Le Conseil d'État valide l'hébergement du Health Data Hub sur Microsoft Azure

Le Conseil d'État, la plus haute juridiction administrative en France, a récemment validé la décision de la Cnil (Commission nationale de l'informatique et des libertés) autorisant le traitement des données de santé par le Health Data Hub, malgré les préoccupations liées à l'hébergement de ces données sur la plateforme Azure de Microsoft.

Contexte du projet européen Darwin

Cette validation intervient dans le cadre du projet européen Darwin, qui vise à créer un réseau de collecte d'informations destiné aux chercheurs pour étudier les effets des médicaments dans des conditions réelles, et non uniquement lors des essais cliniques. Le projet concerne environ 10 millions de personnes en France et est géré par le Health Data Hub.

Les préoccupations soulevées

En février 2025, la Cnil a donné son feu vert au projet, malgré les nombreuses contestations émanant d'associations et d'entreprises, y compris la Ligue des droits de l’Homme et Clever Cloud. Le Conseil d'État a reconnu dans sa décision qu'il ne peut « être exclu » que les autorités américaines puissent demander un accès aux informations de santé en vertu de leurs lois.

Les garanties mises en place

Cependant, la juridiction a également souligné les différentes garanties mises en place par la Cnil pour assurer la conformité avec le RGPD (Règlement général sur la protection des données). Ces mesures comprennent :

• Le stockage des informations dans des datacenters situés en France, certifiés pour l'hébergement de données de santé.
• La pseudonymisation des données.
• Une durée de projet limitée à 3 ans.

Le Conseil d'État a également noté que « il est possible que des données techniques d’usage de la plateforme soient transférées vers des administrateurs de la société Microsoft situés aux États-Unis ». Cependant, ces données ne concernent que les connexions liées aux utilisateurs et non les données de santé elles-mêmes.

Un parcours semé d'embûches

La réponse du Conseil d'État marque probablement la conclusion d'une longue saga entre le Health Data Hub et Microsoft, qui a débuté en 2019. Dès le départ, ce choix a été critiqué au nom de la souveraineté numérique et de la sensibilité des données de santé. En 2021, le gouvernement a tenté de redresser la situation avec les déclarations d’Amélie de Montchalin, alors ministre de la fonction publique, qui a plaidé pour une migration des données vers un cloud de confiance dans un délai de 12 mois.

Appels d'offres pour la migration

Il a fallu attendre jusqu'en juillet 2025 pour qu'un premier appel d'offres soit lancé pour une migration « intercalaire ». Plusieurs entreprises, comme Atos, Iliad (Scaleway), La Poste (Docaposte), Orange, OVH, et Thales, s'étaient positionnées pour répondre à cet appel d'offres.

En début d'année 2026, le gouvernement a décidé de relancer un nouvel appel d'offres, cette fois-ci pour une migration complète vers une plateforme qualifiée SecNumCloud. Des sociétés telles que Cloud Temple ou S3NS ont également manifesté leur volonté de participer, aux côtés des autres entreprises précédemment citées.

Conclusion

Les décisions récentes du Conseil d'État soulignent l'importance de la sécurité des données de santé et le besoin de garantir que ces informations sensibles soient traitées de manière conforme aux réglementations en vigueur. Alors que le débat sur la souveraineté numérique se poursuit, le projet Health Data Hub reste un enjeu crucial pour l'avenir de la recherche médicale en France.

Pour plus d’informations, abonnez-vous à notre newsletter et restez informé des dernières actualités dans le domaine de l’informatique et de l’innovation.