Health Data Hub : L'État change de cap sur l'hébergement des données, mais fait face à des ambiguïtés avec SecNumCloud

Changement de stratégie pour le Health Data Hub

Le gouvernement français a pris la décision de modifier sa méthode pour sélectionner un nouvel hébergeur des données du Health Data Hub, un processus attendu depuis plusieurs années. Comme l’a rapporté L’Usine Digitale, l'exécutif a abandonné l'appel d'offres traditionnel en faveur d'une consultation plus rapide via le marché interministériel “Nuage public” de l'Union des groupements d'achats publics (UGAP).

Accélération de la migration des données

Selon le ministère de la Santé, cette nouvelle approche vise à accélérer la migration de la base principale du Système national des données de santé (SNDS), qui constitue le socle du Health Data Hub. Les candidats ont désormais jusqu'au 30 mars 2026 pour soumettre leurs devis à l'UGAP, avec une décision prévue trois mois plus tard et une transition qui pourrait s'achever d'ici la fin de l'année.

Évolution du cadre de sélection

Le recours à l'UGAP change fondamentalement le cadre de sélection. Un appel d'offres classique permet généralement d'établir un cahier des charges détaillé et juridiquement contraignant, intégrant des exigences techniques et de sécurité précises. En revanche, le marché “Nuage public” repose sur une consultation plus flexible, s'appuyant sur un catalogue d'offres existantes et sur des demandes de devis auprès de prestataires déjà référencés. Ce changement permet à l'État de réduire les délais et d'élargir le pool de candidats.

Controverse autour de SecNumCloud

C'est dans ce nouveau contexte qu'une controverse a émergé concernant la certification SecNumCloud. Ce visa de sécurité, délivré par l'Agence nationale de la sécurité des systèmes d'information (Anssi), atteste du plus haut niveau de sécurisation des données. Selon un rapport du média L’Informé, la référence à cette certification ne serait plus clairement mentionnée dans les documents de consultation, ce qui pourrait permettre à des acteurs en cours de qualification de postuler sans avoir encore obtenu ce précieux sésame, limitant ainsi la concurrence.

Réponses du ministère de la Santé

Contacté à plusieurs reprises par L’Usine Digitale, le ministère de la Santé a assuré que la référence au visa SecNumCloud était toujours incluse dans le dispositif, tout en refusant de fournir le texte explicitant les critères exigés. Le gouvernement avait promis de publier ce document le 9 février, mais un fournisseur de services cloud a affirmé que, selon une première lecture, SecNumCloud n'était pas explicitement mentionné, corroborant ainsi les propos de L’Informé.

Un parcours chaotique pour le Health Data Hub

Cette ambiguïté n'est pas surprenante, étant donné que le Health Data Hub a été marqué par une série de revirements, de retards et d'arbitrages contradictoires. Depuis sa création, la doctrine de l'État sur l'hébergement des données de santé reste floue. Le choix initial de Microsoft, contesté dès 2020, a été accompagné de promesses répétées d'une transition rapide, sans jamais aboutir dans les délais prévus.

Des exigences fluctuantes

La trajectoire du projet a été réécrite à plusieurs reprises : des annonces de transitions suivies de reports, des solutions transitoires envisagées puis abandonnées, ainsi que des exigences qui ont varié entre durcissement et assouplissement.

Recommandations de la CNIL

Dans sa consultation du 31 janvier 2024 sur l'hébergement du Health Data Hub, la Commission nationale de l'informatique et des libertés (Cnil) a recommandé que, pour les bases de données de santé les plus sensibles, les prestataires soient soumis exclusivement au droit de l'Union européenne ou disposent de certifications de sécurité renforcées, citant SecNumCloud comme référence pertinente.

Implications financières et symboliques

Bien que le marché reste financièrement limité, il revêt une haute importance symbolique. Le choix du futur hébergeur du Health Data Hub déterminera la crédibilité de la stratégie française de souveraineté numérique et sa capacité à influencer la mise en œuvre de l'Espace européen des données de santé (EHDS).

Conclusion

Alors que le gouvernement s'efforce de trouver une solution rapide pour le Health Data Hub, les questions entourant la certification de sécurité et la méthode de sélection choisie continuent de susciter des inquiétudes. La transparence et la rigueur dans le processus de sélection seront essentielles pour garantir la sécurité des données de santé des citoyens français.