A l’occasion du "débat de la donnée" organisé par le Syntec numérique le 13 mars, le président du syndicat professionnel des entreprises de services du numérique, Godefroy de Bentzmann, a d’emblée évoqué la nécessité pour les acteurs institutionnels de "bien positionner le curseur entre la protection des données personnelles et leur utilisation dans l’innovation."

Source d’innovation, notamment dans la recherche médicale, les données personnelles seront davantage encadrées à partir du 25 mai, date d’entrée en vigueur du RGPD.

Pour rappel, la nouvelle réglementation, qui s’appliquera à l’ensemble des acteurs traitant des données personnelles, vient renforcer les droits des personnes notamment par la création d’un droit à la portabilité de ces données mais elle vient aussi responsabiliser les acteurs traitant des données, responsables de traitement et sous-traitants (voir dépêche du 4 janvier 2018).

Alors comment trouver l’équilibre entre régulation et innovation ? Il incombe désormais aux pouvoirs publics de résoudre l’équation et de conjuguer exigence de protection et réutilisation des données personnelles.

Invité à s’exprimer sur la scène du débat de la donnée, le secrétaire d’Etat chargé du Numérique, Mounir Mahjoubi, a insisté sur la "belle opportunité" que représente le RGPD pour les entreprises françaises qui peuvent "se poser la question de la valeur des données et de leur responsabilité."

"L'intelligence artificielle change la façon dont nous faisons de la recherche grâce au traitement massif des données. Dans le monde médical par exemple, l'intelligence artificielle permet de d'établir des diagnostics plus rapidement, plus efficacement et moins chers, elle permet aussi de cibler un traitement et d'augmenter la durée de vie des patients", a-t-il affirmé.

Mounir Mahjoubi a également rappelé que, dans le cadre des données de santé, les pouvoirs publics se sont "longtemps interrogés sur la protection des données patients tout en facilitant la recherche."

Cependant, le traitement des données sensibles telles que les données médicales n'est pas si simple. Le responsable de traitement d'une entreprise d'e-santé ou d'un établissement de santé devra mener, conformément au RGPD, une étude dite d’impact sur la vie privée (EIVP) en faisant apparaître les caractéristiques du traitement, les risques et les mesures adoptées.

"C'est aujourd'hui le travail de l'Institut national des données de santé (INDS) et du régulateur qui est la Commission nationale de l'informatique et des libertés (Cnil)", a rappelé le secrétaire d'Etat.

Le RGPD et le projet de loi dit "Cnil 2" incluant plusieurs dispositions du règlement européen (voir dépêche du 16 février 2018) viennent renforcer les prérogatives de l'autorité administrative indépendante et en font l'autorité de contrôle en charge d'accompagner les responsables des systèmes d'information, d'établir et de publier des lignes directrices, recommandations ou référentiels destinés à faciliter la mise en conformité des traitements de données à caractère personnel avec la nouvelle réglementation.

Parallèlement, en concertation avec les acteurs publics et privés, la loi prévoit que la Cnil est chargée d'établir et de publier "des règlements types" permettant d’assurer "la sécurité des systèmes de traitement de données à caractère personnel et de régir les traitements de données biométriques, génétiques et de santé" et pourra prescrire "des mesures, notamment techniques et organisationnelles, supplémentaires pour le traitement" de ces données.

"Nous avons développé des packs de conformité à destination des différents acteurs afin qu'ils puissent développer l'innovation mais dans le respect de la loi", a expliqué Isabelle Falque-Pierrotin, présidente de la Cnil.

"Le régulateur français a une valeur ajouté qu'il peut apporter aux acteurs via des référentiels sectoriels pour leur permettre de gérer au mieux leur conformité", a-t-elle ajouté.

Dans les pas du secrétaire d'Etat chargé du numérique, la présidente de la Cnil a également plaidé en faveur du RGPD.

"Il y a eu beaucoup de controverses autour de ce règlement qui prétendaient que les acteurs européens allaient avoir les pieds et poings liés à travers des contraintes supplémentaires mais il ne faut pas se tromper: le RGPD est une chance absolue pour l’Europe !" a-t-elle martelé.

Pour Isabelle Falque-Pierrotin, le RGPD va -au contraire- permettre au Vieux Continent de "récupérer sa souveraineté numérique et de créer un marché unique de la donnée."

Opposée à toute idée de propriété des données, Isabelle Falque-Pierrotin a défendu "l'importance de faire de la pédagogie autour des enjeux clés liés à la protection des données personnelles", pour un plus grand niveau de sécurité.

"Les usagers ne veulent pas empêcher la création des données, ils veulent en avoir la maîtrise", a-t-elle ajouté.

Un intention partagée par Mounir Mahjoubi qui a milité pour que "les usagers s’emparent des données dès le plus jeune âge pour mieux les contrôler."

Le philosophe et chef de file du think tank Génération Libre, Gaspard Koening, ne s'accorde pas du tout avec les acteurs institutionnels sur cette question. "La révolution numérique s’accompagnera du droit de la propriété sur la donnée", a-t-il affirmé, suggérant même de "rémunérer les usagers quand leurs données sont utilisées."

Dans le domaine de la santé, la principale interrogation sur les données personnelles consiste à savoir à qui elles appartiennent. Au professionnel de santé qui les traite? Au patient qui les génère? A l'industriel qui voudrait les exploiter? La question n’est pas tranchée.

En attendant, grâce au nouveau droit à la portabilité inclus dans le RGPD, les usagers pourront déjà "récupérer leurs données et les mettre en commun" et cela pourrait, par exemple, permettre "d'améliorer un service public", a expliqué Célia Zolynski, professeure de droit à l'université de Versailles-Saint-Quentin-en-Yvelines.

Gaspard Koening va plus loin encore. Le philosophe suggère que les pouvoirs publics puissent "exproprier" les patients de leurs données de santé "dans l'intérêt général, pour les utiliser à des fins de recherche, en cas d'épidémies par exemple."

Une idée qui ne va pas plaire à Mounir Mahjoubi fermement opposé "à toute propriété ou vente des données".

Le sujet de la propriété des données personnelles, plus encore s'agissant des données de santé, est récurrent et devra néanmoins être plus profondément étudié un jour... dans une prochaine loi?