Le Health Data Hub de nouveau sauvé par le Conseil d'Etat. Saisi le 28 septembre par le collectif SantéNathon, le juge des référés a affirmé qu'aucune "illégalité grave et manifeste" ne peut justifier "à très court terme la suspension" de la plus grande plateforme française de recueil de données de santé, selon une ordonnance rendue mardi.
Créé par la loi santé du 24 juillet 2019 et actif depuis avril dernier, le Health Data Hub est une gigantesque base de données de santé des Français à des fins de recherche. La plateforme centralise plusieurs fichiers de données, qui étaient auparavant éparpillés dans de nombreux organismes comme les hôpitaux publics, les secours ou encore la Sécurité Sociale. Les données liées à l'épidémie de Covid-19 sont également intégrées.
Le transfert potentiel des données vers les Etats-Unis suscite des craintes
Le collectif regroupant 18 associations et personnalités (dont le Syndicat de Médecine Générale et le Conseil National du Logiciel Libre) demandait pour la deuxième fois au Conseil d'Etat de cesser le traitement des données de santé déjà récoltées.
Dans le cadre de ce recours, la Commission nationale informatique et libertés (Cnil) a transmis la semaine dernière au Conseil d'État un mémoire demandant aux acteurs de la santé d'arrêter de confier l'hébergement de leurs données à Microsoft, ou à toute autre société soumise au droit américain.
Le collectif, comme la Cnil, redoute le potentiel transfert des données vers les Etats-Unis. Pour rassurer quant à la légalité de transferts potentiels, le juge des référés avait justifié en juin l'existence du "Privacy Shield". Cet accord autorisait les transferts de données entre l'Union européenne et les Etats-Unis. Mais ce dernier a été annulé au cours de l'été par la Cour de justice européenne, qui considérait le "Privacy Shield" comme contraire au droit européen. Ce texte ayant été annulé, le collectif a donc décidé de retenter sa chance auprès du Conseil d'Etat.
Lire aussi : Que change l'annulation du Privacy Shield, l'accord UE-USA sur les transferts de données ?
Le Health Data est trop important pour être cassé sur la base de craintes théoriques, répond le Conseil d'Etat
Insuffisant pour autant pour obtenir la suspension du Health Data Hub. Actuellement, les données de santé de la plateforme sont hébergées par Microsoft aux Pays-Bas, et devraient prochainement être transférées en France. "La plateforme des données de santé et Microsoft se sont engagés, par contrat, à refuser tout transfert de données de santé en dehors de l'Union européenne", a justifié le Conseil d'Etat, en listant des arguments techniques et juridiques permettant le maintien de Health Data Hub.
Le juge des référés souligne ainsi que les données sont toutes "pseudonymisées" et qu'il existe "un intérêt public important à permettre la poursuite de l'utilisation des données de santé pour les besoins de l'épidémie de covid-19".
Vers un nouvel hébergeur français ou européen quand même ?
Le juge des référés ne pouvant prononcer que "des mesures de très court terme", et afin d'assurer la poursuite du Health Data Hub en cette période d'urgence sanitaire, il appelle la plateforme à de trouver de nouvelles garanties avec Microsoft, sous le contrôle de la Cnil. Ces précautions devraient permettre de déboucher sur une solution pérenne, comme "le choix potentiel d'un nouveau sous-traitant ou le recours à un accord de licence suggéré par la Cnil", liste le Conseil d'Etat.
C'est notamment la piste évoquée à la mi-octobre par le gouvernement, face à la polémique grandissante. Lors d'une audition devant le Sénat, Cédric O, secrétaire d'Etat au numérique a dit vouloir transférer le Health Data Hub vers des "plateformes françaises ou européennes".
En effet, le juge des référés reconnaît à long terme qu'un "risque" subsiste sur le fait que les autorités américaines puissent obtenir le transfert des données de santé, notamment grâce à la législation extra-territoriale du Cloud Act adoptée par l'administration Trump courant 2018.
"Le Conseil d'Etat reconnaît que le Health Data Hub hébergé chez Microsoft ne protège pas les données de santé des Français contre les intrusions du gouvernement américain", s'est félicité dans un communiqué publié mercredi le collectif SantéNathon. "Mais face à l'absence de suspension effective", le collectif souhaite désormais saisir le Conseil d'Etat sur le fond et la Cnil.
Lire aussi : Health Data Hub : 5 questions pour comprendre la polémique de son hébergement par Microsoft
La Macronie durcit sa riposte face au RN (44)
Sujets les + commentés