Le Conseil d'État autorise l'hébergement des données de santé sur Azure dans le cadre du projet européen Darwin

Validation par le Conseil d'État du Health Data Hub sur Azure

Dans le cadre du projet européen Darwin, la plus haute juridiction administrative française, le Conseil d'État, a validé la décision de la Cnil (Commission Nationale de l'Informatique et des Libertés) permettant le traitement des données de santé par le Health Data Hub, hébergé sur la plateforme Azure de Microsoft. Cette décision intervient alors qu'un appel d'offres a été lancé pour migrer vers une solution de cloud SecNumCloud.

Contexte et historique de l'affaire

La question de l'hébergement des données de santé sur Azure a débuté en 2025, mais c'est seulement à la fin de la semaine dernière que le Conseil d'État a mis un terme à cette saga en validant la décision de la Cnil sur le programme européen Darwin. Ce dernier vise à créer un réseau de collecte d'informations pour les chercheurs, leur permettant d'étudier le fonctionnement des médicaments dans des conditions réelles, et non uniquement lors des essais cliniques.

Impact du projet en France

En France, ce projet concerne environ 10 millions de personnes et a été confié au Health Data Hub, dont les données sont actuellement hébergées sur Azure de Microsoft. En février 2025, la Cnil a donné son accord pour ce traitement des données, malgré les contestations de plusieurs associations et entreprises, notamment la ligue des droits de l'Homme et Clever Cloud.

Arguments du Conseil d'État

Dans sa décision, le Conseil d'État a reconnu qu'il ne peut « être exclu » que les autorités américaines puissent, à travers leurs lois, demander un accès aux informations de santé hébergées sur Azure. Toutefois, la juridiction a repris les arguments avancés par la Cnil concernant les garde-fous mis en place pour garantir la conformité au RGPD (Règlement Général sur la Protection des Données) du choix de Microsoft :

Article connexe Impact du Conflit au Moyen-Orient sur le Plus Grand Rassemblement de Requins Baleines au Monde

• Stockage des informations dans des datacenters situés en France, certifiés pour l'hébergement de données de santé.
• Pseudonymisation des données.
• Durée du projet limitée à 3 ans.

Le Conseil d'État a également souligné qu'il est « possible que des données techniques d'usage de la plateforme soient transférées vers des administrateurs de Microsoft situés aux États-Unis ». Ces données, toutefois, ne concernent que les connexions liées aux utilisateurs et ne portent pas sur les données de santé elles-mêmes.

Perspectives et futurs appels d'offres

Cette réponse du Conseil d'État marque probablement le dernier épisode d'une longue saga concernant le lien entre le Health Data Hub et Microsoft, qui a débuté en 2019. Dès le départ, ce choix a été critiqué au nom de la souveraineté numérique et de la sensibilité particulière des données de santé.

En 2021, le gouvernement a tenté de rectifier le tir avec les déclarations d'Amélie de Montchalin, alors ministre de la fonction publique, qui a insisté sur la nécessité d'adopter une doctrine du cloud au centre et d'imposer « une migration des données des programmes dans les 12 mois vers un cloud de confiance ».

Article connexe Une molécule anti-âge pourrait paradoxalement stimuler le cancer, selon des découvertes scientifiques

Il faudra néanmoins attendre jusqu'en juillet 2025 pour qu'un premier appel d'offres soit lancé concernant une migration « intercalaire ». Plusieurs candidats se sont alors manifestés, parmi lesquels Atos, Iliad (Scaleway), La Poste (Docaposte), Orange, OVH, et Thales.

En début d'année 2026, le gouvernement a décidé de relancer un appel d'offres pour une migration complète vers une plateforme qualifiée SecNumCloud. Des sociétés comme Cloud Temple et S3NS se porteront candidates, aux côtés des autres entreprises citées précédemment.

Conclusion

La validation du Conseil d'État représente une étape clé dans l'évolution du Health Data Hub et de son interaction avec les technologies cloud. La question de la protection des données de santé et de la souveraineté numérique reste néanmoins cruciale, et les futures décisions gouvernementales seront suivies avec attention par les parties prenantes.