Le Conseil d'État approuve l'hébergement du Health Data Hub sur Microsoft Azure

Dans le cadre du projet européen Darwin, la plus haute juridiction administrative française, le Conseil d'État, a récemment validé la décision de la Commission nationale de l'informatique et des libertés (CNIL) concernant le traitement des données de santé par le Health Data Hub. Ce dernier, qui stocke des informations sensibles sur la plateforme Azure de Microsoft, sera donc autorisé à poursuivre ses activités malgré les préoccupations soulevées.

Contexte du projet Darwin

Le projet Darwin vise à créer un réseau de collecte d'informations pour les chercheurs, leur permettant d'étudier l'efficacité des médicaments dans des conditions réelles, au-delà des simples essais cliniques. En France, ce projet touche environ 10 millions de personnes et a été confié au Health Data Hub, qui centralise les données de santé.

Une décision controversée

En février 2025, la CNIL avait donné son feu vert au projet, malgré les objections de plusieurs associations et entreprises, dont la Ligue des droits de l’homme et Clever Cloud. Ces derniers ont exprimé des inquiétudes quant à la sécurité et à la souveraineté des données de santé hébergées par un partenaire américain.

Les arguments du Conseil d'État

Dans sa décision, le Conseil d'État a reconnu qu'il ne pouvait pas exclure la possibilité que les autorités américaines demandent l'accès aux données de santé en vertu de leurs lois. Néanmoins, il a également repris les arguments de la CNIL affirmant que des mesures de protection avaient été mises en place pour garantir la conformité avec le Règlement général sur la protection des données (RGPD). Ces mesures incluent :

• Le stockage des données dans des datacenters en France certifiés pour l'hébergement de données de santé.
• La pseudonymisation des données pour protéger l'identité des utilisateurs.
• Une durée limitée du projet fixée à 3 ans.

Le Conseil d'État a également souligné que seules des données techniques liées à l'utilisation de la plateforme pourraient être transférées vers des administrateurs de Microsoft basés aux États-Unis, et que ces données ne concerneraient pas les informations de santé directement.

Un parcours semé d'embûches

La saga du lien entre le Health Data Hub et Microsoft a débuté en 2019. Dès le départ, le choix d'héberger des données sensibles sur une plateforme américaine a été critiqué, notamment au nom de la souveraineté numérique et de la protection des données de santé.

Pour tenter de remédier à cette situation, le gouvernement français a pris des mesures en 2021, avec des déclarations d'Amélie de Montchalin, alors ministre de la Fonction publique, qui a souligné l'importance d'une migration vers un cloud de confiance. Elle a même annoncé une obligation de migrer les données des programmes dans un délai de 12 mois.

Appels d'offres à venir

Malgré ces intentions, il a fallu attendre juillet 2025 pour qu'un premier appel d'offres soit lancé concernant une migration « intercalaire » vers une nouvelle plateforme. Plusieurs candidats, tels qu'Atos, Iliad (Scaleway), La Poste (Docaposte), Orange, OVH, et Thales, s'étaient positionnés pour ce projet.

Au début de 2026, le gouvernement a décidé de relancer un appel d'offres, cette fois pour une migration complète vers une solution qualifiée SecNumCloud. Des entreprises comme Cloud Temple ou S3NS, ainsi que d'autres candidats précédemment mentionnés, devraient également participer à cette nouvelle phase.

Conclusion

La décision du Conseil d'État marque une étape importante dans le développement du Health Data Hub et soulève des questions essentielles concernant la gestion des données de santé à l'ère numérique. Le débat sur la souveraineté des données et la sécurisation des informations sensibles continuera d'animer les discussions en France et au-delà.