Données de santé de 10 millions de Français : le Conseil d’État confirme la maîtrise de Microsoft

Les données médicales de 10 millions de Français sont désormais sous la vigilance juridique du Conseil d’État, qui a confirmé l’hébergement de ces informations sensibles par Microsoft. Cette décision majeure intervient dans un contexte où le traitement des données de santé soulève des questions de confidentialité, de souveraineté numérique et de sécurité informatique, particulièrement dans le cadre du big data. Avec un échantillon sélectionné dans la base de l’Assurance maladie, les données transitent via Microsoft Azure, bien que cette infrastructure soulève des craintes en raison des risques juridiques extraterritoriaux liés au Cloud Act américain.

Le débat entourant la maîtrise de ces données de santé engage non seulement la protection individuelle des millions de Français concernés mais interroge aussi la capacité de la France à garantir sa souveraineté numérique. Malgré les alertes sur l’accès possible de Washington aux données stockées, le Conseil d’État a validé la conformité avec le RGPD, révélant ainsi un équilibre complexe entre l’architecture technique imposée par Microsoft et la nécessité de sécuriser ces patrimoines informationnels sensibles. Cette décision suscite autant d’appuis que de controverses, à mesure que le gouvernement entame la transition vers un hébergeur européen, afin de renforcer la protection et la maîtrise des données médicales nationales.

Le Conseil d’État valide la maîtrise de Microsoft sur les données de santé de millions de Français

Le Conseil d’État, dans une décision rendue publique le 20 mars 2026, a confirmé la légitimité du transfert et du traitement des données de santé provenant de 10 millions de Français sur les serveurs de Microsoft Azure. Cette validation juridique intervient après une série de recours introduits par plusieurs associations, telles que la Ligue des droits de l’homme, ainsi que par des acteurs français du cloud, craignant une atteinte à la confidentialité et au contrôle des données sensibles. Le Conseil d’État reconnaît explicitement que le risque d’accès par les autorités américaines, notamment en vertu du Cloud Act, ne peut être totalement écarté. Néanmoins, il estime que ce danger est suffisamment encadré par les mesures mises en place et demeure compatible avec le Règlement Général sur la Protection des Données (RGPD).

Cette décision s’appuie sur une série d’éléments constatés. Premièrement, les données stockées sont pseudonymisées, ce qui signifie que les identifiants directs ont été retirés afin de limiter les risques d’identification des patients. Deuxièmement, la durée de conservation de ces données est stricte, plafonnée à trois ans, ce qui limite la longévité d’une éventuelle exploitation malveillante. Troisièmement, la localisation physique des serveurs en France permet de garantir une juridiction nationale, même si la propriété et le contrôle technique restent détenus par une entité américaine. Cette hybridation entre souveraineté physique et maîtrise technique étrangère est au cœur de la controverse.

Pour illustrer cette situation, prenons l’exemple d’un patient dont les données médicales – incluant les consultations, prescriptions et pathologies – figurent parmi celles analysées dans le cadre d’études scientifiques sur les conditions réelles d’utilisation des médicaments. Ces informations sont collectées, stockées et mises à disposition de chercheurs, tout en étant protégées par un protocole de pseudonymisation rigoureux. Malgré cela, des interrogations persistent sur la portée et la pérennité de cette protection, à la lumière des pressions juridiques américaines éventuelles.

• Pseudonymisation rigoureuse des données patients
• Durée de conservation limitée à trois ans
• Localisation des serveurs en France, sous contrôle juridique national
• Risque extraterritorial reconnu mais jugé encadré
• Validation par la CNIL puis confirmation par le Conseil d’État

Enjeux de la protection des données de santé dans l’ère du big data et de la souveraineté numérique

La gestion de données de santé sur plusieurs millions de sujets s’inscrit dans une dynamique globale où le big data transforme profondément la recherche médicale. Le projet DARWIN EU, piloté par l’Agence européenne du médicament, vise à exploiter ces données pour comprendre l’efficacité des traitements au-delà des essais cliniques traditionnels. En France, cette mission est confiée au Health Data Hub, une plateforme publique de données de santé. Celle-ci rassemble des informations indispensables pour enrichir la recherche et améliorer la prise en charge sanitaire, mais soulève aussi des problématiques majeures de sécurité informatique et de souveraineté numérique.

En effet, la concentration massive de données sensibles engage la vigilance sur plusieurs plans :

• Protection de la confidentialité médicale : Les informations relatives aux pathologies et traitements doivent impérativement être préservées contre tout accès non autorisé afin d’éviter les discriminations ou les usages abusifs.
• Intégrité des données : Garantir que les données ne soient ni altérées ni manipulées, ce qui pourrait fausser les résultats des études épidémiologiques et cliniques.
• Souveraineté numérique : Contrôler l’hébergement et le traitement local des données afin de limiter l’exposition à des législations étrangères potentiellement intrusives, en particulier le Cloud Act américain qui autorise des demandes de données en dehors du territoire des États-Unis.
• Ethique et transparence : Assurer aux patients et aux citoyens un niveau de confiance élevé par la clarté des protocoles et la limitation des risques d’accès indus.

Le recours à Microsoft Azure soulève précisément ces questions de souveraineté numérique. Bien que la plateforme fournisse une infrastructure robuste et sécurisée, sa nature américaine implique une certaine dépendance. Le gouvernement français a conscience de cette tension, ce qui explique la volonté affichée d’initier un basculement vers un hébergeur européen certifié SecNumCloud d’ici la fin de l’année. Cette certification, délivrée par l’ANSSI, garantit un standard élevé et une indépendance juridique plus forte, excluant les fournisseurs soumis à des législations extra-européennes.

Pour comprendre les enjeux liés à ce basculement, voici un tableau comparatif des caractéristiques principales des hébergements :

Critères	Microsoft Azure	Hébergeur Européen Certifié SecNumCloud
Localisation des serveurs	France (physiquement)	Europe (physiquement)
Maîtrise juridique	Législations américaine + européenne	Législations strictement européennes
Certification de sécurité	Standard international	Certifié SecNumCloud (ANSSI)
Exposition au Cloud Act	Possible	Exclue
Durée de conservation des données	Limitée (3 ans)	À définir selon les politiques nationales

Ce contexte met en lumière la complexité pour un État de gérer la protection des données dans un environnement numérique globalisé. L’équilibre entre l’exploitation du big data à des fins médicales innovantes et la garantie de la confidentialité nécessite des compromis et une vigilance constante.

Les implications juridiques et réglementaires liées au stockage des données de santé par Microsoft

Le choix de Microsoft comme hébergeur apporte au projet une infrastructure robuste, mais soulève simultanément d’importantes questions juridiques. La protection des données à caractère personnel est encadrée par le RGPD, qui impose notamment des restrictions strictes sur le transfert à l’étranger. Pourtant, Microsoft, en tant que société américaine, est assujettie au Cloud Act qui permet aux autorités américaines d’accéder aux données hébergées par ses filiales, y compris celles basées en Europe.

La CNIL a initialement donné son aval en février 2025 à ce montage, considérant que les garanties techniques et organisationnelles offertes par Microsoft permettaient de prévenir efficacement tout accès illicite. Le Conseil d’État a confirmé cette position en reconnaissant le caractère d’urgence du traitement des données de santé pour la recherche publique et la gestion sanitaire, mais sans sous-estimer les risques extraterritoriaux.

Les recours déposés par plusieurs associations ont notamment soulevé :

• La crainte d’une exposition des données de santé aux autorités étrangères sans contrôle démocratique.
• La vulnérabilité due à la législation américaine, pouvant impacter la souveraineté des données françaises.
• Un défaut perçu de maîtrise complète sur l’hébergement technique des informations.

En réponse, le Conseil d’État a souligné que plusieurs garde-fous atténuent ces risques :

• Pseudonymisation et sécurité renforcée limitant l’exploitation abusive.
• Durée stricte de conservation réduisant la fenêtre d’exposition.
• Contrôle par les autorités françaises et la CNIL sur les conditions d’accès aux données.

Malgré cette validation, le gouvernement a pris les devants en lançant en février 2026 un appel d’offres pour un hébergeur européen, avec une migration prévue d’ici à la fin de l’année. Ce calendrier illustre une volonté politique de renforcer la souveraineté numérique dans le secteur sanitaire, même si le Conseil d’État maintient que les risques actuels sont encadrés et ne justifient pas l’arrêt immédiat du partenariat avec Microsoft.

Transition vers un hébergeur européen : vers une souveraineté renforcée des données de santé

Le lancement d’un appel d’offres en février 2026 vise à remplacer Microsoft par un hébergeur européen certifié SecNumCloud. Cette décision traduit une préoccupation majeure pour la souveraineté numérique et la sécurité informatique des données médicales. L’élection de cet hébergeur garantira une maîtrise technique, juridique et politique forte sur les informations de santé des millions de Français concernés.

La migration vers un prestataire européen représente plusieurs avantages :

• Exclusion des législations étrangères intrusive, grâce à la certification SecNumCloud.
• Consolidation d’une indépendance numérique, renforçant la confiance des citoyens et des professionnels de santé.
• Amélioration des normes de sécurité informatique adaptées aux spécificités du secteur médical.
• Respect accru des règles européennes et alignement sur les ambitions du RGPD et de la directive NIS2.
• Diminution du risque de fuites ou d’utilisations détournées des données sensibles.

Le défi est cependant considérable. Il ne s’agit pas seulement d’un transfert technique mais d’une refonte complète des processus d’hébergement, de contrôle d’accès et de gestion des données. La migration devra garantir la continuité des recherches en cours, notamment celles menées dans le cadre du projet DARWIN EU. Les autorités ont donc planifié une phase transitoire jusqu’à fin 2026 pour parachever cette transition.

Par ailleurs, l’absence de migrations réussies par le passé retient l’attention. Depuis plusieurs années, des promesses avaient été faites pour transférer ces données vers des opérateurs français ou européens, mais les deadlines avaient été repoussées faute d’offres adaptées ou de capacités techniques suffisantes. Ce plan de migration semble cette fois-ci bien plus avancé, bénéficiant de l’appui conjoint des ministères de la Santé, du Numérique et de la Réforme de l’État.

La protection des données de santé : un équilibre délicat entre confidentialité et innovation

La conservation et l’exploitation des données de santé impliquent un équilibre subtil entre la nécessité d’innover dans la recherche médicale et la garantie d’une protection rigoureuse de la vie privée. Les millions de données collectées contiennent des informations particulièrement sensibles : parcours de soins, traitements, diagnostics, et études longitudinales.

La confidentialité est non négociable, d’où la mise en place d’un cadre légal strict et de mesures techniques robustes. La pseudonymisation des données, la limitation de la durée de conservation, ainsi que l’accès contrôlé conditionné par des procédures validées par la CNIL, constituent les piliers de la protection actuelle.

Examinons les mécanismes majeurs de protection :

1. Pseudonymisation : Suppression ou substitution des identifiants directs pour éviter toute identification directe des patients.
2. Contrôle d’accès : Attribution restreinte aux chercheurs autorisés et soumises à des règles déontologiques strictes.
3. Surveillance réglementaire : Impliquant la CNIL et des audits réguliers pour garantir le respect des normes.
4. Durée de conservation limitée : Evite l’archivage prolongé non justifié des données sensibles.
5. Transparence et consentement : Information claire aux citoyens sur l’usage de leurs données, même pseudonymisées.

Ce dispositif vise à ne pas freiner le développement des connaissances permettant d’améliorer la prise en charge des patients. Par exemple, dans le cadre du projet DARWIN EU, les données permettent d’identifier des effets secondaires rares ou d’optimiser les protocoles thérapeutiques. Il s’agit d’un enjeu fondamental pour la santé publique, tout en garantissant que l’innovation ne se fasse pas au détriment de la protection individuelle.

Les prochaines années seront cruciales pour mesurer la capacité des acteurs français à maintenir ce fragile équilibre, notamment au regard de la transition vers un hébergement européen et des évolutions technologiques en matière de sécurité informatique.

Pourquoi Microsoft a-t-il été choisi pour héberger les données de santé ?

Microsoft Azure offre une infrastructure technique robuste, un large éventail d’outils sécurisés, et une capacité à gérer des volumes importants de données, ce qui a motivé son choix initial malgré les risques juridiques liés au Cloud Act.

Quelles garanties protège la confidentialité des données ?

La pseudonymisation, la limitation de la durée de conservation à trois ans, la localisation des serveurs en France et le contrôle par la CNIL sont des mesures clés pour sécuriser la confidentialité des données de santé.

Qu’est-ce que le Cloud Act et pourquoi pose-t-il problème ?

Le Cloud Act est une loi américaine qui autorise les autorités américaines à demander l’accès aux données détenues par des entreprises américaines, même si ces données sont hébergées à l’étranger, ce qui poses des risques pour la souveraineté numérique européenne.

Pourquoi la France souhaite-t-elle migrer vers un hébergeur européen ?

Pour renforcer la souveraineté numérique, éviter l’application de législations extraterritoriales et garantir un contrôle intégral juridique et technique sur les données sensibles selon des normes européennes strictes.

Quel est l’enjeu principal du Health Data Hub ?

Le Health Data Hub permet de collecter et mettre à disposition des chercheurs des données de santé pseudonymisées de millions de Français afin d’améliorer la recherche médicale et la santé publique.