Le 10 juillet 2023, la Commission européenne a adopté une « décision d’adéquation » au sujet du cadre de protection des données de l’Union européenne et des États-Unis. Sur la base de cette décision, les données à caractère personnel peuvent de nouveau circuler librement de l’UE vers les entreprises des États-Unis.

Cette décision est pour le moins controversée. Maximilian Schrems, lors de sa keynote à l’OSXP 2022, l’avait prévue, et annoncé par avance une action à venir auprès de la Cour de justice de l’union européenne (CJEU), qui, espérons-le, aboutira à une nouvelle invalidation, après les arrêts Schrems et Schrems II. Dans un communiqué, NOYB, l’association de Max Schrems, dénonce: « Le prétendu “nouveau” cadre transatlantique de protection des données personnelles est en grande partie une copie du “bouclier de protection des données” qui a échoué. Malgré les efforts de relations publiques de la Commission européenne, la législation américaine et l’approche adoptée par l’UE n’ont guère changé. Le problème fondamental de la loi FISA 702 n’a pas été abordé par les États-Unis, qui considèrent toujours que seuls les ressortissants américains peuvent prétendre à des droits constitutionnels. » (Les différents points juridiques évoqués ici sont clairement expliqués dans la keynote de Max Schrems à l’OSXP, ou détaillés dans le communiqué de NOYB).

Philippe Latombe, député français (MODEM) de Vendée, a posté dans un communiqué rageur: « Si mes espoirs restaient ténus, je dois dire que je ne m’attendais pas à un abandon aussi déshonorant, en rase campagne, des intérêts européens. […] Autant de mises en garde que la Commission européenne, faisant fi des avertissements du Parlement, et donc du Parlement lui-même, a balayées d’un revers de main, se livrant à un troc déshonorant qui peut se résumer ainsi : investissements américains en matériel militaire dans le conflit ukrainien et gaz d’outre-Atlantique, contre les données des Européens. […] Le temps joue en faveur du plus fort. Le capharnaüm juridique ainsi entretenu permet aux multinationales américaines des technologies de l’information et de la communication d’agir comme elles l’entendent, ou presque, de creuser leur avance, déjà considérable, au détriment de l’écosystème européen, et plus généralement de l’économie du vieux continent qui risque de ne pas s’en remettre. »

Dans une ordonnance rendue publique ce jour, le Conseil d’État, saisi par le collectif Santenathon, reconnaît que le gouvernement des États‑Unis peut accéder sans contrôle aux données de santé des Français hébergées par le Health Data Hub chez Microsoft, et demande des garanties supplémentaires.

Cette décision est justifiée par l’arrêt de la Cour de justice de l’Union européenne (CJUE) du 16 juillet 2020, dit « Schrems II », qui juge que la surveillance exercée par les services de renseignements américains sur les données personnelles des citoyens européens est excessive, insuffisamment encadrée et sans réelle possibilité de recours. La CJUE en a déduit que les transferts de données personnelles depuis l’Union européenne vers les États‑Unis sont contraires au règlement général sur la protection des données (RGPD) et à la Charte des droits fondamentaux de l’Union européenne, sauf à apporter des garanties particulières ou dans certains cas dérogatoires.

Les jours sont donc bien comptés pour cette plate‑forme développée depuis deux ans, sans appel d’offre, et au mépris de l’offre des sociétés françaises et européennes, notamment des acteurs du logiciel libre. Le Gouvernement a en effet exprimé, jeudi dernier devant le Sénat, sa volonté de transférer le Health Data Hub sur des plates‑formes françaises ou européennes. Dans l’intervalle, la juge du Conseil d’État demande au Health Data Hub de travailler à minimiser ce risque, notamment en concluant un nouvel avenant avec Microsoft, et à ce que la CNIL instruise les demandes d’autorisation des projets de recherche utilisant le Health Data Hub en vérifiant que l’intérêt du projet, compte tenu de l’urgence sanitaire actuelle, est suffisant pour justifier le risque encouru et que le recours à la plate‑forme est nécessaire.