Tras la sorpresa, la mejor defensa es el ataque. Once operadores, asociaciones y particulares (entre ellos Clever Cloud, Nexedi, Rapid.Space, Cleyrop, el proyecto Internet abierto, Bernard Benhamou del Instituto de Soberanía Digital, etc.) han decidido emprender acciones legales ante el Consejo de Estado contra Decisión de la CNIL que valida por un periodo de 3 años el alojamiento de datos sanitarios en la nube Azure de Microsoft El proyecto se ha puesto en marcha en el marco de un programa europeo, denominado EMC2, cuyo objetivo es avanzar en la investigación farmacoepidemiológica sobre los efectos a largo plazo de los tratamientos médicos. "Se trata también de un estudio de prefiguración de una estructura de datos sanitarios europea para la Agencia Europea de Medicamentos", explica Quentin Adam, responsable de Clever Cloud, para poner el tema en perspectiva.
Un desajuste con el marco de privacidad de datos
La decisión de la CNIL es aún más sorprendente porque el regulador ha advertido en repetidas ocasiones sobre el riesgo de aplicación de normas extraterritoriales de las leyes estadounidenses. Las autoridades estadounidenses "corren el riesgo de enviar a Microsoft requerimientos judiciales para que comunique los datos que aloja". Porque el editor estadounidense está sujeto no solo a la Cloud Act, sino sobre todo a la FISA y al decreto 12333 dedicado a las agencias de inteligencia. Sin embargo, según los demandantes, la existencia de estos textos con alcance extraterritorial entra en conflicto con el RGPD y, sobre todo, dejaría obsoleto el DPF (Digital Privacy Framework).
Este DPF sucedió al Privacy Shield (revocado por el Tribunal de Justicia de la Unión Europea a raíz de la decisión de Max Schrems), que a su vez sustituyó al Safe Harbor (denunciado tras el caso Snowden y también anulado por el TJUE). El DPF pretende regular las transferencias de datos entre Europa y Estados Unidos según un principio de adecuación. Este texto fue ratificado apenas en julio de 2023. El mismo Max Schrems ya ha impugnado esta decisión. Por tanto, los once demandantes solicitarán al Consejo de Estado dos cosas: la suspensión provisional de la decisión de la CNIL y la presentación de una cuestión prejudicial ante el Tribunal de Justicia de la UE sobre la validez de la decisión de la CNIL en relación con el DPF, que sería nula de pleno derecho.
Solicitudes técnicas y un contrato nebuloso
Otro punto que no es objeto de litigio, pero que resulta molesto, es el aspecto técnico del caso. La auditoría técnica sobre el expediente HDH de "El otoño de 2023 es dudoso, incluso deshonesto", subraya Jérôme Valat, director general de Cleyrop, que ofrece soluciones de data hub y cuenta en sus equipos con antiguos miembros de HDH. "Hoy en día, es una fábrica de gas con una multiplicación de necesidades y la cuestión es si queremos seguir manteniendo esta fábrica de gas", y lamentablemente, "la HDH se ve a través del prisma de la infraestructura, pero es sobre todo software y los actores del software no han sido consultados". Una opinión compartida por Jean-Paul Smets, director general de Rapid.Space (proveedor de servicios cloud y 5G) y fundador de Nexidi, que también ofrece soluciones de data hub: "sobre la HDH, tuvimos una propuesta, pero nunca nos contactaron".
Además, la elección de Microsoft, como en otros contratos con el Estado (acuerdos de barra libre con Defensa o Educación Nacional) es muy criticada en materia de contratación pública. Así, el contrato sobre HDH fue objeto de una denuncia presentada ante el Parque Financiero Nacional (PNF) por Anticor en 2021. La asociación consideró que el contrato que designaba a la firma estadounidense no había sido objeto de un contrato sin concurso. La investigación sigue en curso.El diputado moderno Philippe Latombe había solicitado el pliego de condiciones del HDH. y puntos de referencia frente a otras soluciones, documentos que le fueron denegados y que obtenido parcialmente en julio de 2023Por tanto, el HDH y su alojamiento están lejos de ser un río tranquilo y los solicitantes lamentan "la pérdida de tiempo en materia de capacidades de investigación en el ámbito de la salud, hemos perdido entre 6 y 8 años por ello".
Otras noticias que te pueden interesar