Le Conseil d'État approuve l'hébergement du Health Data Hub sur la plateforme Azure de Microsoft

Le Conseil d'État valide l'hébergement du Health Data Hub

Dans le cadre du projet européen Darwin, le Conseil d'État, la plus haute juridiction administrative française, a récemment validé la décision de la CNIL (Commission nationale de l'informatique et des libertés) qui autorise le traitement des données de santé par le Health Data Hub, malgré l'hébergement des informations sur la plateforme Azure de Microsoft.

Contexte et enjeux du projet Darwin

Ce projet, qui vise à créer un réseau de collecte d’informations pour les chercheurs, a pour objectif d'étudier le fonctionnement des médicaments dans des conditions réelles, et non uniquement dans le cadre des essais cliniques. En France, ce programme concerne environ 10 millions de personnes et a été confié au Health Data Hub, dont les données sont stockées sur Azure.

La décision de la CNIL et ses implications

En février 2025, la CNIL a donné son feu vert au projet, malgré les contestations émanant de plusieurs associations et entreprises, y compris la Ligue des droits de l’Homme et Clever Cloud. Dans sa décision, le Conseil d'État a reconnu qu'il ne pouvait pas “exclure” la possibilité que les autorités américaines puissent demander un accès aux informations de santé en vertu de leurs lois.

Les garanties apportées par la CNIL

Cependant, le Conseil d'État a repris les arguments de la CNIL concernant les mesures de protection mises en place pour assurer la conformité avec le RGPD (Règlement général sur la protection des données). Ces garanties incluent :

• Le stockage des données dans des datacenters en France certifiés pour l'hébergement de données de santé.
• La pseudonymisation des données pour protéger l'identité des utilisateurs.
• Une durée de projet limitée à 3 ans.

Il est également précisé que des données techniques d'utilisation de la plateforme pourraient être transférées vers des administrateurs de Microsoft situés aux États-Unis, mais celles-ci ne concernent que les connexions liées aux utilisateurs, et non les données de santé elles-mêmes.

Un chapitre de la saga Health Data Hub et Microsoft

Cette décision du Conseil d'État pourrait marquer la fin d'une longue saga concernant le lien entre le Health Data Hub et Microsoft, qui a débuté en 2019. Dès le départ, le choix de Microsoft a été contesté, notamment au nom de la souveraineté numérique et de la sensibilité des données de santé.

Les efforts du gouvernement français

Pour répondre aux critiques, le gouvernement français a tenté de rectifier le tir en 2021 avec des déclarations d’Amélie de Montchalin, alors ministre de la fonction publique, sur la doctrine du cloud. Elle avait insisté sur la nécessité d'imposer “une migration des données des programmes dans les 12 mois vers un cloud de confiance”.

Les perspectives d'avenir

Il faudra toutefois attendre encore quelques années avant qu'un premier appel d'offres soit lancé. Prévu pour juillet 2025, cet appel portera sur une migration “intercalaire”. Plusieurs entreprises telles qu'Atos, Iliad (Scaleway), La Poste (Docaposte), Orange, OVH et Thales se sont déjà positionnées comme candidats.

En début d'année 2026, le gouvernement a décidé de relancer un appel d'offres, cette fois-ci pour une migration complète vers une plateforme qualifiée SecNumCloud. Des entreprises comme Cloud Temple ou S3NS, ainsi que d'autres précédemment mentionnées, devraient également se porter candidates.

Conclusion

En somme, la décision du Conseil d'État représente une étape significative dans le parcours du Health Data Hub, qui illustre les défis de la gestion des données de santé à l'ère numérique. La question de la sécurité et de la souveraineté des données de santé demeure un sujet essentiel qui nécessite une vigilance continue.