Le Health Data Hub restera chez Microsoft un certain temps encore. Craignant de possibles transferts de données de santé personnelles vers les États-Unis, le collectif SantéNathon – qui regroupe des associations, des syndicats et des personnalités, notamment le Conseil national du logiciel libre, le Syndicat National des Journalistes, le Syndicat de la médecine générale et le professeur Didier Sicard de l’université Paris Descartes – demandait le mois dernier au juge des référés du Conseil d’État de suspendre en urgence la plateforme. Le magistrat, qui ne relevait pas d’illégalité grave et manifeste qui justifierait la suspension immédiate, autorisait la poursuite de l’hébergement par le géant de Redmond mais sous le contrôle de la Cnil, en attendant une solution alternative permettant « d’éliminer tout risque d’accès aux données personnelles par les autorités américaines. »
La Cnil et le ministre de la santé sont tombés d’accord sur un point : ce transfert ne sera pas possible avant un certain temps. Dans un courrier adressé à la Cnil et révélé par Mediapart, Olivier Véran envisage un délai compris autant que possible entre 12 et 18 mois, aucune solution technique alternative existant à ce jour. La présidente de la Cnil, Marie-Laure Denis, propose de son côté un délai de deux ans tout au plus.
Le ministre chargé du dossier, qui n’est autre que le secrétaire d’Etat au numérique Cédric O, penche pour une solution européenne dans le cadre du projet de cloud souverain Gaia-X porté par l’Allemagne et la France… et dont Microsoft fait partie tout en étant exclu de l’hébergement des données.
En attendant, comme le souhaitait le juge des référés du Conseil d’État, la protection des droits des personnes concernées sur leurs données personnelles serait renforcée. Olivier Véran évoque ainsi un troisième avenant au contrat initial signé avec Microsoft et précisant « que la loi applicable est bien celle du droit de l’Union européenne ou du droit français et que tous les services qui traitent des données de santé le font au sein de l’Union européenne ». Une précision parfaitement inutile pour Mediapart qui rappelle que le contrat doit de toute façon se soumettre à la législation en vigueur.