Le Conseil d’État validé aujourd’hui le projet Darwin qui prévoit de transférer les données de santé de 10 millions de Français vers la Health Data Platform (PDS), hébergée par Microsoft. La décision intervient dans un contexte paradoxal : le gouvernement avait déjà annoncé en février vouloir remplacer Microsoft par un opérateur strictement européen d’ici fin 2026.
La Haute Cour a estimé que la validation accordée par la CNIL était conforme au RGPD, donnant tort aux deux associations et à l’entreprise de cloud qui dénonçait le risque d’accès aux données par les autorités américaines via la législation extraterritoriale américaine. Le Conseil d’Etat lui-même reconnaît que ce risque « ne peut être totalement exclu »mais estime que les garanties offertes sont suffisantes. Le PDS a en effet mis en place la pseudonymisation des données, une durée de conservation limitée à trois ans, le stockage dans des centres de données situés en France et l’absence de tout transfert vers les Etats-Unis.
Les données de santé pertinentes pour les Français proviennent de l’Assurance maladie et seront utilisées dans le cadre d’études coordonnées par l’Agence européenne du médicament sur l’incidence et la prévalence de l’usage de médicaments dans la population générale. Le périmètre du projet est donc strictement encadré, ce que le Conseil d’Etat a retenu comme un élément favorable dans son appréciation globale du dossier.
Microsoft déjà en sursis malgré la validation légale
Le recours à Microsoft pour héberger les données de santé des Français suscite une opposition tenace depuis l’origine du PDS, anciennement connu sous le nom de Health Data Hub. De nombreux experts et spécialistes des données ont régulièrement alerté sur les risques pour la souveraineté et la sécurité numérique, pointant notamment la vulnérabilité à la législation extraterritoriale américaine que le Conseil d’État lui-même n’a pas pu exclure totalement.
Le gouvernement a tranché en février : le prochain opérateur PDS ne peut pas être soumis à une législation non européenne, ce qui exclut de fait tous les acteurs non européens. Le calendrier fixé vise un transfert complet de la plateforme avant fin 2026.
La décision du Conseil d’État valide donc juridiquement une situation que le gouvernement juge politiquement dépassée. Darwin peut techniquement être déployé dans le cadre actuel, mais la page Microsoft se tourne déjà.
