CNIL. La CNIL valide le stockage de nos données de santé par Microsoft

Le régulateur des données personnelles exprime son regret quant au « choix initial » de la Plateforme des données de santé « de recourir au cloud » : cela « a conduit à privilégier des offres d’acteurs étasuniens dont il apparaît désormais difficile de se détacher à court terme malgré l’émergence progressive de fournisseurs souverains » explique-t-il.  

L’autorité française rappelle, en filigrane, que Microsoft, en tant que société américaine, est bien soumise aux lois extraterritoriales des États-Unis – dont le Cloud Act et la loi FISA, qui vient d’être prolongée jusqu’en avril 2024. Qu’importe que les centres de données de Microsoft Azure soient situés en Europe.  En conséquence, les données de santé des Français pourraient être accessibles aux services de renseignements américains, sans que les principaux intéressés n’en soient jamais informés.  

La CNIL précise que les données de santé concernées par ce EMC2 sont celles de certains patients de quatre hôpitaux français (Hospices civils de Lyon, centre Léon Bérard, CHU de Nancy et Fondation hôpital Saint-Joseph), ainsi que les données de l’Assurance maladie (parcours de soin, ordonnances…). Il s’agit d’une première puisque jusqu’à présent, le HDH, dans sa version française, avait le rôle de guichet unique. Pour chaque demande émanant de centres de recherche, le HDH devait déposer une demande auprès de telle base de données. La demande devait à chaque fois recevoir l’aval de la CNIL, conduisant à une procédure de plusieurs mois, et à un fonctionnement plus que ralenti.  

Pour les clouders français qui étaient candidats à l’hébergement d’un tel projet, le choix de Microsoft est regrettable, nous expliquaient-ils début janvier. Car d’un côté, Microsoft ne répond pas à la doctrine « Cloud au centre » de l’administration, qui impose aux hébergeurs des données de santé un référentiel « SecNumCloud », le plus haut label de cybersécurité. La version 3.2 de ce référentiel prévoit une immunité aux lois extraterritoriales – ce qui exclut les hyperscalers américains dont fait partie Microsoft.  

Mais de l’autre, on impose aux clouders français et européen ce référentiel, dont l’obtention prend du temps. Un « deux poids, deux mesures », qui pourrait finir par prendre fin. Un rapport gouvernemental sur la plateforme, publié le 18 janvier dernier, préconise en effet de « programmer l’arrêt de l’hébergement sur Azure de la plateforme du HDH et (le lancement des) travaux pour l’hébergement du HDH sur un cloud qualifié SecNumCoud, à horizon de 24 mois ». Cette échéance y est qualifiée « d’ambitieuse, mais de crédible à ce stade »  

〰️シSauf que donner c'est donner, le mal est fait quand Microsoft ne cache pas ses intentions de  collecter nos données pour de la publicité ciblée,  on en reparlera !!