Données de santé : Le Health Data Hub prépare une "solution intercalaire" pour sortir d'Azure

Le Health Data Hub (HDH), cette immense base regroupant les données de santé des Français, sortira-t-il un jour du cloud Microsoft Azure ? C'est en cours, promet le groupement d'intérêt public (GIP) éponyme chargé d'opérer cette base, dans son bilan 2024 publié le 12 mars 2025. 

Trouver chaussure à son pied 

Parmi les nombreux travaux élaborés l'année dernière, le Health Data Hub raconte avoir poursuivi "sa démarche de migration de sa plateforme technologique vers un environnement souverain". Dans ce cadre, elle a continué à rencontrer les industriels du secteur afin de trouver l'offre répondant le mieux à ses besoins. OVHcloud et Cloud Temple se sont ouvertement positionnés sur ce dossier. 

En pratique, le groupement d'intérêt public a participé au lancement de l'appel d'offres "pour renforcer l’offre française et européenne de services cloud au profit de la souveraineté numérique et de l’IA", lancé en mars 2024 dans le cadre du plan France 2030. Par ailleurs, à la suite de l'arrêté du 6 mai 2024 relatif au référentiel de sécurité applicable au SNDS, le HDH a actualisé l'homologation de sa plateforme technologique conformément aux nouvelles exigences. Il a également collaboré avec le ministère de la Santé à l'élaboration d'un guide destiné aux acteurs concernés. Il doit être publié pour la fin 2025. 

Le HDH en attente de précisions sur la loi SREN

Pour l'année 2025, le HDH souhaite poursuivre sa "veille sur les avancées du cloud souverain" ainsi que "la prise en compte" de la publication du décret d'application de la loi du 21 mars 2024, dite loi SREN. Pour rappel, ce texte encadre l'hébergement des données "d'une sensibilité particulière" traitées par l'Etat et ses services déconcentrés. Ils doivent choisir un prestataire qui met en œuvre "des critères de sécurité et de protection des données garantissant notamment la protection des données traitées ou stockées contre tout accès par des autorités publiques d'Etats tiers non autorisé par le droit de l'Union européenne ou d'un Etat membre".

Ces critères doivent encore être précisés par décret. Il reste à voir si le texte mentionnera explicitement la possession du visa de sécurité SecNumCloud, ce qui n'est pas le cas dans la loi SREN. 

Un calendrier qui n'est jamais respecté

Le HDH ne donne pas de calendrier pour la migration vers une offre de cloud "souveraine". Seule précision : en 2025, elle doit plancher sur "la mise en oeuvre d'une solution intercalaire". Elle fera l'objet "d'une information régulière lors du franchissement de grands jalons". Rappelons qu'en 2022, Stéphanie Combes, directrice du Health Data Hub, avait déclaré qu'il fallait attendre "horizon 2025" pour que les travaux de migration vers "une solution cloud souverain" soient mis en œuvre. Cette échéance ne sera donc pas respectée, comme ce fut le cas pour celle promise par Olivier Véran, ministre de la Santé à l'époque. En novembre 2020, il avait dit vouloir trouver "une nouvelle solution technique" dans "un délai qui soit autant que possible compris entre 12 et 18 mois".

L'hébergement de la base de données par Microsoft Azure provoque des réactions en chaîne. La polémique a été relancée par l'hébergement d'EMC2, un nouvel entrepôt de données de santé porté par l'Agence européenne du médicament. Comme pour le Health Data Hub, c'est Microsoft Azure qui a été choisi pour stocker EMC2. Ce choix s'inscrit dans un contexte bien particulier : la Commission nationale de l'informatique et des libertés (Cnil) a autorisé la création de cet entrepôt hébergé par un fournisseur américain "faute de prestataire susceptible de répondre actuellement aux besoins exprimés". Or, saisi par un collectif d'associations et d'entreprises, le Conseil d'Etat a rejeté la requête visant à annuler la délibération de la Cnil.