Le Conseil d’État confirme l’hébergement des données du Health Data Hub chez Microsoft

Le 13 novembre 2024, le Conseil d’État a rejeté le recours de l’association InterHop, soutenue par plusieurs organisations, contre l’hébergement des données de santé du Health Data Hub par Microsoft. Les requérants dénonçaient une violation potentielle du règlement général sur la protection des données (RGPD), en raison des risques liés à l’accès aux données par des autorités américaines, conformément au Cloud Act.

Dans sa décision, le Conseil d’État a estimé que, bien que critiquable, la décision d’adéquation prise par la Commission européenne concernant le cadre de protection des données UE-États-Unis offre une base légale suffisante. En conséquence, il a jugé inutile de saisir la Cour de justice de l’Union européenne (CJUE) pour une question préjudicielle sur la compatibilité de ce cadre avec les exigences du RGPD. Le Conseil souligne par ailleurs que la modification du contrat d’hébergement relève de la compétence du groupement d’intérêt public (GIP) gestionnaire et non du ministère de la Santé.

Le même jour, un recours similaire concernant le traitement EMC2, également hébergé par Microsoft, a été rejeté pour des raisons de forme : les requérants n’ont pas démontré leur intérêt à agir.

Ces décisions soulèvent des questions cruciales sur la souveraineté numérique et la dépendance aux géants technologiques américains, dans un contexte où la sensibilité des données de santé est au cœur des débats publics. Elles rappellent également la difficulté pour les associations et citoyens de contester des décisions basées sur des accords internationaux complexes.