Le Conseil d’État a validé aujourd’hui le projet Darwin qui prévoit le transfert des données de santé de 10 millions de Français vers la Plateforme des données de santé (PDS), hébergée par Microsoft. La décision intervient dans un contexte paradoxal : le gouvernement a déjà annoncé en février vouloir remplacer Microsoft par un opérateur strictement européen d’ici fin 2026.
La haute juridiction a estimé que la validation accordée par la CNIL était conforme au RGPD, donnant tort aux deux associations et à l’entreprise de cloud qui dénonçaient le risque d’accès aux données par les autorités américaines via les législations extraterritoriales américaines. Le Conseil d’État reconnaît lui-même que ce risque « ne peut être totalement exclu », mais juge les garanties offertes suffisantes. La PDS a en effet mis en place la pseudonymisation des données, une durée de conservation limitée à trois ans, un stockage dans des data centers situés en France et l’absence de tout transfert vers les États-Unis.
Les données de santé concernées des Français sont issues de l’Assurance maladie et serviront à des études coordonnées par l’Agence européenne du médicament sur l’incidence et la prévalence de l’utilisation des médicaments dans la population générale. Le périmètre du projet est donc strictement encadré, ce que le Conseil d’État a retenu comme élément favorable dans son appréciation globale du dossier.
Microsoft déjà en sursis malgré la validation juridique
Le recours à Microsoft pour héberger les données de santé des Français suscite une opposition tenace depuis l’origine de la PDS, anciennement connue sous le nom de Health Data Hub. De nombreux experts et spécialistes des données ont régulièrement alerté sur les risques pour la souveraineté et la sécurité numérique, en pointant précisément la vulnérabilité aux législations extraterritoriales américaines que le Conseil d’État lui-même n’a pas pu écarter totalement.
Le gouvernement a tranché en février : le prochain opérateur de la PDS ne pourra pas être soumis à une législation extra-européenne, ce qui exclut de fait l’ensemble des acteurs non européens. Le calendrier fixé vise un transfert complet de la plateforme avant la fin de l’année 2026.
La décision du Conseil d’État valide donc juridiquement une situation que le gouvernement considère politiquement dépassée. Darwin peut techniquement se déployer dans le cadre actuel, mais la page Microsoft est d’ores et déjà en train de se tourner.
Un commentaire pour cet article :