L’agence européenne des médicaments a mis en place un réseau d’institutions (« DARWIN EU ») pour recueillir des données de santé.

Elle a été autorisée par la Commission nationale de l’informatique et des libertés (CNIL), le 13 février 2025, à mettre en œuvre des traitements automatisés permettant l’exploitation des données personnelles de santé d’un échantillon de la population française, pour une durée de trois ans, afin de réaliser des études portant sur la prévalence et l’incidence de pathologies dans la population française.

Ces traitements nécessitent l’extraction de ces données du Système national des données de santé (SNDS) par le Groupement d’intérêt public (GIP) « Plateforme des données de santé » (PDS), dénommé « Health Data Hub ». Pour l’hébergement des données ainsi extraites, le GIP a recours à la société Microsoft Ireland Operations, Ltd.

Le Conseil d’Etat vient de juger que cette autorisation délivrée par la CNIL pour une durée de 3 ans ne permet que le traitement automatisé des données et n’autorise pas leur transfert vers les Etats-Unis. Les seules données personnelles qui pourraient être éventuellement transférées sont liées aux utilisateurs de la plateforme Health Data Hub et le contrat avec la société d’hébergement prévoit pour cela des garanties conformes au RGPD.