L'autorisation donnée par la CNIL pour l'hébergement chez Microsoft de nos dossiers médicaux a été validée par le Conseil d'État. Ce feu vert maintient 10 millions de dossiers médicaux français sous pavillon américain.
La bataille pour la souveraineté de nos données de santé vient de connaître un revers cuisant. Vendredi dernier, le juge des référés du Conseil d'État a tranché : l'Agence européenne des médicaments (EMA) peut continuer à exploiter les dossiers médicaux de millions de Français via le cloud Microsoft. Un coup dur pour les défenseurs de l'indépendance numérique qui voient nos données les plus intimes voguer vers des serveurs aux couleurs américaines.
La tech française s'insurge contre le transfert des données médicales à Microsoft
L'affaire fait parler depuis longtemps, par son aspect symbolique. Et l'association Les Licornes Célestes, ainsi que plusieurs champions du numérique hexagonal, avaient dégainé leur recours contre la délibération de la CNIL du 13 février 2025, estimant qu'elle bradait nos précieuses données médicales à Microsoft.
Au cœur du débat, on retrouve le projet DARWIN UE, une ambitieuse initiative européenne visant à cartographier les maladies et leur prévalence en population générale. La Plateforme des données de santé (PDS) y joue les intermédiaires, en ce qu'elle puise dans notre Système National des Données de Santé (SNDS), avant de confier ce trésor médical aux serveurs de Microsoft Ireland.
Les requérants ont sonné l'alarme sur un risque majeur, celui de la loi américaine, le fameux Cloud Act, qui pourrait contraindre Microsoft à ouvrir ses coffres-forts numériques aux autorités américaines. « Comment garantir que nos pathologies et traitements ne traverseront pas l'Atlantique ? », s'inquiétaient-ils, en pointant l'impossibilité technique d'un cloisonnement parfait des données.
Le Conseil d'État minimise les risques d'espionnage des données médicales
Le juge des référés du Conseil d'État n'a pas cédé à la panique. Bien qu'admettant qu'un accès américain aux données « ne peut être totalement exclu », il l'a jugé trop « hypothétique » à ce stade pour justifier une suspension en urgence. Un pari risqué sur notre intimité médicale ?
Les garanties avancées semblent avoir convaincu le juge administration. La certification spéciale « hébergeur de données de santé » de Microsoft, la pseudonymisation (c'est-à-dire le remplacement des noms par des codes anonymes) et la limitation de l'autorisation à trois ans semblent avoir été suffisantes. Une ceinture et des bretelles assez robustes pour protéger nos secrets médicaux des regards indiscrets.
C'est finalement la carte du réalisme qui l'emporte ici. La plus haute juridiction administration française souligne l'intérêt public des études prévues et l'absence d'alternatives européennes « prêtes à l'emploi ». Une façon de dire que la tech européenne n'est pas encore assez musclée pour se passer des biceps américains. De quoi laisser un goût amer aux défenseurs du tant espéré cloud souverain.
Tout n'est pas encore figé dans le marbre
Cette décision tombe comme un pavé dans la mare numérique européenne. Nous avons, d'un côté, nos champions locaux que sont Clever Cloud, Nexedi et RapidSpace, qui tentent de bâtir une alternative « made in Europe ». Et de l'autre, nous retrouvons les géants américains dont l'infrastructure tentaculaire semble encore indépassable.
Attention toutefois : il ne s'agit que qu'une mi-temps judiciaire. Le juge des référés n'a statué que sur l'urgence à suspendre, pas sur la légalité de fond. La partie finale se jouera dans plusieurs mois, quand le Conseil d'État examinera tous les arguments juridiques. Mais d'ici là, DARWIN UE continuera de scanner nos pathologies sous l'œil de Microsoft.
Alors la question se pose… Faut-il privilégier l'efficacité immédiate des solutions américaines, ou construire patiemment notre indépendance technologique ? Entre souveraineté et pragmatisme, nos données de santé marchent sur un fil. Et le vertige n'est jamais loin quand on joue avec nos secrets médicaux les plus intimes.
Une fois de plus la bêtise et l’incompétence de nos dirigeants se soumettent aux décisions d’un conseil d’Etat nullissime. D’un côté champion du monde concernant la sécurité des documents d’identité avec Thales et de l’autre incapable de sécuriser nos données médicales. On marche sur la tête 
