Frankrig placerede i 2019 sin nationale platform for sundhedsdata hos Microsoft. I april 2026 valgte platformen en fransk udbyder i stedet. Imellem ligger en retssag, gentagne udtalelser fra datatilsynet, en ny lov og en senatshøring.
Sagen kort
Plateforme des données de santé (PDS), også kaldet Health Data Hub, blev oprettet for at samle franske sundhedsdata til forskning og styring. Den tekniske platform kom på Microsoft Azure i datacentre i Frankrig, med Microsoft Ireland som kontraktpart. Det franske datatilsyn CNIL anbefalede, at så følsomme data kun skulle ligge hos udbydere under EU’s jurisdiktion eller med fransk SecNumCloud-kvalifikation.
Forberedelserne til et skift begyndte i 2025, skriver PDS i sin årsstatus. 23. april 2026 meddelte PDS, at Scaleway bliver ny vært for platformen. Ifølge PDS skal platformen selv kunne forvalte en kopi af hovedbasen i det nationale sundhedsdatasystem SNDS fra slutningen af 2026 eller begyndelsen af 2027.
Hvad skete der, dato for dato
- Marts 2019 · Daværende sundhedsminister Agnès Buzyn traf valget af Azure. Det fremgår af senatets referat fra høringen af hende i 2025.
- 29. november 2019 · Platformen blev oprettet ved bekendtgørelse, oplyser CNIL.
- 16. juli 2020 · EU-Domstolen afsagde Schrems II-dommen om overførsler til USA, som Conseil d’État senere lagde til grund.
- 13. oktober 2020 · Conseil d’État afviste at stoppe platformen. Retten pålagde den at indgå et tillæg til kontrakten med Microsoft Ireland Operations Limited inden for 15 dage.
- 31. januar 2024 · CNIL gjorde status over sine udtalelser om platformen og ministeriets tilsagn om skift.
- 10. juni 2025 · Senatets undersøgelseskommission om offentlige indkøb hørte Agnès Buzyn og samme dag Microsoft France.
- 23. april 2026 · PDS meddelte valget af Scaleway efter en udvælgelse på to en halv måned.
Hvem besluttede
Valget i 2019 var en ministerbeslutning. Buzyn forklarede senatet, at der fandtes en indkøbsaftale hos det statslige indkøbsorgan UGAP med tre amerikanske clouds, og at den allerede var tildelt Microsoft. Kommissionens formand Simon Uzenat konstaterede, at der ikke blev holdt et konkurrenceudbud.
Skiftet i 2026 var platformens egen beslutning, taget efter rådgivning fra statens digitaliseringsdirektorat DINUM, forskningsinstituttet Inria og sundhedsministeriet. Det skete også via UGAP, nu gennem aftalen “Nuage public”. PDS oplyser, at mere end 350 tekniske krav indgik.
Hvilken mekanisme
Data lå i Frankrig, men leverandøren tilhørte en amerikansk koncern. CNIL skrev, at det giver mulighed for lovlige krav fra amerikanske myndigheder om udlevering. Conseil d’État henviste til FISA 702 og præsidentordre 12333 som grundlag for adgang. Mekanismerne er beskrevet i → FISA 702 og → Cloud Act.
Retten fandt ikke grundlag for at stoppe platformen midt i covid-krisen. Den lagde vægt på, at myndighederne havde meldt, at de ville vælge en ny underleverandør hurtigst muligt. Kontraktændringen, retten pålagde, handlede om at sikre, at EU-ret eller medlemsstatsret gjaldt for tillægget. Det ændrede ikke moderselskabets amerikanske tilknytning.
Datatilsynets rolle
CNIL anbefalede for de mest følsomme baser, at værten kun skulle være underlagt EU-ret eller have SecNumCloud. Ministeriet var enigt i målet, men vurderede, at der ikke fandtes operationelle løsninger før 2025.
Derfor havde PDS pr. januar 2024 ikke søgt tilladelse til at huse hele SNDS-hovedbasen. Tilsynets krav fik altså en direkte praktisk følge. Platformen kunne ikke udfylde sin kerneopgave fuldt ud, så længe den lå på Azure.
Senatshøringen og loven
Uzenat sagde ved høringen, at migreringen nu var påbudt af loven af 21. maj 2024 om sikring og regulering af det digitale rum, kaldet SREN. Samme dag forklarede Microsoft France under ed, at selskabet ikke var i stand til at garantere mod udlevering efter amerikanske påbud, se → Microsofts svar til det franske senat.
Buzyn forsvarede valget fra 2019. Hun sagde, at alternativet var at vente flere år, og at der hverken var pres på prisen eller politisk pres. Forskellen mellem 2019 og 2026 er dermed også en forskel i, hvad markedet kunne levere.
Hvad PDS kunne have vidst på forhånd
Spørgsmålet om en amerikansk leverandør var rejst fra begyndelsen, sagde Buzyn selv. PDS skriver, at platformen fra 2019 var bygget, så den kunne skifte vært. Det er en af grundene til, at skiftet kunne besluttes hurtigt, da et alternativ var klar.
Kontraktparten var et irsk selskab med amerikansk moder. Den sammenhæng er netop det, → trin 2 om juridisk enhed og moderselskab skal afdække. Datacentrets placering i Frankrig ændrede den ikke, jf. → tre lag i dataresidens, drift og jura.
Hvad sagen ikke viser
Sagen viser ikke, at amerikanske myndigheder har fået adgang til franske sundhedsdata. Ingen af kilderne siger det. Risikoen var retlig, og det var den, tilsyn og domstol vurderede.
Den viser heller ikke, hvornår migreringen er færdig. PDS har pr. 30. oktober 2026 ikke meldt den afsluttet på sin nyhedsside. Vi har ikke fundet offentlige oplysninger om omkostningerne ved skiftet. Hvordan sagen kan bruges i Danmark, afhænger af de konkrete systemer, se → sundhed, journalsystemer og cloud.
Læren for en exit-plan
Et skift kan tage år, selv når alle er enige om målet. Det afgørende i Frankrig var, at platformen fra starten var bygget til at kunne flytte. Brug sagen til fire handlinger.
- Byg reversibilitet ind fra dag ét · Brug standarder, der kan flyttes, og dokumentér det, jf. → trin 9.
- Notér tilsynets krav som en exit-udløser · Et datatilsyn kan begrænse brugen, før en lov gør det. Kortlæg følgerne pr. system, som i → trin 5.
- Hold øje med markedet · Alternativet fandtes ikke i 2019, men gjorde i 2026. Følg det løbende, som i → trin 10.
- Beskriv jurisdiktion i udbuddet · Frankrig brugte en rammeaftale med krav til hosting, se → jurisdiktion i offentlige udbud.
Ved store platforme med følsomme data kan en uvildig vurdering af jurisdiktion og exit-omkostning pr. system give et beslutningsgrundlag. Det er indholdet i Nielco IT’s jurisdiktions- og afhængighedsvurdering.
Kilder
- Conseil d’État, juge des référés: Ordonnance n° 444937, Conseil national du logiciel libre m.fl., 13. oktober 2020. https://www.conseil-etat.fr/fr/arianeweb/CE/decision/2020-10-13/444937
- CNIL: Plateforme des données de santé, missions et enjeux. https://www.cnil.fr/fr/plateforme-des-donnees-de-sante-missions-et-enjeux
- CNIL: Les principaux avis et recommandations de la CNIL sur la Plateforme des données de santé, 31. januar 2024. https://www.cnil.fr/fr/les-principaux-avis-et-recommandations-de-la-cnil-sur-la-plateforme-des-donnees-de-sante
- Sénat, Commission d’enquête sur les coûts et les modalités effectifs de la commande publique: Comptes rendus, høringer af Microsoft France og Agnès Buzyn, 10. juni 2025. https://www.senat.fr/compte-rendu-commissions/20250609/ce_commande_publique.html
- Plateforme des données de santé: La Plateforme des données de santé engage sa migration vers un cloud souverain avec Scaleway, 23. april 2026. https://www.health-data-hub.fr/actualites/la-plateforme-des-donnees-de-sante-engage-sa-migration-vers-un-cloud-souverain-avec
- Plateforme des données de santé: Construire la souveraineté de la recherche en santé, retour sur l’année 2025. https://www.health-data-hub.fr/actualites/construire-la-souverainete-de-la-recherche-en-sante-retour-sur-lannee-2025-de-la
