Attention aux transferts de données hors de l’Union européenne

La Plateforme des données de santé (PDS) a officiellement vu le jour.
Gérée par le Health Data Hub, elle a pour prestataire d’hébergement la solution cloud Azure de Microsoft. Une solution dans l’œil du cyclone - et plus précisément l’œil de la Cnil – et qui fait l’objet de plusieurs critiques.

Il faut dire que la Cnil s’inquiète que les contrats passés avec Microsoft ne prévoient ni la localisation des données ni l’ensemble des garanties relatives aux modalités d’accès aux données par les administrateurs de l’hébergeur. Un manque qui pourrait être lourd de conséquences pour les données de santé collectées sur le territoire national, à commencer par leur transfert en dehors de l’Union européenne, et ce sans obligation d’autorisation.

Pour palier à cette faille, le ministère des Solidarités et de la Santé s’est engagé à ce que la Plateforme des données de santé exige de son hébergeur que les données soient hébergées au sein de l’Union européenne. Seul bémol : cette restriction ne concerne que les données dites au repos. Comprenez les données inactives stockées à un endroit physique déterminé, par opposition aux données en cours d'utilisation ou aux données en transit. Voilà qui sous-entend que ces dits types de données pourraient sortir de l’Hexagone pour être traitées/hébergées aux Etats-Unis ou dans tout autre pays dans lequel le sous-traitant ou ses sous-traitants ultérieurs sont implantés. Suite aux alertes de la Cnil, la Cour de justice de l'Union européenne (CJUE) relative aux transferts des données hors de l'UE a été saisie.
Une décision est attendue dans les mois qui viennent.