Thread by @smetsjp

On retiendra de la décision du Conseil d'Etat que le HDH :
1- a 5 jours pour se mettre en conformité avec la CNIL
2- doit prévenir que nos données de santé peuvent quitter l'UE
3- devra détruire les données obtenues pendant l'état d'urgence sanitaire
...

cnll.fr/news/conseil-e…

La décision du Conseil d'Etat soulève deux failles juridiques :
4- l’article L. 1111-8 du code de la santé publique est ainsi rédigé qu'il permet à n'importe qui d'opérer un entrepôt de données couvertes par le secret médical sans être certifié HDS
...

5- la compatibilité entre RGPD, Cloud Act et « bouclier de protection des données » (UE/2016/1250) fait l'objet d'un litige en cours devant le Tribunal de l’Union européenne et d'un éventuel recours devant la Cour de justice de l’Union européenne

La faille juridique de l’article L. 1111-8 s'ajoute aux abus possibles de la certification HDS mentionnés par @APSSISFrance et qui pourrait permettre aux éditeurs de se dégager de toute responsabilité sans être certifiés « données de santé ».

apssis.com/actualite-ssi/…

Le référé a permis d'éclairer l'impréparation du HDH :
- des affirmations (chiffrement, localisation des données) contredites par le CE ou la CNIL
- des conventions régularisées en catastrophe après l’audience
- des contrats qui "interdisent" la portabilité vers d'autres clouds

HDH : "Microsoft n'aura pas la clef de chiffrement"
CNIL : "’afin de bénéficier de toutes les capacités de la
solution technique de l’hébergeur ces clés devront lui être confiées"

ticsante.com/story/4937/mic…
cnil.fr/sites/default/… (p. 10)

HDH : "les données resteront sur le territoire français"
CE : "les données sont actuellement hébergées
dans des centres de données situés aux Pays-Bas"
CE : "ces données pourraient faire l’objet de transferts hors de l’Union européenne"

01net.com/actualites/hea…

Si comme moi, vous ne faites plus confiance au HDH, opposez-vous au transfert de vos données sur le HDH. Grâce à la décision du Conseil d'Etat, le HDH devra publier "les informations adaptées relatives aux droits des personnes concernées".