Le Conseil d’Etat juge que l’autorisation accordée par la Cnil à Health Data Hub d’extraire et de traiter des données de santé pour une durée de trois ans ne permet que le traitement automatisé des données et n’autorise pas leur transfert vers les Etats-Unis.
L’agence européenne des médicaments a mis en place un réseau d’institutions publiques et privées, dénommé "DARWIN EU", visant à recueillir des données permettant d’étudier l’emploi, la sécurité et l’efficacité des médicaments et vaccins à usage humain.
Par une délibération n° 2025-014 du 13 février 2025, la Commission nationale de l’informatique et des libertés (Cnil) l'a autorisée à mettre en œuvre des traitements automatisés de données personnelles, permettant l’exploitation des données personnelles de santé d’un échantillon de la population française, pour une durée de trois ans, afin de réaliser des études portant sur la prévalence et l’incidence des pathologies dans la population française.
Ces traitements nécessitent l’extraction de ces données du Système national des données de santé (SNDS) par le Groupement d’intérêt public (GIP) "Plateforme des données de santé" (PDS), aussi dénommé "Health Data Hub", qui agit en tant que partenaire de l’agence européenne des médicaments.
Pour l’hébergement des données ainsi extraites, le GIP a recours à la société Microsoft Ireland Operations, Ltd.
Plusieurs associations et des particuliers ont demandé au Conseil d’Etat d’annuler la délibération de la Cnil, estimant qu’il existe un risque de transfert de données personnelles vers les Etats-Unis, Microsoft Ireland Operations, Ltd étant une filiale de droit irlandais de la société Microsoft, établie aux Etats-Unis.
Dans sa décision rendue le 20 mars 2026 (requêtes n° 503159 et 504171), le Conseil d'Etat relève tout d'abord que l’autorisation de la Cnil a pour seul objet d’autoriser le traitement de données de santé hébergées dans des centres de données situés en France, et non d’autoriser le transfert de ces données vers les Etats-Unis.
Elle n’entre pas dans le champ de la décision d’exécution (UE) 2023/1795 de la Commission européenne du 10 juillet 2023, dite "décision d’adéquation", qui autorise de tels transferts. L’argumentation des requérants relative à l’illégalité de cette décision (...)
