Le Conseil d’État enjoint le Health Data Hub à prendre des précautions “en attendant une solution pérenne”

Dans une décision rendue publique ce 14 octobre 2020, le Conseil d’État admet l’existence d’un risque de voir les données personnelles du Health Data Hub transférées aux États-Unis si les services de renseignement américains venaient à en demander l’accès mais il  estime que ce risque “ne justifie pas, à très court terme, la suspension de la plateforme”. C’est ce que demandait le collectif SantéNathon dans son troisième référé. Le Health Data Hub a en effet signé, le 15 avril 2020, un contrat avec une filiale irlandaise de Microsoft pour l’hébergement des données et l’utilisation de logiciels nécessaires à leur traitement, données hébergées aux Pays-Bas dans le cadre de ce contrat. Les deux partenaires se sont engagés à refuser tout transfert de données de santé en dehors de l’Union européenne. Et un arrêté ministériel pris le 9 octobre 2020 l’a interdit.

Le Conseil d’État explique qu'”une violation du règlement général sur la protection des données (RGPD) demeure dans un tel cas hypothétique, car elle supposerait que Microsoft ne soit pas en mesure de s’opposer à une éventuelle demande des autorités américaines. Les données de santé sont, par ailleurs, pseudonymisées avant leur hébergement et leur traitement par la plateforme. Enfin, il existe un intérêt public important à permettre la poursuite de l’utilisation des données de santé pour les besoins de l’épidémie de COVID-19 grâce aux moyens techniques dont dispose la plateforme”.

“Nouveau sous-traitant, accord de licence…”

En revanche, le Conseil d’État estime que l’existence de ce risque “impose de prendre des précautions particulières”, “dans l’attente d’une solution pérenne” et “compte tenu du fait que le juge des référés ne peut prononcer que des mesures de très court terme”. Il est donc demandé dans un premier temps au Health Data Hub de “continuer, sous le contrôle de la Commission nationale de l’informatique et des libertés (CNIL), à travailler avec Microsoft pour renforcer la protection des droits des personnes concernées sur leurs données personnelles”. Puis de trouver “une solution qui permettra d’éliminer tout risque d’accès aux données personnelles par les autorités américaines, comme annoncé par le secrétaire d’État au numérique Cédric O le jour même de l’audience au conseil d’État”, le 8 octobre : “choix potentiel d’un nouveau sous-traitant, recours à un accord de licence suggéré par la CNIL…”.

Le collectif SantéNathon a salué le 14 octobre “une victoire” mais annonce d’ores et déjà qu’il saisira le Conseil d’État sur le fond “afin de prendre des mesures qui puissent dépasser le ‘très court terme'”.