Le Conseil d'État approuve l'hébergement du Health Data Hub sur Azure de Microsoft
Le Conseil d'État valide le Health Data Hub sur Azure
Dans le cadre du projet européen Darwin, la plus haute juridiction administrative française, le Conseil d'État, a validé la décision de la Commission nationale de l'informatique et des libertés (CNIL) autorisant le traitement des données de santé par le Health Data Hub, malgré l'hébergement de ces informations sur la plateforme Azure de Microsoft.
Cette décision intervient alors qu'un appel d'offres a été lancé pour migrer vers une plateforme SecNumCloud. Bien que l'affaire remonte à 2025, c'est seulement à la fin de la semaine dernière que le Conseil d'État a mis un point final sur la validation de la CNIL concernant le programme européen Darwin, qui vise à créer un réseau de collecte d'informations pour les chercheurs afin d'étudier le fonctionnement des médicaments en conditions réelles, et non uniquement en essais cliniques.
Un projet d'envergure
En France, ce projet concerne environ 10 millions de personnes et a été confié au Health Data Hub, dont les données sont actuellement hébergées sur Azure de Microsoft. En février 2025, la CNIL a donné son feu vert à ce projet, malgré les contestations de plusieurs associations et entreprises, dont la Ligue des droits de l'Homme et Clever Cloud.
Les préoccupations soulevées
Dans sa décision, le Conseil d'État a reconnu qu'il ne peut « être exclu » que les autorités américaines puissent demander, à travers leurs lois, un accès aux informations de santé. Toutefois, la juridiction a repris les arguments de la CNIL concernant les garde-fous mis en place pour assurer la conformité au RGPD du choix de Microsoft. Parmi ces mesures, on trouve :
- Le stockage des informations dans des datacenters en France certifiés hébergeurs de données de santé.
- La pseudonymisation des données.
- Une durée de projet limitée à 3 ans.
Le Conseil d'État souligne également qu'« il est possible que des données techniques d'usage de la plateforme soient transférées vers des administrateurs de la société Microsoft situés aux États-Unis ». Cependant, ces données ne concernent que les connexions liées aux utilisateurs et non les données de santé elles-mêmes.
Une saga qui dure depuis 2019
En définitive, la réponse du Conseil d'État représente probablement le dernier épisode de la saga du lien entre le Health Data Hub et Microsoft, qui a commencé en 2019. Dès le départ, ce choix a été critiqué et contesté au nom de la souveraineté numérique et de la sensibilité particulière des données de santé.
Le gouvernement a tenté de rectifier le tir en 2021, avec les déclarations d'Amélie de Montchalin, alors ministre de la fonction publique, qui a évoqué une nouvelle doctrine du cloud au centre et a imposé « une migration des données des programmes dans les 12 mois vers un cloud de confiance ».
Appels d'offres et migrations à venir
Néanmoins, il faudra attendre encore quelques années pour qu'un premier appel d'offres soit lancé en juillet 2025 pour une migration « intercalaire ». Plusieurs candidats se sont alors positionnés, parmi lesquels Atos, Iliad (Scaleway), La Poste (Docaposte), Orange, OVH, et Thales.
Au début de l'année 2026, le gouvernement a décidé de relancer un appel d'offres cette fois-ci pour une migration complète vers une plateforme qualifiée SecNumCloud. Des sociétés telles que Cloud Temple ou S3NS se porteront candidates, aux côtés des autres entreprises mentionnées précédemment.
Conclusion
Cette décision du Conseil d'État soulève des questions importantes concernant la gestion des données de santé et la souveraineté numérique en France. Alors que le projet Darwin avance, il est crucial de garantir la protection des données personnelles tout en permettant l'innovation dans le domaine de la santé.
