Au Royaume-Uni, le département de santé et de protection sociale[1] a vendu les données de santé de « millions de patients » du NHS[2] à des sociétés pharmaceutiques américaines et internationales, faisant croire que ces données étaient anonymes. Selon des « dirigeants du NHS », les données de patients collectées auprès des cabinets médicaux et des hôpitaux peuvent être reconnectées aux dossiers médicaux individuels des patients. Ils affirment en outre qu’il existe « des preuves claires que cela est déjà fait par certaines entreprises et organisations qui ont acheté les données du DHSC », ayant identifié des individus dont « l’historique médical est particulièrement intéressant ».
Bien que le DHSC affirme ne vendre les informations qu’après avoir assuré « l’anonymat complet et la confidentialité des informations personnelles des patients », de hauts responsables du NHS manifestent leur préoccupation. Inquiétude partagée par le professeur Eerke Boiten, directeur de l’Institut de cyber technologie de la De Montfort University à Leicester qui confirme : les données de santé ne sont pas anonymes. Et « plus riches sont les données, plus il est facile pour les experts de ré-identifier les individus ». Phil Booth, coordinateur de medConfidential qui plaide pour la protection du caractère privé des données de santé va dans le même sens. « Enlever des identifiants évidents tels que le nom d’une personne ou son numéro NHS ne rend pas les données anonymes », souligne-t-il. Il explique : « la combinaison unique des soins médicaux qui rend les données de santé d’un individu si intéressantes à exploiter est précisément ce qui le rend si identifiable. Votre dossier médical est comme une empreinte digitale de votre vie entière ». Ce que confirme le site internet du Boston Collaborative Drug Surveillance Program qui utilise les données du DHSC : il y est proposé d’obtenir les dossiers médicaux des patients sur demande. Ce qui serait impossible avec des données véritablement anonymes. Le Clinical Practice Research Datalink (CPRD) chargé de délivrer les autorisations d’achat de ces données a d’ailleurs changé la terminologie de son site internet : jusqu’au mois de décembre les données étaient qualifiées d’ « anonymes ». Maintenant elles sont simplement dites « anonymisées », soulignant ainsi que seules certaines mesures de « désidentification » sont prises.
Les données du NHS constituent l’une des plus importantes banques de données centralisées. Les patients qui ne souhaitent pas que leurs données soient utilisées par la recherche doivent le signifier à leur cabinet médical. En 2018, le gouvernement britannique avait obtenu « 10 millions de livres sterling »[3] de la vente de ces données. Et Washington s’est déjà « clairement exprimé » sur sa volonté d’avoir un accès « illimité » aux 55 millions de dossiers médicaux britanniques, dont la valeur annuelle est estimée à 10 milliards de livres sterling[4].
Pour aller plus loin :
La cybersécurité : un enjeu primordial pour les données de santé
Les données de santé du Royaume-Uni exploitées par Amazon ?
Royaume-Uni : des données de santé divulguées aux entreprises du numérique
[1] Department of Health and Social Care (DHSC).
[2] National Health Service, service national de santé anglais.
[3] Soit près de 12 millions d’euros.
[4] Soit près de 12 milliards d’euros.
The Guardian, Toby Helm (08/02/2020)
