Le Health Data Hub retire temporairement sa demande d’autorisation à la CNIL

Le Health Data Hub est une plateforme de données de santé (PDS) française, créée par un arrêté du 29 novembre 2019. Il s’agit d’un groupement d’intérêt public (GIP), permettant un partenariat public-privé pour une mission d’intérêt public, en l’occurrence faciliter le partage des données de santé pour la recherche.

Ce GIP succède à l’Institut des données de santé (INDS), et doit à terme héberger la base principale du Système national de données de santé (SNDS) – qui agrège les bases issues des différents services publics, Assurance Maladie et hôpitaux en tête –, ainsi que diverses autres bases de données de santé, issues du public comme du privé.

Cet hébergement doit faire l’objet d’une demande d’autorisation auprès de la CNIL. Or, ce 7 janvier 2022, Stéphanie Combes, directrice du Health Data Hub, a annoncé que la plateforme avait retiré « temporairement sa demande d’autorisation, dans l’attente de la finalisation de l’instruction par la CNIL de l’arrêté définissant la composition de ces bases ». Cette information a été confirmée par la CNIL.

Cet arrêté devait originellement être publié fin 2021, mais il a été repoussé, probablement à cause de l’identité de l’hébergeur du Health Data Hub. Le gouvernement avait en effet au départ choisi Microsoft Azure, au motif que ce dernier était le seul à disposer des capacités technologiques pour une telle infrastructure.

Le choix de confier à un GAFAM l’hébergement de données aussi sensibles a été très critiqué par les défenseurs de la vie privée, en particulier après l’invalidation du Privacy Shield.

Certes, le Conseil d’État avait validé ce choix, en vertu d’un avenant obligeant Azure à obtenir l’aval de la plateforme pour tout transfert de données « en dehors de la zone géographique spécifiée ». Mais, en novembre 2020, le gouvernement a tout de même décidé de changer d’hébergeur : le ministre de la santé Olivier Véran indiquait à l’époque vouloir trouver « une nouvelle solution technique » dans un « délai qui soit autant que possible compris entre 12 et 18 mois ».

De toute évidence, cette solution n’a pas encore été trouvée. Bloquant de fait l’ensemble du processus de validation officielle du Health Data Hub. En attendant, la plateforme continue de partager les données dont elle dispose déjà à une quarantaine de projets de recherche.