HEALTH DATA HUB – La CNIL autorise l’hébergement des données de santé chez Microsoft
Dans une décision du 21 décembre 2023 publiée le 31 janvier 2024, la CNIL a autorisé l’organisme Plateforme des Données de Santé (PDS) à héberger les données issues du Health Data Hub chez Microsoft, dans sa filiale irlandaise nommée Microsoft Ireland Operations Ltd.
En tant que société états-unienne, Microsoft est soumis aux lois extraterritoriales des États-Unis. Celles-ci autorisent notamment les autorités états-uniennes à « adresser à Microsoft des injonctions de communication des données qu’il héberge », ce qui pose « un risque de communication [des données] à des puissances étrangères ». La CNIL considère toutefois que ce risque est « encadré », car « des voies de recours plus effectives » sont prévues depuis l’entrée du Data Privacy Framework[1] en juillet 2023.
« Il n’en reste pas moins que les données stockées par un hébergeur soumis à un droit extra-européen peuvent être exposées à un risque de communication à des puissances étrangères. »
La CNIL précise qu’elle « a toujours demandé aux porteurs de projet, publics et privés, de s’assurer que l’hébergeur des données n’est pas soumis à une législation extra-européenne ».
L’organisme en charge du Health Data Hub a toutefois estimé « qu’aucun prestataire potentiel ne propose d’offres d’hébergement répondant aux exigences techniques et fonctionnelles du GIP PDS pour la mise en œuvre du projet [Health Data Hub] dans un délai compatible avec les impératifs [de] ce dernier » et que « la construction d’une plateforme d’hébergement spécifique pour le projet pourrait retarder la migration de la solution d’hébergement du GIP PDS pour l’ensemble de ses missions ».
L’autorisation est valable pour une durée de trois ans.
Lire :