Le Conseil d’Etat a été conduit à statuer sur l’hébergement de la nouvelle plateforme nationale des données de santé, le Health Data Hub, par Microsoft. Cette affaire a pris des proportions importantes et à de nombreuses ramifications car elle prend place dans le contexte de l’arrêt de la CJUE du 16 juillet 2020, dit « Schrems II » et des incertitudes sur la licéité des transferts de données personnelles, en particulier vers les Etats-Unis. Le Conseil d’Etat a refusé de suivre la CNIL, consultée pour avis, qui sollicitait la suspension de l’hébergement de ces données publiques de santé par Microsoft.La CNIL a par ailleurs, par la suite, été consultée sur le projet de décret encadrant le Health Data Hub, dont les nombreuses critiques émises ont fuité dans la presse le 3 novembre 2020.Dans l’attente de la publication des nouvelles lignes directrices du Comité européen de protection des données (CEPD) et clauses contractuelles types de la Commission européenne, l’analyse de cette affaire permet de comprendre la position de la CNIL sur les transferts de données vers les Etats-Unis et les conditions pour pouvoir opérer de tels transferts.