Le Conseil d'État valide l'hébergement du Health Data Hub dans Azure

Le Conseil d'État, la plus haute juridiction administrative française, a récemment confirmé la décision de la Commission nationale de l'informatique et des libertés (CNIL) qui autorise le traitement des données de santé par le Health Data Hub. Cette décision survient dans le cadre du projet européen Darwin, qui vise à créer un réseau de collecte d'informations pour les chercheurs, permettant d'étudier l'efficacité des médicaments dans des conditions réelles, et non seulement lors des essais cliniques.

Contexte et enjeux

Ce projet, qui touche environ 10 millions de personnes en France, repose sur l'hébergement des données sur la plateforme Azure de Microsoft. Malgré la validation de la CNIL en février 2025, cette décision a suscité des contestations de la part de plusieurs associations et entreprises, dont la Ligue des droits de l'Homme et Clever Cloud.

Les préoccupations soulevées

Dans sa décision, le Conseil d'État a reconnu qu'il est possible que les autorités américaines puissent demander un accès aux informations de santé via leurs lois. Toutefois, il a également souligné les garanties mises en place par la CNIL pour assurer la conformité au Règlement général sur la protection des données (RGPD). Parmi ces mesures, on trouve :

• Le stockage des informations dans des datacenters en France certifiés pour l'hébergement de données de santé.
• La pseudonymisation des données.
• Une durée de projet limitée à 3 ans.

Le Conseil d'État a également précisé que des données techniques sur l'utilisation de la plateforme pourraient être transférées à des administrateurs basés aux États-Unis, mais que ces données concernent uniquement les connexions des utilisateurs et non les données de santé elles-mêmes.

Évolution de la situation

Cette décision du Conseil d'État pourrait marquer la fin d'une saga qui a commencé en 2019, lorsque le choix de Microsoft pour l'hébergement du Health Data Hub a été contesté au nom de la souveraineté numérique et de la sensibilité des données de santé. En 2021, le gouvernement a tenté de rectifier le tir en affirmant la nécessité d'une migration vers un cloud de confiance dans un délai de 12 mois.

Il a fallu attendre juillet 2025 pour qu'un premier appel d'offres soit lancé concernant une migration « intercalaire » vers une autre solution cloud. Plusieurs entreprises, telles qu'Atos, Iliad (Scaleway), La Poste (Docaposte), Orange, OVH, et Thales, s'étaient positionnées pour cet appel d'offres.

Nouveaux développements

En début d'année 2026, le gouvernement a décidé de relancer un nouvel appel d'offres, cette fois-ci pour une migration complète vers une plateforme qualifiée SecNumCloud. Des entreprises telles que Cloud Temple ou S3NS se joindront aux candidats précédemment mentionnés.

Conclusion

En somme, la validation par le Conseil d'État de l'hébergement des données de santé sur Azure revêt une importance capitale dans le cadre de la recherche médicale en France. Toutefois, elle soulève également des interrogations légitimes sur la protection des données personnelles dans un contexte international complexe.

Restez informés des dernières actualités en vous abonnant à notre newsletter !