L'abonnement à l'Informé est à usage individuel
Un autre appareil utilise actuellement votre compte
Continuer la lectureOffensive au Conseil d’État contre l’hébergement de nos données de santé par Microsoft
Plusieurs sociétés spécialisées dans l’hébergement sécurisé et des associations s’attaquent à la décision de la CNIL qui a autorisé ce stockage par le géant américain.
Peut-on faire confiance à un américain pour stocker nos datas personnelles ? Le 21 décembre 2023, la CNIL autorisait le groupement d’intérêt public Plateforme des données de santé (GIP PDS) à laisser à Microsoft Ireland Operations Limited le soin d’héberger pendant trois ans de nombreuses information...
De quelles informations parle-t-on ? En décembre 2021, le GIP a signé avec l’Agence européenne du médicament un contrat pour mener des études en pharmaco-épidémiologie (évaluations des prises en charge, efficacité des médicaments ou prévention et aide au diagnostic). Dans ce cadre, il a créé la base de données « EMC2 », dont il a donc confié l’hébergement, en France, à Microsoft. Cet « entrepôt de données de santé », dans le jargon du secteur, est nourri des informations pseudomysées venues des dossiers médicaux de plusieurs établissements partenaires comme les Hospices civils de Lyon (HCL) ou le centre hospitalier universitaire de Nancy ; des datas appairées avec celles du système national des données de santé (abritant lui-même les données de l’ensemble des hospitalisations en France et celles relatives au Covid-19). Des éléments « extrêmement sensibles » selon Clever Cloud, Nexedi et leurs alliés. « Tant d’un point de vue individuel que collectif, puisqu’en sus de révéler des informations propres à l’état de santé des personnes, elles constituent des informations à haute valeur stratégique sur la santé collective de la population française », précise leur avocat, Me Jean-Baptiste Soufron. La CNIL, elle-même, a reconnu et même déploré que les données stockées chez Microsoft seraient susceptibles d’être transmises aux autorités américaines via des injonctions de communication. Seulement, une mission d’expertise demandée par le gouvernement le 21 octobre 2023 et pilotée par la délégation du numérique en santé (DNS), la direction interministérielle du numérique (DINUM) et l’Agence du numérique en santé (ANS) a pesé dans la balance. Le 13 décembre 2023, elle concluait qu’aucun autre prestataire ne permettait de répondre aux exigences du projet EMC2 dans un délai satisfaisant. C’est donc à contrecœur que la CNIL a donné son aval, au regard de la nécessité d’honorer les engagements pris auprès de l’Agence européenne du médicament. De leur côté, les trois sociétés françaises contestent. Elles mettent en avant leurs solutions sécurisées d’hébergement qui, selon elles, pouvaient parfaitement répondre aux besoins du GIP, tout en étant immunisées aux lois extra-européennes.
Dans leur requête collective de près de 100 pages que l’Informé a pu consulter, elles rappellent l’état de la législation et de la jurisprudence, avant de torpiller la délibération de la CNIL. En substance, le règlement général sur la protection des données (RGPD) autorise les transferts en dehors de l’Union européenne pour autant que le pays tiers présente un niveau de protection équivalent à n’importe quel État membre. Pour faciliter ces opérations, le RGPD charge la Commission européenne de constater qu’un État hors UE offre ce seuil de garantie suffisant dans le cadre d’une décision dite d’adéquation. Or, par deux fois dans le passé, la Cour de justice de l’Union (CJUE) a annulé les décisions bruxelloises validant un transfert vers les États-Unis (arrêt Schrems I de 2015 à propos de l’accord « Safe Harbor » et arrêt Schrems II de 2020 à propos du « Privacy Shield »). Les lois de surveillances américaines, comme la Section 702 du Foreign Intelligence Surveillance Act et le décret n°12333, ont pesé dans ces décisions parce que jugées particulièrement intrusives et trop imprécises vis-à-vis des données personnelles des Européens. Après ces deux désaveux, les deux continents ont entrepris de grandes manœuvres pour maintenir les flux de données. Le 7 octobre 2022, Joe Biden a d’abord signé le décret n°14086 censé apporter un gage de confiance et renforcer les garanties autour des données traitées par les services du renseignement de l’Oncle Sam. Et le 10 juillet 2023, la Commission européenne a pu adopter un nouveau cadre baptisé « Data Privacy Framework » (DPF).
Seulement, pour les requérants, le compte n’y est toujours pas puisque les lois de surveillance américaines restent en vigueur. Ils rappellent que « les services de renseignements étasuniens peuvent donc contraindre les entreprises de Cloud étasuniennes à leur communiquer des données qu’elles stockent en dehors du territoire étasunien », voire opérer eux-mêmes des opérations de collecte dans certaines circonstances. Contrairement à la Commission européenne qui a salué la récente réforme Biden, ils fustigent un trompe-l’œil. Par exemple, sous couvert de garanties, ce dernier texte autorise les services du renseignement à collecter des données personnelles dès lors qu’elles répondent à des « priorités ». Priorités que les requérants jugent bien trop vastes, citant « comprendre ou évaluer les menaces transnationales qui ont une incidence sur la sécurité mondiale, notamment les changements climatiques et autres changements écologiques, les risques pour la santé publique, les menaces humanitaires, l’instabilité politique et les rivalités géographiques ».
Pour emporter la conviction du Conseil d’État, sociétés et associations rappellent aussi que les États-Unis disposent d’une agence de renseignement exclusivement dédiée aux questions médicales (le National Center for Medical Intelligence, ou NCMI). Conclusion, « en s’abstenant d’exiger que les données de santé soient hébergées par une société non soumise aux dispositions du droit étasunien, la CNIL a ouvert la voie à la collecte des données du traitement EMC2 par les services de renseignements étasuniens ».
Sur un terrain juridique, elles dénoncent tour à tour la violation de la Déclaration de 1789, de la Convention européenne de sauvegarde des droits de l’homme, des intérêts fondamentaux de la nation, du Code de la santé publique, mais également de la doctrine officielle « Cloud au Centre », signée par le premier ministre le 25 mai 2023. Un cadre officiel exige que les données de santé ne puissent être stockées que par des prestataires disposant de la qualification SecNumCloud, ce qui n’est pas le cas de Microsoft. Dans leurs écritures, les auteurs du référé demandent au Conseil d’État non seulement de suspendre la délibération de la CNIL, mais aussi de saisir la Cour de justice de l’Union européenne pour que celle-ci examine la solidité du « Data Privacy Framework » de la Commission européenne. Ils ajoutent que dans ce dispositif, les citoyens européens ne disposent pas d’un véritable droit au recours, considérant qu’il est réservé aux seules autorités de protection des données personnelles. Enfin, Me Soufron, leur avocat, estime remplie la condition d’urgence propre à ce référé. Il plaide le risque d’une consultation à tout moment des données par les services secrets américains, mais aussi d’un préjudice grave aux intérêts économiques de ses clients.
Contacté par l’Informé, Quentin Adam, PDG de Clever Cloud considère que « non seulement la décision de la CNIL est inique à plusieurs niveaux, mais un accord d’adéquation avec les États-Unis posera toujours problème puisque leur vision de la vie privée ou de la donnée personnelle n’a rien à voir avec les conceptions européennes. Une dynamique renforcée par un récent décret de la Maison Blanche qui met directement en danger les données médicales ou énergétiques tout en accentuant encore la dissymétrie de nos relations et de nos droits entre les deux juridictions ». Pour le spécialiste de l’hébergement, « si le Conseil d’État transmet ce dossier, il n’y a pas raison que la Cour de justice de l’Union européenne réponde différemment que dans ses décisions Schrems I ou II. En attendant la situation est insatisfaisante puisqu’elle empêche des acteurs européens de développer leur business face à un cadre réglementaire si instable ».
L’audience se tiendra mardi 19 mars, au Conseil d’État.
Et 1 et 2 et 3 recours
En plus de la procédure de référé-suspension lancée par Clever Cloud, Nexedi, Rapid.Space International et plusieurs associations, d’autres actions ont préalablement été lancées. Le député Philippe Latombe a, à titre personnel, intenté une action devant les juridictions européennes directement contre l’accord Data Privacy Framework Le Tribunal de l’UE a déjà rejeté sa demande en octobre 2023, mais l’action devrait se poursuivre au fond selon nos informations. En février dernier, l’Internet Society (ISOC) France a quant à elle attaqué directement la délibération de la CNIL en annulation. « Les données de santé des Français seront potentiellement accessibles sans contrôle suffisant par des acteurs états-uniens. On peut imaginer toutes les dérives, y compris leur exploitation à des fins de stratégies industrielles ou autre type d’ingérence au vu de la portée de l’extra-territorialité du Droit des États-Unis » a relevé Me France Charruyer, avocate de l’ISOC.
Le champ de bataille du transfert de données vers les États-Unis
26 juillet 2000 : Adoption de la décision d’adéquation Safe Harbor, sur la libre circulation des données entre l’Europe et les États-Unis.
10 juillet 2008 : Adoption aux États-Unis de la section 702 du Foreign Intelligence Surveillance Act qui permet la surveillance ciblée de personnes non américaines, en complément du décret 12333 (ou Executive Order 12333) signé en 1981 mais plusieurs fois amendé et relatif à la collecte et l’analyse des données, notamment en transit vers les États-Unis.
6 juin 2013 : Début des révélations d’Edward Snowden concernant la surveillance des communications par les services du renseignement américain.
6 octobre 2015 : La Cour de justice de l’Union européenne invalide l’accord Safe Harbor (décision « Schrems 1 », du nom du requérant autrichien).
12 juillet 2016 : La Commission européenne adopte son remplaçant, le Privacy Shield (ou Bouclier de protection des données UE-États-Unis).
16 juillet 2020 : La Cour de justice de l’Union européenne invalide le Privacy Shield (décision Schrems 2).
7 octobre 2022 Le président Biden signé le décret n°14086, censé apporter des garanties et sécuriser les transferts de données des Européens tout en répondant aux critiques de la justice de l’UE.
10 juillet 2023 : La Commission européenne adopte le remplaçant du Privacy Shield, le Data Privacy Framework (DPF).
6 septembre 2023 : Le député Philippe Latombe dépose une requête en annulation contre le DPF, d’abord via une procédure d’urgence
12 octobre 2023 : Le Tribunal de l’UE rejette le recours en référé du député Latombe
21 décembre 2023 : La CNIL autorise le stockage en France des données de patients sur les serveurs Microsoft.
13 février 2013 : L’Internet Society (ISOC) France attaque la délibération de la CNIL en annulation.
Mars 2024 : Recours en suspension contre la délibération de la CNIL, et demande d’intervention de la Cour de justice de l’UE pour jauger la validité du Data Privacy Framework.
