Posted by Validation de l’Hébergement temporaire des données du SNDS par Microsoft!
Quid de l’entrepôt EMC2 si l’ « EU-US Data Privacy Framework » venait à être invalidé par la CJUE ?
Délibération n° 2023-146 du 21 décembre 2023 autorisant le groupement d’intérêt public » Plateforme des données de santé » à mettre en œuvre un traitement automatisé de données à caractère personnel ayant pour finalité la constitution d’un entrepôt de données dans le domaine de la santé, dénommé » EMC2 « . (demande d’autorisation n° 2229962v1)
Eléonore SCARAMOZZINO, Avocate
Le 21 décembre 2023, la Cnil a autorisé le groupement d’intérêt public » Plateforme des données de santé » (GIP PDS[1], connu sous la dénomination Health Data Hub, ci-après HDH) à mettre en œuvre un traitement automatisé de données à caractère personnel ayant pour finalité la constitution d’un entrepôt de données dans le domaine de la santé, dénommé » EMC2 « .[2] La création de cet entrepôt de données intervient dans le cadre d’un appel d’offres de l’Agence européenne des médicaments (EMA) pour la constitution d’une base de données afin de conduire des études en pharmaco-épidémiologie. En effet, le HDH a été attributaire du lot 3 de cet appel d’offres et une convention de prestation de service a été conclue le 13 décembre 2021 avec l’EMA. La constitution de l’entrepôt nécessite un appariement entre les données de la base principale du système national des données de santé (SNDS) et les dossiers médicaux fournis par les établissements de santé partenaires.
Le HDH a demandé à la CNIL l’autorisation pour la création de cet Entrepôt EMC2, dans la mesure où il était impossible de se conformer à toutes les exigences du référentiel entrepôt de données de santé (délibération n° 2021-118 du 7 octobre 2021 portant adoption d’un référentiel relatif aux traitements de données à caractère personnel mis en œuvre à des fins de création d’entrepôts de données dans le domaine de la santé). La constitution de l’entrepôt nécessite un appariement entre les données de la base principale du système national des données de santé (SNDS) et les dossiers médicaux fournis par les établissements de santé partenaires. Cet EDS doit permettre la réalisation de recherches, d’études et d’évaluations dans le domaine de la santé. Il est fondé sur l’intérêt public (art 6.1.e) du RGPD) et l’article 9.j) du RGPD[3] et l’article 44 Loi Informatique et Libertés (LIL) . La CNIL reconnaît qu’il existe un risque d’accès aux données hébergées par Microsoft, par les autorités américaines. L’immunité à l’extraterritorialité des lois étrangères n’est pas garantie. Toutefois, ce risque est qualifié d’acceptable compte tenu de l’existence du Data Privacy Framework EU-US.
La Cnil pouvait-elle en qualité d’autorité de protection des données, refuser l’autorisation de création l’entrepôt de données de santé EMC2 au motif que l’hyperscaler Microsoft ne pouvait garantir l’immunité d’extraterritorialité des lois américaines ? Pouvait-elle se fonder sur l’existence d’un risque d’accès non autorisé aux données de ce futur entrepôt hébergeant des données du SNDS et des données de santé de 4 hôpitaux français pour refuser l’autorisation ?
Pour rappel, l’entrée en vigueur de la stratégie « cloud de confiance » a pu remettre en cause plusieurs projets des hyperscalers extra-européens. À titre d’exemple, Microsoft a été confronté à l’arrêt des projets d’adoption de ses solutions par le ministère de l’Éducation nationale et de la Jeunesse en novembre 2022[4], en raison de l’application du Cloud Act.
Par ailleurs, pour autoriser la création d’entrepôt de données de santé avec un appariement avec les données du SNDS, la CNIL a toujours appliqué la doctrine Cloud Souverain, devenu « Cloud au Centre » par la circulaire n° 6282-SG du 5 juillet 2021[5], actualisée en juillet 2023, et qui prévoit que les services numériques des administrations seront hébergés sur l’un des deux cloud interministériels internes de l’État ou sur les offres de cloud proposées par les industriels satisfaisant aux critères stricts de sécurité de référentiel SecNumCloud développé et délivré par l’ANSSI. Ce référentiel contient désormais des dispositions relatives à la protection contre le droit extra-européen. Cette protection repose notamment sur l’assurance que l’infrastructure de cloud sera exploitée par une société soumise exclusivement aux lois de l’Union européenne et sur le cloisonnement de l’environnement informatique qualifié SecNumCloud. En d’autres termes, les données seront hébergées en France par des hébergeurs immunisés contre l’application extraterritoriale des lois des puissances étrangères. La Cnil a développé une doctrine en phase avec la volonté du Gouvernement d’inciter les Opérateurs Importance Vitale (OIV), les Opérateurs de Service Essentiel (OSE) et les collectivités territoriales à recourir au cloud et à utiliser des offres SecNumCloud pour les données sensibles.
Si la Cnil a exprimé ses regrets sur l’absence d’offres alternatives sur le marché européen, force est de constater qu’elle s’est résignée.
L’engagement vis-à-vis de l’EMA et l’adoption de la décision d’adéquation de la Commission européenne sont-ils de nature à justifier une différence de traitement entre l’exigence d’immunité d’extraterritorialité des lois étrangères imposée aux entrepôts de données « CardioHub » et « Magellan » et l’hébergement temporaire des données du SNDS par Microsoft ? Afin d’analyser la position de la Cnil, et notamment la qualification du risque au regard du « EU-US Data Privacy Framework » adopté en juillet 2023, il convient de retracer le contexte et notamment l’arbitrage politique sur l’hébergement des données du SNDS
[1] Les missions précisées à l’article L. 1462-1 du CSP
[2] Délibération n° 2023-146 du 21 décembre 2023 autorisant le groupement d’intérêt public » Plateforme des données de santé » à mettre en œuvre un traitement automatisé de données à caractère personnel ayant pour finalité la constitution d’un entrepôt de données dans le domaine de la santé, dénommé » EMC2 « . (demande d’autorisation n° 2229962v1)
[3] Règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive95/46/CE (règlement général sur la protection des données), JO L119 du 4.5.2016, p. 1
[4] La solution Microsoft Office 365 propose une suite bureautique entièrement hébergée sur le cloud de Microsoft, Azure, et donc potentiellement soumise au Cloud Act américain. https://www.zdnet.fr/actualites/microsoft-doit-quitter-les-ecoles-confirme-le-ministere-de-l-education-nationale-39949956.htm
[5] La circulaire n° 6282-SG précise que « si le système ou l’application informatiques manipule des données d’une sensibilité particulière, qu’elles relèvent notamment des données personnelles des citoyens français, des données économiques relatives aux entreprises françaises, ou d’applications métiers relatives aux agents publics de l’État : l’offre commerciale retenue devra impérativement respecter la qualification SecNumCloud (ou une qualification européenne d’un niveau au moins équivalent) et être immunisée contre toute réglementation extracommunautaire », pages 10-11.
lire la suite ….
