Expertises des Systèmes d'information - Octobre 2020 - N°461 - Le mensuel du droit de l'informatique et du multimédia - 350

D

O

C

T

R

I

N

E

DONNÉES PERSONNELLES

Health Data Hub et
souveraineté des données

le Conseil d'Etat recentre le débat
La décision du Conseil d'Etat du 19 juin 2020 a
rappelé que le Health Data Hub a tenté d'arbitrer
au mieux entre ses différents objectifs, dans le
respect du cadre juridique existant.

L

es modalités de l'hébergement du Health Data Hub
n'en finissent pas de susciter
une importante polémique.
Le dernier acte en date résulte du
rejet par le Conseil d'Etat du recours
visant l'arrêté du ministre chargé
de la Santé autorisant l'hébergement des données de la COVID-19
sur l'infrastructure du Health Data
Hub(1). Statuant en la forme des
référés, la haute juridiction a ainsi
confirmé la licéité de l'hébergement
du Health Data Hub par une filiale
d'une société américaine, via une
infrastructure occasionnant des
transferts de données en dehors de
l'Union européenne. Néanmoins, à
la lumière de la décision Schrems II,
la portée de cette décision semble
d'ores et déjà être remise en cause.

De la polémique médiatique à
la décision du Conseil d'Etat
L'affaire a pour origine l'attribution
à la société Microsoft, filiale de
la société américaine Microsoft
Inc., de l'hébergement du Health
Data Hub (plateforme des données
de santé, qui reprend le Système
national des données de santé2).
Cette décision a suscité une
importante polémique, au regard
de l'opposition frontale tant de
certaines associations de professionnels de santé, de défenseurs
du logiciel libre3 que d'hébergeurs
français ou  européens concurrents4. Il s'agit principalement de
défendre le principe à la mode
de «  souveraineté  » des données,
notamment dans un contexte

350

de haute sensibilité des données
médicales5. Incidemment, le fait que
le Health Data Hub ait eu recours,
comme de nombreuses personnes
publiques, à une offre proposée via
une centrale d'achat, mécanisme
parfaitement licite d'achat public
mais parfois mal compris du grand
public, a contribué à envenimer
le débat. Celui-ci a été ravivé
lorsqu'un arrêté du ministre chargé
de la Santé6 a confié au Health Data
Hub le soin d'héberger les données
de santé liées à la pandémie de la
COVID-19, arrêté sur lequel la Cnil
a rendu un avis préalable assorti de
certaines réserves7.
Le gouvernement a dû s'expliquer
devant le Sénat et le Health Data
Hub devant de nombreux médias8.
L'argument majeur avancé en faveur
du choix de la société Microsoft
est celui de la qualité technique de
son offre par rapport aux autres
sociétés envisagées, à l'époque du
lancement du Health Data Hub, du
calendrier contraint prévu pour le
Health Data Hub et des garanties de
réversibilité qui seraient prévues par
le marché, permettant un basculement vers une offre tierce - telle
que le fameux «  cloud souverain  »,
lorsque celui-ci sera opérationnel.
Un recours a néanmoins été déposé
par différents acteurs de défense du
logiciel libre ou représentant des
professionnels de santé, devant le
juge des référés du Conseil d'Etat.
Il se fonde sur les atteintes graves
et manifestement illégales que
feraient courir à la vie privée et à
EXPERTISES Octobre 2020

la protection des données l'arrêté
confiant l'hébergement au Health
Data Hub - et donc, à Microsoft -
des données de la COVID-19. Les
requérants s'appuient fortement
sur les éléments relevés par la Cnil
dans son avis, notamment relatifs
à la minimisation des données et
les modalités d'information des
personnes. Toutefois, la question
majeure posée par ce référé est celle
de la souveraineté des données, et
partant, de leur localisation.
Au-delà des aspects éminemment
politiques de ce débat, et sans
prétendre résoudre la complexe
question de savoir si l'enjeu est
effectivement de défendre la
souveraineté des données ou de
l'instrumentaliser pour écarter
d'un marché très concurrentiel
les acteurs étrangers, il apparaît
essentiel de faire le point sur l'état
du droit en la matière.
Les éléments critiqués par le
référé-liberté de ce point de vue
sont de deux ordres. En premier
lieu, est-il licite qu'une société
héberge des données de santé en
dehors de l'Union  européenne ou
via une infrastructure impliquant
des accès depuis un pays situé en
dehors de l'Union  européenne
(accès qui constituent intrinsèquement des transferts de
données à caractère personnel hors
Union européenne) ? En second lieu,
quand bien même l'hébergement
s'effectuerait uniquement dans
l'Union  européenne, est-il licite
Expertises des Systèmes d'information - Octobre 2020 - N°461 - Le mensuel du droit de l'informatique et du multimédia

Table des matières de la publication Expertises des Systèmes d'information - Octobre 2020 - N°461 - Le mensuel du droit de l'informatique et du multimédia
