Expertises des Systèmes d'information - Décembre 2020 - N°463 - Le mensuel du droit de l'informatique et du multimédia - 433

HDS4, ce qui lui permet
proposer ses services Cloud
secteur français de la santé
donc d'héberger les données
santé des citoyens français.

de
au
et
de

Le cas Health Data Hub :
la difficile conciliation
entre certification HDS et
réglementation américaine
L'hébergement de la plateforme
publique Health Data Hub par
un prestataire américain avait,
dès le départ, soulevé de vives
contestations ; il était reproché au
gouvernement français de ne pas
avoir fait appel à un prestataire
français ou du moins européen5
Ces inquiétudes ont été renforcées
par un arrêt de la Cour de justice
de l'Union européenne (CJUE) du
16 juillet 2020, dit « Schrems II » qui
a invalidé le mécanisme du Privacy
Shield, et qui a considéré que
les transferts et le traitement de
données personnelles vers les
Etats-Unis n'était pas conforme
aux dispositions du RGPD.
Par crainte d'un éventuel transfert
des données des citoyens français
hébergés dans le cadre du Health
Data Hub vers les Etats-Unis, des
requérants ont saisi le juge des
référés du Conseil d'Etat d'un
recours en urgence, demandant la
suspension de la plateforme.
Dans son arrêt du 13 octobre 2020,
le juge des référés du Conseil d'Etat
n'a pas relevé d'illégalité «  grave
et manifeste  » justifiant la
suspension de la plateforme,
mais reconnaît qu'un risque
d'une demande d'accès par
les autorités américaines «  ne
peut être écarté  » 6. Microsoft
Corporation est en effet soumis
à la réglementation américaine,
notamment à l'article 702 du
Foreign Intelligence Surveillance
Amendment Act (FISA), mais
également au Cloud Act, deux
textes
qui
permettent
aux
autorités américaines d'accéder
aux données hébergées par des
prestataires américains.

Bien que Microsoft Corporation
ait obtenu la certification HDS,
cette certification ne protège
donc pas les citoyens français
d'un transfert vers les Etats-Unis,
qui pourrait s'opérer sans leur
consentement et même sans qu'ils
en soient informés, dès lors que le
prestataire a accès à leurs données
et donc se trouve en position
d'avoir à répondre à une demande
des autorités américaines. Certes
cette certification apporte des
garanties de sécurité, mais il
s'agit uniquement de garanties
techniques et internes, et ne
permet donc pas de protéger les
données hébergées d'éventuelles
ingérences extérieures.
Face à ce risque réel et reconnu par
le juge français, le Conseil d'Etat a
tout de même relevé que Microsoft
Corporation s'était engagé, par
contrat, à refuser tout transfert de
données de santé en dehors de
l'Union européenne. Cependant,
et en cas de demande émanant des
autorités américaines et fondées
sur des textes de lois, il paraît
difficile d'interdire ce transfert.

de préciser par contrat les mesures
supplémentaires de protection
imposées à Microsoft Corporation,
ce
mécanisme
ne
semble
aujourd'hui pas suffisant. Il
conviendrait, au-delà des engagements contractuels, d'aménager
la plateforme en pratique afin
d'empêcher techniquement tout
accès ou extraction des données
hébergées.
La certification HDS, même
renforcée par un contrat avec
l'hébergeur américain, ne semble
pas être considérée comme une
solution pérenne à ce jour par
le gouvernement français. Le
secrétaire d'Etat du numérique,
Cédric O, a en effet indiqué le
souhait du gouvernement de
confier le Health Data Hub à un
hébergeur européen.
Il reste à espérer que cette décision
encouragera les acteurs français et
européens à développer des offres
concurrentielles qui assureront la
sécurité des données des citoyens
européens.

Alexandra ITEANU
Pour rappel, l'article 6 du code civil
énonce qu'« on ne peut déroger, par
des conventions particulières, aux
lois qui intéressent l'ordre public et
les bonnes mœurs  ». Ce principe
de droit est universel. L'ordre public
prévaut toujours sur le contrat,
expression de la volonté de deux
personnes. L'article 702 du FISA,
visé par l'arrêt du Conseil d'Etat, ou
même le Cloud Act, sont considérés
comme des lois étatiques et d'ordre
public et ne devraient donc pas
pouvoir être détournés ou mis en
échec par un contrat.

En conclusion
La certification HDS obtenue par
une société de droit américain
apparaît
aujourd'hui
comme
insuffisante pour garantir la
protection des données de santé
hébergées. S'il est nécessaire,
comme l'a également indiqué le
juge des référés du Conseil d'Etat
dans son arrêt du 13 octobre 2020,
EXPERTISES Décembre 2020

Avocat à la Cour
ITEANU Sociétés d'avocats

Notes
(1)	 Juge des référé, Conseil d'Etat, Référé n°444937,
13 octobre 2020,
(2)	 Décret 2018-137 du 26 février 2018
(3)	 Le référentiel de certification fait référence aux
normes ISO 27001 «  système de gestion de la
sécurité des systèmes d'information » et ISO
20000 «  système de gestion de la qualité des
services »
(4)	 Numéro de certification HDS 701569
(5)	 Article publié dans la revue Expertises des
Systèmes d'Information n°454- «Health Data Hub
hébergé par Microsoft : et le Cloud Act»?
(6)	 Juge des référé, Conseil d'Etat, Référé n°444937,
13 octobre 2020,

433
Expertises des Systèmes d'information - Décembre 2020 - N°463 - Le mensuel du droit de l'informatique et du multimédia

Table des matières de la publication Expertises des Systèmes d'information - Décembre 2020 - N°463 - Le mensuel du droit de l'informatique et du multimédia
