Le CHUV a besoin d’une nouvelle cantine?
La cantine du CHUV est en fin de vie. Il faut la remplacer, et vite. Alors on a choisi… une grande chaîne de fast-food américaine. Voilà. C’est réglé.
C’est trop gras, trop salé, trop sucré ? Oui. Mais bon, tout le monde en mange déjà, alors où est le problème ?
Podcast: Play in new window | Download (Duration: 16:44 — 7.3MB) | Embed
On a fait goûter les nouveaux menus aux médecins. Ils ont ADORÉ. Il faut dire que ça fait dix ans qu’on leur sert une feuille de papier trempée dans du jus de tomate — alors forcément, à côté, le hamburger, c’est Noël.
Les autres traiteurs — les petits, les locaux ? Recalés. Ils ne couvraient pas « le même périmètre ». Parce que le fast-food, lui, fait TOUT : les plats, les boissons, la vaisselle, et même le ménage après le service. On ne va tout de même pas s’embarrasser de plusieurs prestataires. Ou pire — vous imaginez ? — devoir engager du personnel.
Il y a bien eu la cantine de l’hôpital d’à côté (pas un traiteur : un hôpital voisin) qui a proposé de partager ses recettes. Sympa. Sauf qu’il aurait fallu nos propres cuisiniers, nos propres nutritionnistes, pour les préparer et vérifier que c’est mangeable. Trop de boulot. Avec le fast-food, plus besoin de cuisiniers : le contrat garantit que c’est « équilibré ». Et plus besoin de nutritionnistes pour le vérifier, tant qu’on y est. Ah, et vous savez quoi ? L’autre cantine, eh bien, elle refuse de faire la vaisselle, non mais.
Deux petits problèmes persistent :
Un : l’usine qui fabrique les plats est très, très loin, et il paraît qu’il pourrait y avoir un soupçon d’arsenic dans la sauce. Mais pas de panique : on a un contrat qui l’interdit. Même si un certain petit bonhomme orange, à la tête du pays où se trouve l’usine, décidait un beau matin de forcer le fournisseur à en remettre une louche — le contrat tiendrait. C’est garanti.
Deux : le fournisseur a promis de construire l’atelier d’assemblage sur le site même du CHUV. Comme ça, tout reste « à la maison ». Alors oui, personne au CHUV ne pourra y entrer voir ce qui s’y passe, et de toute façon on n’aura engagé personne de qualifié pour ça. Mais c’est chez nous. C’est garanti aussi.
Vous trouvez ça absurde ?
C’est pourtant, presque mot pour mot, ce que j’ai entendu au Grand Conseil vaudois depuis le 25 août. Remplacez la cantine par le dossier informatisé du CHUV (DPI). Remplacez le fast-food américain par le logiciel retenu. Et vous tenez le débat, entendu de mes petites oreilles innocentes. Et vous comprendrez pourquoi je veux vous partager ma frustration.
T’es marrante, mais dans les faits…
Reprenons. Sérieusement, cette fois. Parce que chaque détail de cette petite histoire correspond à un argument réellement échangé.
Le contrat contre la compétence. Les pro-Epic ont un mantra : « ne vous inquiétez pas, on a un contrat. » Clauses, audit externe annuel, expert juridique, tout le tralala. Les opposants — souvent les plus techniques, tiens, tiens — misent au contraire sur la compétence interne. Et c’est là, à mon sens, que tout se joue. Un contrat, ça ne vaut rien si personne, chez vous, n’a les compétences de vérifier qu’il est respecté. (C’est mon dada, le contrat qu’on signe sans savoir le lire — mais j’y reviens.) Le fast-food promet une nourriture saine, mais il ne reste personne pour ouvrir la boîte et regarder. Alors « On a un contrat » — oui, et alors ?
Le périmètre comme couperet. Plusieurs solutions ont été écartées. Pas parce qu’elles étaient mauvaises — parce qu’elles ne couvraient pas « le même périmètre » qu’Epic. Cela a été dit clairement en plénière : aucune autre entreprise ne proposait cette fameuse « intégration complète » — le logiciel, l’hébergement, la maintenance, les services, tout dans le même paquet cadeau. Sauf que ce n’est pas une qualité d’Epic. C’est un choix : celui de ne rien vouloir faire soi-même. Ériger le « tout compris » en critère éliminatoire, ce n’est pas choisir la meilleure solution. C’est choisir la seule qui nous dispense de lever le petit doigt.
L’usine qu’on ne peut pas visiter. « Les données sont hébergées chez nous, contrôlées par le canton. » C’est LE grand argument. Sauf qu’héberger n’est pas contrôler. Ce qui peut sortir d’un tel système, ce ne sont pas que les données brutes des patient·e·s : ce sont aussi les métadonnées (qui consulte quoi, quand, à quelle fréquence) et surtout les modèles entraînés sur ces données. Un algorithme nourri aux dossiers vaudois peut s’en aller sans qu’un seul nom ne quitte le bâtiment. L’atelier est « chez nous », mais on n’y entre pas — et ce qui en sort ne se limite pas à ce qu’on croit surveiller.
L’arsenic, ou pourquoi le contrat ne suffit pas. Ce « petit soupçon d’arsenic », ce sont deux lois américaines. Deux.
- Le CLOUD Act permet à l’État américain de contraindre une entreprise américaine à livrer des données, où qu’elles soient stockées — Lausanne comprise. Aucun contrat cantonal ne fait le poids face à une injonction fédérale américaine. Et l’entreprise peut être tenue au silence : ce genre d’injonction s’accompagne souvent d’une interdiction d’en informer le client. Traduction : impossible de savoir quand ça arrive.
- Le DMCA et ses règles anti-contournement rendent juridiquement risqué le fait d’auditer en profondeur un logiciel propriétaire fermé. Donc non seulement on n’a personne pour chercher l’arsenic dans la sauce — mais la loi du pays d’origine nous interdit d’ouvrir la marmite. Élégant, non ?
Le « petit bonhomme orange » n’est pas une blague. C’est le rappel qu’un gouvernement étranger peut changer les règles (tariffs, F-35, etc.) du jour au lendemain, et que nous allons signer pour dépendre de son humeur.
L’interopérabilité, l’argument retourné. On nous sert : « il y a trop de systèmes différents, c’est pour ça qu’on n’arrive pas à les faire communiquer ; consolidons tout sur un seul. » Sauf que c’est prendre le problème par le mauvais bout. L’interopérabilité, ce n’est pas une histoire de nombre de logiciels — c’est une histoire de standards. Le courrier électronique, le web : des milliers de logiciels différents, écrits par des gens qui ne se connaissent pas, qui se parlent parfaitement parce qu’ils respectent des standards ouverts (les RFC). Il faut d’ailleurs plus d’efforts pour ne PAS être interopérable — cacher ses formats, bricoler son propre chiffrement, s’écarter exprès des standards (à lire sur le sujet : la conférence de Cory Doctorow, « The Coming War on General-Purpose Computing », keynote au 28C3, Berlin, 2011).
L’exemple : ActivityPub, un standard ouvert bâti en quelques années par des bénévoles, fait aujourd’hui dialoguer Mastodon (le X/Twitter libre), Pixelfed (l’Instagram), PeerTube (le YouTube), Mobilizon (le Meetup) et WordPress (les blogs) — au point qu’on peut commenter un article de blog depuis son « Instagram », ou s’annoncer à un événement depuis son « Twitter ». Un standard, et tout se parle. Se verrouiller sur un unique fournisseur propriétaire, ce n’est pas rater l’interopérabilité par accident : c’est y avoir déjà renoncé.
Les garanties, ou « code is law ». Tous les garde-fous ajoutés au projet — audit externe, expert juridique, clauses contractuelles — sont des cautèles : des rustines juridiques posées sur un système qu’on ne maîtrise pas. Le juriste Lawrence Lessig l’a résumé en 2000 : code is law. Ce qui gouverne vraiment un système informatique, ce n’est pas le contrat qu’on signe autour — c’est le code qui tourne dedans. Un contrat, c’est une promesse ; le code, c’est une loi. Et s’il faut empiler autant de promesses autour d’un logiciel, c’est l’aveu qu’il est, par sa propre loi, immaîtrisable. Et ça, ça aurait dû disqualifier Epic dès le départ. Car si je ne peux pas lire le code, je ne peux pas appliquer la loi.
La cantine qui partage mais ne fait pas la vaisselle. Les HUG, à Genève, proposent leur solution (DPI+) en partage. Mais les HUG ne sont pas un fournisseur : ils ne seront jamais « à disposition » du CHUV comme le serait Epic. Partager une recette, ce n’est pas cuisiner à votre place. Si le CHUV veut cette voie, il doit développer, adapter, maintenir — bref, travailler. Travailler, c’est-à-dire engager du personnel : des salaires vaudois, des impôts payés ici, de l’argent dépensé ici, plutôt que des licences qui repartent outre-Atlantique. Et ce travail profiterait à tout le monde, Genève comprise. Mais c’est précisément ce que ni le CHUV ni l’État — le Conseil d’État comme le Grand Conseil — ne veulent faire. Le refus de « faire la vaisselle », ce n’est pas celui des HUG. C’est le nôtre.
T’es marrante, mais ce n’est pas le même périmètre…
Alors soyons clair. Le logiciel du CHUV actuel est une horreur, un monstre de Frankenstein, obsolète et inadapté à beaucoup de métiers du soin. Mais pour un·e patient·e comme pour un·e soignant·e, il y a un outil bien plus important pour des soins de qualité. Ce n’est ni un logiciel, ni un dossier, ni un algorithme. C’est la confiance. Et la confiance, concrètement, c’est le secret médical : savoir que je ne serai pas jugé·e pour ce que je dis à mon médecin, et qu’il s’occupera de moi en respectant mes volontés. Un·e médecin tout à fait ordinaire, avec qui cette confiance existe, soignera mieux que le·la meilleur·e médecin du monde avec qui elle n’existe pas.
Il y a une chose que le fameux périmètre du fast-food numérique ne couvre pas : la confiance. Et ce n’est pas un détail. C’est le cœur des métiers de la santé, son humanité.
Parce que quand on parle sérieusement de souveraineté numérique et de protection des données — surtout des données de santé — ce n’est pas une posture technique ou rhétorique. On parle bien de confiance. Une donnée médicale qui peut, un jour, échapper au canton, ce n’est pas un incident informatique : c’est une promesse rompue entre un·e patient·e, son médecin et le CHUV — la même promesse qui lie le·la citoyen·ne à l’État.
T’es marrante, mais il n’y a pas tant de risques…
Même sans accès aux dossiers complets, un système de ce type apprend. C’est d’ailleurs comme ça qu’on le vend : de meilleurs algorithmes, capables par exemple de repérer les interactions médicamenteuses dangereuses. Sauf qu’un algorithme qui apprend à repérer une interaction apprend aussi à repérer le reste.
Ses algorithmes peuvent apprendre à reconnaître une femme enceinte, une femme qui choisit d’avorter, une personne sous traitement hormonal — mais aussi quelqu’un qui vit avec une maladie chronique, un handicap, un cancer. Bref : tout ce qui, un jour, peut être retourné contre une personne. Et voilà le plus glaçant : mes données à « moi » pourront servir à reconnaître un « autre » — quelqu’un que je ne connais pas, mais qui me ressemble — pour le surveiller, le harceler, le condamner. Pas forcément ici. Pas forcément aujourd’hui.
Voulons-nous vraiment confier ces informations-là, maintenant, à des entreprises soumises au droit d’États qui pourraient, demain, en faire une arme — et où l’accès à l’avortement et aux soins de transition est déjà activement attaqué ? La question n’est pas rhétorique. Pour les femmes, pour les personnes queer, pour les malades chroniques et les personnes handicapées — pour toutes celles et ceux qu’une donnée de santé peut rendre vulnérables — elle est concrète. Et, elle aussi, urgente.
La chaîne est simple, et elle ne pardonne pas :
Pas de souveraineté → pas de protection des données → pas de secret médical.
Un dernier signal, pour la route. Les député·e·s qui comprennent vraiment comment marchent un ordinateur et un réseau — celles et ceux qui ont une formation ou un métier technique — ont voté non, de gauche à droite de l’hémicycle. Quand les gens du métier, par-delà leurs partis, disent non presque d’une seule voix, ça devrait au minimum éveiller les soupçons.
Si on vivait dans un monde où chacun·e savait comment fonctionnent un ordinateur et un réseau, faire le choix de ce logiciel, pour un·e médecin ou pour un hôpital tenu au secret professionnel, ce serait une faute professionnelle grave.
Et vous, ça vous fait rire ?
Ce projet a passé le cap du Grand Conseil. Il reste un recours : le référendum. Et il reste très peu de temps, mais certains, tout comme moi, souhaitent agir.
Cet appel ne s’adresse pas à un camp en particulier. Je le lance à toutes celles et ceux qui ont un jour eu besoin d’un·e médecin, à toutes celles et ceux qui ont un jour soigné, à toutes celles et ceux qui croient encore au secret médical et aux droits fondamentaux — ici et ailleurs. Aux partis, quels qu’ils soient. À toutes les associations que ce choix concerne directement ou non.
- Vous êtes soignant·e, et le secret professionnel est le cœur battant de votre métier ? Vous êtes concerné·e !
- Vous êtes patient·e, et vous tenez à ce que vos échanges restent entre vous et votre médecin ? Vous êtes concerné·e !
- Vous défendez les droits des femmes, des personnes queer, des minorités — de celles et ceux qui paient toujours le prix fort quand les données de santé cessent d’être protégées ? Vous êtes concerné·e !
- Vous vous battez pour la protection des données et la souveraineté numérique ? Vous êtes concerné·e !
- Et si, quel que soit votre parti, vous pensez que le canton de Vaud peut faire mieux que de sous-traiter la confiance de ses patient·e·s ? Vous êtes concerné·e, aussi !
Alors prononcez-vous. Vite. Contactez-moi, ensemble faisons un référendum. Croyez-moi, ça en vaut la peine.
T’es marrante, mais c’est urgent…
L’urgence, elle, est bien réelle : le système actuel est une pétaudière à bout de souffle, et il faut le remplacer. Mais répondre à une vraie urgence avec un corbillard : c’est irréversible, ça ne résout rien. La chance, c’est de reprendre le dossier correctement, dès le début, et d’investir ce qui doit l’être dans une solution souveraine, libre et indépendante — dans des compétences vaudoises qui, elles, ne repartiront pas dans dix ans.
Si ce décret est refusé, ce ne sera pas une catastrophe. Ce sera une chance.
Alors, à celles et ceux qui ont voté oui en disant « on n’a pas le choix, c’est une urgence, il faut bien prendre ce qu’on nous propose, mais la souveraineté et la protection des données, c’est super important ! » : si vous le pensiez vraiment, vous auriez exigé de doubler chaque franc destiné à Epic pour bâtir, en parallèle, l’alternative souveraine, libre et indépendante que nous pourrions maîtriser. Vous ne l’avez pas fait, et vous ne le ferez jamais. Pourquoi ? Pour la même raison qui vous fera revenir, dans dix ans, quand les licences auront dévoré la moitié du budget informatique du CHUV et qu’il faudra de nouveau changer « en urgence » pour un autre choix impossible à soutenir. Parce que vous ne voulez pas apprendre votre leçon.
Refuser ce décret, c’est déclarer, haut et fort, que c’est bon, nous, nous avons appris la leçon. Et ça aussi, c’est urgent.
