Le Conseil d’Etat a rejeté vendredi un recours en référé contre un projet qui conduira à héberger un important volume de données de santé françaises chez l’américain Microsoft, estimant qu’il n’y avait pas «d’urgence» à statuer.
Les requérants – des concurrents potentiels de Microsoft et des ONG – souhaitaient faire suspendre en urgence le feu vert donné fin décembre par la Cnil (Commission nationale de l’informatique et des libertés), pour trois ans, à un projet d’entrepôt de données de santé destiné à la recherche, qui sera hébergé par Microsoft-Irlande. Le Conseil d’Etat ne se prononce à ce stade que sur le caractère «urgent» de la requête. Il ne jugera le dossier «au fond» que dans plusieurs mois. L’entrepôt de données, baptisé «EMC2», doit associer les dossiers médicaux «pseudonymisés» (non-identifiables) des patients de quatre grands hôpitaux français avec les données les concernant (remboursements de soins, parcours hospitaliers…) détenues par l’Assurance maladie. Le projet traitera les dossiers d’environ 300 à 500.000 patients pris en charge par ces hôpitaux chaque année, et un «échantillon témoin» d’environ 1,5 million d’autres personnes. Le projet est géré par le Health Data Hub (plateforme française de données de santé) dans le cadre d’un programme de recherche en pharmaco-vigilance de l’Agence européenne du médicament. Pour les requérants, l’hébergement de données sensibles chez un opérateur de cloud américain pose d’importants problèmes de sécurité et de souveraineté. Des lois à portée extraterritoriale permettent aux autorités américaines de contraindre les opérateurs américains à leur fournir des données, y compris depuis leurs filiales européennes, pour les besoins d’enquêtes pénales ou des renseignements. Mais Microsoft n’aura accès qu’à un jeu de données anonymisé et ne sera pas en mesure de remonter à l’identité des personnes, note le Conseil d’Etat dans la décision rendue vendredi. Le risque que ces données anonymisées intéressent les autorités américaines ne peut être «totalement écarté» mais reste «hypothétique, au vu des garanties importantes» dont le projet est entouré, juge-t-il, considérant qu’il n’y a pas «d’atteinte grave et immédiate» au respect de la vie privée des personnes. Le juge souligne «l’intérêt public» des études prévues sur «l’efficacité et les risques» d’un important panel de médicaments. Des sociétés requérantes arguaient aussi d’un «préjudice économique». Mais elles ne démontrent pas qu’elles «aurai(ent) été en mesure» de répondre au cahier des charges, et la décision «ne fait nullement obstacle» à ce qu’elles se développent, tranche le Conseil d’Etat, pour qui ce projet n’est susceptible d’avoir qu’un impact «indirect et limité» sur leur activité. «Cette décision est surprenante, dans la mesure où elle relativise fortement le risque» pour les données personnelles, alors que «si elles font l’objet d’un accès par le gouvernement américain, cela aura un caractère irréversible», a affirmé l’avocat des requérants, Me Jean-Baptiste Soufron.
«Mais le dossier continue au fond», a-t-il ajouté, rappelant qu’il demande aussi au Conseil d’Etat de saisir la Cour de justice européenne sur la validité du nouvel accord transatlantique sur les données, adopté en juillet 2023 par l’UE et les Etats-Unis.
