Le Conseil d’État a rejeté ce matin (26 mars) la demande faite par un groupement d’entreprises et associations. Ce dernier souhaitait l’intervention urgente du Conseil pour invalider la décision de la CNIL publiée le 31 janvier dernier. Le rejet a été motivé par un « défaut d’urgence ».
La situation actuelle n’a pas fini de faire parler.
La Plateforme de données de santé (Health Data Hub ou HDH) a été autorisée en décembre à stocker dans Microsoft Azure les données françaises pour le projet EMC2. Ce dernier, européen, vise à concentrer un lot de données provenant de plusieurs pays dans lesquels un équivalent du HDH est déjà établi. Objectif : permettre enfin le décollage des utilisations secondaires des données, avec en tête la recherche via des modèles d’IA.
On se rappelle que le communiqué de la CNIL était rédigé d’une façon très particulière : la contrainte y était exprimée entre les lignes. Et pour cause : la décision de la Commission se faisait sur la loi, et cette dernière est claire, puisque le Data Privacy Framework établit une adéquation entre les États-Unis et l’Europe pour tout ce qui touche à la sécurité et au respect de la vie privée dans les données.
Cette décision avait largement fait réagir, notamment le député Philippe Latombe. « Ils n’ont pas eu le choix, encore une fois. Mais la décision laisse suffisamment de prise pour que tout le monde puisse la contester. Et je vous le promets : vous allez avoir, dans les jours qui viennent, des contestations de cette décision auprès du Conseil d’État. Vous n’imaginez même pas combien sont prêts », prophétisait-il alors.
Cela a pris un peu plus de temps que prévu, mais une demande a été formulée devant le Conseil d’État la semaine dernière. Portée notamment par Clever Cloud, Nexedi et Rapid.space, elle demandait un référé, c’est-à-dire une intervention urgente du Conseil pour faire suspendre la décision de la CNIL. Cette demande a été rejetée.
La décision du Conseil d’État (...)
La décision du Conseil d’État souligne les points défendus par les demandeurs. On y retrouve tous les sujets abordés depuis la constitution du HDH et le début de stockage des données dans Azure. Dont le point principal : Microsoft est une société américaine, les États-Unis ont des lois à portée extraterritoriale, les données de santé françaises sont extrêmement sensibles et n’ont pas à être visualisées par des tiers. Dans cette optique, la condition d’urgence ne pouvait être que satisfaite selon eux. D’abord parce que les données de santé de millions de Français pourraient se retrouver aux mains des services américains de renseignement. Ensuite, car la décision de la CNIL niait les offres existantes chez les sociétés requérantes. Sur ces points et d’autres, le Conseil d’État n’est pas d’accord, et les requérants en sont pour leur grade. (...)
La décision a provoqué de la frustration chez les uns, de l’incompréhension chez les autres, tandis que d’autres encore, à l’instar de Maître Alexandre Archambault, ne sont pas surpris. (...)
Bruno Grieder : « Il n’y a de toute façon aucune difficulté particulière à reconstituer l’identité des personnes, dès lors que les données sont assez nombreuses ». Or, avec les mentions explicites du NIR et de la date de naissance comme données supprimées, la question reste ouverte sur celles qui seront versées au dépôt EMC2. Nous reviendrons prochainement sur la question des données anonymisées et la sécurité relative qu’elles peuvent offrir.