La polémique autour de l'hébergement des données de santé par Microsoft n'a pas fini d'alimenter la chronique judiciaire. Le dernier épisode en date fait suite à deux récentes délibérations de la CNIL. Dans ces avis, rendus mi-février et publiés en mars, la Commission autorise l'Agence européenne du médicament (EMA) à mettre en œuvre des traitements informatiques sur un jeu composé des données de santé de 10 millions de Français.

La condition d'urgence n'est pas remplie

Les informations en question sont stockées au sein d'un entrepôt de données du Health Data Hub, lui-même hébergé sur Azure, le cloud de Microsoft.

Cette autorisation de traitement a fait l'objet d'une requête en référé auprès du Conseil d’État déposée par plusieurs opposants historiques au projet de stockage chez Microsoft, parmi lesquels Clever Cloud, Nexedi ou le Conseil national du logiciel libre.

Défendue par écrit, puis lors d'une audience le 23 avril dernier, la requête affirme que les modalités de cette collecte ne sont pas définies de façon suffisamment précises pour prévenir tout risque de collecte extraterritoriale permise par les dispositions légales états-uniennes. Les requérants invoquent ainsi une condition d'urgence pour demander la suspension immédiate des traitements autorisés par la CNIL.

Dans sa décision du 25 avril, initialement signalée par l'Informé et disponible ici, le Conseil d’État rejette cette condition d'urgence. La juridiction retient notamment que « s'il ne peut être totalement exclu que les données du traitement autorisé (...) fassent l'objet de demandes d'accès par les autorités des États-Unis (...), ce risque demeure hypothétique en l'état de l'instruction ».

Compte tenu par ailleurs de la certification Hébergeur de données de santé (HDS) dont dispose Microsoft Ireland en tant que maison mère d'Azure en France, elle estime que la condition d'urgence n'est pas remplie, ce qui conduit donc au rejet de la requête en référé.

Un nouveau jugement à venir sur le fond

« En parallèle, une autre requête avait été déposée au fond. Elle mettra évidemment plus de temps à être instruite », nous indique l'un des protagonistes du dossier, déçu que le juge des référés n'ait pas choisi de prévenir les risques.

Les liens entre le Health Data Hub et Microsoft ont déjà été attaqués à plusieurs reprises devant le Conseil d’État suite à l'autorisation accordée par la CNIL début 2024, pour une durée de trois ans.

Les opposants à ce stockage réalisé en France, mais sous pavillon d'une société américaine, ont déjà récusé à plusieurs reprises les arguments repris dans sa dernière décision par le Conseil d’État. Ils font notamment valoir que la certification HDS n'apporte aucune garantie quant à des demandes d'accès émanant d'une autorité extraterritoriale.

La CNIL elle-même a assorti son autorisation initiale, et ces deux nouvelles délibérations, d'un certain nombre de réserves. Dans son avis publié mi-mars, elle note par exemple explicitement « que les données stockées par un hébergeur soumis à un droit extra-européen peuvent être exposées à un risque de communication à des puissances étrangères ».