Le gouvernement français a décidé de modifier sa stratégie pour trouver un remplaçant à Microsoft Azure, en charge de l'hébergement des données du Health Data Hub depuis plusieurs années. Comme l'a rapporté L’Usine Digitale, l'exécutif a opté pour abandonner l'appel d'offres classique en faveur d'une consultation accélérée via le marché interministériel "Nuage public" de l'Union des groupements d'achats publics (UGAP).
Selon le ministère de la Santé, cette nouvelle direction vise à accélérer la migration de la base principale du Système national des données de santé (SNDS), qui est le socle du Health Data Hub. Les candidats ont jusqu'au 30 mars 2026 pour soumettre leur devis à l'UGAP, avec une décision attendue trois mois plus tard. Le passage par l'UGAP devrait permettre une bascule d'ici la fin de l'année.
Cette nouvelle méthode modifie le cadre de sélection habituel. Un appel d'offres classique permet de construire un cahier des charges détaillé et juridiquement opposable, intégrant des exigences techniques et de sécurité. En revanche, le marché "Nuage public" repose sur une consultation plus flexible, associée à un catalogue d'offres existantes et à des demandes de devis auprès de prestataires déjà référencés. Cette approche vise à réduire les délais et à élargir le vivier de candidats.
C'est dans ce contexte que la controverse liée à la certification SecNumCloud a émergé. Ce visa de sécurité, délivré par l'Agence nationale de la sécurité des systèmes d'information (ANSSI), atteste d'un haut niveau de sécurisation des données. Cependant, comme l'a rapporté le média L’Informé, la mention de cette certification ne serait plus clairement indiquée dans les documents de la consultation.
Il semblerait que l'objectif de cette omission soit d'encourager des acteurs en cours de qualification à candidater, même sans avoir obtenu le précieux sésame, afin de ne pas restreindre excessivement la concurrence. Néanmoins, contacté à plusieurs reprises par L’Usine Digitale, le ministère de la Santé a affirmé que la référence au visa SecNumCloud restait intégrée dans le dispositif, tout en refusant de fournir le texte précisant les critères exigés.
Le gouvernement avait promis de publier ce document le 9 février, mais un fournisseur de services cloud a affirmé que, selon une première lecture du document, SecNumCloud n'était pas explicitement mentionné. Cette déclaration va dans le sens des informations relayées par L’Informé, renforçant ainsi le flou qui entoure cette question.
Ce manque de clarté n'est pas surprenant. Depuis sa création, le Health Data Hub est confronté à une série de revirements, de retards et d'arbitrages contradictoires, ce qui a durablement obscurci la doctrine de l'État sur l'hébergement des données de santé. Le choix initial de Microsoft, contesté dès 2020, a donné lieu à des promesses répétées de remplacement rapide, sans jamais aboutir dans les délais annoncés. Au fil des années, la trajectoire a été révisée à maintes reprises, avec des annonces de transition qui ont été repoussées, des solutions temporaires envisagées avant d'être abandonnées, et des exigences qui ont été tour à tour durcies puis assouplies.
Dans sa consultation du 31 janvier 2024 sur l'hébergement du Health Data Hub, la Commission nationale de l'informatique et des libertés (Cnil) a recommandé, pour les bases de données de santé les plus sensibles, de recourir à des prestataires soumis exclusivement au droit de l'Union européenne ou bénéficiant de certifications de sécurité renforcées, citant SecNumCloud comme une référence pertinente.
Bien que ce marché soit limité sur le plan financier, il revêt une grande importance symbolique. Le choix du futur hébergeur du Health Data Hub conditionnera la crédibilité de la stratégie française de souveraineté numérique et sa capacité à influencer la mise en œuvre de l'Espace européen des données de santé (EHDS). Les enjeux sont donc cruciaux et nécessitent une attention particulière de la part des autorités compétentes.
Le Health Data Hub, malgré les défis qu'il rencontre, demeure un projet fondamental pour l'avenir du système de santé français et la protection des données de santé des citoyens. L'État se doit de clarifier sa position et d'agir rapidement pour garantir la sécurité et la souveraineté des données de santé.
