Le Dossier santé numérique (DSN) a commencé son déploiement dans la nuit de samedi à dimanche. Contrairement au lancement de SAAQclic, celui-ci se fera graduellement afin d’éviter qu’une faille informatique ne vienne immobiliser tout le réseau de la santé.

Disons-le d’emblée, le DSN est nécessaire. Un réseau moderne digne de ce nom ne peut pas fonctionner avec des dossiers papier, des fax, des systèmes qui ne se parlent pas et des professionnels obligés de répéter les mêmes informations d’un établissement à l’autre.

La nécessité d’un virage numérique ne garantit pas pour autant sa réussite. Le débat public entourant le DSN, notamment sur l’hébergement de certaines données chez Amazon Web Services (AWS), révèle un questionnement plus profond. Sommes-nous vulnérables seulement parce que des données pourraient être hébergées chez une entreprise états-unienne, ou plus largement parce que notre gouvernance publique des données demeure trop faible ?

Quand on parle de gouvernance des données, on parle des règles, des processus et des responsabilités qui nous permettent de savoir une foule de choses : comment les données sont produites, à quelles fins, où elles sont hébergées, qui peut y accéder, combien de temps elles sont conservées ou comment elles peuvent être utilisées par des systèmes numériques, des tableaux de bord ou même, éventuellement, des outils d’intelligence artificielle.

Bref, la gouvernance n’est pas un détail technique. C’est l’équivalent, pour les données, de la place qu’occupe la gestion administrative dans une organisation. Sans elle, on doit se résoudre à utiliser des systèmes sans toujours comprendre ce qu’ils produisent, ce qu’ils changent et même ce qu’ils rendent possible.

Avant même de parler d’outils avancés, il faut revenir aux fondations. Une donnée devient utile si elle est produite selon des règles claires, bien documentées et rattachées à un objectif précis. C’est souvent là que le bât blesse dans plusieurs organisations publiques. Nous produisons beaucoup de données, mais nous le faisons souvent sans prendre la peine de nous doter de règles communes, de normes partagées et de mécanismes solides pour en assurer la qualité et le suivi.

Le CIRANO l’a récemment rappelé dans un rapport sur les données publiques au Canada. Si les données des différents ordres de gouvernement ne peuvent pas se parler, se croiser et être utilisées dans des cadres communs, l’État perd une partie de sa capacité d’action. La gouvernance des données sert précisément à éviter ce désordre invisible. Sans elle, le numérique devient une couche technologique ajoutée à des processus mal maîtrisés. On ne modernise pas l’État en branchant de nouveaux systèmes sur de vieilles ambiguïtés. On ne fait qu’accélérer ces problèmes.

La première vulnérabilité n’est donc pas exclusivement liée à l’hébergement de nos données. Elle se trouve aussi tout au début de la chaîne, dans la manière dont l’État produit, classe et gouverne ses propres données. Si cette culture de la donnée n’est pas présente dès la conception des services publics, le numérique devient une couche supplémentaire posée sur des processus fragiles. On informatise alors des faiblesses au lieu de les corriger.

C’est exactement ce qui devrait nous préoccuper avec le DSN. Les données de santé sont parmi les plus délicates qu’un État puisse détenir. Elles racontent nos diagnostics, nos traitements, nos vulnérabilités et parfois jusqu’à des pans entiers de notre vie intime. Elles ont une valeur immense pour la planification du réseau, la continuité des soins, la recherche, la prévention et l’amélioration des services. Elles exigent donc une gouvernance exemplaire.

Qui décide des accès ? Qui vérifie les consultations ? Qui peut corriger une erreur ? Qui s’assure que les données ne seront pas réutilisées au-delà des objectifs prévus ? Qui possède, à l’interne, les compétences nécessaires pour comprendre réellement ce que le système fait ? Ces questions ne sont pas accessoires. Elles sont au cœur même de la confiance qu’on en a.

Le recours au privé n’est pas illégitime : le secteur public ne peut pas tout développer seul et certains fournisseurs possèdent une expertise réelle. Mais lorsque l’État dépend de plateformes et de fournisseurs qu’il ne maîtrise pas pleinement, le contrat devient plus qu’un contrat. Il devient une relation de dépendance.

C’est là que le fait d’avoir retenu AWS pour le DSN prend toute son importance. En raison de lois états-uniennes comme le CLOUD Act et le Patriot Act, l’hébergement chez une entreprise états-unienne soulève des enjeux réels, même lorsque les serveurs sont situés ici. La souveraineté numérique n’est pas seulement une question d’hébergement, bien sûr, mais c’est aussi toujours une question d’hébergement.

Le risque n’est donc pas uniquement lié au fait que nos données soient stockées ailleurs ou soumises à une législation étrangère. Le risque est que l’État perde progressivement la capacité de comprendre, d’organiser, de protéger et d’utiliser ses propres données sans dépendre d’acteurs externes. Une institution publique qui ne maîtrise pas ses données ne maîtrise pas pleinement ses décisions.

Le DSN peut devenir une avancée majeure pour les patients, les professionnels et l’ensemble du réseau de la santé. Mais il ne le deviendra pas simplement parce qu’une plateforme aura été déployée. Il le deviendra si l’État québécois démontre qu’il sait gouverner ses propres données, sécuriser ses infrastructures, former ses équipes, auditer ses systèmes et imposer ses propres règles à ses fournisseurs.

Le vrai défi du DSN n’est donc pas seulement de faire passer la santé à l’ère du numérique. C’est aussi, pour l’État, de faire la preuve qu’il peut reprendre la pleine possession de son intelligence organisationnelle. Sans cela, nous n’aurons pas modernisé notre réseau de la santé. Nous l’aurons simplement branché à une dépendance de plus.