Décision historique du Conseil d'État

Dans le cadre du projet européen Darwin, la plus haute juridiction administrative française, le Conseil d'État, a validé la décision de la Cnil (Commission nationale de l'informatique et des libertés) autorisant le traitement des données de santé par le Health Data Hub. Ce projet, qui a pour but de créer un réseau de collecte d'informations pour les chercheurs, permettra d'étudier le fonctionnement des médicaments en conditions réelles, en dehors des essais cliniques traditionnels.

Contexte et enjeux du projet

Le projet Darwin concerne environ 10 millions de personnes en France et a été confié au Health Data Hub, qui stocke les données sur la plateforme Azure de Microsoft. En février 2025, malgré des contestations de plusieurs organisations, dont la Ligue des droits de l'Homme et Clever Cloud, la Cnil a donné son feu vert pour le traitement des données.

Les préoccupations soulevées

Dans sa décision, le Conseil d'État a reconnu qu'il ne peut « être exclu » que les autorités américaines, en vertu de leurs lois, puissent demander l'accès aux informations de santé. Toutefois, il a également mis en avant les mesures de protection mises en place par la Cnil pour garantir la conformité au RGPD (Règlement général sur la protection des données) dans le choix de Microsoft :

• Stockage des informations dans des datacenters en France certifiés comme hébergeurs de données de santé.
• Pseudonymisation des données.
• Durée du projet limitée à 3 ans.

Le Conseil d'État a également souligné que « il est possible que des données techniques d'usage de la plateforme soient transférées vers des administrateurs de la société Microsoft situés aux États-Unis ». Cependant, ces données ne concernent que les connexions liées aux utilisateurs et non les données de santé elles-mêmes.

Un parcours semé d'embûches

Cette décision du Conseil d'État marque probablement le dernier épisode d'une saga qui a débuté en 2019 concernant la relation entre le Health Data Hub et Microsoft. Dès le départ, ce choix a suscité des critiques liées à la souveraineté numérique et à la sensibilité des données de santé. En 2021, le gouvernement a tenté de rectifier le tir avec les déclarations d'Amélie de Montchalin, alors ministre de la Fonction publique, qui a plaidé pour une migration des données vers un cloud de confiance dans un délai de 12 mois.

Les prochaines étapes

Il faudra néanmoins attendre encore quelques années avant qu'un premier appel d'offres soit lancé en juillet 2025 pour une migration « intercalaire ». Plusieurs candidats se sont déjà manifestés, tels que Atos, Iliad (Scaleway), La Poste (Docaposte), Orange, OVH et Thales. Au début de l'année 2026, le gouvernement a décidé de relancer un appel d'offres, cette fois-ci pour une migration complète vers une plateforme qualifiée SecNumCloud. D'autres entreprises, telles que Cloud Temple ou S3NS, pourraient également se porter candidates.

Conclusion

La validation par le Conseil d'État de l'hébergement du Health Data Hub sur Azure représente une avancée significative dans le cadre de la recherche en santé, tout en soulevant des questions importantes sur la sécurité et la gestion des données sensibles. La vigilance sera de mise pour garantir la protection des données à caractère personnel, tout en permettant aux chercheurs d'accéder à des informations cruciales pour le développement de nouveaux traitements.