Expertises des Systèmes d'information - Juillet/Août 2021 - N°470 - Le mensuel du droit de l'informatique et du multimédia - 275

d'être accompagnés par les
équipes de la Cnil qui se mobilisent
sur leur projet, ce qui ne pourra
que rassurer les futurs clients,
partenaires et investisseurs...
A l'inverse, il arrive que certaines
entreprises
ne
respectent
pas
ces normes. Ainsi, dans son
émission de fin mai 2021, Cash
Investigation a présumé que
la
société
américaine
IQVIA
semblerait ne pas respecter l'autorisation
délivrée par la Cnil en
2018 en « siphonnant les données
des pharmacies » françaises et en
revendant les données médicales
à des tiers. Ce fait n'est pas prouvé
à ce jour. En réaction, la Cnil a
annoncé procéder à un contrôle
de cette société...
La création du Health Data
Hub et des traitements
de lutte contre la Covid
Afin de consolider plus encore
la centralisation des données,
le projet Health Data Hub a été
annoncé en mars 2018 afin d'héberger
toutes les données du SNDS.
À plus long terme, toute donnée
collectée dans le cadre d'un
acte remboursé par l'Assurance
maladie sera intégrée au Health
Data Hub. Ce projet est devenu
réalité par la parution d'un arrêté
du 21 avril 2020, en pleine crise de
la Covid,
institutionnalisant cette
plateforme centralisée sur laquelle
sont rassemblées les données de
santé de tous les Français.
Quelques semaines plus tard, dans
le cadre de la loi du 11 mai 2020,
le gouvernement officialise le
lancement d'un traitement de
données personnelles, avec une
levée légale du secret médical,
permettant la lutte contre la Covid.
Ce traitement extraordinaire était
limité à un délai de 6 mois.
Or, le projet du Health Data Hub
n'est pas de tout repos.
Le principal reproche fait aux
décideurs du Health Data Hub
est d'avoir confié l'hébergement
Cette opinion était partagée par la
Justice puisque le Conseil d'Etat
a reconnu, dans son ordonnance
du 13 octobre 2020, qu'il existait
un réel risque sur le transfert des
données vers les Etats-Unis. Ces
craintes sont également celles
de nombreux acteurs de la santé,
dont notamment la Cnam qui
est la principale pourvoyeuse de
données de santé. En février 2021,
son Conseil a maintenu ses inquiétudes
et ce, malgré le fait que
Microsoft ait décidé d'héberger
les données du HDH désormais
en France. Fin février 2021,
Cnil
la
irlandaise a également
fait
part de sérieuses préoccupations
quant à de tels transferts vers les
Etats-Unis.
EXPERTISES JUILLET 2021
à Microsoft. En tant que société
basée aux Etats-Unis, Microsoft
est en effet soumise au Cloud
Act 2018 qui permet aux « law
enforcement » (forces de l'ordre)
de contraindre n'importe quelle
société technologique américaine,
par warrant (sorte de mandat émis
unilatéralement par une autorité)
ou subpoena (assignation devant
une autorité judiciaire), à fournir
les données demandées stockées
sur des serveurs, qu'ils soient
situés aux États-Unis ou dans des
pays étrangers. En d'autres termes,
cette loi américaine permet à
des autorités US d'accéder aux
données stockées par Microsoft
pour le compte du Health Data
Hub. Cette possibilité de voir un
autre gouvernement accéder à
nos données de santé apparaît
aux yeux de certains comme un
risque absolu.
D'ailleurs, dans son avis du
20 avril 2020, la Cnil a pointé
du doigt le fait que Microsoft a
refusé de garantir que toutes les
données seraient stockées en
Europe, seules les données « au
repos » étant garanties comme
hébergées au sein de l'Union. Puis,
dans un second temps, constatant
l'annulation du Privacy Shield sur
lequel s'appuyait Microsoft, la Cnil
a réclamé que les données soient
toutes stockées en Europe.
Il convient de souligner que
Microsoft a aussi lourdement
investi dans de nombreux projets
de
santé
(éditeurs de
de santé, HDS,
logiciels
ligne de services
Office et Teams dédiée à la santé,
etc.). Certains craignent ainsi que
les données de santé des Français
confiées
soient
autant de
fuel
gratuit pour le moteur de la R&D
de Microsoft et les futurs produits
de la firme de Redmond. Ainsi, les
projets de R&D accrédités seraient
théoriquement accessibles par
Microsoft (malgré le chiffrement
des données) et potentiellement les
autorités américaines.
Les porteurs des projets d'utilisation
des données de santé
(soumises aux MR de la Cnil) sont
très soucieux de l'hébergement
de leurs données et veillent à
ce qu'elles soient bien stockées
ailleurs, très souvent chez un autre
hébergeur. Ces porteurs de projets,
qui se lancent dans de lourds
travaux, pointent souvent cet
aspect « donnée » dans le cadre de
la soumission au HDH et à la Cnil.
Toutefois, loin de l'émotion,
plusieurs points de raison doivent
être soulignés :
■ Microsoft était le seul à répondre
aux critères des autorités françaises,
notamment en termes
de performance, volumétrie et
sécurité. Aucun autre acteur
(pas même AWS) n'a répondu
favorablement ;
■ il convient d'accorder aux dirigeants
de Microsoft le fait qu'ils
n'ont pas l'habitude de répondre
aux injonctions du gouvernement
américain sans a minima
se défendre (et défendre les
données de leurs clients)
;
d'ailleurs, le Cloud Act est né
précisément car Microsoft avait
refusé de répondre favorablement
à la requête d'une autorité
judiciaire américaine ;
■ Le Cloud Act ne peut être
actionné qu'en cas de procédure
pénale, notamment
dans le cadre d'investigations
propres au terrorisme, au trafic
de drogue ou plus largement
275
Expertises des Systèmes d'information - Juillet/Août 2021 - N°470 - Le mensuel du droit de l'informatique et du multimédia

Table des matières de la publication Expertises des Systèmes d'information - Juillet/Août 2021 - N°470 - Le mensuel du droit de l'informatique et du multimédia
