Le Conseil d'État a approuvé l'hébergement du Health Data Hub sur Azure, malgré les préoccupations sur la souveraineté numérique. La décision survient alors qu'un appel d'offres pour une migration vers une plateforme SecNumCloud est prévu. Le projet européen Darwin vise à collecter des données de santé pour la recherche. La relation entre le Health Data Hub et Microsoft continue d'être un sujet de controverse.
Dans le cadre du projet européen Darwin, la plus haute juridiction administrative française, le Conseil d'État, a validé la décision de la Commission nationale de l'informatique et des libertés (CNIL) concernant le traitement des données de santé par le Health Data Hub. Cette décision a été prise alors que le programme en question continue d’héberger des données sur la plateforme Azure de Microsoft.
Un contexte complexe
La validation du Conseil d'État, intervenue la semaine dernière, met un point final à une affaire qui remonte à 2025. À cette époque, la CNIL avait donné son approbation au projet malgré les préoccupations soulevées par plusieurs associations et entreprises, dont la Ligue des droits de l'Homme et Clever Cloud.
Le programme Darwin vise à créer un réseau de collecte d'informations permettant aux chercheurs d'étudier le fonctionnement des médicaments en conditions réelles, et non uniquement en essais cliniques. En France, ce projet concerne environ 10 millions de personnes et a été confié au Health Data Hub.
Les enjeux de la souveraineté numérique
Dans sa décision, le Conseil d'État a reconnu qu'il ne peut « être exclu » que les autorités américaines demandent l'accès aux informations de santé en vertu de leurs lois. Toutefois, la juridiction a repris les arguments de la CNIL concernant les mesures de protection mises en place pour assurer la conformité avec le Règlement général sur la protection des données (RGPD).
- Les données sont stockées dans des datacenters en France, certifiés en tant qu'hébergeurs de données de santé.
- Des processus de pseudonymisation sont appliqués pour protéger la vie privée des utilisateurs.
- La durée du projet est limitée à trois ans.
Le Conseil d'État a également souligné qu'il est possible que certaines données techniques concernant l'utilisation de la plateforme soient transférées vers des administrateurs de Microsoft situés aux États-Unis. Il est à noter que ces données ne concernent que les connexions liées aux utilisateurs et non les données de santé elles-mêmes.
Un parcours semé d'embûches
La réponse du Conseil d'État marque probablement la conclusion d'une saga débutée en 2019 concernant la relation entre le Health Data Hub et Microsoft. Dès le départ, ce choix a été critiqué au nom de la souveraineté numérique et de la sensibilité des données de santé.
Pour tenter de rectifier la situation, le gouvernement français a pris des mesures en 2021, avec des déclarations d'Amélie de Montchalin, alors ministre de la Fonction publique, qui a évoqué une migration des données vers un cloud de confiance dans un délai de 12 mois.
Vers un avenir incertain
Il faudra cependant attendre juillet 2025 pour qu'un premier appel d'offres soit lancé pour une migration « intercalaire ». À cette occasion, plusieurs entreprises ont manifesté leur intérêt, notamment Atos, Iliad (Scaleway), La Poste (Docaposte), Orange, OVH et Thales.
En début d'année 2026, le gouvernement a décidé de relancer un appel d'offres pour une migration complète vers une plateforme qualifiée SecNumCloud. D'autres sociétés, telles que Cloud Temple et S3NS, se positionneront, ainsi que les entreprises mentionnées précédemment.
Conclusion
Le débat autour de l'hébergement des données de santé et de la souveraineté numérique en France est loin d'être clos. Les questions soulevées par cette décision du Conseil d'État continueront d'alimenter les discussions sur la gestion des données sensibles dans un contexte où la confiance du public est essentielle.
Galerie
