Le ministère des solidarités et de la santé s'était engagé à déposer cette demande, à la suite d'une requête de la Cnil, avant même la création du GIP Health Data Hub fin 2019, a indiqué Stéphanie Combes.

Pour mémoire, le Hub a retenu comme hébergeur Microsoft Azure, un choix contesté et critiqué, notamment par la Cnil, mais validé par le Conseil d'Etat faute de mieux. En novembre 2020, Olivier Véran s'est engagé à "adopter une nouvelle solution technique" d'ici deux ans.

La plateforme technologique du Hub est opérationnelle depuis le printemps, mais elle comprend uniquement des données relatives à l'épidémie de Covid-19 et repose sur des décrets pris dans le cadre de l'état d'urgence sanitaire.

Un décret, dont la parution était initialement prévue à l'automne 2020 mais dont le projet de texte a été modifié plusieurs fois, doit autoriser de manière pérenne la mise en production du Hub et la nouvelle organisation du système national des données de santé (SNDS).

Le Hub se prépare donc à demander l'autorisation de mettre en œuvre la base principale de données, dite SNDS historique, et le catalogue, c'est-à-dire toutes les nouvelles bases de données dont il sera responsable du traitement.

"Sur le fondement des informations inscrites dans ce dossier, la Cnil autorisera ou non le recours à Microsoft Azure", est-il expliqué dans un document du ministère des solidarités et de la santé dont TICpharma a obtenu copie.

La commission "sera ainsi en mesure de vérifier, dans le cadre de ses prérogatives définies par la loi informatique et libertés, que la solution technique retenue présente toutes les garanties en termes de régime juridique applicable à la protection des données, de sécurité et de confidentialité".

Dans le contexte de la demande de mise en œuvre de la plateforme, "la Cnil va instruire si notre plateforme est respectueuse de la vie privée", mais "ce n'est pas une demande de validation d'un choix antérieur [celui de Microsoft Azure], ce qui ne rentre pas dans les attributions de la Cnil", a expliqué Stéphanie Combes.

Interrogée sur l'éventualité d'un rejet de la demande par la Cnil, qui s'est opposée au choix d'Azure, la directrice du GIP a rappelé que la commission a autorisé 8 projets à ce jour -avec des établissements de santé et des acteurs du monde de la recherche- et indiqué "travailler sur le dossier".

La demande d'autorisation contiendra notamment "le dossier d'architecture technique, l'analyse des risques et l'AIPD" (analyse d'impact relative à la protection des données) de la plateforme, a-t-elle ajouté.