Dans une décision publiée au Journal Officiel le 31 janvier 2024, la Commission nationale de l'informatique et des libertés (CNIL) a officiellement autorisé Microsoft à héberger les données de santé des Français, le tout géré par Health Data Hub, la plateforme des données de santé (PDS), qui, sous forme de Groupements d'Intérêt Public (GIP), assure un accès uniforme, sécurisé et transparent à ces informations pour améliorer la prise en charge des patients. Pour autant, la décision de la CNIL ne semble pas vraiment aller dans le sens de la préférence nationale au niveau économique.
Concrètement, la CNIL a approuvé la création d'un data center pour les données de santé appelé EMC2, basé sur un traitement automatisé de données personnelles et géré par l'Agence européenne des médicaments. Mais en théorie, les données de santé françaises devraient théoriquement être hébergées chez un fournisseur SecNumCloud qualifié, soit un visa de sécurité délivré par l'ANSSI (Agence Nationale de la Sécurité des Systèmes d'Information) aux acteurs justifiant d'un niveau de protection suffisamment élevé pour gérer des données sensibles. Et en France, la police de la cybersécurité n'a attribué ce label qu'à cinq sociétés : Secure Temple, Oodrive, Outscale, Wordline et OVH, qui sont toutes des sociétés françaises... Pas Microsoft... même si l'entreprise tente, avec Orange et Capgemini, de l'obtenir pour 2025.
Cette décision d'attribuer cet hébergement à Microsoft fait débat. Outre le choix de l'entreprise, l'accord prévoit que ces données de santé soient confiées à l'entreprise de Bill Gates pour trois ans, le temps d'achever la transition du hub de données de santé vers une solution plus locale. La durée du contrat était initialement prévue pour 10 ans. Si la qualité du cloud Azure de Microsoft est incontestable, il faut savoir que les lois américaines portant sur l'international s'appliquent également aux données de santé dans d'autres pays, en l'occurrence la France.
Ceci dit, comme l'indique la CNIL, Microsoft a été sélectionnée par défaut car "après concertation, il n'existerait aucun prestataire français proposant un hébergement répondant aux exigences techniques et fonctionnelles du projet". Sauf qu'apparemment, plusieurs hébergeurs français n'ont même pas été conviées aux discussions avec la CNIL ! Ainsi, ils sont désormais nombreux à demander l'annulation pure et simple de la décision de la CNIL, et exige que la France dispose de son propre écosystème de stockage de données certifiées.
Learn more about your ad choices. Visit megaphone.fm/adchoices