Le Conseil d'État approuve l'hébergement du Health Data Hub sur la plateforme Azure de Microsoft

Dans le cadre du projet européen Darwin, la plus haute juridiction administrative française, le Conseil d'État, a récemment validé la décision de la Cnil (Commission nationale de l'informatique et des libertés) autorisant le traitement des données de santé par le Health Data Hub, malgré l'hébergement de ces informations sur la plateforme Azure de Microsoft.

Un contexte de migration vers des infrastructures sécurisées

Cette décision intervient à un moment crucial, alors qu'un appel d'offres a été lancé pour migrer le traitement des données vers une plateforme certifiée SecNumCloud. Bien que l'affaire remonte à 2025, c'est seulement à la fin de la semaine dernière que le Conseil d'État a mis un point final sur la validation de la Cnil concernant le programme Darwin sur les données de santé.

Le projet Darwin : une initiative d'envergure

Le projet Darwin vise à créer un réseau de collecte d'informations pour les chercheurs, leur permettant d'étudier l'efficacité des médicaments en conditions réelles, en dehors des essais cliniques habituels. En France, ce projet concerne environ 10 millions de personnes et a été confié au Health Data Hub, dont les données sont actuellement hébergées sur Azure de Microsoft.

Décision de la Cnil et contestations

En février 2025, la Cnil a donné son feu vert pour le traitement des données de santé, malgré des contestations émanant de plusieurs associations et entreprises, notamment la Ligue des droits de l’homme et Clever Cloud. Dans sa décision, le Conseil d'État a reconnu qu'il ne peut « être exclu » que les autorités américaines demandent, via leurs lois, un accès aux informations de santé.

Les garanties de conformité au RGPD

Cependant, la juridiction a repris les arguments de la Cnil concernant les mesures mises en place pour garantir la conformité au RGPD dans le choix de Microsoft. Ces mesures incluent :

• Stockage des informations dans des datacenters en France certifiés pour l'hébergement de données de santé.
• Pseudonymisation des données.
• Durée limitée du projet à 3 ans.

Le Conseil d'État a également souligné qu'il est possible que certaines données techniques concernant l'utilisation de la plateforme soient transférées à des administrateurs de Microsoft situés aux États-Unis. Toutefois, il est précisé que ces données ne concernent que les connexions liées aux utilisateurs et non les données de santé elles-mêmes.

Une saga entamée en 2019

En définitive, cette décision du Conseil d'État représente probablement le dernier chapitre de la saga concernant le lien entre le Health Data Hub et Microsoft, qui a débuté en 2019. Dès le départ, ce choix d'hébergement a été critiqué et contesté au nom de la souveraineté numérique et de la sensibilité particulière des données de santé.

Les efforts du gouvernement pour une migration vers le cloud de confiance

Le gouvernement a tenté de rectifier le tir en 2021 avec les déclarations d'Amélie de Montchalin, alors ministre de la Fonction publique, qui a évoqué la nécessité d'une migration des données vers un cloud de confiance dans un délai de 12 mois.

Cependant, il faudra encore attendre quelques années avant qu'un premier appel d'offres ne soit lancé en juillet 2025 pour une migration « intercalaire ». Plusieurs entreprises, dont Atos, Iliad (Scaleway), La Poste (Docaposte), Orange, OVH, et Thales, se sont positionnées comme candidats potentiels.

Un nouvel appel d'offres en 2026

Début 2026, le gouvernement a pris la décision de relancer un appel d'offres, cette fois-ci pour une migration complète vers une plateforme qualifiée SecNumCloud. Des sociétés comme Cloud Temple ou S3NS se porteront également candidates, en plus des entreprises mentionnées précédemment.

Cette évolution témoigne des défis et des enjeux liés à la gestion des données de santé en France, dans un contexte où la protection de la vie privée et la souveraineté numérique sont au cœur des préoccupations.