Partie 1 : Levée de Bouclier face à l'hébergement par Microsoft du Health Data Hub

 

©Copyright, Accessnow.org, 201

Mis en service le 2 décembre 2019, le Health Data Hub (HDH) est la nouvelle plateforme numérique des données médico-administratives françaises. Le 16 juillet 2020, un accord de confiance entre l'Union européenne et les États-Unis est révoqué, le "Privacy Shield" ou "bouclier de protection des données". Or, le Health Data Hub, est hébergé par Microsoft, une entreprise américaine soumise au droit fédéral des États-Unis. A la suite de cette décision,  la place de Microsoft est en question, l'interrogation sur la sécurité des données demeure et une clarification s'impose.

Le  14 octobre 2020, Conseil d’État appelé à juger sur le maintient du Health Data Hub, notait que "la Plateforme des données de santé et Microsoft se sont engagés, par contrat, à refuser tout transfert de données de santé en dehors de l'Union européenne"[1]. Le Conseil d’État a alors suggéré qu'en l'absence "d'illégalité grave et manifeste qui justifierait une suspension immédiate de la plateforme", Microsoft reste en charge de l’hébergement du Health Data Hub. Il rajoute pourtant que cela sera : "dans l'attente d'une solution qui permettra d'éliminer tout risque d'accès aux données personnelles par les autorités américaines."

Le risque de transfert des données vers les États-Unis n'est pas un élément nouveau à la connaissance des pouvoirs publics. La loi américaine en question, le "CLOUD Act" date de mars 2018[2]. Cette loi, "Clarifying Lawful Overseas Use of Data", donne la capacité au gouvernement fédéral  d'accéder aux données des clients de toute entreprise américaine. Elle est conçue comme une loi anti-terrorisme et anti-corruption visant à garantir la sécurité de l’État américain.  Nouveau jalon, elle vient s’inscrire en filiation intellectuelle deux lois qui la précèdent. La première, le Foreign Corrupt Practice Act de 1977, qui autorise le gouvernement américain à avoir accès aux données commerciales des entreprises américaines sur son territoire et à l'étranger [3]. La seconde, est le USA Patriot Act du 26 octobre 2001, une réponse immédiate aux attentats du World Trade Center. Celle-ci autorise le gouvernement fédéral américain à utiliser tous les outils jugés appropriés pour avoir accès aux données d'une personne privée ou morale, qu'elle se trouve sur le territoire américain ou non [4].

Coté européen, le Privacy Shield date, lui, du 12 juillet 2016 et définit les conditions de transferts des états membres de l'Union européenne vers des états tiers [5]. L'article 25 de ce décret pose les bases de ces échanges de données. Il y est établit que l'état tiers devra pouvoir garantir la protection des données et des droits de l'individu citoyen des état membres de l'Union. Mais aussi que ces échanges de données se feront dans le respect des lois commerciales et nationales en vigueur dans ce pays tiers. Dans cette même section, il est rappelé la décision 2000/520/CE ou "Safe Harbour Privacy Principles" [6] qui doit garantir un "niveau adéquat de protection pour les données personnelles transférées à partir de l'Union européenne à destination d'organisations établies aux États-Unis" [traduit de l'anglais]. 

Ces éléments définissent les contraintes sur les entreprises étrangères américaines et leurs obligations vis-à-vis de l'Union européenne. Pour comprendre la décision de la CJUE, quatre ans plus tard, il est important de savoir qu'elle est la conséquence des "Affaires Schems I & II" [7]. En 2011, Maximilien Schrems, un militant-activiste autrichien, demande à Facebook l'accès à ses données personnelles . Il se rend alors compte que l'utilisation qui en est faite dépasse le cadre prévu par la réglementation européenne : les données qu'il a supprimées ont été conservées par l'entreprise américaine, ici située en Irlande. Leur transfert vers les États-Unis n'est pas exclu. C'est pour cela qu'il déposera un plainte et poursuivra ensuite son action jusqu'à l'audience du 25 mars 2015 à la Cour de Justice de l'Union Européenne (CJUE), qui décidera de l'invalidation du Safe Harbour. La décision de la CJUE en juillet 2020 est le deuxième volet de l'affaire Schrems, qui conduit à l'invalidation du Privacy Shield :le dispositif qui devait suppléer au Safe Harbour. Pour l'Union européenne, ce sont les manquements à la protection des données privées qui ont conduit à cette décision.

Le Health Data Hub est donc soumis à ces tensions juridiques internationales puisqu'il est hébergé par une entreprise américaine. Microsoft présente ses engagements vis-à-vis de la gestion des données de leurs clients dans une section de leur documentation intitulée "Data Law" [11]. Il y est précisé que Microsoft ne communique pas directement avec les instances gouvernementales américaines ou des pays où ses filiales sont implantées. Microsoft mentionne plus bas  "nous fournissons les données utilisateur que lorsque nous recevons une ordonnance exécutoire ou une assignation."[traduit de l'anglais], ce qui constitue peut-être la limite de la protection légale que l'entreprise peut s'engager à offrir.

Ces dispositions prises en réaction aux risques d'application du CLOUD Act, ont certainement jouées en faveur du maintient de l'hébergement du Health Data Hub par Microsoft. Mais si la décision rendue par le Conseil prend le contre pied, il ne s'agit pas d'un retournement de la situation pour autant [12]. Ce sont en revanche les risques de transferts et de non-respect des clauses de la loi sur le Règlement Général sur la Protection des Données (RGPD) du 27 avril 2016 qui ont catalysé cette situation [13]. Le RPGD encadre les bonnes pratiques sur la manipulation des données personnelles au sein de l'Union européenne. Il est précisé dans l'article 3 que "[l]es sociétés non européennes sont également soumises au règlement [RGPD] dès qu'elles ciblent les résidents de l'UE par le profilage ou proposent des biens et des services à des résidents européens". C'est en définitive cela qui a conduit la CJUE à rendre sa décision sur l'inadéquation du RGPD avec le Privacy Shield [14].

 

Références bibliographiques :

[1] Conseil d'État. "Health Data Hub et protection de données personnelles : des précautions doivent êtres prises dans l'attente d'une solution pérenne". Décision contentieuse. conseil-etat.fr Publié le 14/10/2020. [En ligne]. Consulté le 16/10/2020.Disponible à l'adresse : <https://www.conseil-etat.fr/actualites/actualites/health-data-hub-et-protection-de-donnees-personnelles-des-precautions-doivent-etre-prises-dans-l-attente-d-une-solution-perenne>

[2] Congressional Research Service. H.R.4993. "Clarifying Lawful Overseas Use of Data or the CLOUD Act." congress.gov Publié le 02/06/2018. [En ligne]. Consulté le 23/10/2020.Disponible à l'adresse : <https://www.congress.gov/bill/115th-congress/house-bill/4943>

[3] 95th United States Congress. 91 STAT. 1494  L95-213 [S.305] "Foreign Corrupt Practices Act of 1977" uslaw.link Publié le 19/12/1977.Consulté le 23/10/2020 PDF disponible à l'adresse : < https://www.govinfo.gov/link/statute/91/1494?link-type=pdf>

[4] 107th United States Congress. H.R.3162. L357-66. Uniting and Strengthening America by Providing Appropriate Tools Required to Intercept and Obstruct Terrorim (USA PATRIOT ACT) Act of 2001. congress.gov Publié le 23/10/2001. [En ligne] Consulté le 23/11/2020. Disponible à l'adresse : <https://www.congress.gov/bill/107th-congress/house-bill/3162>

[5] JOUE.n°L207-1 2016/1250/CE- Directive 65/46/EC of the European Paliament and the Council on the adequacy of the protection provided by the EU-U.S. Privacy Shield. (notified under document C(2016) 4176). eur-lex.europa.eu Publié le 01/08/2016. (En ligne) Consulté le 23/11/2020. Disponible à l'adresse : <https://eur-lex.europa.eu/legal-content/EN/TX/?uri=uriserv%3AOJ.L_.2016.207.01.0001.01.ENG>

[6] JOUE. n°L215 - 2000/520/CE : Décision de la Commission du 26 juillet 2000 conformément à la directive 95/46/CE du Parlement européen et du conseil, relative à la pertienence de la protection assurée par les principes de la "sphère de sécurité" et par les questions souvent posées y afférentes, publiées par le ministère du commerce des États-Unis d'Amérique [notifiée sous le numéro C(2000)2441] (Texte présentant de l'intérêt pour l'EEE). eur-lex.europa.eu Publié le 25/08/2000. [En ligne] Disponible à l'adresse : <https://eur-lex.europa.eu/legal-content/FR/TXT/?uri=CELEX%3A32000D0520>

[7]European Data Protection Board- Foire aux questions sur l'arrêt rendu par la Cour de justice de l'Union européenne dans l'affaire C-311 - Data Protection Comissioner contre Facebook Ireland Ltd et Maximilian Schrems. edpb.europa.eu Publié le 24 Juillet 2020. [En ligne] Disponible à l'adresse : <https://edpb.europa.eu/our-work-tools/our-documents/ohrajn/frequently-asked-questions-judgment-court-justice-european-union_fr>

[8] Microsoft. Data Law "About our practices and your data" blogs.microsoft.com [En ligne] Consulté le 11/11/2020. Disponible à l'adresse : <https://blogs.microsoft.com/datalaw/our-practices/>

[9] Le Monde. Collectif. "L'exploitation de données de santé sur une plate-forme de Microsoft expose à des risques multiples" lemonde.fr Publié le 10/12/2019 [En ligne]. Consulté le 25/11/2020. Disponible à l'adresse : <https://www.lemonde.fr/idees/article/2019/12/10/l-exploitation-de-donnees-de-sante-sur-une-plate-forme-de-microsoft-expose-a-des-risques-multiples_6022274_3232.html> 

[13] JOUE. Règlement UE 2016-679 du Parlement européen et du conseil de l'Union Européenne relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données-version consolidée. eur-lex.europa.eu Publié le 04/05/2016 [En ligne]. Disponible à l'adresse :<http://data.europa.eu/eli/reg/2016/679/oj>

[14] Cour de Justice de l'Union Européenne. C-311/18 The Court of Justice Invalidates Decision 2016/1250 on the adequacy of the protection provided by the EU-US Data Protection Shield. curia.europa.eu Publié le 16/07/2020 [Téléchargement] Disponible à l'adresse : <https://curia.europia.eu/jcms/upload/docs/application/pdf/2020-07/cp200091en.pdf>

Les recommandations de la commission d'enquête sénatoriale sur la souveraineté numérique

Six mois après sa création, la Commission d'enquête du Sénat sur la souveraineté numérique a remis son rapport le 1e octobre 2019. Considérant le cyberespace comme un champ de compétition entre les États, la Commission estime qu'il y a urgence d'agir pour une meilleure défense de la souveraineté numérique de la France. Aussi cinq (5) recommandations sont formulées pour y arriver. 

Dans ce rapport de plus de 250 pages, la commission sénatoriale définit la souveraineté numérique comme la "capacité de l'État à agir dans le cyberespace (..) [sur la base de l'autonomie] d'appréciation, de décision, et d'action (..), [et à] maîtriser [les] données, [les] réseaux, et [les] communications électroniques". Elle y entrevoit un triple enjeu. Éthique, défendre "l'autonomie informationnelle" des ses citoyens qui sont des sujets de droit et non des données à exploiter. Sécuritaire, assurer sa cyberdéfense. Économique, protéger les données stratégiques de ses entreprises contre les lois à portée extraterritoriale. Le renforcement de la souveraineté passe donc par une meilleure maîtrise des trois (3) couches du cyberespace: la couche matérielle, la couche logique (les protocoles et les logiciels), la couche sémantique ou informationnelle.


1. Définir une stratégie nationale numérique
Pour arriver à une meilleure articulation des efforts jugés trop dispersés, la commission recommande la transformation du Conseil national du numérique en un Forum de concertation temporaire sur la souveraineté numérique. Il réunirait les Administrations de l'État, les collectivités, des parlementaires, des universitaires et des entreprises. A l'expiration de son mandat d'une durée de deux (2) ans, le Parlement et le gouvernement feraient les arbitrages nécessaires relativement aux recommandations pour orienter sur le long terme la politique nationale en matière de souveraineté numérique.

2. Inscrire l'effort de souveraineté numérique dans le temps
Afin faciliter le contrôle parlementaire sur l'exécution de la politique de souveraineté numérique, une loi d'orientation et de suivi de la souveraineté numérique (LOSSN), à l'instar de la loi de programmation militaire, devrait être adoptée. Elle devrait permettre de s'attaquer à deux chantiers urgents: l'attractivité du territoire en ce qui concerne les infrastructures d'internet (câbles sous-marins, centre de données...) et l’accélération de  sa couverture numérique. Et aussi orienter l'action de l’État en vue d'arriver à la fourniture d'une carte d'identité numérique, à la création d'une cryptomonnaie publique sous l'égide de la BCE, et à l'imposition  des multinationales du numérique selon le critère du lieu de consommation.

3. Protéger les données personnelles et les données économiques stratégiques
A partir du bilan sur la portabilité des données personnelles reconnue dans la loi pour une République numérique et le RGPD, il faut envisager la faisabilité du point de vue technique et opérationnelle de l'obligation d'interopérabilité. Par ailleurs, pour échapper aux lois de portée extraterritoriale, il faut travailler à faire émerger des solution d'hébergement et de stockage des données économiques sensibles auprès d'entreprises françaises ou européennes. Bien évidemment, la commission estime d'un côté qu'il faut s'opposer au Cloud Act, et de l'autre invite à réfléchir à l'extension du RGPD aux données sensibles des personnes morales. L'idée étant de pouvoir sanctionner les intermédiaires qui transmettraient ses données à un pays étranger hors de tout mécanisme légal d'entraide.

4. Adapter la réglementation aux défis numériques
Des mesures, s'appuyant notamment sur la directive ECN, peuvent pour renforcer la concurrence dans le secteur et éviter les effets néfastes que poseraient les entreprises systémiques. L'adaptation implique également une utilisation de l'information pour arriver à une meilleure régulation par la donnée. Cela permettrait de mieux orienter le marché en détectant à temps certains signaux faibles et les risques systémiques. Il faut aussi réfléchir à la faisabilité de nouvelles régulations sectorielles comme la mutualisation des données d'une activité afin de faciliter la concurrence (après avoir obtenu un accord en ce sens au sein de l'OCDE) .

5. Utiliser les leviers de l'innovation et du multilatéralisme
Le renforcement de la souveraineté numérique passera par l'innovation dans le domaine du numérique. Cela exige des actions au niveau national et européen afin de mobiliser les ressources nécessaires (via la commande publique, le crédit d'impôt recherche...) pour encourager et soutenir les projets innovants. La France doit porter également cette problématique au niveau international en promouvant sa vision de la cybersécurité selon laquelle, le droit international est applicable au cyberespace, et que l'attribution d'une cyberattaque relève de la décision souveraine de l'État.

Il s'agit bien d'une contribution parlementaire dans l'espoir d'orienter le débat public autour cette notion de souveraineté numérique. Laquelle traduit bien des inquiétudes notamment en ce qui concerne la domination des GAFAM perçus souvent comme les chevaux de Troie d'une politique de puissance des États-Unis.

Sources:

QUIVIGER, Pierre-Yves. Nouveaux cahiers du Conseil constitutionnel [en ligne]. Paris: octobre 2017 [consulté le 4 décembre 2019].  Une approche philosophique du concept émergent de souveraineté numérique. <https://www.conseil-constitutionnel.fr/nouveaux-cahiers-du-conseil-constitutionnel/une-approche-philosophique-du-concept-emergent-de-souverainete-numerique > 

MISTRAL Jean-Pierre. Village de la Justice [en ligne]. s.l: 5 février 2019 [consulté 8 décembre 2019]. Le Cloud Act, des questions et des réponses <https://www.village-justice.com/articles/cloud-act-des-questions-des-reponses,30601.html >

UTERSINGER Martin. Le Monde [en ligne]. Paris: 20 novembre 2019. L'incertaine mais nécessaire "souveraineté numérique" [consulté le 03 décembre 2019]. <https://www.lemonde.fr/idees/article/2019/11/20/l-incertaine-mais-necessaire-souverainete-numerique_6019810_3232.html >

DES GROTTES Gaëlle Maraud. Wolters Kluwer [en ligne]. Paris: 11 octobre 2019 [consulté le 13 décembre 2019]. Souveraineté numérique: le Sénat pointe l'absence de coordination des politiques publiques. <https://www.actualitesdudroit.fr/browse/tech-droit/intelligence-artificielle/23849/souverainete-numerique-le-senat-pointe-l-absence-de-coordination-des-politiques-publiques >