Health Data Hub : L'État se détourne de Microsoft mais se complique avec SecNumCloud
Le gouvernement français a décidé de revoir sa méthode pour sélectionner un nouvel hébergeur du Health Data Hub, un projet en attente depuis plusieurs années visant à sécuriser les données de santé. Comme rapporté par L’Usine Digitale, l'exécutif a opté pour une consultation accélérée via l'Union des groupements d'achats publics (UGAP), abandonnant ainsi le processus classique d'appel d'offres.
Un changement de méthode stratégique
Selon le ministère de la Santé, ce changement vise à accélérer la migration de la base principale du Système national des données de santé (SNDS), qui est essentielle au fonctionnement du Health Data Hub. Les candidats ont jusqu'au 30 mars 2026 pour soumettre leur devis à l'UGAP, avec une décision attendue trois mois plus tard et une transition prévue d'ici à la fin de l'année.
Modifications du cadre de sélection
Le passage par l'UGAP modifie le cadre traditionnel de sélection. Contrairement à un appel d'offres classique qui permet de définir un cahier des charges détaillé et juridiquement opposable, intégrant des exigences techniques et de sécurité, le marché “Nuage public” repose sur une consultation plus flexible. Cette méthode permet à l'État de réduire les délais et d'élargir le nombre de candidats potentiels.
La controverse autour de SecNumCloud
Dans ce nouveau cadre, une controverse a émergé concernant la certification SecNumCloud. Ce visa de sécurité, délivré par l'Agence nationale de la sécurité des systèmes d’information (Anssi), atteste d'un haut niveau de sécurisation des données. Selon L’Informé, la référence à cette certification ne serait plus clairement mentionnée dans les documents de la consultation, ce qui pourrait permettre à des acteurs en phase de qualification de candidater sans avoir encore obtenu le précieux sésame, risquant ainsi de limiter la concurrence.
Réponses du ministère de la Santé
Contacté à plusieurs reprises par L’Usine Digitale, le ministère de la Santé a affirmé que la mention du visa SecNumCloud figurait toujours dans le dispositif. Cependant, il a refusé de fournir le texte détaillant les critères exigés. Bien que le gouvernement ait promis de publier ce document le 9 février, un fournisseur de services cloud a déclaré que, d'après une première lecture, SecNumCloud n’était pas explicitement mentionné, corroborant ainsi les informations de L’Informé.
Historique complexe du Health Data Hub
Ce flou n'est pas surprenant. Depuis sa création, le Health Data Hub a été confronté à une série de revirements, de retards et de décisions contradictoires, brouillant la doctrine de l'État concernant l'hébergement des données de santé. Le choix initial de Microsoft, contesté dès 2020, a été suivi de promesses répétées d'une sortie rapide, sans jamais aboutir dans les délais annoncés.
Une trajectoire fluctuante
Au fil des ans, la trajectoire du projet a été révisée à plusieurs reprises : bascule annoncée puis reportée, solution transitoire envisagée avant d'être abandonnée, exigences durcies puis assouplies. Dans une consultation du 31 janvier 2024, la Commission nationale de l'informatique et des libertés (Cnil) a recommandé, pour les bases de données de santé les plus sensibles, de recourir à des prestataires soumis exclusivement au droit de l'Union européenne ou bénéficiant de certifications de sécurité renforcées, citant SecNumCloud comme référence pertinente.
Implications financières et symboliques
Bien que le marché demeure limité financièrement, il est hautement symbolique. Le choix du futur hébergeur du Health Data Hub conditionnera la crédibilité de la stratégie française de souveraineté numérique et sa capacité à influencer la mise en œuvre de l'Espace européen des données de santé (EHDS).
Conclusion
Alors que l'État cherche à tourner la page sur Microsoft, les incertitudes entourant la certification SecNumCloud pourraient entraver cette transition cruciale. Les prochaines étapes dans la sélection de l'hébergeur seront donc déterminantes pour l'avenir de la gestion des données de santé en France.
