Le Health Data Hub sur du cloud souverain, ce n’est pas pour demain

C’est une chose que de lancer un projet dans le cloud. C’en est une autre de sortir de chez son prestataire pour migrer chez la concurrence. C’est la réalité qu’a finie par saisir la direction du Health Data Hub. Elle reconnaît aujourd’hui qu’il ne lui sera pas possible de tourner la page de Microsoft dans les délais évoqués par l’ancien ministre de la Santé, Olivier Véran.

Ce constat, c’est Stéphanie Combes, la directrice du Health Data Hub, qui l’a donné à TIC Pharma le 9 septembre 2022. En cause, d’après elle : les solutions françaises ou européennes capables de succéder à l’offre conçue par Microsoft ne sont pas au niveau. En conséquence, l’objectif de quitter les serveurs de l’entreprise américaine d’ici à la fin 2022 est intenable, faute d’alternative.

Le nœud du problème, le cloud de Microsoft pour héberger le Health Data Hub

Une vive polémique a émergé en 2020 autour des conditions d’hébergement du Health Data Hub, une immense plateforme accueillant les données personnelles de santé des Français et des Françaises — ces informations, par nature sensibles, méritent une sécurisation et une confidentialité maximales. Or, la nationalité de Microsoft est un problème, car le groupe est soumis à la loi américaine.

En particulier, ce sont les conséquences du Cloud Act qui sont redoutées. Ce texte autorise les autorités à récupérer, dans des circonstances spécifiques, les données hébergées par des entreprises américaines, y compris à l’étranger. La disparition du Privacy Shield, qui encadrait le transfert des données européennes vers les USA, a également fragilisé le choix de Microsoft comme prestataire.

En l’état actuel, le nouvel horizon évoqué par la direction du Health Data Hub est 2025, compte tenu de la réalité du marché. Trois ans de retard, donc, sur le plan de départ. « Il y a toujours cette question de la souveraineté, qui est évidemment un objectif que nous pouvons tous poursuivre, mais qui est aussi un objectif difficile à atteindre », a commenté Stéphanie Combes.

Le choix de Microsoft comme prestataire cloud pour le Health Data Hub a fait l’objet d’un feu roulant de critiques — de pétitionnaires, de l’Assurance Maladie, de la Cnil, de diverses organisations –, même si l’entreprise américaine se sert d’un centre de données basé aux Pays-Bas. La France a par ailleurs fait passer un arrêté censé empêcher tout transfert hors de l’UE.

Depuis, le Health Data Hub est à la recherche d’un nouveau point de chute. Mais les travaux engagés en ce sens n’ont pas permis de dénicher une plateforme adaptée. Un prestataire extérieur a pourtant été mobilisé pour analyser le marché européen, mais « il y a encore un écart très important concernant les fonctionnalités, notamment de sécurité », selon Stéphanie Combes.

Microsoft a obtenu en 2018 la certification d’hébergeur de données de santé (HDS) en France. Le Health Data Hub précise se conformer aux textes et au référentiel de sécurité du système national des données de santé. Et si Microsoft n’a pas le label SecNumCloud de l’Agence nationale de sécurité des systèmes d’information, le Health Data Hub est en contact avec elle.

Depuis 2020, les voix se succèdent pour plaider en faveur d’une solution bien franco-française pour cette plateforme. Des noms comme Oodrive, Outscale et OVH ont émergé ces dernières années comme alternatives potentielles à Azure, le service de cloud computing de Microsoft. Mais elles n’ont pas en l’état réussi à s’imposer par elle-mêmes.

« L’horizon n’est pas noir et nous voyons pas mal de nouvelles offres de cloud émerger depuis quelques mois, avec différentes méthodes d’hybridation », a admis Stéphanie Combes. « Même s’il n’y a pas forcément d’offre qui réponde parfaitement à nos besoins, cette évolution du marché est intéressante », a-t-elle dit, en référence à Thales et Google, ou bien OVH et T-Mobile.