Alors que la question de l’hébergement du Health Data Hub remonte à la surface, Alan apporte sa contribution sous la forme d’un retour d’expérience : « On lit souvent qu’il faudrait héberger les données en France coûte que coûte. Par transparence, nous avons décidé de faire le point sur notre choix d’héberger les données de nos membres chez le prestataire américain Amazon Web Services », qui est certifié HDS (Hébergement de Données de Santé).

La société explique : « en chiffrant les données hébergées, on empêche que des personnes qui y accèderaient éventuellement de manière non autorisée (y compris l'hébergeur lui-même) puissent en prendre connaissance. Toutes nos données sur AWS sont chiffrées au repos. Ce qui veut dire que même quelqu’un qui aurait accès physiquement aux serveurs […] ne pourrait pas lire les données ». L’entreprise ne donne aucune information supplémentaire sur ce « chiffrement » ni sur l'origine et/ou la détention de la clé.

Alan reconnaît néanmoins que « quand on choisit un hébergeur, il y a aussi un certain nombre de choses qu’on ne peut pas contrôler, comme la transparence dont fait preuve l’hébergeur, les lois de son pays d’origine, ou le contrôle qu’on laisse à l’hébergeur sur ses serveurs et l’accès qu’il y donne à des tiers ».

Au final, la société doit bien reconnaître que, « si, suite à une saisine, un tribunal américain demandait à accéder aux serveurs d’AWS de manière valable et incontestable en droit américain, ils le pourraient. Le fait que nous chiffrions les données nous permet d’ajouter une barrière technique à la lecture dans ces cas. ». 

Elle ajoute : « si nous avions choisi un hébergeur français, le problème serait finalement assez similaire […] Certes, le droit français est un petit peu plus protecteur que le droit américain à ce titre, et il serait plus facile pour nous de nous “battre” devant un tribunal français, en terrain connu, si nous étions prévenus d’un tel cas ».