New setback before the Council of State for Les Licornes célestes.

This association, chaired by one of the founders of La Quadrature du Net, sought to annul an authorization that the CNIL granted to the Health Data Hub in February 2025. Objective: the extraction of data from the SNDS (National Health Data System) and their processing within the framework of two studies. Respectively on pathologies and on the use of medications and vaccines. In the background, the DARWIN EU project (Data Analysis and Real-World Interrogation Network), coordinated by the European Medicines Agency with the support of a network of public and private institutions.

There were more specifically two annulment requests. The one from the association Les Licornes célestes was supported by Clever Cloud, Nexedi, Rapid Space International, Cleyrop, the CNLL (National Council of Free Software), and the Open Internet Project association. The other came from the associations Interhop and Constances, the General Medicine Union, the Sud Santé Federation, and the Human Rights League.

The CNIL did not authorize transfers of health data abroad

The Council of State notes that the CNIL only authorized the processing of health data hosted in datacenters located in France. It did not give its approval for any transfer to the United States. Notably on the basis of the Data Privacy Framework, which Les Licornes célestes et al. cannot therefore invoke as illegal. In the same spirit, in the absence of transfers to the USA, the invocation of article R. 1461-1 of the Public Health Code — whose last paragraph prohibits the transfer of health data outside the EU — does not hold.

Given the value of the data in question and their hosting on Microsoft infrastructures, it is difficult to exclude access requests from U.S. authorities, acknowledges the Council of State. However, it considers that the authorized processing is framed by sufficient security measures. Including:

Pseudonymization

Limitation of the retention period for raw data extracted from the SNDS

Risk analysis of re-identification during each export

Analysis of usage traces by the Health Data Hub

The transfer of technical usage data of the platform to the United States is also not excluded. But it does not involve health data, explains the Council of State. They are also based on standard contractual clauses which "constitute appropriate safeguards".

Another annulment request rejected in 2024

Clever Cloud, Nexedi, Rapid Space International, Cleyrop, Open Internet Project, Les Licornes célestes, and the CNLL had already seized the Council of State in 2024 regarding another authorization granted to the Health Data Hub. The Internet Society France association had done the same beforehand.

This also concerned a contract with the European Medicines Agency. But for studies in pharmaco-epidemiology.

The Council of State had more or less the same reasoning. It had thus noted that the CNIL had not authorized transfers of health data to the USA. And affirmed that the technical and legal guarantees were sufficient: multiple pseudonymizations, HDS certification, authorization limited to 3 years, etc.

Illustration generated by AI

The post Health Data Hub on Azure: the Council of State validates again appeared first on Silicon.fr.

Nouvel échec devant le Conseil d’État pour Les Licornes célestes.

Cette association présidée par un des fondateurs de La Quadrature du Net a cherché à faire annuler une autorisation que la CNIL avait accordée au Health Data Hub en février 2025. Objet : l’extraction de données du SNDS (Système national des données de santé) et leur traitement dans le cadre de deux études. Respectivement sur les pathologies et sur l’utilisation des médicaments et des vaccins. En toile de fond, le projet DARWIN EU (Data Analysis and Real-World Interrogation Network), que l’Agence européenne des médicaments coordonne à l’appui d’un réseau d’institutions publiques et privées.

Il y avait plus précisément eu deux demandes en annulation. Celle provenant de l’association Les Licornes célestes avait été soutenue par Clever Cloud, Nexedi, Rapid Space International, Cleyrop, le CNLL (Conseil national du logiciel libre) et l’association Open Internet Project. L’autre émanait des associations Interhop et Constances, du Syndicat de la médecine générale, de la Fédération Sud Santé et de la Ligue des droits de l’homme.

La CNIL n’a pas autorisé de transferts de données de santé vers l’étranger

Le Conseil d’État constate que la CNIL a seulement autorisé le traitement de données de santé hébergées dans des datacenters situés en France. Elle n’a pas donné son aval à un quelconque transfert vers les États-Unis. Notamment sur le fondement du Data Privacy Framework, dont Les Licornes célestes et al. ne peuvent donc invoquer l’illégalité. Dans le même esprit, en l’absence de transferts vers les USA, l’invocation de l’article R. 1461-1 du Code de la santé publique – dont le dernier alinéa prohibe les transferts de données de santé hors de l’UE – ne tient pas.

Vu la valeur des données en question et leur hébergement sur des infrastructures Microsoft, difficile d’exclure des demandes d’accès de la part des autorités étatsuniennes, reconnaît le Conseil d’État. Qui estime toutefois que les traitements autorisés sont encadrés par des mesures de sécurité suffisantes. Dont :

Pseudonymisation

Limitation de la durée de conservation des données brutes extraites du SNDS

Analyse des risques de réidentification lors de chaque export

Analyse des traces d’utilisation par le Health Data Hub

Le transfert de données techniques d’usage de la plate-forme vers les États-Unis n’est pas non plus à exclure. Mais il n’impliquent pas de données de santé, explique le Conseil d’État. Ils se basent par ailleurs sur des clauses contractuelles types qui « constituent des garanties appropriées ».

Un autre demande en annulation rejetée en 2024

Clever Cloud, Nexedi, Rapid Space Internatoinal, Cleyrop, Open Internet Project, Les Licornes célestes et le CNLL avaient déjà saisi le Conseil d’État en 2024 au sujet d’une autre autorisation accordée au Health Data Hub. L’association Internet Society France avait fait de même en amont.

Il s’agissait là aussi d’un contrat avec l’Agence européenne des médicaments. Mais pour des études en pharmaco-épidémiologie.

Le Conseil d’État avait eu plus ou moins le même raisonnement. Il avait ainsi relevé que la CNIL n’avait pas autorisé de transferts de données de santé vers les USA. Et affirmé que les garanties techniques et juridiques étaient suffisantes : pseudonymisations multiples, certification HDS, autorisation limitée à 3 ans, etc.

Illustration générée par IA

The post Health Data Hub sur Azure : le Conseil d’État valide à nouveau appeared first on Silicon.fr.