L'espace européen des données de santé : que deviendront vos données sur la plateforme de l'UE ?

Qu'est-ce que l'espace européen des données de santé ?

Meilleur accès aux données de santé

L'espace européen des données de santé (EHDS, pour European Health Data Space) est une nouvelle initiative de la Commission européenne visant à optimiser l’utilisation des données de santé dans l'Union européenne.

L'EHDS permet aux prestataires de soins de santé que vous consultez à l'étranger d'accéder plus facilement aux données de santé nécessaires à votre traitement.

Quelle est la situation actuelle ?

La proposition de création d’un Espace européen des données de santé faite par la Commission européenne a été approuvée par le Parlement européen en avril 2024. Il ne manque plus que le feu vert définitif du Conseil.

Il faudra toutefois attendre encore plusieurs années avant que les consommateurs n’en remarquent les conséquences concrètes. La réglementation ne devrait entrer en vigueur qu’à l’automne 2026, et la plupart des dispositions concernant le partage des données de santé dans le cadre d'une recherche qu'à partir de l'automne 2028.

Davantage d'applications à usage scientifique

L'EHDS est également un atout pour les scientifiques et les chercheurs, et donc pour l'innovation. Ils pourront accéder à de grandes quantités de données qui faciliteront la mise au point de vaccins, par exemple.

Actuellement, les règles, les structures et les processus en vigueur dans les États membres restent trop complexes pour permettre un accès facile aux données de santé provenant d'autres pays et leur échange. Avec l'EHDS, l'Europe entend lever ces obstacles, notamment en introduisant des règles valables dans tous les États membres.

Où est le piège ? Il est important que les règles empêchent la violation de votre vie privée, l'utilisation abusive de vos données de santé par des sociétés commerciales ou l'utilisation de vos données à des fins ou d'une manière que vous n'approuvez pas.

Comment fonctionne l'espace européen des données de santé à des fins de recherche et d'innovation ?

Dans chaque État membre, les prestataires de soins de santé, les hôpitaux, les universités, les autorités publiques, les entreprises,... devront informer "l'autorité des données de (soins de) santé" de leur pays quand ils détiennent des fichiers contenant des données de santé. En Belgique, l'autorité en charge des données de santé s'appelle l'Agence belge des Données (de soins) de Santé. Ils devront également mettre ces données à la disposition de la recherche et de l'innovation. Cela inclut les données collectées, par exemple, par votre médecin traitant ou par un hôpital.

Quels sont les avantages potentiels du partage des données de santé ?

• Meilleure compréhension des causes des maladies ;
• Meilleure prévention et meilleur dépistage ;
• Diagnostics plus rapides et de meilleure qualité ;
• Suivi des effets secondaires indésirables ;
• Suivi de l'influence de l'environnement sur la santé ;
• Développement et comparaison de nouveaux traitements et médicaments ;
• Évaluation de la qualité et de l'efficacité des soins de santé ;
• Planification des besoins (futurs) en matière de soins de santé.

Quelles données seront partagées ?

L'Europe vise à mettre à la disposition de la recherche et de l'innovation un très large éventail de données, comme les données des dossiers médicaux numériques, les données recueillies dans le cadre d'essais cliniques, les données génétiques, les données recueillies par les citoyens eux-mêmes avec des applications de santé ou de bien-être, etc.

Ces données pourraient être utilisées à des fins entre autres de santé publique, d'élaboration de politiques, des soins personnalisés, et de la recherche scientifique dont l'objectif doit être de bénéficier aux patients et aux prestataires de soins de santé. Ce qui est entendu par "soins personnalisés" n'est pas clair, car décrit de manière très vague. Nous avons, avec le BEUC (Bureau européen des unions de consommateurs dont Testachats est membre), fait part de nos critiques à ce niveau.

Quelques exemples :

• Données enregistrées dans votre dossier médical numérique comme votre âge, votre taille et votre poids ; votre mode de vie (alcool, tabac...), les médicaments que vous prenez, les pathologies dont vous souffrez, les résultats d'une prise de sang ou d'une imagerie,... ;
• Données génétiques connues à votre sujet ;
• Informations de votre mutuelle vous concernant, comme les prestataires de soins de santé que vous consultez, les examens et les traitements qu'elle rembourse ;
• Données de patients participant à un essai clinique d'une firme pharmaceutique ;
• Données relatives à vos activités physiques et sportives que vous enregistrez via votre smartphone.

Comment votre vie privée est-elle respectée ?

Les chercheurs, les pouvoirs publics, les institutions de soins de santé ou les entreprises qui souhaitent utiliser ces données doivent demander l'accès à l'autorité nationale des données (de soins) de santé compétente.

Toutes les données disponibles à votre sujet sont accessibles via cette procédure. Si vous ne voulez pas qu'elles soient disponibles à des fins scientifiques ou de politiques de santé, vous devrez le signaler vous-même au moyen d'un "opt-out". Tous les pays membres devront prévoir un mécanisme de ce type.

Les États membres ont la possibilité de mettre en œuvre des mesures plus strictes et des garanties supplémentaires pour protéger les données génétiques et les données collectées par les applications de bien-être. Cela peut se faire en rendant ces données disponibles pour la recherche uniquement si les citoyens y consentent explicitement ("opt-in").

Enfin, les États membres peuvent toutefois prévoir la possibilité, sous certaines conditions, de donner accès à vos données, même si vous avez opté pour un opt-out.

Vos données seront anonymisées et "pseudonymisées". Les techniques d'anonymisation doivent permettre de garantir l’impossibilité d'identifier quelqu'un avec ses données, bien que la pratique montre que cela peut parfois encore arriver. La pseudonymisation signifie que les données sont cryptées et que seules certaines personnes ont accès à la clé de cryptage.

En théorie, les hôpitaux et établissements similaires sont tenus de vous informer si vos données de santé pseudonymisées sont transmises à une instance d'autorité, une entreprise pharmaceutique ou technologique. Ces informations ne seront probablement formulées qu'en termes très généraux, ce qui signifie que vous ne saurez toujours pas vraiment quelle agence ou entreprise utilisera concrètement lesquelles de vos données et à quelle fin.

Que pensent les citoyens de l'UE de la sécurité de leurs données de santé ?

Le Bureau européen des unions de consommateurs (BEUC) a mené une enquête auprès de plus de 8 000 citoyens dans huit pays de l'UE sur le partage des données de santé. Il en ressort que de nombreux citoyens sont préoccupés par la sécurité de leurs données.

Par exemple, 44 % des personnes interrogées s'inquiètent du vol de leurs données par des malfaiteurs, 40 % de l'accès non autorisé aux données (par les employeurs, les compagnies d'assurance maladie, les annonceurs...) et 39 % de leur utilisation non autorisée (par exemple, l’industrie pharmaceutique, des pouvoirs publics, des entreprises technologiques...).

Les citoyens de l'UE veulent contrôler le partage de leurs données

Les citoyens sont généralement réservés quant au partage de leurs données de santé. Les personnes interrogées préfèrent à une écrasante majorité (81 %) choisir elles-mêmes à quelles données elles donnent accès, à qui elles le donnent, et à quelles fins.

Sept personnes interrogées sur dix accepteraient de partager leurs données de santé avec des prestataires de soins de santé à des fins de recherche et de santé publique. Mais seulement 17 % partageraient leurs données avec l'industrie pharmaceutique. Et ils ne sont qu’un peu moins de 5 % à bien vouloir partager leurs données avec des entreprises de technologie numérique.

Les consommateurs font également une différence selon le type de données. Par exemple, la majorité d'entre eux ne souhaitent pas partager leurs données génétiques. Le partage des données qu'ils enregistrent eux-mêmes dans des applications de bien-être ou de santé est également tabou pour de nombreuses personnes interrogées.

Notre point de vue sur l'EHDS

Testachats estime qu'il faut davantage de garanties en matière de sécurité, de confidentialité et de protection des données. Dès lors, la Commission européenne devrait impliquer l'Agence européenne de cybersécurité (ENISA) dans la mise en place concrète des règles EHDS. 

Les données ne devraient pas être disponibles sans l'accord des citoyens

Les citoyens considèrent leurs données de santé, même anonymisées, comme un bien personnel, qui leur appartient en propre et dont ils veulent conserver le contrôle. C'est pourquoi Testachats estime que ces données ne devraient pas être utilisées librement sans leur consentement.

Nous pensons que le méta-consentement (permet d'avoir votre mot à dire sur l'utilisation future de vos données dans différents contextes) est un bon concept pour combiner les avantages collectifs de la recherche avec le contrôle des données personnelles.

Le méta-consentement consiste à demander aux citoyens d'indiquer comment ils souhaitent être impliqués dans l’utilisation future de leurs données de santé. Ce méta-consentement pourrait être demandé, par exemple, au moment où la personne atteint l'âge de la majorité.

Un tel système pourrait impliquer davantage les citoyens en matière de recherche avec leurs données génétiques, par exemple. Selon nous, des informations aussi sensibles ne devraient certainement pas être mises à la disposition de la recherche si cela se fait selon les règles proposées actuellement par l'UE. Nous demandons donc à notre pays de mettre en place des mesures de protection supplémentaires.

Le système opt-out choisi par l'Europe laisserait la possibilité aux citoyens de faire un choix, mais nous ne sommes pas totalement satisfaits de cette décision. En théorie, des citoyens pourraient choisir s'ils acceptent ou non de partager leurs données de santé, mais à condition que les pouvoirs publics organisent régulièrement de vastes campagnes de sensibilisation.

Les organisations de consommateurs ont beaucoup insisté sur l'organisation des campagnes de sensibilisation et la promotion des connaissances en matière de santé numérique auprès des citoyens. Grâce à ce travail, il s'agit désormais d'une obligation clairement établie pour les pays membres. C'est donc une bonne chose, mais il reste à voir comment notre pays respectera cette obligation.  Nous pensons également qu'il faudrait mettre davantage l'accent sur l'information et la transparence concernant les données collectées à votre sujet dans notre système de soins de santé.

Délimiter les finalités du partage des données

L'enquête du BEUC montre que l’accord du partage des données par les consommateurs dépend du degré de proximité et de confiance qu'ils ont dans l'organisme à qui elles sont destinées. D'où la réticence de nombreux citoyens à partager leurs données de santé avec des entreprises.

Pour éviter aux entreprises d’avoir accès à des quantités pharaoniques de données de santé utilisées à des fins que nous n'approuvons pas, nous estimons que l'Agence belge des Données (de soins) de Santé devrait contrôler cet aspect à tout moment et l'évaluer en permanence.

Assurer aux citoyens un maximum de transparence et d'informations

Pour nous, les nouvelles règles prévues par l'Europe sont insuffisantes et ne répondent pas aux préoccupations des citoyens.

Nous nous attendons à ce que les informations que les citoyens recevront en vertu de cette nouvelle législation soient très générales. De plus, nous craignons que beaucoup de citoyens ne parviennent pas jusqu'au site web de l'autorité de santé des données pour avoir une vue d'ensemble des projets qui ont été approuvés et des données qu'ils utilisent. Par conséquent, nous pensons que les consommateurs devraient être informés chaque fois que, par exemple, leur dossier médical est utilisé dans le cadre d'un projet, avec des informations comprenant l'objectif de l'utilisation.

En tant que consommateurs, sachez qu'en vertu des lois sur la protection de la vie privée ou du règlement général sur la protection des données (RGPD), tout organisme qui détient des données pseudonymisées à votre sujet doit être en mesure de vous fournir un relevé des données qu'il détient à votre sujet et de l'endroit d'où il les a obtenues. Il peut s'agir de l'hôpital où vous recevez un traitement, de l'autorité chargée des données de santé qui a donné son autorisation pour un projet particulier ou de l'université ou de l'entreprise qui mène une étude de recherche. Vous avez également le droit d'obtenir une copie des données exactes en question. 

Plus de garanties sur l'anonymisation et la pseudonymisation

Le règlement ne fixe pas de critères de qualité pour l'anonymisation et la pseudonymisation. Or, il s'agit de techniques complexes et les études ont montré que les États membres les interprètent et les appliquent chacun à leur manière. Il convient donc d'accorder une plus grande attention à des critères de qualité plus clairs pour ces techniques. Selon les réflexions introductives du texte juridique, la Commission européenne prévoit d'œuvrer en faveur d'une procédure uniforme, et ce grâce au travail de lobbying des organisations de consommateurs.

Droit d'introduire une plainte individuelle ou collective

Le règlement prévoit le droit pour les consommateurs d'introduire des plaintes individuelles ou collectives auprès de l'autorité de santé numérique. Nous ne pouvons que nous féliciter de cette disposition, mais à notre avis, elle manque de clarté et de précision. Qu'entend-on par réclamation collective ? Quelle est la procédure à suivre ?

Au sein de l'UE, il existe une directive sur les actions représentatives, qui permet aux citoyens de protéger leurs intérêts collectifs au sein de l'UE par le biais de réclamations collectives. Nous aurions souhaité que le règlement établissant un espace européen des données de santé soit couvert par cette directive.

L'aspect positif est qu'elle stipule explicitement que les citoyens ont droit à une compensation si leurs données de santé ne sont pas légalement partagées ou utilisées. Là encore, c'est le résultat du lobbying des organisations de consommateurs. Un article a également été ajouté, stipulant que les ONG telles que les organisations de consommateurs peuvent représenter un consommateur individuel dans le cadre d'une plainte.

Espace européen des données de santé, qu'en retenir ?

Le partage des données de santé peut apporter de nombreux avantages, tant pour la qualité des soins que pour la recherche et le développement.

Dans la version finale du texte, des modifications ont été effectuées afin de donner plus de contrôle aux citoyens sur leurs données de santé, même si n'en sommes pas pleinement satisfaits.

Il y a un vrai besoin de plus grande transparence et d'un cadre plus strict pour respecter la vie privée des citoyens et éviter les abus. La confiance des citoyens est primordial pour la réussite du projet.