Données de santé : qui décide du risque acceptable ?

Données de santé : qui décide du risque acceptable ?

Aucun système informatique ne protège des données à 100 %. Le 20 mars 2026, le Conseil d’État, la plus haute juridiction administrative française, l’a rappelé dans un cas concret. Il pose une question simple : quand le risque zéro est impossible, qui décide du risque qu’on accepte pour nos données de santé ?

Le cas

Un projet européen, DARWIN EU, utilise des données de santé pour étudier l’usage, la sécurité et l’efficacité des médicaments et des vaccins. La CNIL, l’autorité qui contrôle l’usage des données personnelles en France, a autorisé l’Agence européenne des médicaments à y participer pendant trois ans.

Les données sont préparées par la Plateforme des données de santé, plus connue sous le nom de Health Data Hub, qui rassemble des données de santé pour la recherche. Elles sont hébergées dans des centres situés en France, mais par Microsoft Ireland Operations, filiale d’un groupe américain.

Des associations et des particuliers ont contesté l’autorisation. Leur crainte : que les autorités américaines puissent exiger l’accès à ces données.

Le Conseil d’État a rejeté leurs recours. Il a d’abord rappelé que l’autorisation ne permet pas de transférer les données de santé vers les États-Unis. Il a ensuite reconnu qu’une demande d’accès venue des États-Unis ne peut pas être totalement exclue. Mais il a jugé que les garanties techniques et organisationnelles suffisaient, et que la CNIL n’avait pas mal apprécié la situation. Parmi ces garanties : des données pseudonymisées (les identifiants directs, comme le nom, sont remplacés par un code), des accès surveillés, un hébergeur certifié pour les données de santé.

La pseudonymisation rend l’identification plus difficile, pas impossible. Ce qui reste une fois les protections en place s’appelle le risque résiduel : un risque qu’on n’a pas pu supprimer, et qu’on juge assez faible pour continuer.

Cette décision ne porte pas sur le secret médical des soignants. Elle porte sur la protection des données utilisées pour la recherche.

Pourquoi accepter un risque

Parce que ces données servent : mieux connaître les maladies, surveiller les médicaments, améliorer les soins. Les utiliser suppose de les traiter, donc de les confier à des acteurs et à des systèmes. Chacun protège, et chacun est aussi une source de risque.

Le droit part de ce constat. Le RGPD, le règlement européen sur les données personnelles, ne promet pas le risque zéro. Il impose un niveau de sécurité adapté au risque.

Attendre a aussi un coût. La plateforme annonce que sa migration doit fluidifier la mise à disposition des données pour la recherche, et Le Monde Informatique y voit le déblocage de plusieurs programmes en attente.

La vraie question n’est donc pas « risque ou pas de risque ». C’est : quel risque, pour quel bénéfice, et qui en décide.

Premier décideur : le juge

Le juge a répondu à une question précise : la CNIL a-t-elle correctement apprécié les garanties ? Oui. Il n’a pas répondu à une autre : cette solution est-elle la meilleure possible ? Ce n’était pas son rôle.

Deuxième décideur : l’administration

Le 6 février 2026, six semaines avant la décision, le gouvernement avait déjà annoncé vouloir quitter Microsoft et lancé une procédure de sélection pour une migration complète. Un premier appel d’offres, pour une solution intermédiaire, datait de juillet 2025. Le 23 avril, la Plateforme des données de santé a annoncé avoir retenu Scaleway, une entreprise française. La décision du juge n’a donc pas provoqué ce changement. Certains y ont lu un jugement qui valide une situation que le gouvernement jugeait déjà dépassée. C’est une lecture, pas une position officielle.

La plateforme affirme que ce changement était prévu dès l’origine : elle dit avoir conçu son architecture pour pouvoir changer d’hébergeur, avec une étude de réversibilité dès novembre 2019. Elle explique avoir attendu que l’offre de cloud français et européen atteigne le niveau de sécurité requis. C’est son récit, pas un audit.

Pour choisir, elle a mené pendant deux mois et demi une sélection parmi les offreurs du marché public « Nuage public », sur plus de 350 exigences techniques. Elle dit avoir retenu la solution la plus adaptée en matière de sécurité, de scalabilité et de résilience. Son communiqué parle d’une migration vers un « cloud souverain », mais la souveraineté ne figure pas parmi les critères détaillés. Le juge demande si c’est légal. La plateforme demande quelle infrastructure est la plus adaptée, en sachant ce que la dépendance à un groupe américain signifie politiquement.

Ce choix ne supprime pas le risque, il le déplace. D’après la plateforme, toutes les offres ne couvraient qu’en partie ses besoins, et certaines options de sécurité restent à construire avec l’hébergeur retenu. Scaleway a engagé sa demande de qualification SecNumCloud auprès de l’ANSSI, l’agence de cybersécurité de l’État, en janvier 2025, avec l’objectif de l’obtenir fin 2025. Au moment du choix, elle ne l’avait pas. Cette qualification ne semble pas avoir été exigée à la mise en concurrence, et le communiqué de la plateforme n’en parle pas. La plateforme prévoit de gérer en autonomie une copie de la base principale du SNDS (le système national des données de santé, qui regroupe notamment les données de remboursement de l’Assurance maladie) entre fin 2026 et début 2027. On réduit une dépendance avant que la garantie attendue en échange soit complète.

Personne ne porte le risque de bout en bout

Le juge contrôle la légalité. La CNIL autorise et contrôle. La plateforme, avec l’appui de l’État, arbitre entre dépendance, sécurité et calendrier. L’organisme qui utilise les données évalue ses propres risques. Chacun répond à sa question, avec son critère. Aucun ne répond à la question d’ensemble : ce risque-là, pour ces données-là, est-il acceptable pour ceux qui sont concernés ?

Les patients ne sont pas absents de l’édifice : France Assos Santé, qui représente les usagers, fait partie des 56 membres de la plateforme. Mais le communiqué ne dit pas quel rôle ils ont joué dans ce choix. Un patient pris individuellement, lui, n’a pas de prise directe sur l’arbitrage : il peut surtout le contester après coup, devant un juge. Les décisions sont publiques, mais il a peu de chances de les lire, encore moins de les comprendre. Pourquoi ce risque est-il jugé acceptable ? Quelles garanties ont vraiment pesé ?

Une piste concrète : accompagner chaque autorisation de ce type d’un résumé public de deux pages, en langage courant, qui dit quel risque subsiste, pourquoi on l’accepte, et qui en répond.

 

Club Digital Santé.

 

Sources

Articles similares

Back To Top

Powered by CookieAdmin