Données de santé : l'Assurance maladie réclame un appel d'offres pour le Health data hub

Après plusieurs mois de contestation, c'est au tour de l'Assurance maladie de prendre position sur le Health data hub. Le Conseil d'administration de la Cnam réclame "un appel d'offres  avec mise en place d'une commission indépendante" pour choisir un nouvel hébergeur des données de santé en remplacement de Microsoft.

La Cnam rappelle que le choix de Microsoft a été opéré "sans appel d'offre" et "dans une relative urgence" en dépit du "risque d'accès non autorisé aux données" depuis les Etats-Unis. Cette prise de position intervient après celles du Conseil d'Etat et de la Cnil qui ont déjà rappelé à l'ordre le gouvernement. Ce dernier s'était engagé, en février 2021, à trouver "une solution technique" conforme au droit national et européen dans un délai "ne dépassant pas deux ans". 

Audit indépendant

Selon la Cnam, les pouvoirs publics devraient ainsi "rendre publique" une liste des "neuf solutions d'hébergement éligibles" identifiées, et "s'engager sur un calendrier précis de migration". L'Assurance maladie estime qu'il faudra également "procéder à un appel d'offres à la suite d'un audit indépendant" et en "publier le cahier des charges exhaustif".

Recherche sur les données de santé

Annoncée au mois de mars 2018, la plateforme de recherche sur les données de santé Health data hub a été officiellement lancée le 1er décembre 2019. Elle a pour objectif de mettre des données de santé à disposition des chercheurs qui pourront les exploiter notamment grâce à l'intelligence artificielle.

Mais, rapidement, des voix se sont fait entendre pour critiquer certains aspects de la plateforme. Principal sujet de préoccupation, l'hébergement de Health data hub sur le cloud de Microsoft. Ce dernier a été certifié hébergeur de données de santé en France mais ses liens avec les Etats-Unis passent mal. Depuis l'adoption du Cloud act par le Congrès, les agences de renseignement états-unienne peuvent en effet accéder aux informations hébergées sur les serveurs des fournisseurs de cloud, même si les infrastructures se situent en dehors des Etats-Unis. Concrètement, les Etats-Unis pourraient obtenir des données de santé d'un citoyen français sans son consentement.