Dans la continuité des préoccupations relatives à l’invalidation du Privacy Shield (CJUE, 16 juillet 2020, Data Protection Commissioner c/ Facebook Ireland Ltd, Maximillian Schrems, affaire C 311/18), la CNIL a été consultée au cours d’un recours en référé formé par diverses associations et professionnels devant le Conseil d’État. Ce recours tendait à demander la suspension du Health Data Hub. Est en cause l’hébergement de la plateforme par Microsoft, entreprise américaine soumise entre autres aux réglementations de sécurité intérieure du droit américain.

La CNIL a estimé que le choix d'un hébergeur soumis au droit américain semblait incompatible avec les exigences de la CJUE en matière de protection de la vie privée. Ella a, d'une part, invité le juge à vérifier que les engagements de l'hébergeur à supprimer les transferts de données personnelles hors UE couvraient bien l'ensemble du Health Data Hub. La Commission a estimé que l'hébergement de la plateforme par une société de droit états-unien, pouvant être amenée à répondre à des demandes de communication de donnée, même pseudonymisées, était en soi problématique et devait conduire à changer d'opérateur ou à apporter des garanties spécifiques.