Trois articles déjà qu’on vous parle de croisement de données à caractère personnel, de taux de vaccination, de pseudonymisation de données, de délibérations du Comité de sécurité de l’information… Il est temps d’évaluer votre niveau de compréhension du sujet.

Pour y aller doucement, étape par étape, on vous a préparé un quizz. Si tout se passe bien, dans quelques minutes, vous pourrez vérifier comment s’est opéré, très concrètement, en septembre 2021, le croisement de données à caractère personnel tirées, d’un côté, des bases de données de l’ONSS et de l’autre, de la base de données VaccinNet+.

On ne vous en dit pas plus, ce serait tricher.

Grâce à leur Répertoire des employeurs, les services de l’Office national de santé publique (ONSS) disposent d’informations sur l’ensemble des employeurs du pays. Dès lors, tous les employeurs du secteur de la santé s’y trouvent. Hôpitaux généraux, universitaires, psychiatriques, de revalidation, maisons de repos, maisons de soins et de repos…

Première étape, donc : extraire les employeurs/établissements de soins de cette liste immense.

Dans la foulée, l’ONSS extrait une information précise pour chaque employeur/établissement de soins : son code postal. Cet élément permettra par la suite au Centre fédéral d’expertise des soins de santé (KCE) de situer géographiquement chaque établissement de soins.

A ce stade, les services de l’ONSS ne savent pas encore qui travaille dans chacun des hôpitaux ou chacune des maisons de repos qu’ils viennent de lister. Mais avant de chercher cette information, l’ONSS demande au KCE de valider sa sélection d’établissements de soins/employeurs. On n’est jamais trop prudent.

Les services de l’ONSS passent effectivement à la constitution d’une deuxième liste, qui rassemble cette fois des individus, plutôt que des établissements de soins et des codes postaux.

Pour ce faire, l’ONSS fouille une autre base de données administrative qu’elle détient, la DmfA[1]. Celle-ci contient les noms et les numéros de registre national de toutes les personnes salariées en Belgique. Ces informations à caractère personnel sont fournies chaque trimestre par les employeurs immatriculés à l’ONSS.

Munie de sa première liste (rappelez-vous : les employeurs/établissements de soins), l’ONSS sélectionne dans la DmfA les salarié·es qui travaillent dans les hôpitaux et les maisons de repos et de soins présélectionnés.

L’ONSS dispose maintenant d’une seconde liste : des personnes, dont il faut vérifier le statut vaccinal.

A ce stade, chacun·e est encore identifié·e et identifiable, puisque les numéros de registre national sont bien présents. Le numéro de registre national est la seule information qui permette une identification univoque en Belgique.

Parenthèse fermée, revenons maintenant à notre croisement « ONSS x VaccinNet+ ».

L’ONSS a fini sa partie du boulot. Ses services envoient alors un gros fichier, genre tableur Excel, à la plate-forme eHealth. Ce fichier contient toutes leurs trouvailles : les données sur les établissements de soins (pas encore pseudonymisés) et les données sur les salarié·es (pareil, il y a encore les numéros de registre national).

Le fichier de l’ONSS arrive entre les mains de la plate-forme eHealth, par transfert encrypté.

eHealth est la grande coupole numérique (à l’architecture complexe) qui permet de faire voyager de façon sécurisée des données à caractère personnel entre différents protagonistes associés au monde de la santé (institutions, mutuelles, INAMI, Sciensano…) ou d’ailleurs (comme l’ONSS, par exemple). eHealth détermine les systèmes de codage et de pseudonymisation des données.

La plate-forme eHealth joue donc le rôle d’intermédiaire de confiance. Dans le jargon, on parle de « tiers de confiance » ou « trusted third party » (TTP).

Un·e analyste de la plate-forme eHealth se met au boulot avec une question en tête, sa mission du jour : « Quel est le taux de vaccination du personnel soignant, au sein de chaque établissement de soins, et selon quatre tranches d’âge ? »

Pour lever le mystère, deux sources :

• les données ONSS qui viennent de lui être envoyées par transfert encrypté
• la base de données VaccinNet+, pour laquelle eHealth dispose d’un accès. VaccinNet+ est hébergée dans le centre de données HealthData COVID-19.

VaccinNet+ est un immense fichier fédéral qui contient toutes les informations sur l’administration de doses de vaccin, depuis le début de la campagne de vaccination Covid-19. Qui est vacciné·e ? Date de naissance ? Où, quand, quel vaccin, combien de doses, adresse du domicile, éventuels effets secondaires ?

Comme pour d’autres bases de données, l’identification passe par le numéro de registre national. VaccinNet+ est donc remplie de numéros de registre national (RN) d’individus vacciné·es ou partiellement vacciné·es.

Alors, c’est parti, l’analyste de la plate-forme eHealth s’empare des numéros RN fournis par l’ONSS (= les employé·es des établissements de soin) et les croise avec ceux de la database VaccinNet+. Il ou elle obtient la liste des soignant·es salarié·es + leur statut vaccinal (deux doses, une dose, pas de vaccin ou pas d’info) + leur lieu de travail.

Vu la sensibilité des données, l’analyste de eHealth «  est soumis aux exigences déontologiques de l’institution  », nous précise-t-on. Cela semble aller de soi, mais toujours mieux en le disant.

Extraire l’âge de chaque membre de l’échantillon, c’est facile. L’info se trouve également dans la base de données VaccinNet+. Reste à trier tous les profils en quatre catégories.

Pourquoi quatre tranches d’âge ? Pour être suffisamment précis, tout en empêchant d’identifier quelqu’un, estime le KCE. Voici la sélection : les moins de 34 ans, 35-44 ans, 45-54 ans, et les plus de 55 ans.

Toutes les infos sont récoltées ; la plate-forme eHealth peut passer à la pseudonymisation des données à caractère personnel. Comment faire ? Prenons les établissements de soins, par exemple. Les coordonnées et tout ce qui permet une identification directe sont remplacées par une séquence alphanumérique, soit une combinaison de lettres (de A à Z) et de chiffres (de 0 à 9). Pour les établissements de soins, seuls les codes postaux vont rester.

Un nouveau transfert encrypté s’organise, cette fois depuis la plate-forme eHealth vers le Centre fédéral d’expertise des soins de santé (KCE). Le KCE peut télécharger le fichier final grâce à un mot de passe reçu par un autre canal. (Oui, vous l’avez reconnue, c’est une authentification à deux facteurs).

Le KCE reçoit des données agrégées des travailleurs, à savoir :

• le nombre de travailleurs par groupe d’âges
• le taux de vaccination par groupe d’âges (pourcentage de personnes totalement vaccinées, partiellement vaccinées et non vaccinées)
• l’indication selon laquelle le travailleur est un étudiant jobiste ou non.

Les données seront affichées par établissement de soins (personne morale).

Le KCE peut commencer son analyse et rédiger son rapport final, commandé par le gouvernement fédéral. A la prochaine demande de croisement de données à caractère personnel, on recommence tout le processus.

Les informations contenues dans cet article-quizz sont également le fruit d’un croisement. Des échanges avec Ann-Sophie Gewelt, porte-parole de la plate-forme eHealth, et Stephan Devriese, responsable de la protection des données au Centre fédéral d’expertise des soins de santé (KCE).

Des recherches additionnelles réalisées pour cette enquête sur le croisement « ONSS x VaccinNet+ » (interviews, documents, textes légaux, sites de l’administration belge…) ont permis de compléter ces deux interviews.