Health Data Hub : Un nouveau recours contre Microsoft rejeté par le Conseil d'Etat

Le feuilleton du Health Data Hub continue. Toujours hébergée par Microsoft Azure, cette immense base de données de santé se retrouve régulièrement devant la justice. Cette fois-ci, ce sont Clever Cloud (fournisseur de cloud) et Cleyrop (plateforme de gestion des données), deux entreprises françaises, qui avaient déposé un recours devant le Conseil d'Etat.

Deux ans pour sortir d'Azure

Leur objectif : forcer l'Etat à respecter l'engagement pris en novembre 2020 d'abandonner sous deux ans le cloud de Microsoft pour héberger les données de santé des Français. Pour rappel, hébergées par un fournisseur américain, les données sont soumises, sous certaines conditions, à la collecte par les services de renseignement américains. 

Dans le détail, les requérants se fondaient sur un courrier adressé en février 2023 par le ministère de la Santé à la Commission nationale de l'informatique et des libertés (Cnil) reconnaissant l'absence de solution d'hébergement alternatif viable. Face à cette situation, plutôt que de demander une autorisation globale pour l’hébergement de l’ensemble du Système national des données de santé (SNDS), il proposait une approche plus pragmatique et temporaire : continuer à soumettre des demandes d’autorisation "traitement par traitement", c’est-à-dire au cas par cas, en fonction des projets de recherche ou des finalités définies par le groupement d'intérêt public (GIP) chargé de la plateforme.

Un renoncement à l'objectif de souveraineté ?

Cette nouvelle approche permettait de maintenir les activités de la plateforme sans attendre la migration vers une solution souveraine d'hébergement. Or, pour Cleyrop et Clever Cloud, ce choix traduisait un renoncement à l'objectif de souveraineté fixé en novembre 2020 - à savoir, sortir d'Azure sous deux ans. Ils avaient donc décidé d'attaquer cette décision implicite. 

Dans sa décision du 25 juin, le Conseil d'Etat rejette le recours des entreprises en affirmant que le courrier du ministre ne constitue ni une décision formelle, ni une renonciation définitive à une migration vers un hébergement souverain. Il s'agit d'une réponse technique provisoire à destination de la Cnil, laquelle n'est pas susceptible de recours. 

Une migration en deux étapes

La migration doit se faire en deux étapes, avait fait savoir Clara Chappaz, la ministre déléguée chargée de l'intelligence artificielle et du numérique. Un appel d'offres a été lancé, avait-elle précisé le 10 juin devant la commission sénatoriale sur la commande publique, ajoutant qu'une "solution intercalaire" doit être déployée début 2026. 

Si le gouvernement n'a plus le choix d'agir, c'est que la loi visant à sécuriser et réguler l'espace numérique (SREN) oblige le Health Data Hub, en tant que gestionnaire de données sensibles, à recourir à un prestataire présentant des garanties de souveraineté.