raison d’un cadre administratif parfois un peu long et lourd. Au-dessus de 400 mégawatts informatiques, par exemple, les installations classées pour la protection de l’environnement (ICPE) passent du régime de la déclaration à celui de l’autorisation. Or, le processus des autorisations ICPE est complexe, et surtout très long : il peut prendre un an. Déjà, construire un data center peut prendre dix-huit à vingt-quatre mois, du fait de la quantité considérable de technologie qu’abrite un tel bâtiment. Y ajouter douze mois de procédure ICPE constitue un frein supplémentaire. Il faudrait donc raccourcir ce délai d’autorisation, assez unique en Europe, pour des installations classées, au fond, bien connues.
D’autres obligations sont ensuite à remplir, d’une manière assez linéaire : après l’obtention du permis de construire et de l’autorisation ICPE, des fouilles archéologiques doivent être réalisées. Il ne s’agit pas de les mettre en cause : elles sont parfaitement légitimes, mais ne serait-il pas possible de les commencer avant, en engageant ainsi parallèlement les différentes procédures, pour gagner du temps ? Si des vestiges romains, etc. importants sont découverts, la poursuite des autres obligations administratives que doivent remplir les opérateurs de data centers, devenue inutile, aura ainsi pu être évitée. C’est donc surtout l’enchaînement linéaire des obligations administratives à remplir qui fait qu’elles prennent du temps. L’obtention du permis de construire prend trois mois, et quand on y ajoute le temps d’obtention d’une autorisation ICPE, etc., les délais deviennent extrêmement longs. Ce cadre
administratif n’est donc pas réellement adapté à notre type de développement, et nous gagnerions beaucoup à ce qu’il soit simplifié.
Enfin, comme je l’ai déjà dit, je souhaiterais que les data centers soient reconnus comme des infrastructures critiques et soient soutenus en cas de crise, afin que nous n’ayons pas à craindre qu’une limitation de circulation nous empêche d’accéder à nos bâtiments, et qu’un accès prioritaire au fuel, etc. nous soit accordé. Un ensemble de prérequis sont ainsi indispensables pour opérer des data centers en temps de crise. Les data centers sont des infrastructures critiques et devraient être reconnus comme tels.
M. Philippe Latombe, rapporteur. Les data centers sont-ils reconnus comme des installations critiques dans d’autres pays que la France ? Ou pensez-vous qu’une réglementation européenne devrait être adoptée pour harmoniser les règles à cet égard entre l’ensemble des pays membres ?
M. Olivier Micheli. Il serait en effet intéressant d’approcher cette question à l’échelle européenne. Lors de la première vague de la crise sanitaire, une coordination très forte s’est établie entre les différentes organisations professionnelles, et nous nous sommes rendu compte que la plupart des pays (l’Italie, l’Espagne, l’Angleterre, etc.) avaient très rapidement reconnu aux data centers le statut d’installations critiques, pour garantir le fonctionnement de ces bâtiments. Nous n’avons pas réussi à l’obtenir en France. Le gouvernement a signé une lettre de soutien très appuyé au secteur des télécommunications. Nous avons demandé à disposer des mêmes garanties et du même soutien : nous ne l’avons pas obtenu, probablement en raison d’une mauvaise compréhension persistante en France de la nature des data centers, de leur impact et de leur criticité.
M. Philippe Latombe, rapporteur. Voulez-vous dire qu’il a manqué au gouvernement et à l’administration une prise de conscience de la nécessité des data centers, et de la nécessité d’en permettre le fonctionnement ?
M. Olivier Micheli. C’est exactement ce que je veux dire.
M. Philippe Latombe, rapporteur. Est-ce valable à tous les niveaux, ou le secrétaire d’État au numérique notamment, qui connaît mieux le milieu que certains de ses collègues, s’est-il montré plus réceptif ?
M. Olivier Micheli. Heureusement, nous travaillons extrêmement bien avec la direction générale des entreprises (DGE), qui est à l’écoute, et avec laquelle nous avons eu beaucoup d’échanges et pu travailler sur de très nombreux sujets, notamment relatifs au numérique. La DGE ne travaille cependant pas de manière isolée. Elle a donc fait ce qu’elle a pu. Or, de manière générale, la prise de conscience de l’importance des data centers pour le territoire français n’est pas suffisante. Pourtant, la France est un pays d’infrastructures (électriques, de transport, de télécommunications, etc.) dont elle peut être fière. Mais les infrastructures numériques ne sont souvent vues, en France, qu’à travers le prisme des réseaux de télécommunications. Or, ceux-ci ne servent à rien sans data centers. C’est un ensemble qui doit fonctionner de manière cohérente. Les réseaux acheminent des données, qui sont stockées dans des data centers, puis sont redistribuées. Nous passons donc notre temps à expliquer l’importance des data centers, non pas parce que nous travaillons dans ce secteur, mais parce qu’il faut que l’ensemble soit cohérent pour fournir une continuité de service aux citoyens, aux entreprises, aux administrations, etc. Pour l’instant, la prise de conscience n’est pas assez rapide en France. C’est la mission de France Data Center que de l’accélérer, et nous constatons qu’elle est plus rapide dans les autres pays.
M. Philippe Latombe, rapporteur. Ce point est bien noté. Nous examinerons s’il doit être traité au niveau européen ou national.
Y a-t-il d’autres sujets que vous souhaiteriez aborder, et que nous n’aurions pas évoqués ?
M. Olivier Micheli. Quatre marchés principaux, dits « tiers un » (la France, l’Allemagne, l’Angleterre et la Hollande), sont distingués en Europe du reste des marchés, dits « tiers deux ». Si la Hollande (plutôt que l’Espagne ou l’Italie, par exemple) fait partie des marchés « tiers un », c’est parce que l’un des principaux nœuds de télécommunications au monde est historiquement situé à Amsterdam. Un grand nombre de data centers se sont donc développés en Hollande, qui vient ainsi de passer devant la France, à la troisième place du classement des pays où se développent le plus de data centers. La France y occupe désormais la quatrième place, dont l’Irlande se rapproche très rapidement.
En tant que président de France Data Center et de DATA4, qui constitue une très belle société de data centers française, je souhaite vous sensibiliser sur le fait que ces infrastructures sont critiques, attirent de nombreux capitaux, développent des compétences et des savoirs. La France doit donc veiller à ne pas être déclassée de ce point de vue, et s’organiser pour permettre à la filière de se développer encore plus, et de ne pas perdre des parts de marché vis-à-vis d’autres acteurs qui ont compris l’intérêt stratégique de disposer de data centers et de données sur leurs territoires, et l’intérêt économique d’attirer ce type d’investissements.
M. Philippe Latombe, rapporteur. Que pourrions-nous faire en termes de formation pour vous aider ? Suffirait-il à court terme de créer quelques filières dans les écoles d’ingénieur, ou faut-il mener un travail à plus long terme ?
M. Olivier Micheli. La formation est toujours un processus long, malheureusement. Il existe en France des filières « télécom », mais pas vraiment de filière data center. DATA4 et France Data Center avaient été consultés par l’Université de Rennes, qui envisageait de créer une formation dans les data centers. C’était une très bonne idée, qui n’a malheureusement pas abouti à ma connaissance. France Data Center est évidemment disponible pour travailler avec le gouvernement à définir des filières spécialisées dans le data center. Une excellente initiative comme « les plombiers du numérique » a commencé dans les réseaux avant de s’étendre aux data centers. Elle est désormais partenaire de France Data Center. DATA4 a reçu une vingtaine de jeunes techniciens venus se former aux métiers de base du data center. Il ne s’agit pas d’ingénieurs, ni même de techniciens qualifiés, mais cela permet d’aider des jeunes en difficulté et de leur faire découvrir les data centers. Des actions, qui vont au-delà de simples expérimentations, sont ainsi lancées et sont très bénéfiques, mais des formations doivent également être créées pour permettre à des ingénieurs et techniciens d’accéder à notre secteur, qui se développe très fortement et a besoin de compétences fortes. La question de la formation est donc très importante.
M. Philippe Latombe, rapporteur. Nous reviendrons vers vous à l’issue de l’ensemble des auditions, mais j’ai bien noté vos suggestions concernant le statut d’infrastructures critiques, les fouilles archéologiques, etc. La question de la stabilité des normes notamment est récurrente, ce qui signifie que votre avis à ce sujet est totalement partagé.
Audition, ouverte à la presse, de Mme Diane Dufoix-Garnier, directrice des affaires publiques, et M. Michel Gesquiere, responsable des ventes d’IBM (9 mars 2021)
Présidence de M. Jean-Luc Warsmann, président.
M. le président Jean-Luc Warsmann. Je souhaite la bienvenue aux représentants de la multinationale américaine IBM que nous recevons, Mme Diane Dufoix-Garnier, directrice des affaires publiques d’IBM, MM. Michel Gesquiere et M. Leo Hamon.
Nous avons auditionné plusieurs acteurs du cloud au mois de février. Nous recevrons également les représentants de Microsoft, Amazon et Google.
Votre audition s’inscrit dans notre réflexion sur la souveraineté numérique et la façon dont les entreprises technologiques appréhendent cet enjeu. Je suis très heureux, ainsi que mes collègues, de pouvoir échanger avec vous sur la transformation numérique des entreprises, mais aussi de l’État, et sur la manière de conjuguer la protection des intérêts technologiques nationaux et européens avec le développement de nouvelles technologies en Europe.
M. Philippe Latombe, rapporteur. Je souhaiterais solliciter votre avis sur trois sujets.
En tant qu’entreprise privée américaine, spécialisée dans les produits et services informatiques, comment percevez-vous la montée en puissance du thème de la souveraineté numérique dans le débat public, en France, mais aussi en Europe ? Cette problématique se traduit-elle différemment selon vous dans les autres pays où elle se pose ? Comment pouvez-vous participer à sa promotion ou à sa protection, dans un contexte où vous pouvez être soumis au respect de certaines lois extraterritoriales ? Je pense par exemple au « Clarifying Lawful Overseas Use of Data Act » (Cloud Act), mais il en existe d’autres.
Quelles technologies seront critiques dans les prochaines années ? L’entreprise IBM, créée en 1911, s’est fortement diversifiée. Elle offre désormais des produits s’appuyant, par exemple, sur l’intelligence artificielle et la blockchain. À l’initiative du gouvernement et des acteurs privés, des initiatives ont été prises en France sur ces segments technologiques cruciaux dans le plan de relance et le programme d’investissements d’avenir (PIA). Comment jugez-vous en conséquence le niveau d’investissement de la France dans ces domaines ? Quels bouleversements technologiques pourraient se produire dans les prochaines années, et sur quelles « technologies de rupture » devrions-nous cibler nos financements ?
Enfin, j’aimerais vous entendre sur le cloud et plus généralement sur la transformation numérique des entreprises. Comment jugez-vous l’appétence à se numériser des acteurs publics et privés en France ? Quelles sont les attentes de vos clients dans ce domaine ? Une culture du risque lié aux enjeux de cybersécurité est-elle en train d’émerger face à la nécessité pour les entreprises de recourir massivement au numérique, en période de crise, pour poursuivre leurs activités ?
Mme Diane Dufoix-Garnier, directrice des affaires publiques d’IBM. Je vous remercie de nous accorder cette audition, que nous avons sollicitée et qui nous tient à cœur.
Nous travaillons beaucoup et depuis longtemps sur l’objectif de souveraineté numérique, qu’IBM comprend. Nous souhaitons la bâtir et la promouvoir également à notre échelle, dans nos relations avec nos clients, et nous sommes donc prêts à y contribuer, à la hauteur des possibilités d’une entreprise technologique et dans la continuité de notre investissement en Europe.
Vous avez posé de nombreuses questions, toutes très intéressantes. Avant d’y répondre, je souhaiterais vous présenter rapidement IBM. Aujourd’hui, IBM est une entreprise globale, multinationale, présente dans plus de 170 pays, et depuis plus de cent ans en France et en Europe. Du fait de cette histoire, des liens ainsi créés et de la présence territoriale d’IBM en France, la France occupe pour IBM une place stratégique, comme l’Europe en général.
Pour une entreprise technologique, IBM présente en effet la spécificité d’être fortement implantée en région, par exemple à Lille où nous disposons d’un centre de développement de logiciels et d’un centre de cybersécurité. IBM dispose également de centres de recherche et développement (R&D) à divers endroits du territoire, notamment sur l’intelligence artificielle (IA) à Paris-Saclay et à Sophia-Antipolis, d’un centre technologique sur le cloud computing à Nice, avec des experts technologiques de ces sujets, et, à Montpellier, d’un centre sur les infrastructures, et, depuis 2018, d’un pôle portant sur les technologies quantiques.
IBM a également tissé des liens importants avec des entreprises emblématiques du tissu économique français, et qui lui font confiance, depuis longtemps, pour se transformer :
Orange, la SNCF, le Crédit Mutuel, Michelin et BNP Paribas, par exemple, et certaines font appel à IBM à propos d’enjeux importants comme la traçabilité alimentaire (Carrefour, Labeyrie) ou la santé. Nous travaillons ainsi avec l’ETI Guerbet sur l’aide au diagnostic de cancers du foie et plus récemment de la prostate.
IBM est donc peut-être la plus européenne, ou la plus française, des entreprises multinationales ou des entreprises américaines. C’est ce que nous voulions vous faire appréhender avec ces quelques éléments de présentation.
Notre métier a beaucoup évolué, mais son « fil rouge » a toujours été de concevoir des technologies numériques à la fois performantes et sécurisées, pour aider nos clients à identifier les bons usages et à se transformer, pour être plus compétitifs. Cette philosophie a toujours guidé l’action d’IBM dans son histoire : dans les années 1960, avec la création des grands systèmes et de la disquette ; dans les années 1980, où IBM s’est davantage centrée sur le BtoC avec la création des PC ; et jusqu’à nos jours, où nous mettons l’accent sur l’intelligence artificielle ; le cloud, que nous développons dans une logique hybride et ouverte (qu’il sera important de présenter à cette mission), avec le rachat en 2018 de Red Hat, un acteur clé de l’open source ; et le Quantum désormais.
En somme, notre approche vise à permettre à chacun de nos clients d’être souverain technologiquement, à l’échelle de nos relations d’entreprises. En effet, IBM est d’abord, aujourd’hui, une entreprise du BtoB, qui a pour seule mission d’aider ses clients à créer de la valeur grâce aux technologies ou à partir de leurs données. Elle a notamment fait le choix stratégique de ne pas entrer en concurrence avec ses clients. La stratégie hybride et ouverte d’IBM dans le cloud constitue un autre élément important de la manière dont elle entend aider ses clients à être souverains technologiquement. Cette stratégie fait écho à la doctrine cloud définie par l’État en 2018. Une stratégie hybride et ouverte consiste à permettre aux entreprises d’exploiter de façon sécurisée leurs données ou leurs applications, sur différents environnements : en local, sur des clouds privés, des clouds publics, et des clouds multiples, c’est-à-dire incluant des clouds IBM, comme d’autres fournisseurs, et ce, de manière totalement interopérable et avec une portabilité des données. Parce que nous pensons que telle est la demande du marché, nous nous sommes engagés dans un axe fort consistant à donner aux entreprises la possibilité de déplacer elles-mêmes leurs données et leurs applications où elles le souhaitent, entre des infrastructures dédiées et mutualisées comme entre différents cloud providers, en fonction de leurs contraintes de performance et de sécurité. Avec certains clients, comme BNP Paribas en France, nous allons encore plus loin, en les aidant à construire leur propre solution cloud hybride et ouverte, qui intègre donc des éléments privés (qui leur
appartiennent) et les éléments publics que peut apporter IBM grâce à ses investissements R&D dans le cloud, y compris public, en conformité avec les exigences de régulation et de souveraineté.
Ceci répond déjà à une partie de vos questions sur la souveraineté. Je continuerai à y répondre, en prenant un peu de distance, pour vous faire part de nos recommandations plus générales à ce sujet, en tant qu’entreprise technologique. Chacun convient que la crise que nous vivons a mis en lumière deux enjeux majeurs de résilience et de souveraineté de nos entreprises. Dans ce cadre, IBM considère le numérique comme une réponse incontournable, dans la mesure où il constitue un vecteur d’agilité et de compétitivité pour les entreprises. Il a d’ailleurs permis à de nombreuses entreprises de continuer à fonctionner durant la crise, et les investissements que nous y consacrons garantissent que les filières actuelles aient un avenir, ce qui constitue un enjeu central de compétitivité, donc de souveraineté, pour la France et l’Europe.
Notre première recommandation à cet égard est de continuer à accélérer la digitalisation des entreprises, donc à mener une politique extrêmement proactive pour renforcer l’offre technologique française et européenne, dans des secteurs stratégiques comme l’IA, le cloud, les données, le quantique (qui constitue un champ d’avenir très important, et sur lequel une véritable course internationale est lancée), et bien sûr la cybersécurité. Le secteur des données inclut la blockchain et l’Internet des objets (IOT), qui présentent des avantages certains en matière de transparence, de souveraineté et de protection des données.
Si renforcer l’offre technologique est important, il est assez naturel pour IBM, dont c’est le métier, de souligner l’importance d’y associer le développement des cas d’usage. En effet, si les acteurs technologiques développent des technologies sans considération pour les acteurs qui sont en train de se numériser, cela n’aura que peu d’impact. En quantique, par exemple, technologie sur laquelle IBM investit beaucoup, il est tout aussi important, pour la France et l’Europe, de créer les algorithmes de demain, qui, comme cas d’usage, permettront de tirer tous les bénéfices des technologies quantiques, que de construire ces technologies quantiques mêmes. Les deux démarches sont indissociables.
En matière d’investissement technologique, la question des compétences est également extrêmement importante. Je sais que vous l’avez prise en compte. La France dispose à cet égard de nombreux atouts. De nombreux collaborateurs d’IBM France s’impliquent d’ailleurs dans le domaine de la formation, en donnant des cours dans plus de cent établissements d’enseignement supérieur en France. L’investissement dans la formation doit aussi avoir pour objectif que chacun, au-delà des seuls profils de type Bac+5 ou plus, trouve sa place dans la société déjà extrêmement technologique d’aujourd’hui, et qui le sera encore plus demain.
Parce que nous considérons qu’il est de notre responsabilité, en tant qu’entreprise, de développer de tels profils, nous travaillons notamment avec le ministère de l’Éducation nationale et d’autres entreprises (BNP Paribas, Orange, La Poste, Salesforce) sur un programme nommé « P-Tech » dans les lycées professionnels.
Notre deuxième recommandation au regard des débats sur la souveraineté numérique française est d’inscrire ces investissements dans une logique d’écosystèmes entre des acteurs publics et privés, et entre des acteurs divers au sein des acteurs privés. Chaque fois qu’il a été possible de renforcer une offre technologique pour en accroître la compétitivité, des écosystèmes forts étaient impliqués, comme c’est le cas à Sophia Antipolis ou à Saclay. La France et l’Union européenne ont donc tout intérêt à promouvoir des partenariats fondés sur des valeurs européennes partagées, avec des partenaires également conscients de l’importance des enjeux de souveraineté, et notamment des enjeux de sécurité et de portabilité, d’interopérabilité et de réversibilité, qui permettent de laisser la maîtrise aux utilisateurs de
leur technologie. C’est ce que nous faisons depuis cent ans, et nous espérons pouvoir continuer ainsi à promouvoir en France une approche « ouverte » de la souveraineté technologique. Par exemple, des investissements publics et privés (notamment d’IBM) ont été annoncés sur les enjeux de transformation IA des entreprises. Avec le soutien de l’État, nous avons lancé en 2020 un projet structurant pour la compétitivité (PSPC), nommé « AIDA », et qui rassemble aux côtés d’IBM une ETI, deux PME et l’Université Paris-Saclay. Notre objectif est de piloter, depuis la France, un projet d’envergure mondiale permettant de positionner la France comme un leader mondial de « l’IA de nouvelle génération », car il s’agit d’un projet de R&D sur une nouvelle vague d’intelligence artificielle.
En dernière recommandation, IBM estime, depuis longtemps, que la souveraineté passe aussi par une forme de régulation, que nous appelons « régulation de précision », visant à cibler de façon proportionnelle les entreprises ou les usages les plus sensibles, quels que soient les secteurs, afin de ne pas freiner la compétitivité et l’innovation dans l’ensemble des usages. IBM soutient à cet égard la proposition d’un Règlement sur les services numériques, le Digital Services Act (DSA), qui régule le type de services proposés, la taille des acteurs, ainsi que leur impact sur la société. IBM fait partie des catégories d’acteurs auxquelles des obligations nouvelles s’imposeront dans ce cadre. La régulation de l’IA constitue un autre enjeu qui fera et fait déjà l’objet de nombreux débats européens. Dans ce domaine, nous sommes également favorables à une régulation ciblée sur les usages à haut risque. Cette approche, portée d’ailleurs entre autres par la France, dans un non paper publié en octobre, signifie qu’aucun secteur ne doit être ciblé ou exclu a priori, et qu’il ne faut pas réguler la technologie, mais ses usages, en se concentrant sur les plus risqués, grâce à des directives très claires permettant de les définir de manière matricielle.
En conclusion, IBM salue les stratégies de régulation récemment dévoilées par le gouvernement français ou l’Union européenne – la stratégie cybersécurité, la stratégie nationale pour le quantique en France – et les textes et outils qui les accompagnent – les espaces de données communs européens, le Digital Services Act, le Data Governance Act, etc.
Des investissements massifs y sont associés, qu’ils soient publics ou privés. Ils manifestent un effort général.
M. Philippe Latombe, rapporteur. Vous avez commencé par présenter IBM comme une entreprise globale, proposant des clouds hybrides. L’extraterritorialité des règles américaines peut paraître en forte contradiction avec l’objectif de souveraineté, puisque IBM est soumis à ces règles, tandis que certains de ses clients pourraient demander que leurs données ne puissent pas partir aux États-Unis. Le cloud hybride constitue-t-il pour vous la seule solution pour, à la fois, rassurer ces clients et leur proposer des solutions réellement souveraines ? En tant qu’entreprise IBM, des agences américaines vous ont-elles déjà demandé de leur transférer des données présentes sur des serveurs ou des clouds vous appartenant ? Cette menace, qui fait beaucoup parler actuellement, correspond-elle à une réalité ? Nous n’arrivons pas à savoir si des demandes ont réellement eu lieu.
Mme Diane Dufoix-Garnier. Cette question me permettra de préciser la position qui est celle d’IBM France, mais aussi d’IBM US ou Corp. Nous considérons que « Compagnie IBM » (nom officiel de notre société française) est une société française indépendante, opérant en France. Cela signifie qu’IBM France n’est pas soumise à la juridiction d’autorités gouvernementales étrangères qui lui demanderaient de communiquer des données, que ce soit au titre du Cloud Act ou de toute autre législation équivalente. Le simple fait qu’IBM France soit la filiale d’un groupe américain amène souvent à penser qu’elle est soumise au droit américain, mais ce fait ne suffit pas à la soumettre au Cloud Act, et seul le droit français s’applique en réalité à IBM France, en France, du fait de sa structure juridique. IBM France et
IBM Corp dans son ensemble s’engagent donc très fortement à contester toute demande qui lui serait adressée et qui ne relèverait pas de la compétence des juridictions françaises ou ne serait pas conforme au droit français. IBM France n’est pas une entreprise américaine, et à ce titre n’est pas soumise au droit américain ni aux injonctions de l’administration américaine.
S’agissant de la réalité de cette menace et du nombre de demandes que nous recevons, il faut d’abord rappeler qu’IBM est une entreprise du BtoB. Les données de nos clients ne constituent donc pas une priorité pour les demandes gouvernementales, et le cloud ne fait pas exception à cet égard. Nous ne recevons donc pas beaucoup de demandes. À ce jour, IBM a reçu extrêmement peu de requêtes dans le cadre du Cloud Act. Nous y avons répondu en appliquant scrupuleusement les positions que je vous ai exposées, et plus généralement nos principes en matière de remise des données aux acteurs gouvernementaux, aux agences ou aux juges, et ces positions ont été entendues par le gouvernement américain, puisqu’IBM n’a jamais eu à fournir de données au titre de requêtes Cloud Act. Dans les quelques cas où nous avons reçu une telle requête Cloud Act, le gouvernement américain a entendu notre approche, et a appelé à la voie de la coopération judiciaire liée au Mutual Legal Assistance Treaty (MLAT). Depuis trois ans, le Cloud Act n’a donc eu aucun impact sur l’accès aux données de clients français d’IBM, ou de tout autre client d’IBM situé hors des États-Unis.
Le cloud hybride constitue-t-il un rempart supplémentaire par rapport à cette première réponse très juridique, qui constitue une posture de gouvernance concernant notre structuration juridique ? Il fait en effet partie de notre « arsenal » de solutions de protection contre les enjeux de sécurité en général, y compris celui de l’extraterritorialité de certains droits. Nous disposons de solutions technologiques telles que le chiffrement, avec la mise à disposition des clés de chiffrement au client et à lui seul. Selon la sensibilité de ses données, nous pouvons également l’orienter s’il le souhaite, pour le protéger contre le risque d’extraterritorialité des droits, mais aussi contre le risque de cybersécurité en général, vers des solutions comme, par exemple, le cloud hybride. Notre premier rempart, et le plus important pour nous, reste cependant notre posture juridique et de gouvernance.
M. Philippe Latombe, rapporteur. Votre position, selon laquelle IBM France est soumise au droit français et n’est donc pas soumise au Cloud Act, n’est pas partagée par certains juristes, au motif notamment qu’un conflit entre Microsoft et les États-Unis à ce sujet n’est toujours pas réglé depuis 2013. Une demande d’information avait en effet été transmise à Microsoft Irlande, qui était de droit européen et communautaire, comme aujourd’hui IBM France. Ce conflit a désormais été renvoyé aux cours inférieures depuis la publication du Cloud Act. Par ailleurs, le Cloud Act s’applique aux entités juridiques, mais aussi aux serveurs.
Pouvez-vous certifier à vos clients en France qu’IBM n’utilise aucun serveur d’une autre filiale ou entité du groupe IBM, qui, elle, serait soumise au Cloud Act sans pouvoir répondre qu’elle constitue une société française ? Garantissez-vous une étanchéité totale dans vos serveurs et dans la gestion de leurs données, que ce soit en matière de contrôle, de sécurité, de redondance, etc. ?
Mme Diane Dufoix-Garnier. La position d’IBM est en effet différente de celle d’autres grands acteurs internationaux, dont je ne connais cependant pas la structure juridique propre. IBM Corp considère que le droit des sociétés doit être pris en compte, et que la manière dont nous avons construit nos filiales en fait des entités juridiques absolument distinctes. Nos contrats et nos relations avec nos clients sont en effet construits de telle sorte que les filiales étrangères d’IBM Corp (y compris donc la filiale française) n’ont aucune activité commerciale aux États-Unis qui justifierait une applicabilité du Cloud Act. Et nous contestons l’idée, effectivement partagée par certains juristes, selon laquelle un simple lien en capital entre IBM US et une filiale étrangère d’IBM soumet cette dernière à la compétence légale des États-Unis.
Dans les rares cas où cette position a dû être testée, elle a été entendue par la puissance qui a instauré le Cloud Act aux États-Unis.
Notre approche inclut toutefois plusieurs autres remparts. Bien avant le Cloud Act, IBM avait décidé de contester par tout moyen toute demande émise directement auprès d’IBM US qui ne suivrait pas les voies légales reconnues sur le plan international. Les principaux arguments que nous engagerions à cet égard consisteraient à indiquer que la demande concerne des données sous contrôle de la filiale française, qui n’est pas soumise au droit américain ; et que ces données ne sont pas en possession, sous la garde ou sous le contrôle d’IBM US, même si celle-ci est soumise à la compétence personnelle de l’État à l’origine de la demande. Cette posture est donc forte, et différente de celle d’autres acteurs, mais nous l’avons testée, et nous l’avions adoptée dès 2014, donc bien avant le Cloud Act. Toutes les entreprises du monde ont l’occasion de contester les injonctions d’un juge. Cela n’a rien de tabou aux États-Unis, et, selon le contexte, IBM utilisera tous les moyens disponibles en droit à cette fin.
M. Philippe Latombe, rapporteur. Le fait d’utiliser un produit construit d’abord aux États-Unis, comme Watson, ne constitue-t-il pas un lien qui permettrait juridiquement aux agences américaines de vous demander de transmettre les données collectées ou traitées par cet outil, qui, lui, a été créé aux États-Unis et est employé commercialement en France ? Ou bien avez-vous prévu un système de licence entre IBM Corp et IBM France, et alors comment fonctionne-t-il ? Qu’avez-vous prévu s’agissant de ce type d’innovations en matière d’intelligence artificielle, ou d’algorithmes que vous pourriez développer aux États-Unis et ensuite utiliser dans chacune de vos filiales à l’avenir ?
Mme Diane Dufoix-Garnier. Je comprends votre question, mais j’en reviens au fait que, par construction, IBM France est soumise au droit local, en raison de la manière dont nous avons construit nos relations commerciales en France avec nos clients. Même dans le cas où un lien existerait avec les États-Unis, notre posture de gouvernance, telle qu’elle est inscrite y compris dans nos contrats, consiste à affirmer qu’IBM US contestera par tout moyen une demande qui concernerait les données d’un client français, notamment. Des allers-retours juridiques pourraient être initiés par une demande qui nous serait adressée aux États-Unis, mais la filière française serait fondée à répondre que, par nature, en tant que société française ne pratiquant pas de business aux États-Unis, elle n’est pas soumise au Cloud Act ni à l’extraterritorialité de ce droit, quelles que soient ses interactions avec des solutions développées par IBM aux États-Unis.
M. Philippe Latombe, rapporteur. J’entends votre position, mais ce n’est pas la position aujourd’hui dominante parmi les juristes, notamment suite à l’invalidation du Privacy Shield par l’arrêt Schrems II. Nous aurons l’occasion, au cours de nos auditions ultérieures, comme en considération des audiences en cours devant le Conseil d’État et ailleurs, de faire le point à ce sujet.
Mme Diane Dufoix-Garnier. Dans le cas de Schrems II, l’arrêt de la Cour portait sur une question de transfert de données, et non sur une question d’extraterritorialité. Il a confirmé, en les assortissant de mesures renforcées, la validité des clauses contractuelles-types qu’IBM a toujours utilisées comme cadre principal pour le transfert des données, avec des mesures renforcées de protection que nous appliquons depuis des dizaines d’années. Suite à l’arrêt Schrems II, nous sommes allés encore plus loin en incorporant directement dans nos contrats notre politique d’engagement à contester toute demande qui ne passerait pas par notre client, mais serait réalisée hors des voies juridiques internationalement reconnues.
M. Philippe Latombe, rapporteur. Parmi les technologies d’avenir figurent pour vous l’intelligence artificielle et le quantique. Quel est l’avenir à moyen terme de ces
technologies, pour lesquelles vous avez installé des centres de recherche en France ? À quoi serviront-elles dans la vie des entreprises ? Faut-il directement tourner les entreprises vers ces technologies, ou continuer à les numériser en conformité avec l’état de l’art actuel ?
Mme Diane Dufoix-Garnier. L’avenir de ces technologies tient à l’usage qui en sera fait par nos clients pour renforcer leur compétitivité. Comme je l’ai indiqué s’agissant du quantique, une technologie n’a pas d’intérêt si elle n’offre pas un usage pour l’industrie de demain, la santé de demain, les villes intelligentes, etc. Il existe un enjeu pour la France à se positionner à la pointe de ces technologies dans leur dimension « offre » : sur ce plan, il s’agit d’investir en R&D et de développer les compétences. Nous recommandons une logique d’écosystème, car certains acteurs ont, de manière privée, beaucoup investi dans ces technologies, et peuvent donc procéder à des transferts technologiques de savoir-faire. Cet enjeu est absolument fondamental. Avec le Crédit Mutuel, nous avons réuni une équipe commune en intelligence artificielle, avec une vingtaine d’experts d’IBM et une vingtaine du Crédit Mutuel qui développent ensemble l’IA du Crédit Mutuel. Des usages sont ainsi développés dans un travail en écosystème. Un enjeu de cas d’usage nous paraît fondamental, au-delà de l’investissement en R&D dans l’offre technologique elle-même.
Une question de compétences se pose également. Le quantique constitue un champ entier, qui n’en est encore qu’à ses prémices, même si les progrès sont rapides. À côté de l’investissement dans cette technologie (dans les ordinateurs, les simulateurs, etc.), l’enjeu est de constituer dès aujourd’hui des écosystèmes, par exemple avec de grandes entreprises françaises et des universités, pour développer les algorithmes quantiques qui seront probablement au centre des usages de demain.
M. Michel Gesquiere, responsable des ventes d’IBM. Notre stratégie pour les années à venir repose également sur le cloud hybride, qui est censé combiner « le meilleur des deux mondes ». En fonction de la criticité des applications concernées, qui est très différente dans le domaine industriel, bancaire ou des biens de grande consommation, il s’agit de permettre à nos clients de choisir de localiser leurs applications ou leurs données dans des environnements privés (plus protecteurs) ou dans des environnements publics, où il est possible de bénéficier de trois effets à l’impact économique extrêmement important :
– une économie d’échelle et une automatisation très importante ;
– l’innovation dans le monde ouvert des logiciels : en rachetant Red Hat, IBM s’est ainsi dotée d’une offre tirant parti de cette innovation dans le domaine du cloud ;
– et un mode économique consistant à disposer d’une puissance informatique ou d’une puissance de stockage basée sur la vente d’un service avec la flexibilité adéquate.
Cette stratégie nous paraît structurante pour les années à venir. Toutefois, deux évolutions technologiques devront s’y ajouter.
Nous pensons ainsi que le Quantum peut être adapté à certaines situations, certains algorithmes ou certains problèmes très particuliers. Par exemple, les algorithmes qu’il permettra de développer seront très adaptés à certains des problèmes d’optimisation qui se posent en finance et en logistique.
Le champ d’application de l’intelligence artificielle s’accroîtra considérablement également dans les années à venir. Elle a déjà été déployée dans le domaine de l’expérience « client ». Elle servira aussi d’assistant pour accroître la performance des employés : c’est en ce sens qu’elle est envisagée dans notre partenariat avec le Crédit Mutuel. L’automatisation
des processus industriels passera également par l’intelligence artificielle. Avec l’IOT et la 5G, le nombre des données s’accroîtra et l’intelligence artificielle permettra de les transformer en éléments de compétitivité et d’automatisation des performances.
Certains problèmes trouveront donc une solution dans le Quantum, mais l’ensemble de la stratégie technologique d’IBM sera centré sur le cloud hybride, pour combiner à la fois la protection des données critiques dans certains secteurs et l’effet d’échelle ou d’automatisation qu’apportent les stratégies publiques.
M. Philippe Latombe, rapporteur. Pensez-vous que les collectivités, et les collectivités territoriales notamment, sont encore loin d’avoir atteint le niveau de numérisation qui devrait être le leur, et pensez-vous qu’elles ont intégré la notion de cybersécurité dans cette numérisation ? Au-delà des grands groupes, qui l’ont peut-être déjà intégré, cet enjeu est-il suffisamment prégnant dans les PME, les ETI et les collectivités territoriales ? Presque toutes les collectivités territoriales souhaitent aujourd’hui développer des smart cities. Ont-elles intégré la cybersécurité dans ce domaine, ou revient-il précisément aux acteurs privés, tels que vous, de leur en rappeler la nécessité ?
M. Michel Gesquiere. Nous pensons qu’une prise de conscience a eu lieu, mais qu’il reste beaucoup d’actions à mettre en œuvre. Dans le domaine du cloud, les sources décentralisées vont se développer de plus en plus, avec l’Edge computing, l’IOT et la 5G.
Comme vous l’avez dit, les ETI ne disposent pas à cet égard des mêmes moyens que les grands groupes. Sur le marché de la cybersécurité, une accélération des investissements est prévue, en raison de l’accélération des menaces, mais aussi d’une plus grande fragilité du réseau des petites et moyennes entreprises, en raison des interconnexions croissantes dans les chaînes de valeur sous l’effet de la globalisation. Ce sujet est donc essentiel, et nous nous efforcerons d’accompagner les entreprises dans cet effort et les investissements qui seront indispensables à cet égard.
M. Philippe Latombe, rapporteur. Comment aborderez-vous ce marché ?
Intégrerez-vous des solutions de cybersécurité à l’intérieur des produits que vous proposerez, ou sous-traiterez-vous à des sociétés spécialisées différents types de réponses à des menaces cyber, en utilisant des logiciels que vous rendrez interopérables avec vos propres systèmes ?
M. Michel Gesquiere. IBM propose à la fois des offres logicielles et des services permettant de les intégrer. En même temps, nous restons très humbles. Même si nous disposons d’une position forte, reconnue et historique dans le domaine de la cybersécurité, nous ne pouvons pas revendiquer d’avoir à notre disposition l’ensemble des solutions. Nous proposons donc les solutions logicielles dont nous disposons, et nous les intégrons, mais nous ouvrons aussi sur d’autres éditeurs, qui fournissent d’autres solutions logicielles, en particulier sur des sujets « de niche » très précis, et nous proposons à nos entreprises de les aider à les intégrer. Nous pensons ainsi que l’avenir est à l’intégration de solutions, qui peuvent être des solutions IBM ou non, l’important étant de disposer des services et de la gouvernance qui permettront d’intégrer l’ensemble.
Mme Diane Dufoix-Garnier. Nous faisons partie de la Charter of Trust, qui a été lancée par Siemens, Total ou Atos avec IBM, s’agissant des acteurs français. Conscients que personne ne résoudra seul le problème de la cybersécurité, nous cherchons à y mettre en place des bonnes pratiques ou des solutions permettant très concrètement d’augmenter notre niveau de compréhension de ces enjeux, et nos capacités de réaction. L’un des principes de cette Charter of Trust, sur lequel nous avons travaillé, est celui de la responsabilité à travers la chaîne de sous-traitance. Nous avons essayé de formaliser des principes et des standards très
simples, accessibles y compris à une PME qui pourrait intervenir en sous-traitance d’un grand groupe, afin que chacun soit conscient des objectifs à atteindre.
M. Philippe Latombe, rapporteur. Ressentez-vous aujourd’hui des menaces plus prégnantes et d’un niveau supérieur à ce qu’il était précédemment ? Les hôpitaux ont subi des attaques récemment. Deviennent-elles plus sophistiquées et plus fréquentes ? Disposez-vous de moyens pour identifier leur origine ? La question s’est notamment posée de savoir si les attaques récentes sur Microsoft Exchange venaient d’un pays ou seulement de groupes souhaitant gagner de l’argent. La géopolitique impacte-t-elle la cybersécurité, et comment l’intégrer alors dans les systèmes critiques dont vous devez disposer en tant que fournisseur de solutions pour des banques, de grandes entreprises, des collectivités ou l’État ?
M. Michel Gesquiere. Les études réalisées montrent indéniablement que le nombre des attaques a augmenté en France et en Europe sur les douze derniers mois glissants.
Par ailleurs, les questions de cybersécurité rejoignent selon nous l’enjeu du cloud hybride. Plus les gouvernances répartissent adéquatement les applications et les données entre des environnements privés ou publics, plus les moyens existent, au-delà des seules techniques de protection, pour sécuriser les applications ou les données les plus critiques. C’est très vrai dans le secteur privé, et c’est probablement la raison pour laquelle la plus grande banque française et européenne, la BNP, s’appuie sur IBM pour développer sa propre solution, avec un niveau de sécurité extrêmement élevé.
Mme Diane Dufoix-Garnier. La menace est effectivement multiforme. Elle provient de nombreuses sources. Le partage d’intelligence et la coopération entre les acteurs, y compris publics, de la cybersécurité est essentielle à cet égard, et pour progresser en matière de détection. Notre centre de cybersécurité à Lille compte des experts qui travaillent à permettre de détecter une menace le plus tôt possible lorsqu’elle émerge, car on sait qu’il sera alors possible d’y réagir plus rapidement. Le campus Cybersécurité qui sera lancé constitue à cet égard une initiative française extrêmement intéressante, car personne ne sera en mesure de résoudre ce problème seul. Toutes les logiques d’écosystème comme celle-ci sont donc à encourager absolument.
M. Philippe Latombe, rapporteur. Souhaiteriez-vous évoquer d’autres points sur ces questions de souveraineté européenne et française ?
Mme Diane Dufoix-Garnier. Nous aurions simplement pu vous parler davantage de notre initiative P-Tech de développement des compétences, qui fait appel à des profils différents de ceux auxquels recourt traditionnellement notre industrie. Faire connaître cette initiative, qui est en cours de déploiement avec le ministère de l’Éducation nationale, serait très intéressant notamment pour convaincre d’autres entreprises de l’intérêt de s’associer à quelques lycées professionnels pour faire progresser l’inclusion par le numérique, qui constitue un enjeu important et enthousiasmant. Nous nous permettrons donc de vous adresser des éléments écrits à ce sujet.
M. Philippe Latombe, rapporteur. Nous les recevrons avec plaisir, d’autant que nous ouvrirons une séquence de nos auditions relatives à l’éducation dans les semaines à venir.
M. Michel Gesquiere. Nous avons beaucoup parlé de technologie, mais nous pensons vraiment que c’est son usage qui permettra aux États ou aux entreprises d’acquérir un avantage concurrentiel. Plus les technologies utilisées seront sophistiquées, comme l’intelligence artificielle, plus nous aurons besoin de différentes formes d’intelligences : il faudra des intelligences très cognitives pour concevoir les solutions, mais aussi des intelligences très
pratiques pour penser les usages et l’insertion de ces solutions dans le corps social des entreprises. À cet égard, l’initiative P-Tech a un rôle essentiel à jouer, non seulement en faveur de l’inclusion, mais aussi d’une plus grande efficacité, en permettant de trouver le bon usage et la bonne intégration de ces solutions sophistiquées au sein des entreprises. Entre la performance, la compétence et les différentes formes d’intelligence, un lien existe, qui est absolument clé.
Audition, ouverte à la presse, de M. Claude Gissot, inspecteur général de l’INSEE, directeur de la stratégie, des études et des statistiques (DSES), et de Mme Stéphanie Naux, directrice de mission au cabinet du directeur de la stratégie, des études et des statistiques, de la caisse nationale d’assurance maladie (CNAM)
(9 mars 2021)
Présidence de M. Philippe Latombe, rapporteur.
M. Philippe Latombe, rapporteur. Nous poursuivons notre cycle d’auditions consacrées au numérique en santé, en auditionnant aujourd’hui M. Claude Gissot, directeur de la stratégie, des études et des statistiques (DSES), et de Mme Stéphanie Naux, directrice de mission au cabinet du directeur de la stratégie, des études et des statistiques de la caisse nationale d’assurance maladie (CNAM).
Au cours des dernières semaines, nous avons déjà entendu à ce sujet la délégation ministérielle du numérique en santé, l’Assistance publique – Hôpitaux de Paris (AP-HP), ainsi que les représentants du Health Data Hub.
La CNAM est un établissement public national à caractère administratif (EPA), qui constitue la tête de réseau opérationnelle du régime d’assurance maladie obligatoire en France.
Elle est placée sous la double tutelle du ministère des Solidarités et de la santé et du ministère de l’Économie, des finances et de la relance. Elle est en charge du système national des données de santé (SNDS), qui rassemble un certain nombre de bases de données de santé à des fins de recherche. La CNAM est donc particulièrement concernée par les enjeux de protection des données de santé, et de soutien à la recherche et à l’innovation. À ce sujet, nous aurons l’occasion de revenir sur le refus du conseil de la CNAM de transférer une copie des données du SNDS au Health Data Hub, dès lors qu’il utilisait la solution de cloud Azure de Microsoft.
Pourriez-vous compléter cette présentation en expliquant notamment le rôle de la CNAM en matière de numérisation de notre système de santé ? Comme cela nous a été rappelé la semaine dernière, de nombreux acteurs interviennent dans ce domaine, qu’il s’agisse des agences régionales de santé (ARS) ou des centres hospitaliers, la stratégie « Ma santé 2022 »
étant pilotée par la délégation ministérielle du numérique en santé. Comment la CNAM participe-t-elle à cette dynamique ? La notion de souveraineté numérique est-elle prise en compte dans vos actions ?
En second lieu, pourriez-vous présenter la base de données que constitue le SNDS, en précisant ses différentes composantes et en détaillant son fonctionnement ? Quels choix techniques ont été effectués et quels types de données sont rassemblées en son sein ? Cet échange nous permettra d’évoquer ensuite les raisons du refus récent du conseil de la CNAM de transférer auprès du Health Data Hub une copie des données du SNDS, et les évolutions envisageables à terme sur cette question.
Enfin, je souhaiterais évoquer avec vous l’enjeu de la protection des données de santé et des systèmes d’information de l’assurance maladie. L’actualité récente a été marquée par des attaques cyber, très médiatisées, contre des établissements de santé, avec une fuite de données record qui concernerait environ 500 000 patients. Comment appréhendez-vous cet enjeu ? Échangez-vous avec l’agence nationale de la sécurité des systèmes d’information (ANSSI) sur cette question ? La sécurité constitue en effet une condition indispensable pour
rassurer les citoyens et leur montrer l’apport du numérique en santé. À ce sujet, nous sommes naturellement intéressés par votre regard sur les meilleurs voies et moyens permettant d’inclure les citoyens dans cette transformation.
M. Claude Gissot, directeur de la stratégie, des études et des statistiques (DSES) de la caisse nationale d’assurance maladie. La CNAM est un EPA, mais surtout le principal assureur obligatoire en santé. Il couvre maintenant presque la totalité de la population résidant en France, ou ayant du moins ouvert des droits en France auprès de l’assurance maladie. Son activité historique de paiement des prestations de santé aux assurés et de remboursement des soins aux professionnels ou aux assurés s’est élargie fortement ces dernières années à l’accompagnement des patients pour la gestion de leurs droits ou de leurs risques en matière de santé. Nous avons également développé une activité très forte au titre des relations conventionnelles avec les professionnels, notamment libéraux, puisque leur activité est régie par une convention négociée entre les représentations professionnelles de libéraux et l’assurance maladie, soit principalement la CNAM. Bien entendu, nous travaillons aussi à l’amélioration de la qualité des soins et surtout de l’efficience des processus de soin, puisque l’objectif général de la CNAM est de garantir que le système de solidarité en santé existant aujourd’hui en France soit pérenne et résiste aux évolutions de la santé, dont nous pourrons si vous le voulez préciser les facteurs très puissants existant aujourd’hui.
Dans son activité, la CNAM a développé beaucoup de services numériques auprès des professionnels de santé ou des assurés, principalement avec le compte AMELI de l’assurance maladie que les assurés peuvent ouvrir, mais qui a été complété, il y a quelques années, par le dossier médical partagé (DMP), que la CNAM a repris pour assurer son développement.
Presque 10 millions de DMP ont ainsi été ouverts aujourd’hui et complétés par l’assurance maladie elle-même, ce qui a permis de lever les difficultés des versions précédentes du DMP.
La CNAM a également développé des services auprès des professionnels de santé, en lien avec la digitalisation de la pratique professionnelle, en termes de remboursement, avec les feuilles de soin électroniques, qui existent depuis longtemps, mais aussi des téléservices pour les prescriptions d’arrêt de travail, les déclarations de médecin traitant, etc. Tous ces outils sont développés depuis plusieurs années par la CNAM dans un objectif de numérisation de l’activité de gestion de la santé, porteuse d’efficacité pour les professionnels de santé et les assurés, mais aussi pour la CNAM.
Par ailleurs, nous collectons depuis longtemps des données « médico-administratives »
(correspondant en réalité aux remboursements des soins de ville et hospitaliers) dans une base nationale décisionnelle qui s’appelait initialement, et s’appelle toujours, le Système national d’information interrégime de l’assurance maladie (SNIIRAM), qui constitue probablement la base principale du SNDS actuellement. Cette base consolide ainsi les remboursements des soins de ville et hospitaliers de tous les assurés, quel que soit donc leur régime, et sur un historique long, puisque le SNIIRAM a été créé à la fin des années 1990, c’est-à-dire en 2000 sur une enveloppe de financement de 1998-1999. Le temps que la quantité d’information considérable ainsi réunie soit organisée, le SNIIRAM est opérationnel de manière totalement efficace et exhaustive depuis les années 2005-2006. Les premières exploitations réellement fortes qui en ont été faites datent de 2007. Dès le départ, ce système d’information a été ouvert à l’ensemble des acteurs de la santé, d’abord aux acteurs publics, et, évidemment, à tous les acteurs de la recherche, même s’il a fallu un certain temps pour que les chercheurs s’intéressent à ces données administratives, qui ne comportent pas de données médicales au sens de diagnostics ou de résultats en termes de santé, ce qui peut parfois en détourner les chercheurs cliniciens. Néanmoins, nous avons pu démontrer, et l’assurance maladie notamment en les utilisant, que ces données étaient très utiles pour analyser le système de santé et le système de soins, afin d’en déduire des informations sur la qualité des soins, l’efficience, etc. À partir de
2019, le SNIIRAM a été élargi pour être transformé en SNDS en incluant d’autres sources de données, c’est-à-dire principalement les causes de décès et prochainement les données des maisons départementales des personnes handicapées.
La CNAM a donc évidemment été un membre historique de l’Institut des données de santé (IDS), créé en 2002 pour regrouper les acteurs de la santé autour de la recherche d’une meilleure utilisation des données de la santé et de leur ouverture à l’ensemble des acteurs de la santé. Les seules bases de données médico-administratives existantes à l’époque étaient le SNIIRAM et le programme de médicalisation des systèmes d’information (PMSI), qui relève tous les séjours hospitaliers réalisés dans les établissements de santé publics comme privés, et dans tous les secteurs. La CNAM a ainsi poursuivi son rôle de recueil et de mise à disposition des données à l’ensemble des acteurs de santé dans le cadre de l’IDS, devenu Institut national des données de santé (INDS) en 2016, et maintenant avec le Health Data Hub (HDH) depuis la loi de 2019. La CNAM conserve aujourd’hui ce rôle à travers son portail. Elle est un membre du groupement d’intérêt public (GIP) HDH. À ce titre, elle participe aux différentes instances de régulation du pilotage du HDH, comme tous les acteurs de santé, qui sont tous présents dans l’assemblée générale du HDH. Le vice-président du HDH notamment est un représentant de France Assos Santé, et il y représente donc les patients.
Historiquement, la CNAM a mis en place le SNIIRAM, qui constitue encore aujourd’hui la base de données principale du système de soins français. Nous sommes également le partenaire principal du HDH, aujourd’hui, pour sa constitution, sa montée en charge et sa montée en compétences, notamment s’agissant de l’utilisation de ses données dans sa « base centrale » qui rassemble le SNIIRAM, la base des causes de décès et le PMSI. En effet, les projets d’études déposés aujourd’hui sont principalement réalisés sur le portail de la CNAM, et principalement accompagnés par les équipes de la CNAM. Nous travaillons de manière très rapprochée avec le HDH pour partager notre expérience sur les données, sur la réalisation des projets, les appariements, etc. De manière générale, la CNAM apporte donc son soutien, et toute son expertise, au projet du Health Data Hub, car il doit permettre une plus grande utilisation des données, un enrichissement des données médico-administratives par des données plus médicalisées, incluant notamment des données cliniques, qui pourront décupler les possibilités d’analyse et d’étude afin de contribuer, au final, à l’amélioration des prises en charge des patients.
Mme Stéphanie Naux, directrice de mission au cabinet du directeur de la stratégie, des études et des statistiques (DSES) de la caisse nationale d’assurance maladie.
Au moment de sa création en 2016, le système national des données de santé (SNDS) s’inscrivait dans la continuité du SNIIRAM, qu’il élargissait.
Créé au début des années 2000, le SNIIRAM visait à constituer une base d’information exhaustive sur le recours aux soins, avec un historique long (jusqu’à vingt ans), pour suivre non seulement les dépenses, mais aussi les parcours de soin, les effets à long terme des prises en charge et des pathologies traitées, ce qui a constitué son premier intérêt pour la recherche.
Les données de cette base sont principalement issues de systèmes de gestion initialement utilisés à d’autres finalités : en particulier le remboursement des soins, la rémunération des producteurs de soins, les référentiels associés. Le SNIIRAM comprend les données de ville produites par l’assurance maladie (c’est-à-dire l’ensemble des informations issues des feuilles de soins), auxquelles sont associées les données des séjours hospitaliers issues du PMSI.
Toutes ces données sont « pseudonymisées », ce qui signifie que toutes les données directement identifiantes sont supprimées : aucun nom, aucun prénom, aucune adresse précise ne sont conservés, et le numéro de sécurité sociale ou NIR (numéro d’inscription au répertoire de l’INSEE) est remplacé par un pseudonyme irréversible, qui est constitué par un hachage,
mais qui est unique pour une même personne, ce qui permet peu à peu d’articuler les données entre elles. La base est ainsi construite par l’attribution dans le temps des mêmes données aux mêmes personnes.
En 2016, la première version du SNDS a donc ajouté au périmètre initial du SNIIRAM les données des maisons départementales des personnes handicapées (MDPH), qui sont gérées et produites par la Caisse nationale de solidarité pour l’autonomie (CNSA), et les données des causes de décès incluses à la base du centre d’épidémiologie sur les causes médicales de décès (CépiDC) produite par l’Inserm. Ces données ont été ajoutées à la base du SNIIRAM avec un chaînage direct et une association physique des données sous le même pseudonyme, pour être réunies au sein du portail de la CNAM.
Une étape supplémentaire a été franchie en 2019 à l’occasion de la loi relative à l’organisation et à la transformation du système de santé (OTSS), qui a complété largement le cadre du SNDS en ouvrant, à côté de cette base, désormais nommée « principale » ou « historique », un catalogue de bases de données ayant vocation à être appariées ou appariables avec les données de la base principale, et qui sont pour beaucoup des données destinées aux professionnels de santé : données de résultats et d’imagerie, mais aussi d’autres sources.
La loi de 2019 a également créé le Health Data Hub, ou Plateforme des données de santé. Il s’agissait d’abord d’élargir les missions auparavant confiées à l’INDS :
– d’une part, des missions liées à la gestion du guichet unique de dépôt des dossiers de demande d’accès aux données, donc à l’initiation du circuit d’accès aux données par le comité éthique et scientifique pour les recherches, les études et les évaluations dans le domaine de la santé (CESREES) et la Commission nationale de l’informatique et des libertés (CNIL) ;
– d’autre part, une mission de constitution de lieux d’échanges entre les acteurs, producteurs et utilisateurs des données. Depuis 2019, la plateforme de données de santé Health Data Hub a, comme la CNAM, une mission de mise à disposition des données aux acteurs souhaitant les utiliser, donc la constitution d’une plateforme pour la mise à disposition de ces données. HDH est également en charge de la constitution du catalogue des données et doit promouvoir le partage et l’usage de ces données, ainsi que la recherche et l’innovation en santé et l’information des usagers.
Deux voies d’accès aux données du SNDS existent.
La première voie est celle des « accès permanents », qui existent depuis 2016 pour les institutions remplissant une mission de service public (directions centrales des ministères, agences de santé, instituts de recherche comme l’Inserm ou l’INDS). Celles-ci disposent d’un accès direct aux données sur le portail de la CNAM, selon un périmètre défini par décret pour chaque institution, en fonction de ses missions, de zones géographiques, d’historiques de données et de son accès plus ou moins détaillé à certaines bases. Cet accès permanent est ouvert depuis la première version du SNDS, sur le portail de la CNAM. Chaque institution disposant d’un accès permanent peut également habiliter des acteurs individuels à travailler sur ces données.
La deuxième voie est celle des « accès sur projet », qui existent pour toutes les institutions ou entreprises qui, soit ne disposent pas d’un accès permanent et souhaitent développer un projet spécifique, soit disposent d’un accès permanent, mais souhaitent en élargir le périmètre pour un projet ou une étude donnée. Les porteurs de projet doivent alors déposer les demandes d’autorisation selon un protocole détaillant leur étude auprès du guichet unique ou du secrétariat du HDH. Ces protocoles sont examinés par le CESREES, qui rend un
avis avant transmission pour autorisation ou non par la CNIL. Celle-ci peut aussi autoriser une mise en œuvre sur des « bulles sécurisées », prévues spécifiquement par la CNIL, pour accueillir certains projets.
M. Claude Gissot. Pour la CNAM, en tant que producteur et utilisateur de données jouant un rôle de régulateur du système de santé, la souveraineté numérique permet surtout une exploitation la plus efficace possible des données pour alimenter la recherche, la santé publique et l’innovation, sans que les innovations en santé en France dépendent de pays qui construiraient des bases de données à même de porter des projets scientifiques et technologiques, mais aussi de les assurer. Il n’est pas certain en effet que le cadre organisationnel propre à la France permettrait de produire les mêmes résultats en utilisant des données produites dans d’autres pays et d’autres contextes.
S’agissant du partage des données de santé et des freins éventuels existant à cet égard, il faut d’abord souligner que le SNIIRAM et le SNDS ont déjà été très utilisés. Ils permettent la réalisation de 150 projets d’études par an par des opérateurs publics ou privés, et le benchmark présenté par le Health Data Hub, il y a quelques semaines, lors de son assemblée générale montre que le nombre de projets ainsi conduits n’est pas tellement supérieur, dans d’autres pays, même si les contenus des bases de données exploitées ne sont pas nécessairement comparables. Certaines des bases de données étrangères sont moins larges en nombre, mais contiennent davantage de données médicalisées, ce qui leur donne des potentiels différents. L’avantage du SNDS est toutefois d’être exhaustif quant à la population, ce qui lui confère une puissance statistique sans égal pour les études qu’il est censé rendre possibles.
Ces projets peuvent être menés par des opérateurs publics ou privés, mais ils ne peuvent évidemment pas utiliser ces données pour des finalités interdites par la loi, comme la modification des contrats d’assurance individuels et la promotion des produits de santé auprès des professionnels. Les projets qu’ils présentent doivent donc pouvoir exclure ces finalités.
Par ailleurs, le SNIIRAM-SNDS contient des données administratives, recueillies à des fins premières de gestion, et non d’étude. L’exhaustivité et la précision de ces données (qui incluent le code CIP des médicaments et le codage précis des actes réalisés) permettent d’analyser les systèmes de recours aux soins avec une grande efficacité. Néanmoins, ces données ne sont pas construites initialement pour des finalités d’étude, et leur réutilisation dans ce cadre requiert une expérience et une formation importantes. C’est pourquoi la CNAM accompagne, depuis dix ans maintenant, des centaines de chercheurs afin qu’ils puissent réaliser leurs études. Elle a récemment publié un article dans la Revue française de santé publique dressant le bilan de l’utilisation de ces bases de données, et montrant notamment qu’un nombre extrêmement important d’études recourant à ces données ont été référencées dans des revues à comité de lecture, ce qui en montre le succès.
Le SNIIRAM-SNDS contient toutefois assez peu de données médicales : les résultats des tests, les stades des cancers, etc. n’y sont pas fournis. Son potentiel vient donc essentiellement des registres et des cohortes qui sont organisés par ailleurs par de nombreuses unités de recherche, et qui sont malheureusement encore assez insuffisamment utilisés, notamment en appariement avec le SNIIRAM, alors que ces données sont extrêmement complémentaires. En effet, les entrées des cohortes et des registres passent par des pathologies très précises, auxquelles le SNIIRAM-SNDS pourra associer très précisément l’ensemble des comorbidités auxquelles les patients sont soumis également, en permettant ainsi de comprendre leur parcours de soins au-delà de la seule pathologie concernée par la cohorte ou le registre.
M. Philippe Latombe, rapporteur. La semaine dernière, nous avons interrogé l’Assistance publique- Hôpitaux de Paris (AP-HP). Elle s’est dite très intéressée par les données du SNIIRAM-SNDS, mais a confié avoir beaucoup de mal à y accéder, du fait notamment de la complexité de la procédure de dépôt des projets auprès de la CNIL. Tout le monde est donc aujourd’hui d’accord avec vous pour dire qu’il s’agit de données très intéressantes. Avec l’appariement des cohortes, elles permettraient en effet de disposer d’une vision très large de la situation. Toutefois, il semble difficile d’y accéder. Existe-t-il un moyen de fluidifier ou de simplifier l’accès aux données du SNDS ?
M. Claude Gissot. Nous partageons naturellement cette problématique du fait de notre expérience de l’accès aux données depuis de nombreuses années, et notamment au sein du HDH.
Le parcours d’accès à ces données a été défini par la loi. Il encadre la manière dont les dossiers doivent être déposés auprès du CESREES, qui les examine, au regard de leur intérêt public, de leur méthodologie et de la pertinence de la recherche envisagée, etc. Il émet un avis, qui est transmis à la CNIL, laquelle fournit sa réponse.
Plusieurs questions se posent toutefois à cet égard. En premier lieu, les données médico-administratives du SNIIRAM-SNDS sont complexes, et les chercheurs ne les connaissent pas nécessairement. Pour déterminer quelle extraction de données issues du SNDS est requise par le projet déposé par un chercheur, de nombreux allers-retours sont souvent nécessaires entre le chercheur et les responsables de données travaillant à la CNAM. Soit, par exemple, un chercheur souhaitant enquêter sur la cohorte des diabétiques en 2018 : il existe en réalité plusieurs types de diabétiques, répondant dans le SNDS à différentes définitions.
Ainsi, le chercheur devra notamment préciser si les patients qui l’intéressent sont fortement traités (donc sous insuline), ou s’ils reçoivent trois, ou six, traitements antidiabétiques par trimestre, ce qui renvoie chaque fois à des catégories différentes. Le chercheur devra ainsi définir la notion de « diabétique » qui l’intéresse à travers des données administratives, et non médicales : il ne suffira pas de demander l’ensemble des personnes présentant tel ou tel niveau de glycémie lors de leurs tests. Il n’est donc pas simple de passer de l’idée d’un projet à la caractérisation des données à exploiter. Ce point a toujours été sous-estimé par les chercheurs.
Bien sûr, nous travaillons avec le HDH pour délivrer une formation à tout chercheur qui dépose un projet, pour lui expliquer comment sont constituées les données, ce qu’il est possible d’en tirer et la manière de les traiter. Elles font également l’objet d’une documentation publique et ouverte à tous, de plus en plus volumineuse. La nécessité d’obtenir l’autorisation de la CNIL ne constitue donc pas nécessairement le principal problème dans la complexité actuelle du processus d’accès aux données.
Par ailleurs, les projets déposés sont nombreux, ce qui constitue une charge importante pour le CESREES comme pour la CNIL. Des travaux sont donc en cours entre la CNIL, le Health Data Hub et le ministère, pour encadrer le principe général des études susceptibles d’être autorisées, et les méthodologies de référence dans lesquelles elles pourront s’inscrire pour accéder plus rapidement aux données. Un échange restera néanmoins nécessaire au terme de ce parcours pour déterminer quelles données le chercheur souhaite exactement extraire du SNDS. Les travaux de fluidification en cours sont donc nécessaires, et ils pourraient simplifier les parcours d’accès aux données pour un certain nombre d’études, mais il faut bien comprendre que ces données ne sont pas nativement construites pour la recherche, et qu’elles nécessitent un travail d’appropriation, généralement complexe, par les chercheurs.
Naturellement, de plus en plus d’unités de recherche et de cabinets d’étude ont cependant déjà eu accès aux données du SNDS, et savent donc exprimer leurs besoins de manière pertinente et efficace. Tous les chercheurs « naïfs SNDS » (pour reprendre une expression courante en
médecine) ont quant à eux besoin d’un certain temps pour comprendre quelles données sont présentes dans le SNDS et pouvoir les utiliser.
Or, comme vous le savez sans doute, et comme cela a dû être signalé par de nombreuses personnes au cours de vos auditions, le milieu de la recherche est en réalité très concurrentiel, et assez peu coopératif. Les producteurs d’une cohorte souhaitent donc d’abord valoriser leurs propres travaux sur cette cohorte avant de laisser les autres l’exploiter. Un vrai accompagnement des producteurs de données est donc nécessaire, pour qu’ils passent d’une attitude de propriétaire, à une volonté de partage de l’ensemble de leurs données. L’un des rôles du Health Data Hub est ainsi de réunir les « propriétaires » ou producteurs de données pour définir avec eux les conditions d’un partage qui reconnaisse aussi la tâche de production des données et la nécessité d’un retour sur investissement pour ceux qui s’attachent à produire des données, qui sont parfois exploitées par d’autres. Ce retour sur investissement est naturellement extrêmement important pour que les chercheurs continuent à construire des données et à les partager.
De la loi de 2019, résultent le SNDS élargi et un cadre réglementaire pour faciliter les appariements. Le HDH a aussi repris les missions de l’INDS pour les étendre à l’accompagnement de projets, au partage et à l’amélioration de l’usage des données pour l’ensemble des porteurs. Cette mission de fédération des acteurs est extrêmement importante pour le HDH.
S’agissant du choix de Microsoft par le Health Data Hub pour héberger ses données, je laisserai Mme Stéphanie Naux s’exprimer dans un premier temps.
Mme Stéphanie Naux. Lorsque vous avez reçu la directrice du Health-Data Hub, elle vous a expliqué les raisons de ses choix opérationnels. Il nous semble essentiel de trouver un équilibre entre, d’une part, la nécessité (totalement reconnue par la CNAM) de pouvoir utiliser plus largement et plus rapidement les données, dans l’intérêt de la santé de la population et de la recherche, et, d’autre part, les impératifs de sécurité des données (que la CNAM garantit depuis longtemps) et de maîtrise des usages. Cette maîtrise constitue en effet une priorité de très haut niveau pour la CNAM, en tant que responsable du traitement du SNDS et de la constitution de la base principale.
Lorsque la CNAM a construit le SNIIRAM et établi ses propres choix d’organisation à cette fin, la question du cloud ne se posait pas. Dès lors qu’elle a retenu le principe d’une architecture propriétaire, elle n’a pas été conduite à s’interroger, comme le Health Data Hub, sur la question du cloud, d’autant plus qu’il paraissait naturel de conserver cette architecture pour des données issues très largement des processus de gestion interne de l’assurance maladie.
M. Claude Gissot. Le conseil de la CNAM a ensuite été saisi par le ministère pour rendre un avis sur le décret dit « SNDS » (qui vise à organiser l’application de la loi de 2019), et, bien que cela ne fasse pas l’objet du décret, il a cherché à apprécier l’ensemble des conditions du projet HDH, et notamment les conditions d’hébergement de la plateforme.
Compte tenu de la décision du Conseil d’État et de l’engagement du ministre sur le futur hébergement, cette question de l’hébergement doit être traitée le plus rapidement possible.
Toutefois, comme cela a été signalé, la question du cloud souverain ne porte pas seulement sur les données de santé, même si celles-ci, de par leur sensibilité, et particulièrement celles du HDH, peuvent naturellement figurer parmi les premières concernées.
Le conseil de la CNAM a donc estimé nécessaire de trouver une solution à court terme à ce problème, et exprimé son opposition au transfert de la base de données centrale avant que
cette solution soit trouvée. Son communiqué a néanmoins rappelé également qu’une plus grande utilisation des données était indispensable pour la médecine et la santé des assurés.
Par ailleurs, la CNIL a malgré tout autorisé la poursuite de projets sur la plateforme du HDH, s’agissant notamment de projets liés à la crise du Covid-19.
Il convient cependant de rappeler que le cadre fixé pour la transmission de ces données relève du pouvoir législatif et réglementaire sous le contrôle de la CNIL. Plusieurs étapes doivent encore être franchies avant d’en arriver là : la parution du décret SNDS, et la demande à la CNIL par la plateforme HDH, d’une autorisation pour traiter l’ensemble du SNDS. Mais, dès lors qu’un cadre juridique aura été fixé par ces textes et par ces autorités, la CNAM l’appliquera.
Mme Stéphanie Naux. La sécurité du SNDS fait l’objet d’un dispositif d’amélioration continue, qui date du SNIIRAM et qui a été contrôlé par la CNIL. Il ne s’agit pas d’un sujet récent pour la CNAM, même si l’actualité en rappelle souvent le caractère essentiel. Pour la CNAM, son enjeu dépasse également le seul SNDS, puisqu’elle gère des données de santé selon un périmètre plus large, et que des démarches de sécurité les concernent toutes.
S’agissant spécifiquement du SNDS, sa sécurité est encadrée par différents référentiels, dont un qui lui est spécifique, et qui est porté par un arrêté dédié, avec un niveau d’exigence de sécurité élevé. Il comprend un certain nombre de mesures spécifiques, comprenant un système d’authentification forte pour l’accès aux données et une vérification importante de la minimisation et du périmètre d’accès aux données personnelles, afin de s’assurer que les personnes autorisées accèdent uniquement aux données conformes aux autorisations délivrées par la CNIL. Tout ce processus s’inscrit dans des garanties contractuelles importantes. Les personnes physiques accédant aux données sont identifiées sous l’autorité du responsable de l’institution dont elles dépendent, qu’il s’agisse des accès permanents ou des accès sur projet.
Les exportations de données non strictement anonymes sont interdites. Bien que pseudonymisées, les données du SNDS ne peuvent ainsi être utilisées et étudiées que dans des univers conformes au référentiel de sécurité. Seules peuvent être exportées des données strictement anonymes, donc fortement agrégées, la doctrine de la CNIL étant assez stricte en matière d’anonymat. Un système de traçabilité de l’activité des utilisateurs, et tout un ensemble de mesures techniques et organisationnelles faisant l’objet de revues régulières et de plans d’action ont été mis en place pour assurer cette sécurité de manière continue. Tout ce système de la CNAM est homologué, comme toutes les autres bulles susceptibles de recevoir des données du SNDS, ce qui permet de réajuster les risques à prendre en compte, et de mettre en place les mesures correctives requises pour les éliminer ou les diminuer.
M. Philippe Latombe, rapporteur. Depuis deux jours, une consultation a été lancée par la CNIL à propos des entrepôts de données de santé, afin d’aboutir à un cadre harmonisé entre tous ces entrepôts et à une doctrine en France plus cohérente. Constatez-vous aujourd’hui une distorsion entre les données de santé recueillies à différents endroits du territoire, lorsqu’il est ensuite demandé de les corréler ou de les mettre en cohorte avec des données du SNDS ?
Les pratiques, les modes de fonctionnement et l’attachement aux données de santé varient-ils en fonction des territoires ?
M. Claude Gissot. Je ne suis pas en mesure de vous répondre. Parmi les données de santé, il faut distinguer, en premier lieu, les données individuelles nominatives destinées à la gestion, et qu’on trouve dans les établissements de santé, etc. : pour ces données aussi, des questions de sécurité se posent, mais chacun de ces systèmes d’information se déclare à la CNIL, en précisant ses conditions de sécurité, et il revient à la CNIL d’autoriser ou non le traitement de ces données. En deuxième lieu, il existe des données pseudonymisées telles que
nous vous les avons présentées, et qu’on trouve également dans des entrepôts hospitaliers, comme celui de l’AP-HP, même si elles n’utilisent pas nécessairement le même pseudonyme, et ne sont donc pas interconnectables immédiatement. Pour ces entrepôts aussi, une autorisation de la CNIL est nécessaire, sur la base d’une description du traitement et de l’ensemble des sécurités prévus pour ces données.
La CNIL a donc tout intérêt à mettre ces systèmes en cohérence, à défaut de les uniformiser, car chacun d’eux présente ses propres spécificités.
M. Philippe Latombe, rapporteur. Parler d’une mise en cohérence semble en effet adéquat.
M. Claude Gissot. Il s’agit de mettre ces systèmes en cohérence et de supprimer les écarts évoqués, s’ils existent, mais je ne dispose d’aucune documentation sur ces écarts. Je ne connais pas tous les systèmes d’information.
Mme Stéphanie Naux. Ces dernières années, la CNIL a été plusieurs fois sollicitée pour autoriser la mise en place d’entrepôts par différents acteurs, mais elle manquait souvent de bases juridiques à cette fin. Les dispositions de la loi Informatique et libertés ne lui laissaient pas nécessairement la latitude d’autoriser des entrepôts. Elle avait la possibilité d’autoriser des traitements, assortis de finalités, mais il lui était plus difficile juridiquement d’autoriser un réservoir de données susceptible de différentes utilisations. Des évolutions du texte ont eu lieu en ce sens, et il s’agit maintenant d’harmoniser les contraintes juridiques diversifiées dans lesquelles les entrepôts ont dû se constituer.
M. Philippe Latombe, rapporteur. Nombre des intervenants que nous avons auditionnés à propos des données de santé ont évoqué la question de leur valorisation. En quoi consisterait selon vous la valorisation des données du SNDS ?
M. Claude Gissot. Dans certains pays, les données s’échangent monétairement.
M. Philippe Latombe, rapporteur. Ce n’est pas le cas chez nous.
M. Claude Gissot. Ce n’est pas le cas chez nous, où les données administratives, notamment, ne sont finalement que réutilisées, puisqu’elles sont collectées pour nos propres usages de gestion, de sorte que la collecte est déjà assumée dans nos missions de remboursement de soins, etc. Je ne sais pas si vous avez interrogé la direction de la recherche, des études, de l’évaluation et des statistiques (DREES) ou le ministère sur cette question, mais aujourd’hui, la donnée SNDS n’est pas valorisable.
La question des services créés autour de la donnée peut toutefois se poser, car leurs utilisateurs peuvent être amenés à rémunérer les services créés par exemple par un groupement hospitalier (GH). Toutefois, l’objectif de ces services est plutôt de faciliter l’usage des données, et de les rendre les plus accessibles possible. Aucune valorisation de la donnée elle-même n’existe donc en soi.
La valorisation pour les producteurs se conçoit plutôt en termes de rôle ou d’image.
Pour certains instituts de recherche, elle peut consister à gagner des points dans le système d’interrogation, de gestion, d’analyse des publications scientifiques (SIGAPS), permettant de valoriser l’activité de recherche. L’activité de constitution de bases de données par la recherche constituerait évidemment une forme de valorisation, au même titre que le fait d’être nommé dans les articles utilisant ces données, puisque ce type de références sont très importantes pour la recherche.
Les données de santé du SNDS ou du HDH sont de toute manière d’intérêt public. Or, l’intérêt public ne se monnaye pas. Leur valorisation vient du fait qu’elles sont partagées dans la collectivité, qu’elles servent à réaliser de bonnes études et à améliorer la prise en charge et la santé des patients.
M. Philippe Latombe, rapporteur. Les systèmes de santé sont différents entre tous les pays, mais des données de santé sont quand même collectées dans nos pays voisins.
Échangez-vous avec vos « homologues » européens ? Examinez-vous leurs pratiques et certains de leurs modes de fonctionnement mériteraient-ils d’être importés ? À l’inverse, certaines de leurs pratiques doivent-elles absolument être évitées ?
M. Claude Gissot. Nous suivons en effet nos pratiques respectives de manière rapprochée. Même si nos échanges ne visent pas nécessairement à harmoniser les pratiques entre tous les pays, plusieurs initiatives européennes sont en cours pour mettre en place un espace européen des données de santé et faciliter l’utilisation des données de santé dans le cadre européen.
Les autres systèmes de santé ont souvent été créés de manière différente, mais aussi avec des pratiques de gestion des données assez différentes. Il est courant d’opposer les pays du Nord et du Sud : ils s’opposent sur ce point également. La pratique de la connexion des fichiers est ainsi souvent plus répandue dans les pays du Nord que dans les pays du Sud comme la France. L’appariement et l’utilisation croisée des sources sont beaucoup plus facilement acceptés dans les pays du Nord (le Danemark, la Suède, etc.). Ce n’est pas seulement une question de droit : la manière de gérer les données et l’acceptation du partage des données, même fines, sont aussi des faits de société.
En Angleterre, la Clinical Practice Research Database (CPRD) est intéressante, dans la mesure précisément où elle combine des données médicales et des données médico-administratives, mais elle ne l’a pas fait de manière exhaustive jusqu’à présent, ce qui lui confère une moindre puissance statistique.
Aux États-Unis, les données sont beaucoup plus riches, mais elles sont encore plus « silotées » qu’ici, puisqu’elles sont collectées par assureur. Même Medicare et Medicaid ne permettent donc pas de disposer d’une vision d’ensemble du système de santé, puisque toute une partie de la population n’y sera pas prise en compte.
En Allemagne, les systèmes d’assurance sont régionalisés également, même s’il existe certainement des bases de données communes. En Espagne et en Italie aussi, la collecte est relativement régionalisée.
Ce qui nous intéresse est d’examiner de quelles pratiques nous pourrions nous inspirer.
Le HDH porte également cette démarche. La base de données médico-administratives centrale SNDS-SNIIRAM-PMSI est très utile, très utilisée et totalement exhaustive, avec une puissance statistique sans égal, mais il y manque un certain nombre d’informations médicales, ou médicalisées, qui constitueraient le complément idéal pour favoriser les études, les recherches, et finalement les innovations en santé. Nous pourrions nous inspirer d’autres pays à ce sujet, mais nous sommes parfaitement conscients de cet écart.
M. Philippe Latombe, rapporteur. Les citoyens français sont-ils aujourd’hui très attachés à leurs données de santé ? Leur accordent-ils une plus grande importance qu’auparavant, et sont-ils plus vigilants ? Constatez-vous un changement d’état d’esprit de nos concitoyens vis-à-vis des données de santé ? De ce point de vue, le compte AMELI a-t-il été reçu en tant que marque bénéficiant de la confiance des citoyens quant à la protection des données de santé qu’elle apporte ?
M. Claude Gissot. L’assurance maladie d’une manière générale est reconnue par ses assurés comme gérant leurs données de santé avec beaucoup d’attention et de précautions.
Même si les enquêtes que nous réalisons ne portent que sur la perception qu’ont nos assurés de nos actions, elles font en tout cas ressortir que nos assurés nous font confiance, Il faut toutefois développer la compréhension des données de santé et de leurs usages par le citoyen. Je ne sais pas si une évolution peut être mesurée à cet égard, car nous ne disposons pas d’un point zéro, ou d’une mesure de l’état de cette compréhension, il y a dix ans. Les débats afférents sont de plus en plus actifs dans la presse et dans la sphère publique ouverte. Il existe un réel besoin, pour les citoyens, de parvenir à maîtriser les données de santé et leurs usages, ce qui n’est évidemment pas le cas aujourd’hui. Lorsque nous offrons des services, que ce soit le compte AMELI ou le DMP, nous essayons d’être les plus clairs possible concernant l’usage qui y est fait des données. S’agissant du SNDS, la situation est différente, puisque les données sont pseudonymisées et ne donnent pas lieu à des usages individuels, mais collectifs de santé publique. Le degré de connaissance de ces enjeux est certainement encore très hétérogène selon les citoyens, et il faut d’ailleurs en reconnaître la complexité. Notre discussion et les auditions que vous conduisez aujourd’hui en attestent.
Il est important en tout cas que les associations de patients, et France Assos Santé en particulier, soient bien représentées dans le Health Data Hub, comme au conseil de la CNAM, etc., car elles constituent le bon intermédiaire avec les patients isolés, qui ne savent pas nécessairement quoi faire de leurs données de santé, ou ne voient pas l’intérêt de les partager.
Elles constituent donc un vecteur très important pour faire progresser la conscience de ces enjeux.
Mme Stéphanie Naux. L’un des indicateurs les plus factuels dont nous disposions à cet égard tient aux remontées d’exercice de leurs droits par les personnes ou au nombre de questions qu’elles posent à ce sujet. Or, nous n’avons pas observé d’évolution majeure de ce point de vue.