L'abonnement à l'Informé est à usage individuel
Un autre appareil utilise actuellement votre compte
Continuer la lectureL’hébergement de nos données de santé chez Microsoft au coeur d’une vive polémique
Dans des échanges de courriers tendus avec l’administration, l’élu Modem Philippe Latombe s’agace de la lenteur prise par le Health Data Hub pour migrer vers une solution souveraine.
Les données de santé des Français pourront-elles rester encore longtemps hébergées sur les serveurs Microsoft Ireland Operations Ltd, société de droit irlandais, filiale de la société américaine Microsoft ? Outre-Atlantique, ce choix ouvre théoriquement un accès des autorités nationales à ces informa...
Dans ses dernières missives, le député avait sollicité de Stéphanie Combes la transmission de tous les détails de cette migration promise : non seulement l’agenda prévisionnel du rapatriement vers un cloud souverain mais également les étapes et ses modalités techniques, avec des précisions sur les compétences et ressources humaines exigées, « en précisant s’il s’agissait de ressources internes (...)ou de consultants externes ». Le 15 février 2025, la polytechnicienne lui a assuré partager ce cap vers des « solutions souveraines », avant de temporiser son élan : « cet objectif est dépendant de l’existence d’une solution adéquate et devra être adapté selon les caractéristiques de celle-ci ». Dans une note publiée le 12 mars dernier, le HDH n’est pas plus bavard. Il assure « continue(r) sa démarche de migration de sa plateforme technologique vers un environnement « souverain » ». Dans cette optique, « il intensifie ses échanges avec les différents acteurs du cloud français et a contribué au lancement de l’appel à projets France 2030 opéré pour le compte de l’État par Bpifrance, visant à renforcer l’offre de services cloud française et européenne ».
L’impatience de la CNIL
Le député Philippe Latombe n’est pas le seul à s’impatienter. Dans deux délibérations publiées le 11 mars 2025, repérées par Contexte, la CNIL regrette que le HDH « ne dispose toujours pas à ce jour d’un prestataire susceptible de répondre à ses besoins tout en protégeant les données du SNDS (système national des données de santé, ndlr) contre les accès des autorités publiques d’États tiers ». Le 21 décembre 2023, la même autorité avait certes validé la solution Microsoft dans le cadre d’un projet baptisé EMC2, mêlant cloud et recherches sur les données de santé, mais c’était alors uniquement en considération des assurances du HDH et du Gouvernement « qu’une solution, fût-elle temporaire, serait rapidement trouvée pour assurer un hébergement souverain des données du SNDS ». Un bémol qui n’avait pas empêché plusieurs hébergeurs et éditeurs français (dont Clever Cloud, Nexedi ou Rapid Space International) d’attaquer ce feu vert au Conseil d’État. Le 29 novembre 2024, la juridiction a rejeté leur demande d’annulation en relevant que si Microsoft est dénué du label SecNumCloud, il dispose bien de la certification « hébergeur de données de santé ». Un niveau de garanties jugé suffisant pour le cas présent : d’une part, les données de santé devaient être hébergées dans des centres de stockage situés en France. D’autre part, le dispositif n’avait pas pour effet d’autoriser un transfert vers un État tiers, excepté des données purement techniques relatives à l’usage de la plateforme.
Transparence sur les cabinets de conseil
Dans son courrier, Philippe Latombe veut également connaître l’état des relations entre la plateforme des données de santé et d’éventuels cabinets de conseil. Pourquoi cette attention ? Dans de précédents échanges, il avait repéré la mention « Capgemini » dans plusieurs documents du HDH. Le 10 février, il a donc réclamé copie de l’ensemble « des contrats que vous aviez pu, ou que vous étiez en train de signer avec des cabinets de conseil, avec le détail des coûts (taux horaire, effectifs...), ainsi que les livrables ». Si Stéphanie Combes a confirmé au député sa « volonté de communiquer tout ce qui peut l’être », elle l’a aussi prévenu que son silence au-delà du délai d’un mois équivaudrait à un refus. Cette demande de communication n’ayant pas été honorée dans les temps, le parlementaire envisage maintenant de saisir la Commission d’accès aux documents administratifs (Cada). Une fois saisie, celle-ci devra rendre un avis sur la communicabilité de ces pièces. Au besoin, l’élu nous indique qu’il n’hésitera pas à saisir les juridictions administratives si la plateforme des données de santé persiste dans son refus. Contacté, le Health Data Hub nous réaffirme « avance(r) sur ses objectifs de migration vers une infrastructure cloud plus souveraine avec notamment la mise en œuvre d’une solution « intercalaire » pour héberger la base principale du SNDS ». La direction assure être « en train de préparer le marché public prévu fin premier semestre ». S’agissant des informations réclamées par Philippe Latombe, elle promet de travailler actuellement « à la transmission des documents communicables ». Pas de quoi rassurer le député MoDem. « Ma patience a des limites », réagit-il auprès de l’Informé.
Protection des données stratégiques et sensibles
L’article 31 de la loi du 21 mai 2024 visant à sécuriser et réguler le numérique (SREN) a été adopté pour assurer la protection des données stratégiques et sensibles sur le marché de l’informatique en nuage. Lorsque des administrations doivent passer par un cloud où sont traitées des données d’une sensibilité particulière et dont la violation « est susceptible d’engendrer une atteinte (…) à la santé (…) des personnes », alors elles doivent se prémunir « contre tout accès par des autorités publiques d’État tiers non autorisé par le droit de l’Union européenne ou d’un État membre ». Un projet de décret a été notifié à la Commission européenne le 24 janvier 2025. Le dispositif prévoit une exception à cette obligation de certification, dans l’hypothèse d’une absence d’offre de services en nuage acceptables en France. Paris attend le retour de Bruxelles d’ici le 24 avril. Après période dite de statu quo, ce décret pourra être publié.
