De nombreux projets s'appuient sur des données de santé déjà existantes : une biotech qui exploite des dossiers médicaux fournis par un hôpital partenaire, un PSAD qui souhaite analyser les données de suivi de ses patients, une équipe soignante qui participe à une étude à partir de données déjà collectées dans le cadre du soin.
Ce type de réutilisation, dite "secondaire" (parce qu'elle intervient après la collecte initiale des données, faite pour une autre raison, le plus souvent le soin), obéit déjà à des règles précises en France. Mais un nouveau texte européen, l'Espace Européen des Données de Santé (EHDS), va progressivement changer la donne. Voyons ce qu'il faut en retenir dès maintenant, sans attendre qu'il devienne pleinement applicable.
1. Ce qui s'applique déjà en France, et qui continue de s'appliquer
Avant de parler de l'EHDS, un point important : le circuit français actuel reste la référence, et il ne disparaît pas.
Concrètement, si votre projet consiste à réutiliser des données de santé déjà recueillies (par exemple des dossiers patients existants, sans nouvel examen ni nouvelle sollicitation des personnes), la bonne nouvelle est que la plupart des projets de ce type ressemblent à un cas déjà encadré par la CNIL : on parle de "méthodologie de référence" (la plus courante étant la MR-004). Dans ce cas, la démarche est simple : un engagement à respecter les règles suffit, sans attendre une autorisation individuelle.
Si votre projet ne correspond à aucune de ces méthodologies de référence, la démarche est plus longue : le dossier doit être déposé sur la Plateforme des données de santé, examiné par un comité d'experts (le CESREES), puis transmis à la CNIL, qui autorise le projet.
Ce circuit s'applique aujourd'hui, et continuera de s'appliquer encore un moment. L'EHDS ne vient pas le supprimer du jour au lendemain.
2. Ce que l'EHDS va changer, mais pas tout de suite
L'EHDS distingue deux choses. D'un côté, l'accès de chaque patient à son propre dossier médical, y compris quand il se déplace dans un autre pays européen. De l'autre, ce qui nous intéresse ici : la possibilité, pour des chercheurs ou des entreprises, de réutiliser des données de santé à plus grande échelle, dans un cadre commun à toute l'Europe.
C'est ce deuxième point qui va concerner directement les projets de recherche. Mais attention : cette partie du texte n'entrera en application qu'à partir du 26 mars 2029. Ce n'est donc pas pour tout de suite.
Cela ne veut pas dire qu'il faut l'ignorer. À terme, l'EHDS doit permettre d'accéder plus facilement à des données de santé (rendues anonymes ou pseudonymisées) partout en Europe, via des organismes désignés dans chaque pays pour gérer ces demandes d'accès. En France, c'est probablement le Health Data Hub qui jouera ce rôle, puisqu'il est déjà engagé dans les projets pilotes européens qui préparent cette évolution.
3. Plus de pouvoir donné aux patients sur leurs propres données
Un des apports concrets de l'EHDS : un droit d'opposition renforcé pour les patients. Autrement dit, chaque personne pourra plus facilement dire non à la réutilisation de ses données de santé pour ce type de projet, avec des modalités qui seront précisées par chaque pays.
Ce droit s'ajoute à une obligation qui existe déjà : bien informer les patients de ce que l'on fait de leurs données. Mais avec l'EHDS, cette information devra vraiment permettre au patient d'agir concrètement, pas seulement d'être théoriquement au courant.
Autre nouveauté à connaître : les organismes qui obtiennent un accès aux données de santé devront rendre publics les résultats de leurs travaux, au plus tard 18 mois après la fin de leur utilisation des données. C'est un vrai changement de logique : la réutilisation des données de santé ne pourra plus rester "invisible", elle devra être suivie d'un compte-rendu public.
En résumé : si vous portez un projet de recherche en santé aujourd'hui, le circuit à suivre reste celui qu'on connaît déjà (Health Data Hub, CESREES, CNIL). Gardez cependant à l'esprit que l'Europe prépare un cadre plus large, avec davantage de contrôle laissé aux patients et plus de transparence attendue de la part des porteurs de projets.
Vous portez un projet de réutilisation de données de santé ?
