Le Conseil d'Etat a maintenu le 13 octobre l'hébergement du Health Data Hub (HDH) par Microsoft "dans l’attente d’une solution qui permettra d’éliminer [le] risque d’accès aux données personnelles par les autorités américaines", et a demandé au Hub d'apporter rapidement de nouvelles garanties. Une validation a minima qui renvoie le fond du problème au politique, alors que la Cnil a nettement pris position contre l'hébergement du Hub par Microsoft, ainsi que l'ont révélé plusieurs médias dont APMnews/TICpharma. Le régulateur s'est inquiété de la possibilité de "transferts de données opérés par Microsoft à la demande des services de renseignement des Etats-Unis" et recommande de "confier l'hébergement de ces données à des sociétés non soumises au droit états-unien". Le changement d'hébergeur "devrait intervenir dans un délai aussi bref que possible", que ce soit pour une société n'ayant pas d'activités aux Etats-Unis ou ayant mis en place une filialisation de ses activités outre-Atlantique ou un accord de licence. Cette préconisation de la Cnil ne concerne pas seulement le HDH, mais plus largement les "autres entrepôts de données de santé hébergés par les sociétés soumises au droit états-unien". Autrement dit, la Cnil incite fortement tous les acteurs du secteur, qu'ils soient entreprises pharmaceutiques, CRO ou établissements de santé, à éviter les hébergeurs ayant un pied aux Etats-Unis. Cette position n'a pas de valeur normative, et le Conseil d'Etat s'est bien gardé de lui en donner une. Mais le collectif Santénathon, à l'origine du référé, a déjà annoncé son intention saisir la juridiction sur le fond. Le Conseil d'Etat pourrait donc être amené à prendre une décision impactant directement tous les acteurs de la santé ayant recours à ces hébergeurs, ce qui ne serait pas sans conséquence, étant donnée la très forte présence d'Amazon Web Services (AWS) et de Microsoft, pour ne citer qu'eux, dans le secteur.