Le gouvernement et la CNIL désirent que les données du Health Data Hub soient vers des plateformes françaises ou européennes. Cette gigantesque base permet de réunir les données de santé des Français est actuellement hébergées sur des serveurs du géant américain Microsoft. Un appel d’offres est attendu pour élire le nouvel acteur en charge de ces données.

La CNIL et le gouvernement veulent rapatrier les données du Health Data Hub vers des plateformes françaises ou européennes

Le Health Data Hub est sujet à de fortes controverses. Il est actuellement stocké sur les serveurs du géant de l’informatique américain Microsoft, à défaut d’acteur français ou européen disponible. Toutefois, au mois de juillet dernier, la Cour de justice européenne avait invalidé l’accord « Privacy Shield », un processus permettant le transfert de données de citoyens européens vers les États-Unis. Microsoft et 5 000 autres entreprises américaines se basaient sur cet accord pour transférer des données vers leurs plateformes hors Europe.

La CNIL a donc fait parvenir au Conseil d’État un mémoire invitant les parties liés au Health Data Hub ainsi qu’à ceux soumis « au droit étasunien » à ne plus laisser Microsoft recueillir leurs données « dans un délai aussi bref que possible ».

De son côté, le gouvernement a exprimé sa volonté de confier ces données à des acteurs français ou européens. « Nous travaillons avec Olivier Véran [ndlr : le ministre de la Santé], après le coup de tonnerre de l’annulation du Privacy Shield, au transfert du Health Data Hub sur des plates-formes françaises ou européennes. Nous aurons sur ce sujet des discussions avec nos partenaires allemands », a fait savoir le secrétaire d’État au numérique Cédric O le jeudi 8 octobre.

En l’attente d’un appel d’offres pour l’hébergement du Health Data Hub

Le Conseil d’État fait également l’examen d’une seconde requête contestant l’état actuel des choses. La décision de la Cour de justice européenne a en effet permis à un collectif de 18 organisations comprenant notamment le Conseil national du logiciel libre, le Syndicat national des journalistes, et le Syndicat de la médecine générale de transmettre à nouveau à au Conseil d’État leur demande concernant le stockage des données du Health Data Hub. Le 21 septembre dernier, le collectif avait essuyé un rejet de leurs doléances. Une décision devrait donc être rendue dans le courant de la semaine prochaine.

Ainsi, les acteurs liés à cette base de données attendent un appel d’offres du gouvernement pour trouver un nouveau responsable en charge du Health Data Hub. En juin dernier, Cédric O avait estimé « normal » qu’un appel d’offre concernant l’hébergement de ces données à des acteurs européens soit publié « dans les mois qui viennent ».

Une plateforme de centralisation des données de santé ouverte aux chercheurs

Le but du Health Data Hub est de donner l’accès aux vastes bases de données de santé des Français à des chercheurs de la santé sélectionnés grâce à un système centralisé. Il inclut d’une part les données de santé publiques du Système national des données de santé (SNDS) et d’autre part des « données de pharmacie », de « prise en charge en ville telles que des diagnostics ou des données déclaratives de symptômes issues d’applications mobiles de santé et d’outils de télésuivi, télésurveillance ou télémédecine », de services d’urgence ainsi que du système de suivi des victimes (SI-VIC) en cas de catastrophes sanitaires, mis en place après le 13 novembre 2015.

À savoir que les données relatives à la pandémie de Covid-19 sont également stockées sur le Heath Data Hub au sein de deux fichiers créés pour la crise sanitaire. Ces données servent notamment au traçage du SARS-CoV-2 et comprend les données de laboratoire et de Contact Covid.

De nombreux professionnels et experts jugent qu’il est potentiellement dangereux de laisser de telles données sensibles à Microsoft. L’entreprise est notamment soumise au « Cloud act » qui peut contraindre dans certaines situations les hébergeurs américains à transmettre des données aux autorités, même si ces dernières se trouvent sur des serveurs étrangers.