Health Data Hub : L'État cherche un nouveau partenaire pour héberger ses données, mais rencontre des obstacles avec SecNumCloud

Une nouvelle approche pour l'hébergement des données de santé

Le gouvernement français a décidé de modifier sa stratégie pour trouver un remplaçant à Microsoft Azure, en charge de l'hébergement des données du Health Data Hub depuis plusieurs années. Comme l'a rapporté L’Usine Digitale, l'exécutif a opté pour abandonner l'appel d'offres classique en faveur d'une consultation accélérée via le marché interministériel "Nuage public" de l'Union des groupements d'achats publics (UGAP).

Objectifs de cette réorientation

Selon le ministère de la Santé, cette nouvelle direction vise à accélérer la migration de la base principale du Système national des données de santé (SNDS), qui est le socle du Health Data Hub. Les candidats ont jusqu'au 30 mars 2026 pour soumettre leur devis à l'UGAP, avec une décision attendue trois mois plus tard. Le passage par l'UGAP devrait permettre une bascule d'ici la fin de l'année.

Changements dans le cadre de sélection

Cette nouvelle méthode modifie le cadre de sélection habituel. Un appel d'offres classique permet de construire un cahier des charges détaillé et juridiquement opposable, intégrant des exigences techniques et de sécurité. En revanche, le marché "Nuage public" repose sur une consultation plus flexible, associée à un catalogue d'offres existantes et à des demandes de devis auprès de prestataires déjà référencés. Cette approche vise à réduire les délais et à élargir le vivier de candidats.

Controverse autour de SecNumCloud

C'est dans ce contexte que la controverse liée à la certification SecNumCloud a émergé. Ce visa de sécurité, délivré par l'Agence nationale de la sécurité des systèmes d'information (ANSSI), atteste d'un haut niveau de sécurisation des données. Cependant, comme l'a rapporté le média L’Informé, la mention de cette certification ne serait plus clairement indiquée dans les documents de la consultation.

Les enjeux de la certification

Il semblerait que l'objectif de cette omission soit d'encourager des acteurs en cours de qualification à candidater, même sans avoir obtenu le précieux sésame, afin de ne pas restreindre excessivement la concurrence. Néanmoins, contacté à plusieurs reprises par L’Usine Digitale, le ministère de la Santé a affirmé que la référence au visa SecNumCloud restait intégrée dans le dispositif, tout en refusant de fournir le texte précisant les critères exigés.

Des promesses non tenues

Le gouvernement avait promis de publier ce document le 9 février, mais un fournisseur de services cloud a affirmé que, selon une première lecture du document, SecNumCloud n'était pas explicitement mentionné. Cette déclaration va dans le sens des informations relayées par L’Informé, renforçant ainsi le flou qui entoure cette question.

Un projet en difficulté

Ce manque de clarté n'est pas surprenant. Depuis sa création, le Health Data Hub est confronté à une série de revirements, de retards et d'arbitrages contradictoires, ce qui a durablement obscurci la doctrine de l'État sur l'hébergement des données de santé. Le choix initial de Microsoft, contesté dès 2020, a donné lieu à des promesses répétées de remplacement rapide, sans jamais aboutir dans les délais annoncés. Au fil des années, la trajectoire a été révisée à maintes reprises, avec des annonces de transition qui ont été repoussées, des solutions temporaires envisagées avant d'être abandonnées, et des exigences qui ont été tour à tour durcies puis assouplies.

Recommandations de la Cnil

Dans sa consultation du 31 janvier 2024 sur l'hébergement du Health Data Hub, la Commission nationale de l'informatique et des libertés (Cnil) a recommandé, pour les bases de données de santé les plus sensibles, de recourir à des prestataires soumis exclusivement au droit de l'Union européenne ou bénéficiant de certifications de sécurité renforcées, citant SecNumCloud comme une référence pertinente.

Un marché symbolique

Bien que ce marché soit limité sur le plan financier, il revêt une grande importance symbolique. Le choix du futur hébergeur du Health Data Hub conditionnera la crédibilité de la stratégie française de souveraineté numérique et sa capacité à influencer la mise en œuvre de l'Espace européen des données de santé (EHDS). Les enjeux sont donc cruciaux et nécessitent une attention particulière de la part des autorités compétentes.

Conclusion

Le Health Data Hub, malgré les défis qu'il rencontre, demeure un projet fondamental pour l'avenir du système de santé français et la protection des données de santé des citoyens. L'État se doit de clarifier sa position et d'agir rapidement pour garantir la sécurité et la souveraineté des données de santé.