Nouveau recours devant le Conseil d'Etat : Hébergement de données de santé chez Microsoft contesté

Nouveau recours devant le Conseil d’Etat contre l’hébergement de données de santé françaises chez Microsoft

Des entreprises et des associations françaises ont déposé un recours devant le Conseil d’Etat contre l’hébergement de données de santé françaises chez Microsoft. Les requérants remettent en question l’autorisation accordée par la CNIL à un projet d’entrepôt de données de santé pour la recherche qui sera hébergé par la société américaine.

Identité des requérants et arguments avancés

Parmi les requérants figurent des entreprises telles que Nexedi, Clever Cloud et Cleyrop, qui sont des concurrents potentiels de Microsoft. Des ONG telles que l’Open Internet Project et l’Institut de la souveraineté numérique ont également participé à ce recours. Les requérants estiment qu’un opérateur de cloud américain ne devrait pas être autorisé à héberger des données aussi sensibles que des données de santé françaises. Ils soulignent des préoccupations en termes de sécurité et de souveraineté.

Projet “EMC2” et implications pour la protection des données de santé

Le projet “EMC2” prévoit d’associer les données des patients de quatre grands hôpitaux français avec des données les concernant détenues par l’Assurance-maladie, dans le cadre d’un programme de recherche en pharmaco-vigilance de l’Agence européenne des médicaments. Les requérants mettent en avant le risque que des données aussi sensibles ne soient pas convenablement protégées en étant hébergées par une entreprise américaine.

Retard dans le lancement de l’appel d’offres pour l’hébergement des données de santé

En 2020, des associations et des professionnels avaient saisi le Conseil d’Etat pour tenter d’empêcher le Health Data Hub d’héberger les données de santé chez Microsoft, et pour demander un appel d’offres en bonne et due forme. Leur procédure avait échoué, mais le gouvernement avait promis qu’un appel d’offres serait lancé dans les années suivantes pour choisir l’hébergeur informatique. Cependant, aucun appel d’offres n’a été lancé à ce jour.

Un recours devant la Cour de justice de l’Union européenne envisagé

Les requérants espèrent, par ailleurs, obtenir que le Conseil d’Etat saisisse la Cour de justice de l’Union européenne sur la validité du nouvel accord transatlantique sur les données, adopté en juillet 2023 par l’UE et les Etats-Unis. Me Soufron a déclaré : « Nous souhaitons obtenir une question préjudicielle » sur ce sujet. Deux accords UE/Etats-Unis sur les transferts de données transatlantiques ont été cassés par la justice européenne ces dernières années, à la suite de recours déposés par le militant autrichien des droits numériques Max Schrems.

Les militants européens craignent pour la souveraineté des données

Les militants européens pour la souveraineté des données pensent que la Cour européenne de justice cassera à nouveau l’accord UE/Etats-Unis, les nouvelles garanties données par les Etats-Unis étant insuffisantes selon eux pour garantir les droits des Européens.