Le Conseil d'État approuve l'hébergement du Health Data Hub sur Azure de Microsoft
Dans le cadre du projet européen Darwin, le Conseil d'État, la plus haute juridiction administrative de France, a validé la décision de la Commission nationale de l'informatique et des libertés (CNIL) autorisant le traitement des données de santé par le Health Data Hub, malgré l'hébergement des informations sur la plateforme Azure de Microsoft.
Un contexte juridique complexe
Cette décision, rendue publique à la fin de la semaine dernière, intervient alors qu'un appel d'offres a été lancé pour migrer vers une plateforme SecNumCloud. L'affaire remonte à 2025, mais la question du traitement des données de santé par le Health Data Hub a débuté bien avant, soulevant de nombreuses préoccupations juridiques et éthiques.
Le projet Darwin
Le programme Darwin vise à créer un réseau de collecte d'informations pour les chercheurs, leur permettant d'étudier l'efficacité des médicaments dans des conditions réelles, au-delà des essais cliniques traditionnels. En France, ce projet touche environ 10 millions de personnes et a été confié au Health Data Hub, dont les données sont actuellement hébergées sur les serveurs de Microsoft Azure.
Les réserves soulevées par la CNIL
En février 2025, la CNIL a donné son feu vert au projet, malgré les contestations de plusieurs associations et entreprises, dont la Ligue des droits de l'Homme et Clever Cloud. Dans sa décision, le Conseil d'État reconnaît qu'il ne peut être exclu que les autorités américaines puissent demander un accès aux données de santé en vertu de leurs lois. Cependant, il reprend les arguments de la CNIL concernant les mesures de sécurité mises en place pour garantir la conformité au RGPD lors du choix de Microsoft.
Les garde-fous imposés
- Stockage des informations dans des datacenters situés en France, certifiés pour l'hébergement de données de santé.
- Pseudonymisation des données pour renforcer la protection de la vie privée.
- Durée du projet limitée à 3 ans, avec des évaluations régulières des pratiques de traitement des données.
Le Conseil d'État souligne également que des données techniques relatives à l'utilisation de la plateforme peuvent être transférées vers des administrateurs de Microsoft situés aux États-Unis. Toutefois, il précise que ces données ne concernent que les connexions et ne comprennent pas les données de santé.
Une saga en cours
La décision du Conseil d'État pourrait marquer un tournant dans la saga entourant le lien entre le Health Data Hub et Microsoft, qui a débuté en 2019. Depuis le départ, ce choix a suscité des critiques au nom de la souveraineté numérique et de la sensibilité des données de santé.
Pour tenter de rectifier la situation, le gouvernement a émis des directives en 2021, avec des déclarations de Amélie de Montchalin, alors ministre de la fonction publique, concernant une doctrine de cloud centré sur la confiance, imposant une migration des données des programmes vers un cloud de confiance dans un délai de 12 mois.
Des perspectives d'avenir
Cependant, il faudra attendre plusieurs années avant qu'un premier appel d'offres soit lancé en juillet 2025 pour une migration « intercalaire ». Plusieurs entreprises, telles que Atos, Iliad (Scaleway), La Poste (Docaposte), Orange, OVH, et Thales, s'étaient déjà positionnées comme candidates.
Au début de l'année 2026, le gouvernement a décidé de relancer un nouvel appel d'offres, cette fois pour une migration complète vers une plateforme qualifiée SecNumCloud. Des sociétés comme Cloud Temple et S3NS se porteront également candidates, aux côtés des autres entreprises mentionnées précédemment.
Conclusion
La saga du Health Data Hub et de son hébergement sur Azure continue de susciter des débats intenses autour de la souveraineté numérique et de la sécurité des données de santé. La décision du Conseil d'État, bien que favorable au projet, reste un sujet de préoccupation pour de nombreux acteurs concernés.
