II. LE CRISIS DATA HUB : UNE PLATEFORME DE CRISE
A. LE PRINCIPE : NE PAS COLLECTER LES DONNÉES, MAIS ÊTRE EN CAPACITÉ DE LE FAIRE EN CAS D'URGENCE
Le problème peut être résumé ainsi : si l'on veut à l'avenir sauver des vies humaines et éviter de mettre la vie économique et sociale sous cloche à chaque nouvelle crise, il faudra inévitablement s'appuyer à ce moment-là sur des croisements de données massifs et dérogatoires .
Or les données en question sont susceptibles d'être à la fois :
- des données personnelles et sensibles qu'il est absolument inconcevable d'exploiter en temps « normal » , par exemple des données de géolocalisation croisées avec des données médicales à des fins de maintien de l'ordre public sanitaire ;
- des données produites par des entreprises privées (opérateurs télécom, entreprises technologiques, établissements financiers, laboratoires pharmaceutiques, transports publics, employeurs, etc.) qui n'ont souvent aucune raison économique ni obligation juridique de les fournir par ailleurs, ni même de s'y préparer matériellement . Une partie des difficultés rencontrées lors de la crise actuelle s'explique d'ailleurs par cela : même avec la meilleure volonté du monde, et même pour des données non personnelles ne nécessitant pas de dérogation au cadre juridique en vigueur, les acteurs dont les données auraient pu être utilement exploitées n'étaient tout simplement pas en capacité de les fournir telles quelles immédiatement 129 ( * ) . Du reste, il aurait encore fallu savoir à qui les fournir, or les pouvoirs publics n'étaient pas équipés pour pouvoir les exploiter correctement , voire pour avoir ne serait-ce que l'idée de les exploiter.
Il n'y a là rien de spécifique à la France : ces choses ne s'improvisent pas, à moins d'une « agilité » particulièrement forte - laquelle n'est pas la caractéristique première des grandes structures administratives, peut-être robustes et efficaces dans la gestion de l'existant, mais souvent démunies lorsque tout ne se passe pas comme prévu.
Du reste, il est impossible de savoir a priori quelles données pourraient être utiles face à une nouvelle crise , tant cela dépend de sa nature (une épidémie, une catastrophe naturelle ou industrielle, etc.), de son intensité , de son extension géographique (localisée, nationale, internationale) et de l' acceptabilité politique des mesures, au cas par cas. Seules les données relatives à l'identification des personnes et à leur géolocalisation semblent constituer un dénominateur commun à l'ensemble des cas envisageables.
Pourtant, rien ne serait pire que l'improvisation , à la fois inefficace et potentiellement bien plus attentatoire aux libertés individuelles, qui sont moins faciles à « protéger » dans l'urgence.
Dans ces conditions, le présent rapport propose donc non pas de collecter une multitude de données sensibles à l'utilité hypothétique, mais tout simplement de nous mettre en capacité de le faire, pour ainsi dire en appuyant sur un bouton , si jamais les circonstances devaient l'exiger.
Concrètement, cela implique de mettre en place une plateforme sécurisée spécifique, qui ne serait activée qu'en temps de crise . Celle-ci permettrait de centraliser les données nécessaires à la réponse des pouvoirs publics, permettant de faire remonter les informations immédiatement, et de les redistribuer ensuite aux acteurs concernés pour remplir leurs missions - soit, selon les circonstances, les établissements et professionnels de santé, la sécurité civile voire les forces de l'ordre, les collectivités locales, les gestionnaires d'infrastructures, etc.
Présentation simplifiée du Crisis Data Hub
Source : délégation sénatoriale à la prospective
Ce « Crisis Data Hub » rappelle le modèle du Health Data Hub - à cela près que le Health Data Hub ne centralise que des données médicales et pseudonymisées mais qu'il le fait massivement et en permanence, alors que le Crisis Data Hub (CDH) centraliserait des données plus diverses (géolocalisation, etc.) et le cas échéant nominatives, mais qu'il le ferait de façon plus ciblée et surtout pendant une période plus limitée . Seules les données pertinentes au regard de telle ou telle crise seraient concernées, qu'il s'agisse de la nature des données ou d'un « filtre » géographique ou individuel, en application du principe de riposte graduée .
Le CDH serait ainsi à la gestion numérique d'une crise sanitaire ce que l'Établissement de préparation et de réponse aux urgences sanitaires (EPRUS) aurait dû être sa gestion logistique - si cet établissement public créé au lendemain de l'épidémie de H1N1 n'avait pas été dissous en 2016, avec les lourdes conséquences identifiées depuis 130 ( * ) .
* 129 L'utilisation des données d'Orange à des fins de modélisation épidémiologique constitue à cet égard une exception.
* 130 Mis en place en 2007 à la suite de l'épidémie de grippe aviaire, l'Établissement public de préparation et de réponse aux urgences sanitaires (EPRUS) avait pour mission principale « l'acquisition, la fabrication, l'importation, le stockage, la distribution et l'exportation des produits et services nécessaires à la protection de la population face aux mesures sanitaires graves », y compris donc les traitements, vaccins et maques FFP2 qui ont tant fait défaut au début de la pandémie de Covid-19. Ses moyens budgétaires ont toutefois été progressivement réduits et, en 2016, l'EPRUS a été supprimé et ses missions confiées à Santé Publique France, qui en avait déjà bien d'autres.