Protection des données de santé hébergées par une plateforme soumise au droit américain

Le Conseil d’Etat, par arrêt  du 25 juin 2025, s’est prononcé à la suite d’un recours introduit par les sociétés Clever Cloud et Cleyrop et M…A concernant l’hébergement de données de santé par une entreprise soumise au droit américain, en raison des risques liés à d’éventuelles divulgations illégales aux autorités des Etats Unis .

Les enjeux soulevés concernent les exigences de la souveraineté numérique en matière de transfert des données sensibles vers des pays tiers.

Les faits et la procédure :

La société Clever Cloud, la société Cleyrop et M. A... B... demandent au Conseil d'Etat :

1°) d'annuler pour excès de pouvoir la décision par laquelle le ministre chargé de la santé a renoncé à adopter une nouvelle solution technique permettant de ne pas exposer les données hébergées par la plateforme des données de santé à d'éventuelles divulgations illégales aux autorités des Etats-Unis, dans un délai de deux ans à compter du 19 novembre 2020 ;

2°) d'enjoindre à l'État d'adopter une solution technique permettant de ne pas exposer les données à d'éventuelles divulgations ou, à titre subsidiaire, de prendre toutes mesures utiles aux fins d'en assurer l'adoption, dans un délai de six mois à compter de la décision à intervenir, sous astreinte de 5 000 euros par jour de retard;

 3°) de mettre à la charge de l'État la somme de 10 000 euros au titre de l'article L. 761-1 du code de justice administrative.

Réponse du Conseil d’Etat :

Le Conseil d’Etat rappelle :

- que le groupement d'intérêt public (GIP) " Plateforme des données de santé " est chargé par la loi de recueillir des bases de données de santé afin de faciliter leur partage et de favoriser, notamment, des projets de recherche dans le domaine de la santé publique,

- et, d'autre part, que la solution technique d'hébergement retenue par ce GIP (" l'opérateur actuel ") est assurée par la filiale d'une société soumise au droit des Etats-Unis.

Par un courrier du 19 novembre 2020, le ministre des solidarités et de la santé a affirmé partager l'objectif, énoncé par la présidente de la Commission nationale de l'informatique et des libertés (CNIL), qu'une nouvelle solution technique soit adoptée dans un délai inférieur à deux ans, afin d'éviter tout risque que les données en cause fassent l'objet de demandes d'accès par les autorités des Etats-Unis, sur le fondement des lois de ce pays.

Par un courrier du 15 février 2023 adressé à la présidente de la CNIL,  le ministre de la santé et de la prévention, constatant l'absence de solution technique alternative à celle proposée par l'opérateur actuel, a proposé que les demandes d'autorisation adressées par le GIP à la CNIL ne portent pas sur l'hébergement de la totalité de la base principale du système national des données de santé (SNDS) mais soient formulées traitement par traitement "sur la base du fonctionnement actuel ".

Le Conseil d’Etat fait valoir, qu’il ressort ainsi des termes mêmes de ce courrier, que le ministre n'a aucunement renoncé à l'adoption d'une nouvelle solution technique alternative mais que, prenant en compte l'état de développement de telles solutions par des acteurs soumis exclusivement au droit français ou de l'Union européenne, il s'est borné, en réponse à une demande d'information, à proposer à la CNIL une solution temporaire concernant les demandes d'autorisation adressées par le GIP.

Par suite et contrairement à ce qui est soutenu par les requérants, le Conseil d’Etat relève qu’un tel courrier ne révèle l'existence d'aucune décision du ministre susceptible de faire l'objet d'un recours en excès de pouvoir.

Il s'ensuit que la requête de la société Clever Cloud et autres doit être rejetée, y compris leurs conclusions présentées sur le fondement de l'article L. 761-1 du code de justice administratif.

Le recours se révèle irrecevable en l’absence de décision formelle du ministre, s’agissant seulement en l’espèce d’une position temporaire.

CE, 10e ch., 25 juin 2025, n° 495606