Le gouvernement français a décidé de revoir sa stratégie pour trouver un remplaçant à Microsoft Azure, le service d'hébergement des données du Health Data Hub, un projet en attente depuis plusieurs années. Selon des informations relayées par L'Usine Digitale, l'exécutif a abandonné l'approche d'un appel d'offres classique pour opter pour le marché interministériel “Nuage public” de l'Union des groupements d'achats publics (UGAP).
Cette réorientation vise à accélérer la migration de la base principale du Système national des données de santé (SNDS), qui constitue le socle du Health Data Hub. Les candidats peuvent désormais soumettre leurs devis à l'UGAP jusqu'au 30 mars 2026, et une décision est attendue trois mois plus tard, avec une transition prévue d'ici la fin de l'année.
Le recours à l'UGAP change les règles du jeu. Un appel d'offres traditionnel permet de rédiger un cahier des charges détaillé et juridiquement contraignant, intégrant des exigences techniques et de sécurité. En revanche, le marché “Nuage public” repose sur une consultation plus flexible, basée sur un catalogue d'offres existantes et des demandes de devis auprès de fournisseurs déjà référencés. Cette méthode permet à l'État de réduire les délais et d'élargir le nombre de candidats potentiels.
Dans ce nouveau contexte, une controverse a émergé concernant SecNumCloud, un visa de sécurité délivré par l'Agence nationale de la sécurité des systèmes d'information (Anssi), qui garantit un niveau élevé de sécurisation des données. Selon des révélations du média L’Informé, la mention de cette certification ne serait plus clairement visible dans les documents de la consultation. L'objectif serait d'autoriser des acteurs en cours de qualification à postuler sans avoir obtenu cette certification, afin de ne pas limiter excessivement la concurrence.
Néanmoins, le ministère de la Santé, contacté à plusieurs reprises par L’Usine Digitale, a affirmé que la référence à SecNumCloud était toujours incluse dans le dispositif, sans toutefois fournir le texte détaillant les critères requis. Le gouvernement avait prévu de publier ce document le 9 février, mais un fournisseur de cloud a déclaré que “selon la première lecture du document, SecNumCloud n’était pas explicitement mentionné”. Cette affirmation corrobore les propos rapportés par L’Informé.
Ce flou n'est pas surprenant. Depuis sa création, le Health Data Hub est confronté à une série de revirements, de retards et de décisions contradictoires, brouillant ainsi la doctrine de l'État sur l'hébergement des données de santé. Le choix initial de Microsoft, contesté dès 2020, a été suivi de promesses répétées de sortie rapide, sans jamais respecter les délais annoncés.
Au fil des années, la trajectoire a été révisée à plusieurs reprises : des transitions annoncées puis retardées, des solutions temporaires envisagées avant d'être abandonnées, des exigences durcies puis assouplies. Dans sa consultation du 31 janvier 2024 sur l'hébergement du Health Data Hub, la Commission nationale de l'informatique et des libertés (Cnil) recommandait, pour les bases de données de santé les plus sensibles, de faire appel à des prestataires soumis exclusivement au droit de l'Union européenne ou bénéficiant de certifications de sécurité renforcées, citant SecNumCloud comme référence pertinente.
Le marché reste financièrement limité, mais il revêt une importance symbolique. Le choix du futur hébergeur du Health Data Hub influencera la crédibilité de la stratégie française de souveraineté numérique et sa capacité à jouer un rôle dans la mise en œuvre de l'Espace européen des données de santé (EHDS).
En somme, alors que la France cherche à se distancer de solutions cloud controversées, la clarté et la transparence dans le processus de sélection des futurs fournisseurs sont cruciales pour garantir la sécurité des données de santé des citoyens.
