• 1 Les données de santé sont : « les données à caractère personnel relatives à la santé physique ou (...)
• 2 Arrêté du 23 mars 2020 prescrivant les mesures d’organisation et de fonctionnement du système de sa (...)
• 3 Art. L1462-1 et s. CSP.

1La lutte contre l’épidémie liée au virus SARS-COV-2 (virus responsable de la maladie dénommée Covid-19) a mis en lumière le caractère essentiel de la collecte des données personnelles, et notamment des données de santé1, à des fins de santé publique. En effet, ces données aussi diverses et volumineuses que les résultats des tests PCR, les données de soins et d’hospitalisation des malades ou encore les données relatives aux appels aux services d’urgence, sont utiles pour mieux cerner le risque épidémique, mesurer la propagation du virus, mais aussi tenter de l’endiguer. C’est pourquoi le ministre des Solidarités et de la Santé a organisé, par arrêtés2, la centralisation de la collecte de ces données par le biais de la Plateforme nationale des données de santé, aussi connue sous le nom de Health Data Hub3. Dès le mois de juin, les modalités de cette centralisation ont fait l’objet de recours devant le juge administratif, lesquels remettaient en cause les garanties offertes par le dispositif en termes de protection de la vie privée des individus concernés par les collectes. Les recours portaient en effet sur la pseudonymisation des données, la limitation dans le temps de leur conservation, ainsi que l’information des personnes sur les projets de recherche auxquels leurs données pourraient servir (voir CE, 19 juin 2020 n° 4409916 ; CE, 24 juill. 2020, n° 442017 ; CE, 21 sept. 2020, n° 444514). Le Conseil d’État (CE), saisi en référé, s’était borné à ordonner au Health Data Hub de fournir à la Commission nationale de l’informatique et des libertés (CNIL) des compléments d’information sur les outils techniques utilisés.

• 4 CJUE, Data Protection Commissionner contre Facebook Ireland Ltd, Maximillian Schrems, C-311/18, 16  (...)

2Pour autant, les décisions du CE n’ont pas éteint les critiques qui visaient également l’hébergement des données – confié à l’entreprise américaine Microsoft – et leur possible transfert aux États-Unis. Une nouvelle requête introduite le 28 septembre 2020 devant la plus haute juridiction administrative fait valoir, en s’appuyant sur le très récent arrêt Schrems II rendu par la Cour de justice de l’Union européenne le 16 juillet 2020, que les États-Unis n’assurent pas un niveau de protection des données personnelles suffisant au regard du droit de l’Union européenne4. Partant, les demandeurs enjoignent au CE de suspendre la centralisation et le traitement des données du Hub. La CJUE avait en effet relevé les failles dans la protection de la vie privée des citoyens européens eu égard à la possibilité, pour les agences fédérales américaines, de demander un transfert des données personnelles détenues par les entreprises soumises au droit américain, et cela en l’absence de voies de recours des citoyens contre ces transferts. Malgré cet argument, le CE rejette la requête, indiquant ne pas disposer, lorsqu’il statue en référé, de pouvoirs lui permettant de suspendre la centralisation des données alors même qu’il n’existe pas, pour l’heure, de violation directe du Règlement général de protection des données. Le Conseil d’État statuant en référé relève qu’il existe un intérêt public à permettre la poursuite de l’utilisation des données de santé pour les besoins de l’épidémie de Covid-19 grâce aux moyens techniques dont dispose la Plateforme. Il souligne toutefois que le recours à la plateforme et le stockage des données doivent être proportionnés « aux risques sanitaires encourus et appropriés aux circonstances de temps et de lieu, compte tenu, tout à la fois, de l’urgence s’attachant à sa conduite et de l’absence de solution technique alternative satisfaisante permettant d’y procéder dans les délais utiles ». Il relève également que, « eu égard à la sensibilité particulière des données de santé, les autorités publiques ont fait part de leur volonté d’adopter, dans les délais les plus brefs possibles, des mesures propres à éliminer tout risque, telles que le choix d’un nouveau sous-traitant, évoqué publiquement par le secrétaire d’État chargé de la transition numérique et des communications électroniques, ou le recours à un accord de licence, suggéré par la Commission nationale de l’informatique et des libertés dans ses observations ». Le CE précise que, « dans l’intervalle, il appartient à la Plateforme des données de santé de continuer de rechercher, en vertu de l’article 28 du règlement général sur la protection des données, la mise en œuvre par Microsoft des mesures techniques et organisationnelles appropriées pour garantir au mieux la protection des droits des personnes concernées. À cet égard, la société doit d’ailleurs, […] mettre à sa disposition toutes les informations nécessaires pour démontrer le respect des obligations prévues à cet article 28 et permettre la réalisation d’audits ». Selon le CE, il appartient « à la Commission nationale de l’informatique et des libertés, lorsqu’elle autorise, conformément aux articles 66 et 76 de la loi du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, des projets appelés à traiter les données rassemblées par la Plateforme des données de santé, de vérifier qu’ils poursuivent une finalité d’intérêt public en lien avec l’épidémie de Covid-19 et que le recours à la Plateforme remplit les conditions mentionnées [ci-avant] ».

• 5 V. par ex. M. Bernelin, « Intelligence artificielle en santé : la ruée vers les données personne (...)

3Bien qu’il rejette la requête, l’arrêt est digne d’intérêt. Non seulement il permet d’en apprendre davantage sur les modalités d’hébergement des données de santé des Français, mais l’instruction aura aussi, à notre sens, permis d’imposer au Health Data Hub de revoir sa copie en matière de protection de la vie privée. En effet, on sait que l’hébergement des données de santé du Hub ayant été confié à la société Microsoft, les données sont stockées dans ses centres techniques situés aux Pays-Bas et peuvent faire l’objet d’un transfert aux États-Unis. Pourtant, les quelques critiques face à cette situation avaient été largement balayées par les responsables du Health Data Hub5, qui faisaient valoir, probablement à juste titre, que seul Microsoft disposait des capacités d’hébergement suffisantes au regard du volume des données à héberger. La pandémie actuelle et la volonté gouvernementale d’accélérer la centralisation de la collecte des données de santé en lien avec la Covid-19 ont alors été l’occasion, pour un public large, de s’interroger sur les conditions d’hébergement des données et pour certains de les remettre en cause devant le juge administratif. L’arrêt Schrems II de la CJUE tombe à point nommé, offrant des arguments imparables sur la protection des droits individuels face à des transferts de données aux États-Unis. Contraint de se justifier et de trouver des solutions rapidement, le Health Data Hub prend finalement en compte les inquiétudes pourtant déjà émises. À cet égard, la présente décision du CE nous apprend que la plateforme et Microsoft ont conclu le 3 septembre 2020 un avenant au contrat d’hébergement des données dans lequel l’hébergeur s’engage à ne pas transférer de données hors de l’Union européenne sans l’accord préalable du Hub. Le ministère des Solidarités et de la Santé a aussi réagi en amendant l’arrêté du 10 juillet 2020 relatif aux mesures générales nécessaires pour faire face à l’épidémie de Covid-19 afin d’y ajouter une interdiction de transférer les données à caractère personnel en dehors de l’Union européenne.

• 6 Point 20 de la décision.
• 7 Engagement pris auprès de la CNIL, point 12.

4De son côté, le Conseil d’État se veut rassurant sur les risques liés aux transferts des données aux États-Unis. En ce sens, les juges notent que, si des données devaient être transférées dans les centres de gestion américains de Microsoft, il s’agirait probablement de données non identifiantes, telles que des données de télémétrie, visant à faire fonctionner les services numériques offerts. Concernant l’accès aux données par les autorités américaines dans le cadre d’activités de surveillance, les juges soulignent qu’il ne s’agit ici encore que d’un risque hypothétique dès lors que les données conservées sont protégées grâce à leur pseudonymisation lors de leur déversement dans le Hub. Pour parfaire son raisonnement, le juge rappelle l’intérêt public imposant la collecte et la centralisation des données dans le cadre de l’épidémie et juge proportionné, en raison de l’urgence de la situation, de poursuivre l’hébergement des données par Microsoft qui dispose de moyens techniques « sans équivalent à ce jour »6. Selon le CE, les solutions techniques sont donc nécessaires et adaptées et les garanties offertes apparaissent, quant à elles, suffisantes. On notera toutefois que ces garanties reposent sur des analyses produites par le sous-traitant, ainsi que sur l’engagement non contractualisé pris par le Health Data Hub auprès de la CNIL de s’opposer à tout transfert de données, identifiantes ou non, vers les États-Unis7. Par ailleurs, les juges ne prennent pas en compte les risques importants de ré-identification des données, la pseudonymisation n’étant dans les faits qu’une garantie technique limitée.