« Derrière l’utilisation des données de santé se joue la compréhension des parcours de soins »

Comment se sont passés les jours qui ont suivi la diffusion du reportage de Cash Investigation sur France 2 ?

Ils ont finalement été plus calmes que ceux qui l’ont précédée. Nous avons été sollicités par une cinquantaine de patients qui nous ont demandé, par e-mail ou par téléphone, des explications sur l’usage que l’on faisait des données. 250 pharmaciens nous ont appelés pour la même raison, ainsi que pour savoir quel discours tenir face à leurs clients. Une cinquantaine d’entre eux ont souhaité arrêter le partenariat avec Iqvia, sur les 14 000 officines avec lesquelles nous travaillons.

Histoire de remettre les choses à plat, on peut peut-être commencer par rappeler les termes du contrat qui vous lie au pharmacien ?

En échange d’un envoi régulier des données de santé et de marché, nous attribuons aux pharmaciens une indemnité symbolique de 6 € par mois en dédommagement de leur travail, puisqu’en France la vente de données de santé est interdite. Nous leur fournissons également chaque mois un tableau de bord qui leur permet de situer leur officine dans son environnement concurrentiel et sur le plan national.

Quelles données collectez-vous précisément dans les officines ?

Ce qui remonte chez Iqvia, ce sont d’abord les éléments de facturation de tous les produits vendus : médicaments remboursés, over the counter (OTC) et parapharmacie. Nous recueillons également la spécialité du prescripteur et un numéro de pharmacie. Concernant le patient, nous collectons les médicaments délivrés, l’année de naissance, le sexe, le numéro de Sécurité sociale (NIR) et le prénom. Ces deux derniers éléments permettent de déterminer un numéro anonymisé de patient dans les logiciels des pharmaciens. Ils ne sont pas collectés en tant que tel.

Quelles mesures de protection avez-vous mises en place pour garantir la protection des données personnelles de santé des patients ?

Ce qu’il faut savoir, c’est que toutes ces informations ne parviennent pas directement à Iqvia. Sur les deux caractéristiques qui pourraient permettre de remonter à un individu, le NIR et le prénom, une première anonymisation intervient chez le pharmacien, le logiciel de gestion officinal (LGO) attribuant un pseudonyme à chaque client et une clé d’anonymisation au NIR. Deux tiers de confiance, Résopharma et Euris, génèrent ensuite une deuxième, puis une troisième clé d’anonymisation. Cette triple protection a été mise en place à la demande de la Commission nationale de l’informatique et des libertés (Cnil) afin qu’aucune personne mal intentionnée ne puisse posséder les deux clés générées par les tiers de confiance. Et comme l’identité du pharmacien et du médecin sont elles aussi anonymisées, nous n’avons aucun moyen de relier un patient à un prescripteur et à une pharmacie.

Donc, lorsqu’un expert indique dans le reportage qu’en croisant certaines données on peut remonter jusqu’au patient, c’est faux ?

Oui, dans notre base, ne figurent que deux critères qui pourraient permettre d’identifier le patient : son année de naissance et son sexe. Or, pour une année de naissance et un sexe donné, il y a environ 400 000 personnes en France ! Et si l’on récupère l’année de naissance, c’est uniquement parce que l’âge des patients a un intérêt pour nos études épidémiologiques. La date de naissance ne nous est d’aucune utilité. Nous n’avons pas besoin, non plus, de connaître l’adresse précise du patient. Nous nous contentons d’une zone géographique.

Et si un patient vous appelle pour demander à être retiré de votre base ?

Nous l’invitons à se rapprocher de son pharmacien car, chez Iqvia, nous n’avons aucun moyen de l’identifier. Pour faciliter l’accès au droit d’opposition, nous avons mis en place cette année un système de code qui, lorsqu’il est activé par le pharmacien, supprime dans nos bases toutes les anciennes données du patient et bloque les nouvelles.

Comment exploitez-vous les données des officines ?

Les données de santé nous servent à réaliser des études épidémiologiques, notamment sur les pathologies les plus rares, certaines n’ayant aucune autre source de données que celles d’Iqvia. Nous travaillons également beaucoup sur des thématiques comme la couverture vaccinale, l’usage du médicament ou la persistance des traitements. En plus de ces études générales, nous effectuons, à la demande des syndicats de pharmaciens, des enquêtes qui leur permettent d’évaluer l’impact des mesures conventionnelles négociées avec l’Assurance maladie. Il nous arrive aussi de fournir gratuitement des données aux autorités sanitaires, comme nous venons de le faire pour le Covid-19.

Qui sont vos clients ?

Nos principaux clients sont les laboratoires pharmaceutiques pour leurs propres besoins ou pour répondre à des questions posées par les régulateurs. Les autorités sanitaires font aussi appel à nos services, mais de manière plus marginale.

Dans le reportage, les équipes de Cash Investigation soupçonnent Iqvia de vendre les données de santé des patients à des laboratoires pharmaceutiques. Qu’en est-il exactement ?

En ce qui concerne les données de santé des patients, c’est faux, car, comme je vous l’ai déjà expliqué, elles nous arrivent entièrement anonymisées. Ce que nous vendons, ce sont des études sur des groupes de populations réalisées à partir de ces données. Par ailleurs, nous vendons des données de marché qui nous arrivent des LGO et qui ne sont jamais liées aux patients puisque nous ne récupérons que les volumes de médicaments avec ou sans autorisation de mise sur le marché (AMM) et de produits de parapharmacie écoulés dans une zone donnée.

La Cnil a rappelé que les études réalisées à partir des données de votre entrepôt devaient présenter un intérêt public. Est-ce toujours le cas ?

Tout à fait. Nous nous inscrivons totalement dans le cadre réglementaire puisque les données de santé sont exclusivement utilisées pour des études qui participent à l’intérêt public. Les données de marché ne sont pas soumises aux mêmes contraintes, comme d’ailleurs celles des autres secteurs d’activité [NdlR : elles sont soumises à d’autres régulations, notamment à des chapitres distincts du règlement général sur la protection des données ou RGPD].

Le reportage pointe également du doigt les pharmaciens qui ne respecteraient pas l’obligation d’informer individuellement leurs clients sur le fait que leurs données personnelles de santé sont collectées et qu’ils ont le droit de s’opposer à cette collecte. Est-ce que l’absence de consentement rend cette collecte illégale ?

Non, car le RGPD autorise la collecte de données de santé pseudonymisées. Le pharmacien n’a donc pas besoin d’obtenir le consentement explicite de son patient. Ce fonctionnement est le même dans toute l’Europe.

Et pour ce qui est de l’absence d’affichage dans les pharmacies et de remise d’une notice d’information aux patients relevée dans le reportage ?

Il y a des officines qui exposent nos affiches. Cela étant dit, il faut effectivement informer les patients pour se mettre en conformité avec la réglementation. J’invite donc vivement les pharmaciens à le faire systématiquement. D’autant plus que la nouvelle affiche que nous avons conçue cette année intègre un QR Code permettant de consulter la notice patient mise à jour régulièrement, d’accéder à la liste de nos études, et de découvrir la procédure à suivre pour s’opposer à l’utilisation de ses données anonymisées.

Dans le reportage de France 2, vous êtes soupçonné de conflit d’intérêts. Avant de rejoindre la Direction de la recherche, des études, de l’évaluation et des statistiques (Drees), où vous avez piloté la mise en place du Health Data Hub qui va agréger l’ensemble des données médicales de tous les Français, vous travailliez déjà chez Iqvia. Et une semaine après avoir quitté vos fonctions, vous avez été nommé président de cette société en France…

Ce soupçon ne repose sur aucun fondement. Tout au long de mon parcours, mes changements de responsabilité ont toujours été déclarés conformes par la commission de déontologie et ont fait l’objet d’une déclaration d’intérêts à la Haute Autorité pour la transparence de la vie publique. De plus, contrairement à ce que laisse croire le reportage, je n’ai pas été recruté par la Drees pour piloter le lancement du Health Data Hub. En 2017, ce projet n’était pas encore évoqué. Je rappelle enfin que cette plateforme technologique de partage des données a, avant tout, été conçue pour les chercheurs et les start-up, l’objectif étant de permettre à la France de rattraper son retard dans l’utilisation des données de santé par rapport à des pays comme la Suède, Israël ou l’Angleterre. Et l’enjeu est de taille car, derrière l’utilisation des données de santé, se jouent la compréhension des parcours de soins et le développement de solutions innovantes pour la prise en charge des patients.

Des acteurs comme Iqvia ne pourront donc pas accéder aux données hébergées dans le Health Data Hub ?

Les cabinets de conseil et les sociétés spécialisées dans le traitement des données peuvent accéder aux données du Health Data Hub. Mais c’est comme cela depuis 2016, alors que j’étais à ce moment-là en poste chez Iqvia. On ne peut donc pas m’accuser d’avoir changé la loi. Cette année-là, l’Etat français a décidé d’ouvrir des données publiques de santé aux acteurs publics et privés, mais en imposant un certain nombre de restrictions sur les finalités, comme l’interdiction totale pour une société d’assurances de les exploiter dans le but de faire évoluer les primes sur une catégorie d’individus.

Finalement, la diffusion de ce reportage aura eu des vertus…

Cette émission aura eu le mérite d’alimenter le débat, souvent compliqué en France, autour de l’utilisation des données de santé. Il est simplement dommage que le reportage n’ait pas évoqué l’usage qui en est fait, ni à quel point l’étude de ces données nous permet de faire évoluer en profondeur le système de santé. Il faut savoir que cet usage est parfaitement encadré, contrairement à ce que laisse croire l’émission.