Health Data Hub : L'État se détourne de Microsoft mais fait face à des incertitudes avec SecNumCloud
Le gouvernement français a décidé de modifier sa stratégie pour trouver un remplaçant à Microsoft Azure, qui héberge actuellement les données du Health Data Hub. Cette décision, attendue depuis plusieurs années, a été rapportée par L’Usine Digitale. Au lieu d'un appel d'offres traditionnel, l'exécutif a choisi de recourir au marché interministériel "Nuage public" de l'Union des groupements d'achats publics (UGAP).
Accélérer la migration des données de santé
Selon le ministère de la Santé, cette réorientation vise à accélérer la migration de la base principale du Système national des données de santé (SNDS), qui est le fondement du Health Data Hub. Les candidats ont jusqu'au 30 mars 2026 pour soumettre leur devis à l'UGAP, et la décision concernant le nouvel hébergeur est attendue trois mois plus tard, avec une bascule prévue d'ici la fin de l'année.
Une méthode de sélection modifiée
Le passage par l'UGAP change le cadre de sélection des candidats. Un appel d'offres classique permet de développer un cahier des charges détaillé, juridiquement contraignant, qui inclut des exigences techniques et de sécurité précises. En revanche, le marché "Nuage public" repose sur une consultation plus flexible, s'appuyant sur un catalogue d'offres existantes et sur des demandes de devis auprès de prestataires déjà référencés. Cette approche offre à l'État la possibilité de réduire les délais et d'élargir le vivier de candidats.
Les controverses autour de SecNumCloud
C'est dans cette nouvelle dynamique qu'émerge une controverse concernant SecNumCloud. Le visa de sécurité, délivré par l'Agence nationale de la sécurité des systèmes d'information (Anssi), garantit le plus haut niveau de sécurité des données. Cependant, comme l'a rapporté L’Informé, la mention de cette certification ne serait plus clairement indiquée dans les documents de la consultation.
Il semblerait que l'objectif soit d'autoriser des acteurs en phase de qualification à postuler sans avoir encore obtenu le précieux sésame, afin de ne pas trop restreindre la concurrence. Toutefois, contacté à plusieurs reprises par L’Usine Digitale, le ministère de la Santé a affirmé que la référence à SecNumCloud était toujours présente dans le dispositif, tout en refusant de fournir le texte précisant les critères exigés. Le gouvernement avait promis de publier ce document le 9 février.
Des déclarations contradictoires
Cependant, un fournisseur de services cloud a déclaré le contraire, précisant que "selon la première lecture du document, SecNumCloud n'était pas explicitement mentionné". Cette affirmation soutient les informations rapportées par L’Informé, soulignant un flou préoccupant dans la communication gouvernementale.
Historique tumultueux du Health Data Hub
Ce flou n'est pas surprenant. Depuis sa création, le Health Data Hub est confronté à une série de revirements, de retards et d'arbitrages contradictoires, qui ont durablement obscurci la position de l'État sur l'hébergement des données de santé. Le choix initial de Microsoft, contesté dès 2020, a été accompagné de promesses récurrentes de sortie rapide, sans jamais respecter les délais annoncés.
Au fil des années, les orientations ont été modifiées à plusieurs reprises : des annonces de bascule suivies de reports, des solutions transitoires envisagées puis abandonnées, des exigences qui ont été durcies puis assouplies.
Les recommandations de la CNIL
Dans sa consultation du 31 janvier 2024 sur l'hébergement du Health Data Hub, la Commission nationale de l'informatique et des libertés (Cnil) avait recommandé que, pour les bases de données de santé les plus sensibles, seuls des prestataires soumis exclusivement au droit de l'Union européenne ou bénéficiant de certifications de sécurité renforcées soient retenus, citant SecNumCloud comme référence pertinente.
Un marché symbolique
Bien que le marché reste financièrement limité, il revêt une haute importance symbolique. Le choix du futur hébergeur du Health Data Hub conditionnera la crédibilité de la stratégie française de souveraineté numérique et sa capacité à influencer la mise en œuvre de l'Espace européen des données de santé (EHDS).
