L'abonnement à l'Informé est à usage individuel
Un autre appareil utilise actuellement votre compte
Continuer la lectureLa plateforme publique de données de santé poussée à ouvrir son capot
Le Health Data Hub a confié à Microsoft l’hébergement des données personnelles de millions de Français mais refuse de dévoiler le comparatif qui validerait cette décision. Opposé à ce choix, le député Philippe Latombe vient d’obtenir un peu de transparence.
Le Health Data Hub (HDH) va-t-il enfin lever le voile sur ses choix ? Pour rappel, le HDH est un groupement d’intérêt public créé par la loi relative à l’organisation et la transformation du système de santé du 24 juillet 2019. En pratique, cette plateforme centralise l’ensemble des données de santé des Français à des fins de recherches scientifiques notamment. Aussi surprenant que cela puisse paraître, c’est sur le cloud Microsoft Azure que ces données très sensibles sont hébergées et non sur une solution française. Ce choix fut lourdement critiqué dès 2019 par un collectif de professionnels du secteur et de l’informatique médicale ou encore par Anticor qui a même saisi en 2021 le Parquet National financier. Lors d’une audition à l’Assemblée nationale la même année, Stéphanie Combes, directrice du HDH, soutenait que l’offre Microsoft était pourtant la seule à répondre à l’ensemble des exigences pour l’hébergement de ces données sensibles. Dans son dernier rapport annuel, l’entité persiste dans ses positions, s’appuyant un comparatif (« benchmark ») des solutions cloud « susceptibles de répondre aux enjeux du Health Data Hub » réalisé par la société B2Cloud. Un document transmis ensuite au ministre chargé de la Transition numérique et des Télécommunications ou encore à la Direction générale des entreprises (DGE). Problème, le Health Data Hub refuse de révéler ce benchmark, avançant de multiples raisons. Saisie par le député MoDem Philippe Latombe, qui lui a réclamé non seulement cette étude, mais également les données brutes et enrichies, la méthodologie utilisée et le coût de la prestation, la Commission d’accès aux documents administratifs (CADA) n’a pas été totalement convaincue par les arguments du HDH dans son avis rendu le 22 juin 2023 que l’Informé diffuse.
Si Stéphanie Combes maintient son refus de communiquer ce benchmark, c’est d’abord en raison de son caractère préparatoire à la décision de changer d’hébergeur programmée d’ici 2025. Pour la CADA au contraire, « un laps de temps significatif s’est écoulé depuis que les autorités publiques ont exprimé publiquement leur volonté de retenir un nouveau prestataire en 2020 ». De plus, « la décision à intervenir s’inscrit dans un horizon lointain, son échéance, initialement prévue en 2022, ayant déjà été repoussée de trois ans ». Enfin, l’étude de marché « ne comporte aucune proposition concrète quant au choix d’un fournisseur de confiance ». Conclusion de l’autorité administrative : « la remise du rapport de restitution finale du benchmark au HDH, le 9 mai 2022, a levé le caractère préparatoire des livrables remis par la société B2 Cloud en exécution du marché qui lui a été confié ».
La présidente du HDH a également opposé un autre argument aux demandes de communication de pièces administratives prévu par le Code des relations entre le public et l’administration : le secret des affaires. Interrogée également par nos soins en mars dernier, Stéphanie Combes nous avait transmis la même réponse qu’au député : « en premier lieu, les données restituées dans le benchmark ne sont pas accessibles publiquement, il s’agit de données enrichies, notamment par les échanges entre la société B2Cloud et les fournisseurs ». Et comme le document contient des notations des fournisseurs et un classement, ces informations sont « susceptibles d’avoir un impact commercial et réputationnel important ». Pour ne rien arranger, des accords de non-divulgation ont été passés entre B2Cloud et les fournisseurs. Bref, selon elle, l’ensemble de ces éléments sont intégralement couverts par le secret des affaires.
La CADA a été beaucoup plus mesurée : pour la commission, « le benchmark est communicable au demandeur, sous réserve de l’occultation des mentions protégées par le secret des affaires ». Elle invite donc le HDH à faire le tri pour n’occulter que les seules parties sensibles. Toujours dans son avis, la commission estime déjà que le coût des prestations et la méthodologie utilisée pour la réalisation du benchmark ne sont en rien secrets et sont donc communicables. Par contre, les données enrichies des entreprises, qui correspondent à une analyse qualitative portée par l’attributaire du marché, ainsi que « les notes, classements et appréciations portés sur ces fournisseurs » ne sont communicables qu’à chacun des fournisseurs, pas aux tiers. Enfin, « les données brutes des entreprises ne sont couvertes par le secret des affaires que si elles ne sont pas connues ». Comme un certain nombre d’entre elles pourraient déjà avoir été rendues publiques par les entreprises elles-mêmes, « il incombe en conséquence au HDH d’apporter une appréciation au cas par cas sur ces éléments ».
Le HDH est libre de suivre cet avis ou bien de persister dans son refus, au risque alors d’ouvrir la porte à un contentieux devant les juridictions administratives. Contactée sur les suites envisagées, Stéphanie Combes nous a indiqué vendredi 22 juillet que l’avis de la Cada venait seulement de lui être transmis. « Nous reviendrons vers vous dès que nous aurons plus d’informations à vous communiquer sur le contenu du Benchmark ». La directrice du HDH nous a cependant d’ores et déjà transmis le cahier des charges du benchmark, que l’Informé diffuse également. Ce dossier de consultation de 10 pages ne contient pas beaucoup d’informations sur ce comparatif. Son intérêt est surtout historique puisqu’on découvre qu’en 2019, « plus d’une dizaine d’acteurs industriels de référence et d’acteurs de la recherche (Thalès, Santeos, OVH, Docaposte, Orange, Teralab, Institut Pasteur, CASD, Outscale, Saagie, Amazon, Google, Microsoft) » avaient été consultés pour assurer ces prestations d’hébergement. Cependant, le document vient justifier le choix de l’Américain : « Les acteurs français ont notamment présenté des trajectoires qui retardaient d’au moins un an la feuille de route du Health Data Hub. Il est alors apparu que la solution Cloud Azure de Microsoft était la seule solution disponible à court terme et pleinement sécurisée. Elle permettrait d’intégrer les fonctionnalités et certifications nécessaires au niveau de sécurité requis ».
Contacté, le député Philippe Latombe nous indique être prêt à porter le différend devant la justice et même à faire changer la loi. « Fondamentalement, nous allons résoudre une partie du problème en demandant que tous les hébergeurs de données de santé soient référencés SecNumCloud, ce qui exclura de fait Azure et les autres solutions similaires ». Cette certification proposée par l’Agence nationale pour la sécurité des systèmes d’information (ANSSI) permet d’imposer une immunité aux règles extraterritoriales, en particulier américaines. L’élu nous annonce qu’un amendement sera déposé dans les semaines à venir pour l’examen du projet de loi visant à sécuriser et réguler l’espace numérique.
