¿Cómo se almacenan realmente las datos de salud de los franceses?
Cada vez más, el gobierno francés promueve el uso de la herramienta «Mon espace santé». Sin embargo, las inquietudes no solo giran en torno a quién accede a los datos médicos, sino también a dónde están realmente almacenados y bajo qué normativas. Se plantea un dilema fundamental en el que se combinan la protección de datos en territorio nacional y la dependencia del almacenamiento en la nube de Microsoft, particularmente en relación al Health Data Hub.
Un paisaje fragmentado de almacenamiento de datos
Las informaciones de salud de los ciudadanos franceses no están concentradas en un único repositorio digital; en cambio, están dispersas en diversos sistemas como la base de la Seguridad Social, el historial médico digital, hospitales y el mencionado Health Data Hub. Cuando se utilizan proveedores externos, es crucial que estos sean “hospitaliers de données de santé” (HDS) certificados, predominantemente ubicados en Francia o en la Unión Europea.
Infrastructuras certificadas para la protección de datos
El sistema «Mon espace santé», sucesor del dossier médical partagé (DMP), se encuentra alojado en Francia, utilizando infraestructuras dedicadas de la Seguridad Social que son certificadas por HDS. La historicidad del DMP está a cargo de Santeos, una filial de Atos, y la mensajería segura también recae en proveedores certificados HDS.
Adicionalmente, las plataformas de la Seguridad Social, como el Sistema Nacional de Datos de Salud (SNDS), dependen de infraestructuras HDS cuando son externalizadas. Los hospitales públicos y clínicos privados cuentan con sus propios sistemas, donde la seguridad se garantiza a través de la certificación HDS. Sin embargo, algunos grupos de hospitales pueden gestionar su propio almacenamiento sin esta certificación formal, siempre y cuando cumplan con los estándares de seguridad definidos por la Agencia Nacional de Salud Digital.
El papel controvertido de Microsoft en el Health Data Hub
La situación se complica con el Health Data Hub, un portal público que centraliza datos de diversas fuentes para investigadores y proyectos de inteligencia artificial. Desde su creación en 2019, el gobierno ha optado por usar la infraestructura de Microsoft Azure. A pesar de que la legalidad de esta elección ha sido respaldada por el Consejo de Estado, persiste una preocupación en torno a la legislación estadounidense.
Durante una reciente audiencia en el Senado, Anton Carniaux, de Microsoft Francia, destacó que la empresa, siendo estadounidense, puede estar sujeta a solicitudes del Departamento de Justicia bajo el Cloud Act de 2018, lo que implica que podrían verse obligados a entregar datos almacenados incluso en Europa. Esta situación resalta el riesgo de extraterritorialidad, lo que se convierte en una amenaza potencial para la seguridad de los datos de salud de los franceses.
Recomendaciones y futuras acciones
La CNIL ha expresado repetidamente su preocupación por este tema siendo que, aunque se consideran adecuadas las condiciones actuales de almacenamiento, sugieren cambiar a un proveedor no expuesto a legislaciones externas. En consecuencia, la ley SREN, adoptada en 2024, exige que el Health Data Hub transite a un sistema de almacenamiento “soberano”, lo que significa que necesite un proveedor certificado SecNumCloud.
Aunque la migración se ha enfrentado a retrasos, un llamado a licitación se lanzó en julio de 2025 para implementar una solución temporal, gestionada por un operador francés o europeo. Esta nueva infraestructura debería estar disponible para la summer de 2026, fortaleciéndonos frente a riesgos futuros y asegurando la privacidad de los datos de salud de los ciudadanos franceses.
About the Author
