Health Data Hub : le Conseil d'État valide Microsoft malgré les risques souverains
Situation
Le Conseil d'État a rejeté le 20 mars 2026 les recours contre l'autorisation CNIL permettant au Health Data Hub de traiter des données de santé françaises via Microsoft Azure, prolongeant ainsi un dispositif controversé pour trois années supplémentaires.
Contexte
Le Health Data Hub exploite le Système national des données de santé dans le cadre de projets de recherche, notamment européens. Depuis 2019, l'hébergement confié à Microsoft Ireland alimente un débat persistant sur la souveraineté des données médicales françaises.
Ce qui est confirmé
L'autorisation reste encadrée jusqu'en février 2028. Les données demeurent hébergées en France, pseudonymisées sous contrôle de la CNAM, et Microsoft dispose bien d'une certification HDS.
Ce qui pose question
Le risque d'accès indirect via le CLOUD Act n'est pas totalement éteint. À cela s'ajoutent une dépendance structurelle à un acteur extra-européen et un niveau d'usage encore jugé insuffisant au regard des investissements déjà consentis.
L'impact financier & organisationnel
Le maintien chez Microsoft constitue un choix de continuité faute d'alternative souveraine immédiatement opérationnelle. La migration annoncée vers un environnement SecNumCloud reste un enjeu de préparation technique, budgétaire et humaine pour les établissements concernés.
Le regard du Cercle
La décision privilégie la continuité de la recherche en santé, mais elle ne clôt pas le débat de souveraineté. Elle confirme surtout que la stratégie cloud du secteur sanitaire ne peut plus rester un sujet différé.
Recommandations
Chercheurs : vérifier avant soumission que chaque projet dispose de sa base juridique, d'une autorisation CNIL compatible et d'une durée de conservation explicitement documentée.
DPO et directions SI : dresser dès maintenant un plan de migration vers des solutions souveraines ou SecNumCloud afin de limiter les à-coups organisationnels à l'échéance 2028.
Professionnels de santé : intégrer dans l'information patient une explication simple sur la pseudonymisation et les usages de recherche associés aux données traitées.
Sources
Traçabilité : Presse spécialisée (Clubic, Usine Digitale, Le Figaro).
