Le Conseil d’État a rejeté un recours en référé contre un projet qui conduira à héberger un important volume de données de santé françaises chez Microsoft, estimant qu’il n’y avait pas d’urgence à statuer.
Ça avance pour le stockage des données de santé par Microsoft
Les requérants — des concurrents potentiels de Microsoft et des ONG — souhaitaient faire suspendre en urgence le feu vert donné par la CNIL, pour trois ans, à un projet d’entrepôt de données de santé destiné à la recherche, qui sera hébergé par Microsoft Irlande. Le Conseil d’État ne se prononce à ce stade que sur le caractère « urgent » de la requête. Il ne jugera le dossier au fond que dans plusieurs mois.
L’entrepôt de données, baptisé EMC2, doit associer les dossiers médicaux non identifiables des patients de quatre grands hôpitaux français avec les données les concernant (remboursements de soins, parcours hospitaliers…) détenues par l’Assurance maladie. Le projet traitera les dossiers d’environ 300 000 à 500 000 patients pris en charge par ces hôpitaux chaque année, et un échantillon témoin d’environ 1,5 million d’autres personnes.
Le projet est géré par le Health Data Hub (plateforme française de données de santé) dans le cadre d’un programme de recherche en pharmaco-vigilance de l’Agence européenne du médicament.
Les données françaises chez un groupe américain
Pour les requérants, l’hébergement de données sensibles chez un opérateur de cloud américain pose d’importants problèmes de sécurité et de souveraineté. Des lois à portée extraterritoriale permettent aux autorités américaines de contraindre les opérateurs américains à leur fournir des données, y compris depuis leurs filiales européennes, pour les besoins d’enquêtes pénales ou des renseignements.
Mais Microsoft n’aura accès qu’à un jeu de données anonymisé et ne sera pas en mesure de remonter à l’identité des personnes, note le Conseil d’État dans la décision rendue aujourd’hui.
Le risque que ces données anonymisées intéressent les autorités américaines ne peut être « totalement écarté » mais reste « hypothétique, au vu des garanties importantes » dont le projet est entouré, juge-t-il, considérant qu’il n’y a pas « d’atteinte grave et immédiate » au respect de la vie privée des personnes. Le juge souligne « l’intérêt public » des études prévues sur « l’efficacité et les risques » d’un important panel de médicaments.
Exemple : un américain fuit les USA pour n’importe quelle raison, et s’il a la moindre pathologie connue, les USA pourraient le retrouver grâce à ces données (taille, poids, divers détails), si il est diabétique et porte des lunettes, ils pourront avec le croisement des données remonter sa trace facilement.
Voilà le genre de cas qui s’applique dans cette situation.
Et quand on y réfléchit correctement, sexe, taille, poids, age, on est déjà vachement moins anonyme tout d’un coup, et si on rajoute n’importe quel détail unique (manque un doigt, boite, etc…) l’anonymisation est inutile.
Exemple : un américain fuit les USA pour n’importe quelle raison, et s’il a la moindre pathologie connue, les USA pourraient le retrouver grâce à ces données (taille, poids, divers détails), si il est diabétique et porte des lunettes, ils pourront avec le croisement des données et les dates remonter sa trace facilement.
Voilà le genre de cas qui s’applique dans cette situation.
Et quand on y réfléchit correctement, genre, taille, poids, age, on est déjà vachement moins anonyme tout d’un coup, et si on rajoute n’importe quel détail unique (manque un doigt, boite, etc.) l’anonymisation est inutile.