Le Conseil d'État approuve l'hébergement du Health Data Hub sur Azure de Microsoft

Le Conseil d'État donne son feu vert au Health Data Hub

Dans le cadre du projet européen Darwin, la plus haute juridiction administrative française, le Conseil d'État, a validé la décision de la CNIL (Commission nationale de l'informatique et des libertés) autorisant le traitement des données de santé par le Health Data Hub, hébergé sur la plateforme Azure de Microsoft. Cette décision intervient alors qu'un appel d'offres a été lancé pour migrer vers une solution SecNumCloud.

Contexte et historique du projet

Le dossier remonte à 2025, mais c'est seulement la semaine dernière que le Conseil d'État a officialisé la validation du programme européen Darwin, dédié à la collecte et à l'analyse des données de santé. Ce programme a pour but de créer un réseau permettant aux chercheurs d'étudier l'efficacité des médicaments dans des conditions réelles, et non uniquement lors d'essais cliniques. En France, ce projet, qui concerne environ 10 millions de personnes, a été confié au Health Data Hub, dont les données sont hébergées sur Azure.

Retour sur l’Assemblée générale du projet européen HealthData@EU Pilot ...

Le Health Data Hub Quitte Azure : 5 Actus Clés en Data

Validation de la CNIL et critiques externes

En février 2025, la CNIL a donné son feu vert au projet, malgré les réticences exprimées par plusieurs associations et entreprises, telles que la Ligue des droits de l'Homme et Clever Cloud. Dans sa décision, le Conseil d'État a reconnu qu’il ne pouvait pas "être exclu" que les autorités américaines demandent, par le biais de leurs lois, un accès aux informations de santé.

Article Connexe Gitex Future Health Africa : Le Maroc à la pointe de l'innovation pour renforcer sa souveraineté sanitaire

Garantie de conformité au RGPD

Néanmoins, la juridiction a repris les arguments de la CNIL concernant les garanties mises en place pour assurer la conformité au RGPD (Règlement général sur la protection des données) dans le choix de Microsoft. Ces garanties incluent :

• Stockage des informations dans des datacenters en France certifiés pour l'hébergement de données de santé,
• Pseudonymisation des données,
• Durée du projet limitée à 3 ans.

Le Conseil d'État souligne également qu'il est "possible" que des données techniques liées à l'utilisation de la plateforme soient transférées vers des administrateurs de Microsoft situés aux États-Unis. Cependant, ces données ne concernent que les connexions des utilisateurs et non les données de santé elles-mêmes.

Article Connexe Hantavirus : Aucune restriction de transport selon le ministre des Transports

Perspectives d'avenir et migrations prévues

Cette décision du Conseil d'État marque probablement une étape importante dans la saga du lien entre le Health Data Hub et Microsoft, qui a commencé en 2019. Depuis le début, ce choix a suscité des critiques au nom de la souveraineté numérique et de la sensibilité des données de santé. En 2021, le gouvernement français a tenté d'apporter des clarifications avec les déclarations d'Amélie de Montchalin, alors ministre de la Fonction publique, sur la doctrine du cloud. Elle a proposé une "migration des données des programmes dans les 12 mois vers un cloud de confiance".

Il faudra cependant encore quelques années avant que le premier appel d'offres soit lancé, prévu pour juillet 2025, concernant une migration "intercalaire". Plusieurs entreprises, telles qu'Atos, Iliad (Scaleway), La Poste (Docaposte), Orange, OVH et Thales, se sont déjà positionnées comme candidates.

Article Connexe Un sanctuaire rare en République du Congo protège les bébés bonobos des menaces de braconnage

Début 2026, le gouvernement a décidé de relancer un appel d'offres pour une migration complète vers une plateforme qualifiée SecNumCloud. Des sociétés telles que Cloud Temple ou S3NS envisagent de soumettre leur candidature, en plus des autres entreprises mentionnées.

Conclusion

La validation du Conseil d'État concernant le Health Data Hub constitue une avancée significative dans la gestion des données de santé en France, mais elle soulève également des questions sur la sécurité et la confidentialité des données, ainsi que sur la souveraineté numérique. Le débat sur l'hébergement des données sensibles et la nécessité d'un cadre réglementaire solide est loin d'être clos.