Le gouvernement français a pris la décision de changer sa méthode pour trouver un remplaçant à Microsoft Azure, un projet attendu depuis plusieurs années pour l'hébergement des données du Health Data Hub. Comme l'a rapporté L’Usine Digitale, l'exécutif a abandonné l'idée d'un appel d'offres traditionnel au profit d'une consultation accélérée via le marché interministériel "Nuage public" de l'Union des groupements d'achats publics (UGAP).
Selon le ministère de la Santé, cette réorientation vise à faciliter la migration de la base principale du Système national des données de santé (SNDS), qui est au cœur du Health Data Hub. Les candidats ont maintenant jusqu'au 30 mars 2026 pour soumettre leur devis à l'UGAP, avec une décision prévue trois mois plus tard. L'État prévoit une transition d'ici la fin de l'année.
Le passage par l'UGAP modifie le cadre de sélection des prestataires. Contrairement à un appel d'offres classique, qui permet de créer un cahier des charges détaillé et juridiquement opposable, le marché "Nuage public" repose sur une consultation plus flexible, basée sur un catalogue d'offres existantes et des demandes de devis auprès de prestataires déjà référencés. Cette nouvelle approche permet à l'État de réduire les délais et d'élargir le nombre de candidats.
C'est dans ce contexte qu'une controverse a émergé concernant la certification SecNumCloud. Ce visa de sécurité, délivré par l'Agence nationale de la sécurité des systèmes d’information (Anssi), atteste du plus haut niveau de sécurisation des données. Selon des révélations du média L’Informé, la mention de cette certification ne serait plus clairement indiquée dans les documents de la consultation. L'objectif de cette modification serait de permettre aux acteurs en cours de qualification de soumettre leur candidature sans avoir encore obtenu la certification, afin de ne pas limiter excessivement la concurrence.
Interrogé à plusieurs reprises par L’Usine Digitale, le ministère de la Santé a assuré que la référence à la certification SecNumCloud était toujours présente dans le dispositif, tout en refusant de fournir le texte précisant les critères requis. Le gouvernement avait promis une publication de ce document le 9 février. Toutefois, un fournisseur de services cloud a affirmé que, selon une première lecture du document, SecNumCloud n'était pas explicitement mentionné. Cette déclaration corrobore donc les informations rapportées par L’Informé.
Ce flou n'est pas surprenant. Depuis sa création, le Health Data Hub a été le théâtre d'une série de revirements, de retards et d'arbitrages contradictoires, ce qui a durablement obscurci la doctrine de l'État concernant l'hébergement des données de santé. Le choix initial de Microsoft, contesté dès 2020, a été accompagné de promesses répétées d'une transition rapide, sans jamais respecter les délais annoncés. Au fil des ans, la trajectoire a été modifiée à plusieurs reprises : des annonces de transition ont été faites puis repoussées, des solutions temporaires envisagées avant d'être abandonnées, et les exigences assouplies ou durcies.
Dans sa consultation du 31 janvier 2024 concernant l'hébergement du Health Data Hub, la Commission nationale de l'informatique et des libertés (Cnil) a recommandé que, pour les bases de données de santé les plus sensibles, il soit fait appel à des prestataires soumis exclusivement au droit de l'Union européenne ou bénéficiant de certifications de sécurité renforcées, citant SecNumCloud comme référence pertinente.
Bien que le marché reste financièrement limité, il est hautement symbolique. Le choix du futur hébergeur du Health Data Hub conditionnera la crédibilité de la stratégie française de souveraineté numérique et sa capacité à influencer la mise en œuvre de l’Espace européen des données de santé (EHDS).
La situation actuelle du Health Data Hub illustre les défis complexes auxquels est confronté le gouvernement français dans la gestion des données de santé. Alors que la transition vers un nouvel hébergeur est en cours, la clarté et la rigueur dans le choix des partenaires sont essentielles pour garantir la sécurité et la conformité de ces données sensibles.
