Des entreprises, mais également des associations contestent la décision de la CNIL approuvant l’hébergement des données de santé par Microsoft.
L'hébergement des données de santé dans le cloud Azure de Microsoft pour un programme européen, baptisé EMC2, a été validé par la CNIL début 2024 pour une durée de trois ans. Cette décision a poussé onze acteurs, parmi lesquels Clever Cloud, Nexedi, Rapid.Space, Cleyrop, l'Open Internet Project, et Bernard Benhamou de l'Institut de la Souveraineté numérique, à contester cette approbation devant le Conseil d'État qui doit se prononcer ce mardi 19 mars 2024.
Cette initiative judiciaire vise à remettre en question la décision de la CNIL et à mettre en lumière les implications à long terme de l'utilisation du cloud Azure de Microsoft pour la recherche pharmaco-épidémiologique. Quentin Adam, à la tête de Clever Cloud, souligne l'importance de cette action en la présentant comme une étape cruciale vers la mise en place d'une structure européenne des données de santé pour l'Agence européenne du médicament. Mais qu'est-il reproché au juste, à la CNIL ?
Comment la CNIL justifie son choix de l'américain Microsoft aux dépens de clouds souverains
Déjà bien connu du Conseil d'État pour un précédent ayant amené plusieurs organisations à émettre « un doute légitime sur la légalité de l’attribution du marché public d’hébergement des données de santé publique (de Health Data Hub) à Microsoft Azure », le Health Data Hub est une plateforme de données de santé en France. Il a été créé dans le cadre de la stratégie nationale de santé numérique pour faciliter l'accès aux données de santé à des fins de recherche et d'innovation tout en garantissant la protection des données personnelles. Son objectif est de centraliser et de mettre à disposition des données de santé de qualité pour les acteurs du secteur de la santé, tels que les chercheurs, les entreprises pharmaceutiques, les professionnels de santé, etc. Le Health Data Hub vise à favoriser le développement de nouvelles applications et de solutions innovantes dans le domaine de la santé tout en respectant les normes de sécurité et de confidentialité des données.
Dans sa décision, la CNIL a souligné que les alternatives offertes par d'autres fournisseurs de stockage en ligne ne satisfaisaient pas pleinement aux exigences. Elle a également mentionné que la création d'une nouvelle plateforme pour héberger EMC2 serait non seulement plus chronophage et onéreuse, mais risquerait également de compromettre les relations avec l'Autorité européenne du médicament, à l'origine de ce projet.
La sécurité et confidentialité des données françaises sur le sol américain sont remises en question
Bien que la candidature de Microsoft soit techniquement plus adaptée, des préoccupations d'ordre juridique sont soulevées. Étant une entreprise américaine, Microsoft est soumise au droit américain, ce qui soulève des inquiétudes quant à la confidentialité des données de santé françaises.
Les critiques soulignent le risque que cela représente en matière d'accès aux données par les services de renseignement américains. Les entreprises françaises du secteur et les autorités expriment également leurs préoccupations, regrettant le manque de considération pour les solutions alternatives françaises ou européennes et soulignant les risques potentiels de sécurité liés à cette décision.
Par ailleurs, et c'est probablement le plus cocasse, la CNIL elle-même s'était inquiétée de cet hébergement, en février 2024, quant au choix de Microsoft : « les autorités états-uniennes sont susceptibles d’adresser à Microsoft des injonctions de communication des données qu’il héberge », avait alerté le gendarme français de la régulation.
Enfin, le choix de Microsoft est considéré comme une opportunité manquée de promouvoir le développement du secteur sur le continent via des solutions locales. Malgré l'approbation donnée de la CNIL à Microsoft pour héberger EMC2 pendant trois ans, il est souligné que ce délai devrait être mis à profit pour développer une alternative européenne respectant les normes de confidentialité des données.
21 novembre 2024 à 08h53
Source : Le Monde Informatique
