Le Conseil d'État approuve l'hébergement du Health Data Hub sur Azure de Microsoft

Le Conseil d'État valide l'hébergement du Health Data Hub sur Azure

Le Conseil d'État, la plus haute juridiction administrative en France, a récemment validé la décision de la Commission nationale de l'informatique et des libertés (CNIL) concernant le traitement des données de santé par le Health Data Hub. Cette validation intervient dans le cadre du projet européen Darwin, malgré la controverse entourant l'hébergement des données sur la plateforme Azure de Microsoft.

Contexte du projet européen Darwin

Le projet Darwin a pour objectif de créer un réseau de collecte d'informations destiné à la recherche, permettant ainsi d'étudier le fonctionnement des médicaments dans des conditions réelles, au-delà des seuls essais cliniques. En France, ce projet concerne environ 10 millions de personnes et a été confié au Health Data Hub, qui stocke les données sur Azure de Microsoft.

Décision de la CNIL et réactions

En février 2025, la CNIL a donné son feu vert pour le traitement des données de santé, malgré les objections soulevées par plusieurs associations et entreprises, dont la Ligue des droits de l'Homme et Clever Cloud. Ces opposants craignent que l'hébergement des données de santé sur une plateforme américaine ne compromette la protection des informations sensibles.

Dans sa décision, le Conseil d'État reconnait qu'il ne peut "être exclu" que les autorités américaines puissent demander l'accès aux données de santé à travers leurs lois. Toutefois, il reprend les arguments de la CNIL, qui a mis en place des garde-fous pour garantir la conformité au RGPD concernant le choix de Microsoft. Parmi ces mesures, on trouve :

• Stockage des données dans des datacenters en France, certifiés pour l'hébergement de données de santé.
• Pseudonymisation des informations pour protéger l'identité des utilisateurs.
• Limitation de la durée du projet à trois ans.

Le Conseil d'État souligne également que, bien qu'il soit possible que des données techniques concernant l'utilisation de la plateforme soient transférées vers des administrateurs de Microsoft aux États-Unis, ces données ne concernent que les connexions des utilisateurs, et non les données de santé elles-mêmes.

Un long parcours semé d'embûches

Cette décision du Conseil d'État représente probablement le dernier chapitre d'une saga qui a débuté en 2019, lorsque le choix de Microsoft pour l'hébergement des données de santé a été critiqué au nom de la souveraineté numérique et de la sensibilité des informations. En 2021, le gouvernement français a tenté de rectifier le tir en réaffirmant sa volonté de garantir une "migration des données des programmes vers un cloud de confiance" dans un délai de 12 mois, comme l'avait mentionné Amélie de Montchalin, alors ministre de la Fonction publique.

Néanmoins, il faudra encore attendre quelques années avant qu'un premier appel d'offres soit lancé, prévu pour juillet 2025, concernant une migration "intercalaire" vers une plateforme de confiance. Plusieurs entreprises, telles qu'Atos, Iliad (Scaleway), La Poste (Docaposte), Orange, OVH et Thales, se sont alors positionnées comme candidats potentiels.

Au début de l'année 2026, le gouvernement a décidé de relancer un appel d'offres pour une migration complète vers une plateforme qualifiée SecNumCloud. Des sociétés comme Cloud Temple et S3NS, en plus des candidats précédemment mentionnés, devraient également soumettre leurs propositions.

Conclusion

En conclusion, la validation par le Conseil d'État de l'hébergement des données de santé sur Azure marque une étape importante dans l'évolution du Health Data Hub. Cette décision soulève néanmoins des inquiétudes persistantes sur la protection des données de santé et l'impact des lois américaines sur la vie privée des citoyens français.