Conseil d'État — 24 juillet 2020

Vu la procédure suivante :
Par une requête, enregistrée le 21 juillet 2020 au secrétariat du contentieux du Conseil d'Etat, l'association le Conseil national du logiciel libre, l'association Ploss Rhône-Alpes, l'association SoLibre, la société Nexedi, M. E... J..., M. L... B..., M. Q... D..., Mme C... N..., M. F... A..., le Syndicat national des journalistes, le Syndicat de la médecine générale, l'Union française pour une médecine libre, M. M... O..., M. G... K..., l'Union générale des ingénieurs, cadres et techniciens CGT, l'Union fédérale médecins, ingénieurs, cadres, techniciens CGT santé et action sociale, Mme R... P... et M. H... I... demandent au juge des référés du Conseil d'Etat :
1°) d'enjoindre au ministre des solidarités et de la santé, sur le fondement de l'article L. 521-4 du code de justice administrative, de faire en sorte que le Health Data Hub se conforme aux injonctions qui lui ont été faites par l'ordonnance du juge des référés du Conseil d'Etat n° 440916 du 19 juin 2020, en complétant les informations accessibles aux personnes intéressées sur son site internet, sous astreinte de 10 000 euros par jour de retard ;
2°) de mettre la somme de 5 000 euros à la charge de l'Etat au titre de l'article L. 761-1 du code de justice administrative.
Ils soutiennent que le site internet du Health Data Hub, dans sa rubrique " foire aux questions ", fournit une information inexacte quant au possible transfert de données hors de l'Union européenne, en méconnaissance des obligations découlant de l'ordonnance du juge des référés du Conseil d'Etat.
Vu les autres pièces du dossier ;
Vu :
- le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 ;
- le code de justice administrative ;
Considérant ce qui suit :
1. Aux termes de l'article L. 521-2 du code de justice administrative : " Saisi d'une demande en ce sens justifiée par l'urgence, le juge des référés peut ordonner toutes mesures nécessaires à la sauvegarde d'une liberté fondamentale à laquelle une personne morale de droit public ou un organisme de droit privé chargé de la gestion d'un service public aurait porté, dans l'exercice d'un de ses pouvoirs, une atteinte grave et manifestement illégale. Le juge des référés se prononce dans un délai de quarante-huit heures ". Aux termes de l'article L. 521-4 du même code : " Saisi par toute personne intéressée, le juge des référés peut, à tout moment, au vu d'un élément nouveau, modifier les mesures qu'il avait ordonnées ou y mettre fin ". Si l'exécution d'une ordonnance prise par le juge des référés, sur le fondement de l'article L. 521-2 du code de justice administrative, peut être recherchée dans les conditions définies par le livre IX du même code, en particulier les articles L. 911-4 et L. 911-5, la personne intéressée peut également demander au juge des référés, sur le fondement de l'article L. 521-4 de ce code, d'assurer l'exécution des mesures ordonnées demeurées sans effet par de nouvelles injonctions et une astreinte.
2. En vertu de l'article L. 522-3 du même code, le juge des référés peut, par une ordonnance motivée, rejeter une requête sans instruction ni audience lorsque la condition d'urgence n'est pas remplie ou lorsqu'il apparaît manifeste, au vu de la demande, que celle-ci ne relève pas de la compétence de la juridiction administrative, qu'elle est irrecevable ou qu'elle est mal fondée.
3. L'association le Conseil national du logiciel libre et plusieurs autres requérants ont demandé au juge des référés du Conseil d'Etat, sur le fondement de l'article L. 521 2 du code de justice administrative, d'ordonner toutes mesures utiles pour faire cesser les atteintes graves et manifestement illégales qu'ils estimaient être portées au droit au respect de la vie privée par l'arrêté du ministre des solidarités et de la santé du 21 avril 2020 complétant l'arrêté du 23 mars 2020 prescrivant les mesures d'organisation et de fonctionnement du système de santé nécessaires pour faire face à l'épidémie de covid-19 dans le cadre de l'état d'urgence sanitaire, en ce qu'il confiait la collecte et le traitement de données de santé au groupement d'intérêt public " Plateforme des données de santé " ou " Health Data Hub ".
4. Par une ordonnance n° 440916 du 19 juin 2020, le juge des référés du Conseil d'Etat a relevé que si l'arrêté du 21 avril 2020 ne prévoyait pas les informations que le responsable du traitement devait fournir aux personnes concernées, cette seule circonstance, qui ne faisait pas obstacle à ce que les informations requises soient fournies par la Plateforme des données de santé, n'était pas de nature à faire apparaître une atteinte grave et manifestement illégale à une liberté fondamentale. Il a également relevé qu'il résultait de l'instruction que le projet relatif à l'exploitation des données de passages aux urgences pour l'analyse du recours aux soins et le suivi de la crise sanitaire liée à l'épidémie de covid-19, seul projet alors en cours sur le fondement de l'arrêté critiqué, faisait l'objet d'une fiche sur le site internet de la plateforme, qui rendait publiques, conformément au paragraphe 5 de l'article 14 du règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, les différentes informations mentionnées aux paragraphes 1 et 2 du même article, à l'exception de celles prévues au f) de son paragraphe 1 et aux c) et e) de son paragraphe 2. En conséquence, il a ordonné que la Plateforme des données de santé complète, dans un délai de cinq jours, les informations ainsi diffusées, relatives à ce projet, pour mentionner, outre certaines informations relatives aux droits des personnes concernées, le possible transfert de données hors de l'Union européenne.
5. Les requérants soutiennent que le site internet de la Plateforme des données de santé n'est toujours pas conforme à la mesure ainsi ordonnée, sa page " foire aux questions " mentionnant seulement que les données sont hébergées sur le territoire de l'Union européenne, dans les centre de données de Microsoft aux Pays-Bas. Toutefois, la fiche du projet relatif à l'exploitation des données de passages aux urgences pour l'analyse du recours aux soins et le suivi de la crise sanitaire liée à l'épidémie de covid-19 diffusée sur ce site comporte désormais une rubrique " transfert des données hors Union européenne " qui mentionne que : " La plateforme technologique du Health Data Hub est hébergée dans les centres de données Microsoft situés en Union européenne, certifiés " Hébergeur de données de santé ". Compte tenu du contrat passé avec son sous-traitant et du fonctionnement des opérations d'administration de la plateforme technologique, il est possible que des données techniques d'usage de la plateforme (qui ne révèlent aucune information de santé) soient transférées vers des administrateurs situés en dehors de l'Union européenne. Ces transferts de données sont encadrés par les clauses contractuelles types adoptées par la Commission européenne dont une copie peut être obtenue auprès du délégué à la protection des données du Health Data Hub ".
6. Par suite, il est manifeste que la demande des requérants, qui critique des mentions figurant sur le site internet de la Plateforme des données de santé sur lesquelles ne portent pas les mesures prononcées par l'ordonnance du juge des référés du 19 juin 2020, n'est pas fondée.
7. Il y a lieu, dès lors, de rejeter les conclusions de la requête, y compris celles présentées au titre de l'article L. 761-1 du code de justice administrative, par application des dispositions de l'article L. 522-3 de ce code.
O R D O N N E :
------------------
Article 1er : La requête du Conseil national du logiciel libre et des autres requérants est rejetée.
Article 2 : La présente ordonnance sera notifiée à l'association le Conseil national du logiciel libre, première requérante dénommée, pour l'ensemble des requérants, au ministre des solidarités et de la santé et à la Plateforme des données de santé.
Copie en sera adressée au Premier ministre, à la Commission nationale de l'informatique et des libertés et à la Caisse nationale de l'assurance maladie.