1Symbole du déploiement du numérique en santé voulu par les pouvoirs publics, le Health Data Hub doit également être le fer-de-lance de la « start-up nation » dans le champ de la santé. Derrière cet intitulé anglophone qui se veut accrocheur, se cache la Plateforme nationale des données de santé, organisme public en charge de la gestion opérationnelle du Système national des données de santé (SNDS), lequel centralise les données de santé disponibles pour la recherche scientifique.

2Créé en 20169 et enrichi en 201910, le SNDS a vocation à mettre à disposition de la recherche de grandes bases de données en santé, à l’image des données de remboursement des soins de l’Assurance maladie, ou encore de la base de données sur les causes de décès de l’Inserm. Une telle centralisation, qui concerne théoriquement toutes les données recueillies par des professionnel·les de santé dans le cadre de soin remboursés par la sécurité sociale, doit permettre de faciliter les recherches menées sur ces données, les chercheur·ses n’ayant plus à solliciter différentes institutions, mais seulement le Health Data Hub pour y accéder.

3Guichet unique, catalogue enrichi, force opérationnelle, le Hub a bénéficié d’une publicité très positive. Toutefois, cette affiche alléchante laisse place, en coulisse, à des difficultés techniques pour centraliser une masse si volumineuse de données. En effet, le Hub doit s’appuyer sur des outils techniques surpuissants permettant de stocker des millions de données mais aussi de les interroger. Le Health Data Hub a donc entrepris, assez discrètement, de pourvoir à ces nécessités en cherchant un partenaire privé capable de lui apporter des solutions pratiques.

4La crise sanitaire provoquée par la pandémie de Covid-19 a imposé d’accélérer cette recherche. Le triptyque « tester, tracer, isoler », au cœur de la politique sanitaire française, a conduit à la création de nouvelles bases de données afin de suivre l’évolution de l’épidémie et de tenter de l’endiguer. Dans cette perspective, des millions de données ont été collectées au sein des systèmes d’information « Dépistage » et « ContactCovid », le premier recueillant les données personnelles relatives au dépistage de la Covid et le second dédié à la collecte des données d’identification et de prise en charge des patient·es et des cas contacts11. Depuis le 25 décembre 2020, les données relatives à la vaccination sont, elles, centralisées au sein du système d’information « Vaccin Covid »12. Eu égard à l’urgence de la situation et à la nécessité de mieux connaître le virus, le gouvernement a fait le choix de confier au Health Data Hub ces données pour la recherche. Afin de tirer toute la potentialité de ces big data, sont venues s’ajouter à ce catalogue dédié à la Covid les données de soin, de traitement médicamenteux, d’examens cliniques et bien d’autres encore13.

5Face à cette nouvelle mission, le Hub a dû trouver rapidement des réponses aux défis techniques déjà connus. Disposant d’une certification « hébergeur des données de santé » et de capacités de stockage suffisantes, c’est le géant américain Microsoft, déjà pressenti depuis 2019 pour héberger le SNDS, qui a été retenu.

6On comprend en quoi le recours au numérique peut être précieux pour aider à la collecte et au traitement de données massives, auxquelles il est opportun de donner accès aux chercheur·ses pour faciliter leur travail. L’angle mort tient ici à ce que « le numérique » n’est pas une entité abstraite. Il n’existe qu’à travers des ordinateurs, des logiciels, des serveurs et des câbles qui sont forcément situés en certains endroits de la planète, soumis à certains droits de propriété, à certaines législations et à certaines souverainetés nationales.

7La sélection de Microsoft comme hébergeur du « catalogue Covid » a rapidement fait l’objet de critiques. C’est d’abord sur le terrain de la souveraineté numérique que le débat a éclaté, le choix de retenir Microsoft étant considéré comme contraire aux intérêts stratégiques français14. Dans ce cadre, la souveraineté fait référence à la maîtrise de l’État, ici sur les données de santé, le choix de Microsoft actant un recul du pouvoir face aux Gafam. C’est également sur le terrain de la protection de la vie privée que ce choix a été critiqué et cela en raison du fait que Microsoft ne dispose pas de centre de stockage des données de santé suffisant en France. Aussi l’entreprise doit-elle transférer les données aux Pays-Bas, en Irlande et aux États-Unis.

8Le Conseil d’État fut même saisi en référé à l’été et l’automne 2020 pour interdire au Health Data Hub de recourir aux services de Microsoft15. Les demandeurs à l’action faisaient valoir que le transfert aux États-Unis des données de santé faisait planer un risque pour la vie privée des personnes. En effet, la Cour de Justice de l’Union européenne avait jugé plus tôt que les États-Unis ne disposaient pas de mesures de protection de la vie privée suffisantes, ce qui imposait de négocier contrat par contrat la protection accordée aux données lors de transferts16. Face à ces critiques, la direction du Health Data Hub a tenté de rassurer : aucun transfert de données personnelles aux États-Unis ne sera autorisé. Le ministère de la Santé allant lui jusqu’à préciser rechercher sous deux ans un nouveau prestataire pour l’hébergement de ces données sensibles. Le Conseil d’État a accueilli favorablement ces arguments et rejeta le référé. Pour les juges, l’urgence et l’ampleur de la crise sanitaire imposent la centralisation des données pour la recherche alors que les risques pesant sur la vie privée des personnes lors de transferts outre-Atlantique des données ne sont eux qu’hypothétiques.

9Le chapitre Health Data Hub/Microsoft semblait dès lors clos par cette décision. Pourtant, l’affaire se déplace encore vers de nouveaux forums pour tenter d’obtenir de la transparence sur les activités du Hub et sur ses liens avec Microsoft. En janvier 2021, la Commission d’accès aux documents administratifs (Cada) a été saisie d’une demande de publication des codes sources permettant à la plateforme de fonctionner mais aussi du rapport interne au Hub relatif à la réversibilité de l’hébergement des données par Microsoft. Le 27 avril 2021, la Cada a rejeté la demande en ce qui concerne les codes sources, arguant la nécessité de maintenir leur confidentialité afin de protéger les données de santé du SNDS, mais le rapport a, lui, été transmis aux demandeurs et demandeuses17.

10Après la Cada, c’est maintenant au tour du Parquet national financier (PNF) d’être saisi sur ce sujet, l’affaire ressurgissant sur le terrain de la lutte contre la corruption. En effet, dès le mois de juin 2020, des soupçons planaient sur l’attribution du marché de l’hébergement des données de santé à Microsoft. La presse avait rapporté que le contrat entre le Hub et Microsoft aurait été antidaté avant d’être présenté devant le juge administratif. Le 26 mars 2021, c’est l’association Anticor qui a saisi le PNF pour faire la lumière sur ce choix et justifier l’absence de recours au marché pour la sélection de ce prestataire18. La saga Health Data Hub/Microsoft est donc loin d’être terminée…