L'abonnement à l'Informé est à usage individuel
Un autre appareil utilise actuellement votre compte
Continuer la lectureNos données de santé hébergées par Microsoft ? Le gouvernement de nouveau attaqué devant le Conseil d’État
L’association Interhop dénonce le cadre réglementaire du système national des données de santé (SNDS) devant la plus haute juridiction administrative.
C’est ce mercredi que le Conseil d’État a entendu les conclusions du rapporteur public dans un dossier sensible. Interhop, une association qui promeut l’utilisation des logiciels libres pour la santé, a demandé en effet l’annulation d’un décret relatif au système national des données de santé (SNDS). Ce méga traitement regroupe notamment les données provenant de l’Assurance Maladie et des hôpitaux. Son objectif est de « favoriser les études, recherches ou évaluations présentant un caractère d’intérêt public ». Le règlement général sur la protection des données personnelles en main, le collectif Interhop considère pourtant que le compte n’y est pas, au point d’attaquer le SNDS au Conseil d’État. L’Informé vous explique ce bras de fer engagé avec le ministère de la Santé.
Pour bien comprendre cette série aux multiples rebondissements, il faut remonter à 2020. Durant l’année de crise sanitaire, le gouvernement avait hérité de pouvoirs spécifiques issus de la loi d’urgence du 23 mars 2020. Afin de lutter contre cette catastrophe, la nouvelle rédaction de l’article L. 3131-16 du Code de la santé publique lui donnait les mains libres pour prescrire « toute mesure réglementaire relative à l’organisation et au fonctionnement du dispositif de santé ». Un mois plus tard, le 21 avril 2020, un arrêté autorisait la collecte des données de santé centralisée au sein d’une plateforme hébergée par Microsoft Azure, le Health Data Hub.
Un arrêté publié malgré les fortes réserves émises la veille par la Commission Nationale de l’Informatique et des Libertés (CNIL) dans son avis rédigé en un temps très court. Ses inquiétudes portaient sur le risque d’un transfert international de données de santé de millions de Français. Et pour cause, soulignait l’autorité, « les dispositions contractuelles de sous-traitance conclues entre la Plateforme des données de santé et le prestataire chargé de l’hébergement des données, stipulent que les données traitées peuvent être transférées vers les États-Unis pour y être stockées et traitées, ainsi que dans tout autre pays dans lequel le sous-traitant ou ses sous-traitants ultérieurs sont implantés ». Le ministère de la Santé s’était bien engagé « à ce que la Plateforme des données de santé exige de son hébergeur que les données au repos soient hébergées au sein de l’Union européenne », mais ce stockage européen ne concernait pas certaines opérations, comme les opérations de maintenance ou de résolution d’incident.
Pas avare en critiques, la commission exigeait « des mesures juridiques et techniques adaptées (…) afin d’assurer un haut niveau de protection des données », tout en s’étonnant que la liste des catégories de données susceptibles d’être transmises au SNDS soit trop générique. Par exemple, il n’était « fait mention ni de la profondeur historique des données, ni de leur nature exacte, notamment au regard de l’intérêt que peut présenter leur analyse dans le cadre de l’épidémie de COVID-19 ».
Dans la foulée, plusieurs associations, dont Interhop, avaient réclamé la suspension du texte gouvernemental devant le Conseil d’État. Dans son ordonnance du 19 juin 2020, le juge administratif statuant en référé n’a pas donné suite à ces vœux mais il a tout de même enjoint le SNDS d’aiguiser l’information des citoyens sur ces possibles transferts hors UE. Il a relevé que les données hébergées par Microsoft étaient stockées aux Pays-Bas puis prochainement en France, tout en reconnaissant lui aussi la possibilité de transferts de données outre-Atlantique pour des besoins de maintenance. Aucun souci pour la juridiction néanmoins, puisque ce transfert était couvert par le « Privacy Shield » de la Commission européenne, un accord constatant l’équivalence des normes étasuniennes avec celles de protection des données en vigueur sur le Vieux Continent.
Rebondissement le 16 juillet 2020. La Cour de justice de l’UE invalidait cet accord dans une décision majeure, considérant que les États-Unis n’offraient pas le niveau de protection suffisant au regard de l’amplitude de ses programmes de surveillance. Armées de cette jurisprudence, les associations repartaient au combat juridictionnel. Le 9 octobre 2020, le gouvernement publiait un arrêté pour interdire les transferts de données à caractère personnel dans le cadre du contrat passé avec Microsoft. Dans sa décision rendue quatre jours plus tard, le Conseil d’État en prenait acte tout en constatant cette fois qu’il n’était pas totalement exclu « que les autorités américaines, dans le cadre de programmes de surveillance et de renseignement, demandent à Microsoft et à sa filiale irlandaise l’accès à certaines données ». En l’absence « d’illégalité grave et manifeste » néanmoins, il refusait de suspendre le Health Data Hub mais réclamait de nouveaux correctifs, sous le contrôle de la CNIL.
Sur le terrain politique, tout s’est accéléré. Le 23 octobre 2020 au Sénat, Cédric O, secrétaire d’État au numérique, faisait savoir que « le Gouvernement a décidé de faire migrer le Health Data Hub vers une plateforme européenne ». Le 17 mai 2021, le gouvernement donnait de nouveaux détails lors de la présentation de la nouvelle stratégie nationale dite du « cloud de Confiance ». « Nous fixons aux entreprises qui utiliseront ce cloud de confiance deux conditions : les serveurs doivent être opérés en France et les entreprises qui utilisent et vendent ce cloud doivent être européennes et possédées par des Européens » exposait Bruno Le Maire, ministre de l’Économie, des Finances et de la Relance.
Les ombres du décret
Cette ligne tracée, le décret du 29 juin 2021 inscrivait durablement dans le droit commun le SDNS, tout en ouvrant ses portes à de nouvelles bases de données. La nouvelle saison de cette série n’a pas davantage convaincu Interhop, regrettant que le cloud de confiance ne soit « toujours pas actif et [que] le Groupement d’intérêt public Health Data Hub [soit] toujours dépendant de Microsoft Azure ». L’association, défendue par Me Juliette Alibert, a donc décidé d’attaquer ce nouveau texte au Conseil d’État. C’est ce dossier qui a été ausculté ce mercredi 9 novembre.
Selon nos informations, les reproches concernent encore et toujours les frictions entre l’infrastructure française et le droit américain. Le décret publié au Journal officiel prévoit bien que les données du système national des données de santé « sont hébergées au sein de l’Union européenne », mais il ouvre une exception : des personnes situées en dehors de l’Union européenne peuvent accéder ponctuellement aux données dès lors qu’elles poursuivent un objectif « d’intérêt public ».
L’expression est trop imprécise, au goût d’Interhop, qui pointe l’épaisse liste des finalités dans le Code de la santé publique : définition, mise en œuvre et évaluation des politiques de santé et de protection sociale ; connaissance des dépenses de santé, des dépenses d’assurance maladie et des dépenses médico-sociales ; surveillance, veille et sécurité sanitaires ; recherche, études, évaluation et innovation dans les domaines de la santé et de la prise en charge médico-sociale, etc.
Pire encore, pour le collectif, si les données de santé sont pseudomysées, cela « ne leur fait pas perdre leur nature juridique de données à caractère personnel au sens du RGPD ». Il considère que « les risques de réidentification sont par ailleurs reconnus ». Il suffirait par exemple de croiser le genre, la date de naissance et le code postal pour remonter au plus près de la personne.
Les critiques ne s’arrêtent pas là : elles frappent aussi les possibilités d’accès à ces données depuis un pays tiers. Comme la CNIL, l’association dénonce à ce titre le caractère tentaculaire et extraterritorial du droit américain : « en ayant choisi d’avoir recours à la société Microsoft pour l’hébergement technique de la plateforme des données de santé, le présent décret se place en illégalité avec le RGPD », conclut-elle. Le risque serait même massif : « les données de santé de millions de personnes sont accessibles de façon identifiée sur une infrastructure s’inscrivant en incompatibilité avec le RGPD et les droits afférents parce qu’elle est hébergée chez Microsoft Azure. »
Les garanties juridiques ou techniques opérationnelles, si elles existent, ne seraient pas satisfaisantes. Par exemple, soutient encore InterHop, « les clefs de chiffrement créées par le prestataire sont stockées au sein de l’infrastructure Microsoft ».
L’incompatibilité avec le règlement sur la protection des données serait d’autant plus importante que les règles en vigueur privent les utilisateurs du droit d’opposition. « L’impossibilité des patients de s’opposer au traitement de leurs données alors que leur hébergement repose sur une solution américaine sans garanties suffisantes au regard du RGPD aurait dû amener le gouvernement à prévoir un droit d’opposition ».
Un excellent bilan de santé, selon le ministère
Dans une série de mémoires en défense adressés au Conseil d’État, le ministère de la Santé ne partage pas du tout l’analyse. « Les données du SNDS doivent être hébergées au sein de l’UE, et […] elles ne peuvent être transférées en dehors de celle-ci sauf demandes d’accès provenant d’équipes de recherche situées en dehors du territoire, le décret fixe une limite suffisante », balaye-t-il d’un revers de manche.
Selon le ministère, l’absence de droit d’opposition n’est pas davantage contraire au RGPD, puisqu’est respectée « l’essence des libertés et droits fondamentaux » et qu’il y a la poursuite d’intérêts publics notamment économiques et de santé publique. « Il est en effet de la nature même du SNDS de mettre à disposition des données », dont l’accès respecte « un cadre sécurisé, aussi bien techniquement que juridiquement, homogène et transparent ».
Le principe de minimisation des données serait tout autant respecté, même si « la copie intégrale de la base principale du système national des données de santé (SNDS) est à disposition de la Plateforme des données de santé (Health Data Hub) ». Ces réplications, qui couvrent les données de l’ensemble de la population française, seraient en effet « nécessaires à la mise à disposition, auprès des réutilisateurs, des jeux de données sollicités ».
La requête d’Interhop ne convainc pas la rapporteure publique
Au Conseil d’Etat, où l’Informé s’est rendu, la rapporteur publique a conclu au rejet de la requête de l’association, repoussant ses griefs les uns après les autres. Les reproches visant le choix de Microsoft Azure ont été considérés comme « inopérants », dans la mesure où le décret attaqué n’avait pas pour objet de désigner nommément le prestataire d’hébergement du système national des données de santé.
Que ce décret autorise des transferts vers des pays tiers à l’UE n’a pas été estimé contraire au RGPD, malgré l’invalidation du Privacy Shield : en son article 49, le règlement européen autorise toujours ces transferts internationaux, pourvu notamment qu’ils n’aient pas un caractère répétitif et répondent à « des intérêts légitimes impérieux ».
Toujours dans ses conclusions, la rapporteure n’a vu aucune indélicatesse dans la pseudonymisation des données à caractère personnel du SNDS. Le système repose même sur une double pseudonymisation « afin de réduire davantage encore les risques de réidentification ». Interhop avait encore dénoncé l’usage de techniques obsolètes pour assurer cette protection des données à caractère personnel. Un « grief inopérant » dans la mesure où le décret n’avait pas à prévoir ces modalités opérationnelles.
Les critiques relatives à la mauvaise minimisation des données n’ont pas davantage prospéré. La duplication des bases est une nécessité opérationnelle, comme l’avait reconnu la CNIL elle-même. Enfin l’exclusion du droit d’opposition a été considérée comme nécessaire, puisqu’elle serait la seule à garantir l’exhaustivité des bases principales du SNDS. L’arrêt, qui suit généralement ces conclusions mais sans y être lié, sera rendu dans quelques semaines, à une date encore indéterminée.
Mise à jour 24 novembre 2022 : Le juge administratif a balayé l’ensemble de ces reproches dans son arrêt rendu le 23 novembre. Sur l’épineuse question des transferts des données vers les États-Unis, le dispositif français est à ses yeux respectueux du RGPD puisque celui-ci autorise les transferts simplement ponctuels pourvu qu’ils soient justifiés par « des motifs importants d’intérêt public ». Et c’est exactement ce que prévoit le Code de la Santé publique. Interhop avait eu beau dénoncer une exception rédigée en des termes bien trop larges, le Conseil d’État n’y a pas été sensible.
