Le Conseil d'État approuve l'hébergement du Health Data Hub sur Azure de Microsoft

Dans le contexte du projet européen Darwin, la plus haute juridiction administrative de France, le Conseil d'État, a récemment approuvé la décision de la CNIL (Commission nationale de l'informatique et des libertés) concernant le traitement des données de santé par le Health Data Hub, malgré l'hébergement des informations sur la plateforme Azure de Microsoft.

Contexte de la décision

Cette décision a été rendue alors qu'un appel d'offres a été lancé pour migrer les données vers une plateforme certifiée SecNumCloud. Bien que l'affaire remonte à 2025, c'est seulement la semaine dernière que le Conseil d'État a mis un point final à la validation de la CNIL concernant le programme européen Darwin, qui vise à créer un réseau de collecte d'informations pour les chercheurs. Ce réseau permet d'étudier le fonctionnement des médicaments dans des conditions réelles, et non uniquement lors d'essais cliniques.

Le projet en France

En France, ce projet touche environ 10 millions de personnes et a été confié au Health Data Hub, dont les données sont actuellement hébergées sur la plateforme Azure de Microsoft. En février 2025, la CNIL avait donné son feu vert au projet, malgré les contestations de plusieurs associations et entreprises, dont la Ligue des droits de l'Homme et Clever Cloud.

Le point de vue du Conseil d'État

Dans sa décision, le Conseil d'État a reconnu qu'il ne pouvait pas « être exclu » que les autorités américaines puissent demander un accès aux informations de santé en vertu de leurs lois. Cependant, il a également pris en compte les arguments de la CNIL concernant les garanties mises en place pour assurer la conformité au RGPD (Règlement général sur la protection des données) dans le choix de Microsoft. Parmi ces garanties figurent :

• Le stockage des données dans des datacenters situés en France et certifiés pour l'hébergement de données de santé,
• La pseudonymisation des données,
• Une durée de projet limitée à 3 ans.

Le Conseil d'État souligne également qu'il est possible que des données techniques concernant l'utilisation de la plateforme soient transférées vers des administrateurs de Microsoft situés aux États-Unis. Cependant, ces données ne concerneraient que les connexions liées aux utilisateurs, et non les données de santé elles-mêmes.

Une saga juridique depuis 2019

En définitive, la réponse du Conseil d'État représente probablement le dernier rebondissement dans la saga du lien entre le Health Data Hub et Microsoft, qui a débuté en 2019. Dès le départ, ce choix a été vivement critiqué et contesté au nom de la souveraineté numérique et de la sensibilité particulière des données de santé. Pour tenter de corriger cette situation, le gouvernement a agi en 2021, notamment par les déclarations d'Amélie de Montchalin, alors ministre de la Fonction publique, concernant la doctrine du cloud et l'imposition d'une migration des données vers un cloud de confiance dans un délai de 12 mois.

Appels d'offres futurs

Il faudra néanmoins attendre quelques années avant qu'un premier appel d'offres ne soit lancé en juillet 2025 pour une migration intercalaire. Plusieurs candidats se sont alors manifestés, parmi lesquels Atos, Iliad (Scaleway), La Poste (Docaposte), Orange, OVH, et Thales. Cependant, au début de l'année 2026, le gouvernement a décidé de relancer un appel d'offres, cette fois-ci pour une migration complète vers une plateforme qualifiée SecNumCloud. Des entreprises comme Cloud Temple ou S3NS se porteront candidates, en plus des autres déjà citées.

Conclusion

La saga du Health Data Hub et de son hébergement sur Azure continue de susciter des débats importants sur la gestion des données de santé en France et sur les choix technologiques du gouvernement.