Le Conseil d’État approuve l’hébergement du Health Data Hub sur la plateforme Azure de Microsoft

Un pas décisif pour le Health Data Hub

Dans le cadre du projet européen Darwin, la plus haute juridiction administrative française, le Conseil d'État, a validé la décision de la Commission nationale de l'informatique et des libertés (CNIL) autorisant le traitement des données de santé par le Health Data Hub. Cette décision est intervenue malgré les inquiétudes soulevées concernant l'hébergement des données sur la plateforme Azure de Microsoft.

Contexte du projet Darwin

Le programme Darwin a pour objectif de créer un réseau de collecte d'informations destiné aux chercheurs. Ce réseau permettra d'étudier le fonctionnement des médicaments en conditions réelles, et non uniquement dans le cadre d'essais cliniques. En France, ce projet concerne environ 10 millions de personnes et a été confié au Health Data Hub, qui centralise les données de santé des citoyens français.

Décision de la CNIL et validation du Conseil d'État

En février 2025, la CNIL a donné son feu vert au projet, même face aux contestations émanant de plusieurs associations et entreprises, dont la Ligue des droits de l’Homme et Clever Cloud. Le Conseil d'État, dans sa décision, a reconnu qu'il ne pouvait « être exclu » que les autorités américaines demandent un accès aux informations de santé en vertu de leurs lois. Cependant, il a également mis en avant les mesures de protection mises en place par la CNIL pour garantir la conformité avec le Règlement général sur la protection des données (RGPD).

Les garanties de sécurité mises en place

• Stockage local : Les données sont hébergées dans des datacenters situés en France, certifiés pour l’hébergement de données de santé.
• Pseudonymisation des données : Les informations sensibles sont traitées de manière à protéger l'identité des utilisateurs.
• Durée limitée du projet : Le programme est restreint à une durée de trois ans.

Le Conseil d'État a également précisé qu'il est possible que des données techniques d'utilisation de la plateforme soient transférées vers des responsables de Microsoft situés aux États-Unis, mais ces données ne concernent que les connexions des utilisateurs, et non les données de santé elles-mêmes.

Un chemin semé d'embûches

Cette réponse du Conseil d'État marque probablement un tournant dans la saga qui lie le Health Data Hub à Microsoft, une histoire qui a commencé en 2019. Dès le lancement du projet, le choix de Microsoft avait suscité des critiques, notamment en raison des enjeux de souveraineté numérique et de la sensibilité des données de santé.

Pour rectifier le tir, le gouvernement a tenté d'imposer une nouvelle doctrine en 2021, portée par Amélie de Montchalin, alors ministre de la fonction publique. Cette doctrine visait à assurer une migration des données vers un cloud de confiance dans un délai de 12 mois.

Appels d'offres pour une migration vers SecNumCloud

Malgré ces efforts, il a fallu attendre jusqu'à juillet 2025 pour qu'un premier appel d'offres soit lancé en vue d'une migration « intercalaire » vers une solution qualifiée SecNumCloud. Des entreprises telles qu'Atos, Iliad (Scaleway), La Poste (Docaposte), Orange, OVH, et Thales se sont positionnées en tant que candidats.

En début d'année 2026, le gouvernement a pris la décision de relancer un appel d'offres, cette fois pour une migration complète vers une plateforme qualifiée SecNumCloud. Des sociétés comme Cloud Temple ou S3NS devraient également participer à cette nouvelle phase.

Conclusion

La validation par le Conseil d'État de l'hébergement du Health Data Hub sur Azure de Microsoft ouvre la voie à la poursuite d'un projet ambitieux, tout en soulevant des questions cruciales sur la protection des données de santé et la souveraineté numérique. Les prochaines étapes, notamment les appels d'offres à venir, seront déterminantes pour l'avenir du traitement des données de santé en France.