Le gouvernement français a décidé de modifier sa stratégie pour trouver un remplaçant à Microsoft Azure, qui a été critiqué pour l'hébergement des données du Health Data Hub. Comme l'a rapporté L’Usine Digitale, l'exécutif a renoncé à un appel d'offres traditionnel en faveur de la consultation accélérée proposée par l'Union des groupements d'achats publics (UGAP).
Selon le ministère de la Santé, cette réorientation vise à accélérer la migration de la base principale du Système national des données de santé (SNDS), qui est essentielle au fonctionnement du Health Data Hub. Les candidats intéressés ont jusqu'au 30 mars 2026 pour soumettre leurs devis à l'UGAP. La décision finale concernant le nouvel hébergeur est attendue trois mois plus tard, avec une transition prévue d'ici la fin de l'année.
L'utilisation de l'UGAP pour cette consultation modifie la façon dont les candidats sont sélectionnés. Contrairement à un appel d'offres classique qui permet de définir un cahier des charges détaillé et juridiquement contraignant, le marché « Nuage public » de l'UGAP repose sur une consultation plus flexible, basée sur un catalogue d'offres préexistantes et des demandes de devis auprès de prestataires déjà référencés. Ce choix vise à réduire les délais et à élargir le nombre de candidats potentiels.
C'est dans ce nouveau cadre que la polémique concernant la certification SecNumCloud a émergé. Ce visa, délivré par l'Agence nationale de la sécurité des systèmes d'information (Anssi), atteste du plus haut niveau de sécurisation des données. Toutefois, comme l'a révélé L’Informé, la mention de cette certification ne serait plus clairement indiquée dans les documents de la consultation, ce qui pourrait permettre à des acteurs en cours de qualification de soumettre une candidature sans avoir encore obtenu cette certification, réduisant ainsi la concurrence.
Malgré les multiples demandes de L’Usine Digitale, le ministère de la Santé a affirmé que la mention de SecNumCloud restait présente dans le dispositif, tout en refusant de fournir le texte détaillant les critères requis. Le gouvernement avait annoncé une publication de ce document le 9 février, mais un fournisseur de services cloud a déclaré que, selon sa première lecture, SecNumCloud n'était pas explicitement mentionné, corroborant ainsi les informations de L’Informé.
Ce flou n'est pas surprenant. Depuis sa création, le Health Data Hub a été confronté à une série de revirements, de retards et d'arbitrages contradictoires, brouillant la doctrine de l'État concernant l'hébergement des données de santé. Le choix initial de Microsoft, qui a suscité des critiques dès 2020, a été suivi de promesses répétées de sortie rapide, sans jamais aboutir dans les délais annoncés.
Au fil des années, la trajectoire du projet a été réécrite à plusieurs reprises : des annonces de transition ont été faites, puis repoussées, des solutions transitoires envisagées avant d'être abandonnées, et les exigences ont été tantôt durcies, tantôt assouplies.
Dans sa consultation du 31 janvier 2024 sur l'hébergement du Health Data Hub, la Commission nationale de l'informatique et des libertés (Cnil) avait recommandé, pour les bases de données de santé les plus sensibles, de recourir à des prestataires soumis exclusivement au droit de l'Union européenne ou bénéficiant de certifications de sécurité renforcées, citant SecNumCloud comme une référence pertinente.
Le marché de l'hébergement reste financièrement limité mais est hautement symbolique. Le choix du futur hébergeur du Health Data Hub conditionnera la crédibilité de la stratégie française de souveraineté numérique et sa capacité à influencer la mise en œuvre de l'Espace européen des données de santé (EHDS).
La situation actuelle du Health Data Hub illustre les défis auxquels le gouvernement est confronté dans la gestion des données de santé et la mise en place d'une infrastructure numérique sécurisée. Les décisions prises dans les mois à venir seront déterminantes pour l'avenir de la souveraineté numérique en France.
