Le Conseil d'État a validé la décision de la Cnil autorisant le traitement des données de santé par le Health Data Hub sur Azure, malgré des préoccupations concernant la souveraineté numérique. Cette décision s'inscrit dans le cadre du projet européen Darwin, visant à collecter des données pour la recherche. Le gouvernement prévoit de migrer vers une plateforme SecNumCloud d'ici 2026.
Dans le contexte du projet européen Darwin, la plus haute juridiction administrative française, le Conseil d'État, a validé la décision de la Cnil (Commission nationale de l'informatique et des libertés) qui autorise le traitement des données de santé par le Health Data Hub, même si ces informations sont hébergées sur la plateforme Azure de Microsoft.
Cette décision intervient alors qu’un appel d'offres a été lancé pour migrer vers une plateforme certifiée SecNumCloud. Bien que l'affaire date de 2025, c'est seulement la semaine dernière que le Conseil d'État a mis un point final à la validation de la Cnil concernant le programme européen Darwin sur les données de santé.
Qu'est-ce que le projet Darwin ?
Le projet Darwin vise à établir un réseau de collecte d'informations pour les chercheurs, afin d'étudier le fonctionnement des médicaments dans des conditions réelles, et pas seulement en essai clinique. En France, ce projet concerne environ 10 millions de personnes et a été confié au Health Data Hub, dont les données sont actuellement hébergées sur Azure, la solution cloud de Microsoft.
Le feu vert de la Cnil malgré les contestations
En février 2025, la Cnil a donné son feu vert pour le projet, malgré les contestations de plusieurs associations et entreprises, dont la Ligue des droits de l’Homme et Clever Cloud. Ces opposants craignent des atteintes à la souveraineté numérique et à la confidentialité des données de santé.
Les préoccupations du Conseil d'État
Dans sa décision, le Conseil d'État a reconnu qu'il ne peut « être exclu » que les autorités américaines puissent demander l'accès à ces informations de santé, conformément à leurs lois. Cependant, la juridiction a repris les arguments de la Cnil concernant les garde-fous mis en place pour assurer la conformité avec le RGPD (Règlement général sur la protection des données) dans le choix de Microsoft. Parmi ces mesures, on trouve :
- Le stockage des informations dans des datacenters situés en France et certifiés pour l'hébergement de données de santé.
- La pseudonymisation des données.
- Une durée du projet limitée à 3 ans.
Le Conseil d'État a également souligné qu'il est possible que certaines données techniques liées à l'usage de la plateforme soient transférées à des administrateurs de Microsoft situés aux États-Unis. Toutefois, ces données ne concernent que les connexions des utilisateurs et non les données de santé.
Une saga qui dure depuis 2019
Cette réponse du Conseil d'État semble marquer un tournant dans la saga qui lie le Health Data Hub à Microsoft, une histoire qui a débuté en 2019. Dès le départ, ce choix a été critiqué pour des raisons liées à la souveraineté numérique et à la protection des données sensibles.
Les efforts du gouvernement pour rectifier le tir
En 2021, le gouvernement a tenté de rectifier le tir avec les déclarations d’Amélie de Montchalin, alors ministre de la fonction publique, qui a plaidé pour une doctrine du cloud de confiance et a imposé une migration des données des programmes dans un délai de 12 mois.
Cependant, il faudra attendre jusqu'à juillet 2025 pour que le premier appel d'offres soit lancé en vue d'une migration « intercalaire ». Plusieurs entreprises, telles qu'Atos, Iliad (Scaleway), La Poste (Docaposte), Orange, OVH, et Thales, se sont positionnées pour ce projet.
Un nouvel appel d'offres en 2026
Au début de l'année 2026, le gouvernement a décidé de relancer un appel d'offres, cette fois-ci pour une migration complète vers une plateforme qualifiée SecNumCloud. Des sociétés comme Cloud Temple ou S3NS se porteront candidates aux côtés des autres entreprises mentionnées précédemment.
Cette décision marque un nouveau chapitre dans le débat sur la gestion des données de santé en France et sur la stratégie de cloud computing du gouvernement.
Pour rester informé des développements liés à cette affaire, n'hésitez pas à vous abonner à notre newsletter, qui compte plus de 50 000 abonnés.
Copyright © LeMondeInformatique.fr 1997-2026. Toute reproduction ou représentation intégrale ou partielle, par quelque procédé que ce soit, des pages publiées sur ce site, faite sans l'autorisation de l'éditeur ou du webmaster de LeMondeInformatique.fr est illicite et constitue une contrefaçon.
Galerie
