Le Conseil d'État approuve l'hébergement du Health Data Hub sur Azure

Dans une décision récente, le Conseil d'État, la plus haute juridiction administrative française, a approuvé l'autorisation accordée par la Commission nationale de l'informatique et des libertés (Cnil) concernant le traitement des données de santé par le Health Data Hub. Ce dernier, essentiel dans le cadre du projet européen Darwin, héberge ses données sur la plateforme Azure de Microsoft.

Contexte du projet Darwin

Le projet Darwin, lancé en 2025, a pour objectif de créer un réseau de collecte d'informations destiné aux chercheurs. Il vise à étudier le fonctionnement des médicaments en conditions réelles, plutôt que de se limiter aux essais cliniques. En France, ce projet concerne environ 10 millions de personnes et est administré par le Health Data Hub, qui utilise Azure pour l'hébergement de ses données.

Une décision controversée

La validation de la Cnil, intervenue en février 2025, a suscité une vive controverse. Plusieurs associations et entreprises, dont la Ligue des droits de l'Homme et Clever Cloud, ont exprimé leurs inquiétudes concernant la sécurité des données de santé. En réaction, le Conseil d'État a reconnu que, bien que les autorités américaines aient la possibilité d'accéder aux informations de santé en vertu de leurs lois, des mesures de protection ont été mises en place.

Les mesures de protection mises en avant

• Stockage sécurisé : Les données sont conservées dans des datacenters situés en France, certifiés pour l'hébergement de données de santé.
• Pseudonymisation : Les données sont pseudonymisées pour garantir la confidentialité des individus.
• Durée limitée : Le projet est limité à une durée de trois ans, ce qui réduit les risques à long terme.

Le Conseil d'État a souligné que seules des données techniques concernant l'usage de la plateforme pourraient être transférées vers des administrateurs de Microsoft situés aux États-Unis, et que ces données ne concernaient pas les informations de santé.

Un futur incertain pour le Health Data Hub

Cette décision pourrait marquer la fin d'une saga qui a débuté en 2019, lorsque le choix de Microsoft comme hébergeur a été critiqué pour des raisons de souveraineté numérique et de protection des données sensibles. En 2021, le gouvernement a tenté de corriger le tir en faisant déclarer par Amélie de Montchalin, alors ministre de la Fonction publique, que les données des programmes devaient migrer vers un cloud de confiance dans les 12 mois.

Il a toutefois fallu attendre jusqu'en juillet 2025 pour que le gouvernement lance un appel d'offres pour une migration « intercalaire » vers une alternative sécurisée. Plusieurs entreprises, dont Atos, Iliad (Scaleway), La Poste (Docaposte), Orange, OVH et Thales, avaient alors manifesté leur intérêt. Cependant, début 2026, le gouvernement a décidé de relancer un appel d'offres pour une migration complète vers une plateforme qualifiée SecNumCloud.

Les candidats à la migration

Pour cette nouvelle phase, des entreprises comme Cloud Temple et S3NS pourraient se porter candidates, rejoignant ainsi les autres acteurs précédemment cités.

Conclusion

La décision du Conseil d'État de valider l'hébergement du Health Data Hub sur Azure soulève des questions cruciales sur la sécurité des données de santé en France. Alors que le projet Darwin vise à améliorer la recherche médicale, il devra naviguer dans un environnement complexe fait de préoccupations légitimes concernant la protection des données et la souveraineté numérique.

Cette situation souligne l'importance d'un équilibre entre innovation technologique et respect des droits fondamentaux des citoyens.