Health Data Hub et souveraineté : où sont hébergées vos données de santé

GAFAM & données de santé · Souveraineté

Faciliter la recherche en réunissant les données de santé des Français dans un guichet unique : l’idée du Health Data Hub est séduisante. Le choix de l’héberger sur le cloud d’un géant américain, lui, a déclenché une controverse qui n’est toujours pas soldée. Elle dépasse la technique : elle touche à la souveraineté.

À quoi sert le Health Data Hub

Le HDH n’est pas un dossier patient. C’est une infrastructure de recherche : il vise à donner à des projets sélectionnés un accès encadré à des données de santé appariées, pour étudier des maladies, évaluer des traitements ou entraîner des algorithmes. L’ambition est légitime — la recherche progresse quand les données circulent — mais elle suppose une gouvernance et des garanties à la hauteur de la sensibilité de la matière.

Le nœud : le Cloud Act

La controverse ne porte pas d’abord sur la localisation physique des serveurs, mais sur le droit applicable au prestataire. Une entreprise soumise au droit américain peut, en vertu du Cloud Act, être requise de fournir des données qu’elle détient, où qu’elles soient stockées. Même chiffrées, même hébergées en Europe, des données confiées à un tel acteur ne bénéficient pas de la même étanchéité juridique que si elles étaient détenues par un prestataire hors de portée de ce droit. C’est ce risque théorique, plus qu’un incident avéré, qui a nourri les réserves.

Ce que les autorités ont dit

La CNIL a formulé des observations appelant à réduire l’exposition au droit extra-européen, et le Conseil d’État, saisi en référé, a demandé des garanties renforcées tout en ne suspendant pas la plateforme. En réponse, les pouvoirs publics ont acté le principe d’une migration vers une solution souveraine — sans que le calendrier annoncé soit tenu jusqu’ici. Ce cadre s’articule désormais avec le règlement européen EHDS, qui organise l’accès aux données de santé à l’échelle du continent.

Pourquoi le sujet dépasse la technique

Derrière l’hébergement se joue une question politique : qui contrôle, in fine, les données de santé d’une population ? La performance d’un cloud commercial est réelle ; la dépendance qu’elle crée l’est aussi. Le même arbitrage traverse tout le secteur, des traceurs des applications aux plateformes des grands acteurs du numérique. Pour le citoyen, la garantie ne tient pas à une promesse commerciale, mais à un cadre juridique clair et à une capacité, à terme, d’héberger ces données hors d’atteinte d’un droit étranger.

RGPD, Cloud Act et arrêt « Schrems II » : le fond du dossier

La controverse s’ancre dans un conflit de droits identifié. Le RGPD encadre strictement le transfert de données personnelles hors de l’Union ; or, en 2020, la Cour de justice de l’Union européenne a invalidé le cadre qui sécurisait les transferts vers les États-Unis, jugeant que les lois de surveillance américaines n’offraient pas une protection équivalente. Le Cloud Act prolonge ce problème : il permet d’exiger d’un prestataire soumis au droit américain la communication de données, où qu’elles soient stockées. Un nouveau cadre de transfert a été adopté en 2023, mais sa solidité juridique est elle-même discutée et pourrait être contestée. Retenons la nuance essentielle : le débat porte sur un risque juridique structurel, non sur une fuite avérée. C’est une question de droit applicable, pas seulement de sécurité informatique.

Ce qu’est un « cloud souverain » — et ce qu’il ne garantit pas à lui seul

La réponse française s’appuie sur la qualification SecNumCloud de l’agence nationale de sécurité (ANSSI) et une doctrine dite de « cloud de confiance ». L’idée : héberger les données sensibles chez des prestataires soustraits au droit extra-européen. La mise en œuvre est plus complexe qu’il n’y paraît : plusieurs offres reposent sur des technologies américaines exploitées sous licence par des entités européennes, un montage dont on débat s’il suffit à garantir l’étanchéité recherchée. Par ailleurs, la souveraineté de l’hébergement ne dit rien de la protection intrinsèque des données : les jeux de recherche sont pseudonymisés, non anonymisés, et un risque de réidentification demeure. Un hébergement souverain réduit une catégorie de risque ; il ne dispense pas des autres garanties, y compris face aux cyberattaques qui visent le secteur de la santé.

Gouvernance : qui autorise, qui contrôle

L’accès aux données n’est pas libre : chaque projet est examiné au regard de son intérêt public, avec l’intervention d’un comité scientifique et éthique et de la CNIL, et fait l’objet d’une inscription dans un registre de transparence. Ce cadre s’articule désormais avec le règlement EHDS, qui organise l’usage secondaire des données de santé à l’échelle européenne tout en prévoyant des droits d’opposition pour les personnes. Deux exigences conditionnent la confiance : la transparence sur les projets autorisés et la qualité des données mobilisées — un enjeu majeur, car un jeu de données biaisé produit des algorithmes biaisés, comme l’a illustré une affaire américaine restée emblématique. Les systèmes d’IA entraînés sur ces données relèvent en outre, pour les usages sensibles, du cadre de l’AI Act. La souveraineté ne se joue donc pas qu’au niveau des serveurs : elle se joue aussi dans les règles d’accès et de contrôle.

Information générale sur la santé numérique, à but éducatif. Ne constitue pas un avis médical.