Health Data Hub, EMC2... Les données de santé des Français prisonnières de Microsoft ?

Le feuilleton de l'hébergement des données de santé par Microsoft continue. Après le Health Data Hub, cette immense base de données stockant les informations de santé des Français, c'est désormais l'entrepôt de données "EMC2" qui fait polémique. Porté par le Health Data Hub pour le compte de l'Agence européenne du médicament, cet entrepôt a pour objectif de permettre des recherches, études et évaluations en pharmaco-épidémiologie. 

L'absence de prestataire justifiait le choix de Microsoft

Comme pour le Health Data Hub, c'est Microsoft Azure qui a été choisi pour stocker EMC2. Ce choix s'inscrit dans un contexte bien particulier : la Commission nationale de l'informatique et des libertés (Cnil) a autorisé la création de cet entrepôt hébergé par un fournisseur américain "faute de prestataire susceptible de répondre actuellement aux besoins exprimés".

A cette occasion, elle a également précisé que "la construction d'une plateforme d'hébergement spécifique" aurait retardé le projet de migration de l'hébergement du Health Data Hub par Azure sur une solution commercialisée par une entreprise française. 

Un risque de transferts de données outre-Atlantique

Saisi par un collectif d'associations et d'entreprises, le Conseil d'Etat a rejeté la requête visant à annuler la délibération de la Cnil. Leur argument repose sur le risque les données de santé soient transférées vers les Etats-Unis et examinées par les autorités américaines, en vertu de la législation extraterritoriale "Le caractère intrusif et extraterritorial des lois de surveillance américaines, comme la section 702 du FISA et le décret n°12333 menacent les données des citoyens européens", écrivaient les requérants. Pour tenter de faire entendre leur position, ces derniers ont décidé de saisir la Cour européenne des droits de l'Homme (CEDH). 

Il est important de préciser que le Conseil d'Etat concède qu'il existe bel et bien un risque que des données personnelles soient transférées vers les Etats-Unis. Cependant, "les seules données susceptibles de faire l'objet d'un transfert vers des administrateurs situés aux Etats-Unis étant des données techniques d'usage de la plateforme".

La pseudonymisation des données "avant toute mise à disposition au sein de l'entrepôt" est un argument supplémentaire avancé par le juge administratif. "Il est de doctrine courante que la pseudonymisation des données n'apporte aucune garantie définitive quant à la protection des données personnelles, encore moins au regard des capacités de traitement des Intelligences Artificielles qui facilitent considérablement la réidentification", a rétorqué Clever Cloud, interrogée par le média Next.Ink. 

Un choix initial aux lourdes conséquences

Ce nouvel épisode montre, une fois de plus, que le choix initial de Microsoft a des conséquences sur l'hébergement des projets actuels et futurs adossés au Health Data Hub. Cette base de données étant le pivot central de la politique française sur le numérique en santé. D'ailleurs, la Cnil le reconnaît elle-même dans sa délibération : le choix du Health Data Hub de "recourir au cloud" dès sa création a conduit "à privilégier des offres d'acteurs étasuniens".

La migration vers une solution française ou européenne pourrait donc peut-être faciliter les choses. Encore faut-il que l'hébergement du Health Data Hub change de mains. C'est en avril 2022 que le gouvernement a annoncé son intention de migrer l'hébergement des données de la base de données vers une solution considérée comme souveraine. Auprès du média spécialisé TICPharma, Stéphanie Combes, la directrice du Health Data Hub, avait déclaré qu'il fallait attendre "horizon 2025" pour que les travaux de migration vers "une solution de cloud souverain" soient mis en oeuvre.

L'Espace européen des données de santé adossé au HDH

Depuis cette prise de position en septembre 2022, les pouvoirs publics n'ont plus pris la parole sur ce sujet. Etant donné l'instabilité politique actuelle, il ne faut certainement pas s'attendre à un revirement de situation dans les prochains mois, voire les prochaines années. Or, rappelons que de nombreux projets sont adossés au Health Data Hub, dont l'Espace européen des données (European Health Data Space, EHDS). La plateforme française a été choisie dans le cadre d'un appel à projets lancé par la Commission européenne pour développer et déployer "un réseau de plateformes sources de données". Mené également par le Health Data Hub, le projet "SHAIPED" a pour objectif, de son côté, de développer des solutions d'intelligence artificielle dans les dispositifs médicaux à partir des données de vie réelles des patients. 

L'hébergement des données de santé pose l'éternelle question de la souveraineté technologique. Le constat est toujours le même : le marché du cloud français et européen est dominé par trois entreprises, Amazon Web Services, Google Cloud et Microsoft Azure. Plusieurs réglementations ont été adoptées - telles que le Data Act - qui ont pour objectif de rétablir une saine concurrence dans ce secteur. Encore faut-il que les Etats donnent l'exemple aux entreprises en recourant à des acteurs nationaux ou européens.