L'avis du Conseil d'État sur ce cas est très intéressant et il confirme l'analyse de la CNIL. Il convient de distinguer la question des transferts et le traitement des données par une société susceptible de recevoir des requêtes de la part des autorités américaines. Le Conseil d'État estime qu'il existe un risque d'accès par les autorités américaines, y compris en l'absence de transfert de données, du fait de la loi d'extra-territorialité américaine. De nombreux échanges ont ainsi porté sur la nécessité d'assurer un hébergement des données de santé, qui sont particulièrement sensibles, afin de garantir l'absence de risque d'accès par les autorités américaines.