"Microsoft ou rien", Agnès Buzyn justifie le choix de l'hébergeur du Health Data Hub

Entendue par la commission d'enquête sénatoriale sur la commande publique, Agnès Buzyn, ancienne ministre des solidarités et de la santé, est revenue sur l'un des dossiers les plus sensibles de son mandat : l'hébergement du Health Data Hub, la plateforme qui centralise et facilite l'accès aux données de santé des Français à des fins de recherche et d'innovation. "L'arbitrage, je l'ai pris en pleine connaissance de cause sur le fait que c'était Microsoft ou rien. Et donc, nous avons choisi Microsoft", a-t-elle déclaré devant la commission.

Dès sa création en 2019, le Health Data Hub a suscité une vive polémique en raison de son hébergement par une offre commercialisée par un acteur américain, et donc soumis au CLOUD Act. Cette législation autorise les autorités américaines, sous certaines conditions, à exiger des données hébergées par des fournisseurs américains. 

Aucune alternative viable à l'époque

Or, selon l'ancienne ministre, aucune solution alternative n'était jugée viable à l'époque. "Les notes étaient formelles sur le fait qu'aucun acteur n'apportait ni la capacité ni les conditions de sécurité de Microsoft. Moi, on ne m'a donné aucun choix", a-t-elle rétorqué.

Face aux critiques sur le manque de prise en compte de solutions alternatives françaises ou européennes, Agnès Buzyn renvoie à la structure de la décision politique : "un ministre fait confiance à son administration, a priori (...) Si vous me dites que les notes de mes services ne sont pas bonnes et qu'il y avait d'autres possibilités, je ne suis pas capable d'en juger". 

L'heure est désormais à la migration de la plateforme vers une nouvelle solution. Une étape qui se déroule en plusieurs phases. La première est celle de "la solution intercalaire", une solution technique temporaire mise en place en attendant qu'une solution définitive soit disponible. Celle-ci doit être opérationnelle en 2025, d'après le bilan annuel de la plateforme. Dans un second temps, une offre définitive sera choisie. 

Une solution intercalaire disponible en 2026

Dans le cadre de la première étape de la migration, Clara Chappaz, la ministre déléguée chargée de l'intelligence artificielle et du numérique, a annoncé le 10 juin dernier "qu'un appel d'offres avait été lancé". Ce dernier est, pour l'instant, introuvable. Egalement auditionnée par la commission sénatoriale, elle a précisé que la solution intercalaire devait être déployée début 2026. Elle explique que le ministère de la Santé accompagne actuellement les acteurs français du cloud pour que leurs offres soient adaptées aux besoins du Health Data Hub. 

Si le gouvernement n'a plus le choix d'agir, c'est que la loi visant à sécuriser et réguler l'espace numérique (SREN) oblige le Health Data Hub, en tant que gestionnaire de données sensibles, à recourir à "un prestataire de service présentant des garanties de souveraineté", a rappelé Clara Chappaz, à l'occasion de son audition.

L'effet boule de neige du choix de Microsoft

Le choix initial de Microsoft Azure pour héberger le Health Data Hub ne cesse de produire des répercussions. Dernier exemple en date : l’entrepôt de données EMC2, un projet européen piloté par l’Agence européenne des médicaments (EMA). Cette plateforme, conçue pour permettre à des hôpitaux, agences publiques, chercheurs ou associations de patients d’exploiter des données de santé à des fins de recherche et d’évaluation, est également hébergée sur Azure. 

Et pour cause : c’est le Health Data Hub lui-même, en tant que groupement d’intérêt public (GIP), qui a été sélectionné fin 2021 pour constituer cet entrepôt multicentrique, appuyé sur les données de plusieurs établissements de santé partenaires et couplé au Système National des Données de Santé (SNDS). 

Saisie pour avis, la Commission nationale de l'informatique et des libertés (Cnil) n'avait pas mâché ses mots : "La Cnil réitère ses regrets que la PDS [le Health Data Hub] ne dispose toujours pas à ce jour d’un prestataire susceptible de répondre à ses besoins tout en protégeant les données du SNDS contre les accès des autorités publiques d’Etats tiers".