Le juge des r\u00e9f\u00e9r\u00e9s du Conseil d\u2019Etat a rejet\u00e9 la demande de suspension de la d\u00e9lib\u00e9ration de la CNIL qui autorise la constitution d’un entrep\u00f4t de donn\u00e9es de sant\u00e9 h\u00e9berg\u00e9 par Microsoft dans le cadre de la Plateforme des donn\u00e9es de sant\u00e9 (PDS). Contrairement \u00e0 ce que certains pr\u00e9tendent pour pol\u00e9miquer, il ne s’agit pas d’une question de souverainet\u00e9 num\u00e9rique mais de donn\u00e9es de sant\u00e9 de citoyens fran\u00e7ais potentiellement consultables par les autorit\u00e9s am\u00e9ricaines.<\/p>\n
<\/p>\n
La PDS a fait le choix de recourir aux services de Microsoft Ireland, soci\u00e9t\u00e9 situ\u00e9e dans l\u2019Union europ\u00e9enne, afin d\u2019h\u00e9berger les donn\u00e9es de sant\u00e9 (service AZURE dit de cloud computing). Les donn\u00e9es seront stock\u00e9es dans des centres situ\u00e9s en France. Ces conditions de stockage doivent \u00eatre conformes au code de la sant\u00e9 publique et les donn\u00e9es ne peuvent pas \u00eatre transf\u00e9r\u00e9es en dehors de l\u2019Union europ\u00e9enne, sauf dans des cas tr\u00e8s particuliers (projets de recherche impliquant un acteur extra-europ\u00e9en par exemple).<\/p>\n
Cependant, l\u2019h\u00e9bergeur retenu par la Plateforme appartient \u00e0 un groupe dont la soci\u00e9t\u00e9 m\u00e8re est situ\u00e9e aux \u00c9tats-Unis et est soumise au droit US, ce qui implique la possibilit\u00e9 l\u00e9gale de demandes de communication des donn\u00e9es par l\u2019administration US.<\/p>\n
Plusieurs associations ont donc soutenu que la mise en \u0153uvre du traitement expose les donn\u00e9es de sant\u00e9 de millions de personnes \u00e0 un risque de divulgation \u00e0 des autorit\u00e9s administratives ou judiciaires des Etats-Unis dans la mesure o\u00f9 Microsoft ne serait pas en mesure de s’opposer aux demandes formul\u00e9es par ces autorit\u00e9s dans le cadre de programmes de surveillance US fond\u00e9s sur plusieurs textes dont le “Clarifying Lawful Oversas Use of Data Act” (CLOUD Act). Dans un arr\u00eat du 22 mars 2024, le juge des r\u00e9f\u00e9r\u00e9s du Conseil d\u2019Etat rejette la demande dans la mesure o\u00f9 le risque d’acc\u00e8s de ces autorit\u00e9s \u00e0 ces donn\u00e9es, dans le cas o\u00f9 Microsoft ne s’y opposerait pas, est hypoth\u00e9tique, notamment du fait que les donn\u00e9es seront pseudonymis\u00e9es et non directement identifiantes. En cons\u00e9quence, la d\u00e9lib\u00e9ration attaqu\u00e9e ne peut porter une atteinte grave et imm\u00e9diate au droit au respect de la vie priv\u00e9e de nature \u00e0 caract\u00e9riser une urgence justifiant que la d\u00e9lib\u00e9ration contest\u00e9e soit suspendue.<\/p>\n
La CNIL avait rendu depuis 2019 plusieurs avis sur les projet de loi, d\u00e9cret et arr\u00eat\u00e9 sur l\u2019organisation et la transformation du syst\u00e8me de sant\u00e9 portant cr\u00e9ation de la PDS :<\/p>\n