Le Gouvernement Réévalue sa Stratégie pour le Health Data Hub

Le gouvernement français a décidé de modifier sa méthode pour trouver un remplaçant à Microsoft Azure, qui héberge les données du Health Data Hub, une démarche attendue depuis plusieurs années. Comme l'a rapporté L’Usine Digitale, l'exécutif a opté pour une consultation accélérée par le biais de l'Union des groupements d'achats publics (UGAP), abandonnant ainsi l'appel d'offres classique.

Accélération de la Migration des Données

Selon le ministère de la Santé, cette réorientation vise à faciliter la migration de la base de données principale du Système national des données de santé (SNDS), qui forme le socle du Health Data Hub. Les candidats intéressés disposent jusqu'au 30 mars 2026 pour soumettre leur devis à l'UGAP, avec une décision prévue trois mois plus tard et une transition annoncée d'ici la fin de l'année.

Un Cadre de Sélection Modifié

Le recours à l'UGAP modifie le cadre de sélection habituel. Contrairement à un appel d'offres classique qui permet d'établir un cahier des charges détaillé et juridiquement contraignant, le marché “Nuage public” offre une approche plus flexible. Ce dernier repose sur un catalogue d'offres existantes et sur des demandes de devis auprès de prestataires déjà référencés, ce qui permet à l'État de réduire les délais et d'élargir le vivier de candidats.

Controverse autour de SecNumCloud

C'est dans ce contexte que la controverse autour de la certification SecNumCloud a émergé. Ce visa de sécurité, délivré par l'Agence nationale de la sécurité des systèmes d'information (Anssi), atteste du plus haut niveau de sécurisation des données. Toutefois, comme l'a révélé le média L’Informé, il semblerait que la référence à cette certification ne soit plus clairement indiquée dans les documents de la consultation.

Cette omission pourrait permettre à des acteurs en cours de qualification de soumettre leur candidature sans avoir encore obtenu le précieux sésame, ce qui pourrait restreindre la concurrence. Malgré plusieurs sollicitations de L’Usine Digitale, le ministère de la Santé a certifié que la référence à SecNumCloud figurait toujours dans le dispositif, mais a refusé de rendre public le texte détaillant les critères exigés.

Un Flou Persistant

Le gouvernement avait promis la publication de ce document le 9 février dernier. Néanmoins, un fournisseur de services cloud a affirmé que, d'après une première lecture, SecNumCloud n'était pas explicitement mentionné. Cette déclaration vient corroborer les informations diffusées par L’Informé.

Ce flou n'est pas surprenant, car depuis sa création, le Health Data Hub a connu de nombreux revirements, retards et décisions contradictoires, brouillant ainsi la doctrine de l'État sur l'hébergement des données de santé. Le choix initial de Microsoft, contesté dès 2020, a été suivi de promesses répétées d'une sortie rapide, sans jamais aboutir dans les délais annoncés.

Une Trajectoire Évolutive

Au fil des années, la trajectoire du Health Data Hub a été réécrite à plusieurs reprises : bascule annoncée puis repoussée, solutions transitoires envisagées avant d'être abandonnées, exigences durcies puis assouplies. Dans sa consultation du 31 janvier 2024 sur l'hébergement du Health Data Hub, la Commission nationale de l'informatique et des libertés (Cnil) avait recommandé, pour les bases de données de santé les plus sensibles, de recourir à des prestataires soumis exclusivement au droit de l'Union européenne ou bénéficiant de certifications de sécurité renforcées, citant SecNumCloud comme référence pertinente.

Enjeux Financiers et Symboliques

Bien que le marché en question soit limité financièrement, il revêt une grande importance symbolique. Le choix du futur hébergeur du Health Data Hub influencera la crédibilité de la stratégie française de souveraineté numérique et son impact dans la mise en œuvre de l'Espace européen des données de santé (EHDS).

Conclusion

La situation actuelle du Health Data Hub, marquée par des incertitudes autour des processus de sélection et de sécurité, soulève des questions cruciales sur l'avenir de la gestion des données de santé en France. Le gouvernement doit naviguer habilement entre la nécessité d'accélérer la transition et l'exigence de garantir la sécurité des données.