Le Conseil d'État approuve l'hébergement du Health Data Hub sur Azure

Le Conseil d'État et le Health Data Hub : un tournant décisif

Dans le cadre du projet européen Darwin, qui vise à améliorer la recherche sur les médicaments en conditions réelles, le Conseil d'État, la plus haute juridiction administrative en France, a récemment validé la décision de la Commission nationale de l'informatique et des libertés (CNIL). Cette décision autorise le traitement des données de santé via le Health Data Hub, malgré l'hébergement de ces informations sur Azure, la plateforme cloud de Microsoft.

Contexte de la décision

Cette validation intervient à un moment où un appel d'offres a été lancé pour migrer vers une plateforme certifiée SecNumCloud. Bien que l'affaire remonte à 2025, le Conseil d'État a mis un terme à ce dossier en fin de semaine dernière, en confirmant la légitimité de la CNIL quant à la mise en œuvre du programme Darwin pour le traitement des données de santé.

Le projet européen Darwin

Le projet Darwin a pour objectif de créer un réseau de collecte d'informations destiné aux chercheurs, permettant d'étudier le fonctionnement des médicaments au-delà des essais cliniques. En France, ce projet touche environ 10 millions de personnes et est géré par le Health Data Hub, dont les données sont actuellement stockées sur les serveurs d'Azure.

Controverses et critiques

En février 2025, la CNIL avait donné son feu vert au projet, malgré les objections formulées par plusieurs associations et entreprises, y compris la Ligue des Droits de l'Homme et Clever Cloud. Dans sa décision, le Conseil d'État a reconnu qu'il ne pouvait pas « être exclu » que les autorités américaines puissent accéder aux données de santé par le biais de leur législation.

Article connexe Le One Health Summit à Lyon : Découvrez le programme riche de cette 9e édition

Mesures de sécurité mises en place

Cependant, le Conseil d'État a également souligné les mesures de protection mises en œuvre par la CNIL pour garantir la conformité avec le Règlement général sur la protection des données (RGPD). Parmi ces mesures, on trouve :

• Le stockage des données dans des datacenters en France, certifiés pour l'hébergement de données de santé.
• La pseudonymisation des données pour protéger l'identité des utilisateurs.
• Une durée de projet limitée à trois ans.

De plus, le Conseil d'État a précisé que seules des données techniques concernant l'utilisation de la plateforme pourraient être transférées à des administrateurs basés aux États-Unis, et non les données de santé elles-mêmes.

Un chemin semé d'embûches

Cette réponse du Conseil d'État marque probablement la fin d'une saga qui a débuté en 2019, lorsque le choix d'Azure pour l'hébergement des données de santé a été largement critiqué en raison des enjeux de souveraineté numérique et de la sensibilité des données personnelles. En 2021, le gouvernement a tenté de rectifier la situation avec des déclarations d'Amélie de Montchalin, alors ministre de la Fonction publique, qui prônait une migration vers un cloud de confiance dans un délai d'un an pour les données des programmes.

Article connexe One Health Summit à Lyon : Un programme riche en perspectives pour la santé mondiale

Appels d'offres pour une migration future

Un premier appel d'offres a été prévu pour juillet 2025 en vue d'une migration intermédiaire vers une nouvelle plateforme. Plusieurs acteurs, tels qu'Atos, Iliad (Scaleway), La Poste (Docaposte), Orange, OVH et Thales, se sont positionnés pour participer. Cependant, début 2026, le gouvernement a annoncé un nouvel appel d'offres pour une migration complète vers une solution qualifiée SecNumCloud, où des entreprises comme Cloud Temple et S3NS devraient également se porter candidates.

Conclusion

Bien que le Conseil d'État ait validé l'hébergement des données de santé sur Azure, le débat sur la sécurité des informations sensibles et la souveraineté numérique continue d'alimenter les discussions en France. La prochaine étape sera cruciale pour garantir un avenir sécurisé et conforme aux standards européens.