Auditionné par des sénateurs français le 8 octobre 2020, Cédric O, le Secrétaire d’Etat au Numérique, a déclaré vouloir confier à un acteur européen, voire français, l’hébergement du Health Data Hub (HDH), une base qui contient les données de santé des 67 millions de Français. L’invalidation cet été du Privacy Shield par la Cour de justice européenne rebat les cartes sur le dossier.
« Nous travaillons avec Olivier Véran, après le coup de tonnerre de l’annulation du Privacy Shield, au transfert du Health Data Hub sur des plateformes françaises ou européennes », a déclaré le 8 octobre 2020 Cédric O, Secrétaire d’Etat au Numérique lors de son audition par des sénateurs. « Nous aurons sur ce sujet des discussions avec nos partenaires allemands ».
Intervenant à la rentrée lors de l’Université d’été de Hexatrust, le Secrétaire d’Etat au Numérique avait déjà évoqué avec nous le lancement prochain d’un appel d’offres sur l’hébergement de cette plateforme pour permettre à des acteurs européens de se positionner.
Microsoft avait remporté le premier appel d’offres pour le HDH
Pourtant, le Gouvernement français avait déjà choisi Microsoft un an plus tôt pour l’hébergement du Health Data Hub (HDH), une base qui contient les données de santé des 67 millions de Français. Une décision prise de l’urgence et qui n’avait rien de définitive selon Cédric O. Pourtant, Microsoft avait remporté, semble-t-il, le premier appel d’offres lancé en 2019 par l’Ugap, la centrale d’achat du secteur public. Rappelons d’ailleurs que l’ASIP Santé lui a décerné en 2019 l’agrément Hébergeur des Données de Santé (HDS), comme à tous les Gafam d’ailleurs (AWS, Google, Microsoft, etc.). Et si un nouvel appel d’offres est lancé, peut-on empêcher légalement Microsoft et les autres Gafam d’y participer, voire de le remporter ?
La CNIL monte aussi au créneau
Suite aux déclarations du Gouvernement, la Commission Nationale Indépendante des Libertés (CNIL), demande aussi en octobre 2020 aux acteurs concernés par le stockage des données de santé dans le HDH de cesser “dans un délai aussi bref que possible” de les confier à Microsoft. La CNIL invoque de possibles divulgations des données non compatibles avec l’application de la RGPD, surtout depuis l’annulation cet été de l’accord Privacy Shield.
La requête adressée et validée par la CNIL dépasse le seul dossier HDH. Elle concerne tous les services Cloud vendus par les Gafam, qui sont soumis aux lois américaines comme les Cloud et Patriot acts, même si ceux-ci stockent leurs données en France ou en Europe.
Levée de boucliers
La requête de la CNIL répond aux opposants au Health Data Hub, dont le collectif SantéNathon, qui regroupe des professionnels de la santé, des syndicats et des acteurs du logiciel libre (Conseil national du logiciel libre). Les plaignants ont aussi demandé au Conseil d’État d’annuler un décret publié le 21 avril dernier prévoyant l’intégration au fichier du HDH des données liées à la Covid-19. Après un premier rejet de procédure fin septembre, les requérants ont soumis un référé. Une audience s’est tenue jeudi 8 octobre et la décision est attendue dans les semaines à venir.
