Intervention de Philippe Burnel

Non : au poste où je suis, cela ne relève pas de ma mission – ce qui ne veut pas dire que l'administration en général ne peut pas vous répondre.

Les coûts marginaux dont je parle résultent de plusieurs éléments. D'abord, figurent toutes les démarches nécessaires à l'ouverture des données – création de magasins de données datamarts, éventuellement développement de capacités machines isolées, créations d'accès réseau particuliers –, bref tout ce qui relève de l'infrastructure. Ensuite, il faut y inclure l'ensemble des individus qui y contribuent. Enfin, la surveillance rendue nécessaire par l'ouverture, c'est-à-dire le renforcement du contrôle des accès par l'assurance maladie doit être comptabilisée : il est inutile de tracer des accès s'il n'y a personne pour les lire ; et si l'on autorise un acteur privé à créer une bulle de sécurité, il faut pouvoir l'auditer, par exemple pour vérifier que la bulle fonctionne dans les conditions annoncées et qu'il ne l'a pas réouverte au bout de six mois d'existence. Tout cela entraîne des surcoûts.

La loi ne dit pas que l'accès aux données sera payant mais ne dit pas non plus qu'il sera gratuit : la question n'est pas tranchée. Dans l'état actuel de la réflexion – mais je vous renvoie une fois encore à mon collègue Franck Von Lennep sur ce point –, l'accès serait gratuit pour les acteurs publics, pour éviter des complications inutiles puisque les faire payer reviendrait à ce qu'ils se paient eux-mêmes ; en revanche, il ne me paraîtrait pas illégitime que les acteurs privés contribuent aux coûts marginaux de l'ouverture.

Des gains de productivité sont par ailleurs envisageables. Le nombre réduit de personnels dédiés au sein de la CNIL, qui correspond bien à l'ordre de grandeur que vous indiquez, pose un véritable problème ; on le voit en ce moment, où ils ont à étudier beaucoup de textes issus de la loi de modernisation de notre système de santé tout en devant instruire des dossiers de demande d'autorisation individuelle. Parmi les solutions que la CNIL apporte à ce problème figure le recours à des méthodologies standard définies une fois pour toutes pour un type de données, assorti d'engagements de conformité, qui évite un examen individuel de chaque dossier.

On peut aussi – mais la démarche est très complexe du point de vue méthodologique, ce que Dominique Blum pourra vous expliquer plus savamment que moi – mettre à disposition des sous-échantillons de données, ce qui amoindrit considérablement le risque de ré-identification. Les conditions d'accès sont alors plus ouvertes, donc moins coûteuses en instruction.

Au total, il existe différentes méthodes pour gagner en productivité et réduire ainsi les surcoûts ; mais il est clair que l'ouverture représente un coût.