Projets

La migration du Health Data Hub toujours au point mort

---

Face � une commission d'enqu�te du S�nat, la directrice du Health Data Hub a confirm� que la migration de la plateforme hors d'Azure n'�tait pas entam�e. Le syst�me de gestion des donn�es de sant� attend la disponibilit� de solutions en cours de certification SecNumCloud.

Publicit�Auditionn�e par la commission d'enqu�te du S�nat sur la commande publique le 14 mai, St�phanie Combes, la directrice du Health Data Hub, s'est d�fendue bec et ongles. Et il fallait bien �a, tant ce syst�me de consolidation des donn�es de sant� pseudonymis�es des Fran�ais concentre toutes les critiques. Pour rappel, le Health Data Hub (HDH) est n� en 2019 de la volont� de favoriser l'exploitation des donn�es de sant� � des fins de recherche, d'innovation th�rapeutique ou encore d'am�lioration de la qualit� des soins. D'embl�e, cette plateforme a �t� h�berg�e sur Microsoft Azure, pr�sent� par les �quipes du projet comme l'offre technique la plus avanc�e. Un choix effectu� sans appel d'offres d�di�, par le biais d'un contrat de l'Ugap (la centrale d'achat de l'Etat), mainte fois contest�, mais qui reste d'actualit�, malgr� les promesses de plusieurs ministres d'engager une migration vers une solution qui �chapperait aux l�gislations extraterritoriales am�ricaines.

D'o� l'int�r�t tout particulier de la commission d'enqu�te du S�nat sur la commande publique pour les choix de ce Groupement d'int�r�t public (GIP). Et ce d'autant plus que la ministre d�l�gu�e charg�e de l'IA et du num�rique, Clara Chappaz, a annonc�, d�but avril, devant l'Assembl�e nationale, le lancement d'un appel d'offres portant sur la migration du HDH. Et que la loi SREN de mai 2024 engage les administrations � stocker les donn�es d'une � sensibilit� particuli�re �, dont les donn�es de sant� font �videmment partie, sur un cloud � garantissant notamment la protection des donn�es trait�es ou stock�es contre tout acc�s par des autorit�s publiques d'Etats tiers �. Une qualit� dont ne peuvent se pr�valoir les hyperscalers am�ricains du fait de textes f�d�raux, comme la section 702 du Foreign Intelligence Surveillance Act (FISA).

Une dizaine d'acteurs analys�s, Microsoft pl�biscit�

Pour la directrice du Health Data Hub, St�phanie Combes, la proc�dure retenue au moment de la cr�ation du GIP r�sulte de la volont� de � produire des r�sultats utiles, concrets et impactant rapidement �. Avec un choix technique qui s'est voulu r�versible d�s le d�marrage, via une infrastructure as-code portable. � Nous avons document� nos analyses de march�s et contribu� aux travaux de la Dinum pour que les acteurs europ�ens d�veloppent les services manquants par rapport aux hyperscalers am�ricains �, assure-t-elle, en gage de bonne volont� de l'organisation qu'elle dirige.

Selon la responsable, le choix de Microsoft r�sulte d'un arbitrage politique en mars ou avril 2019, pris par la ministre de la Sant� de l'�poque, Agn�s Buzyn, suite � une analyse de la Direction de la recherche et des �tudes du minist�re, qui pilotait la mission de pr�figuration du HDH. A l'�poque, une dizaine d'acteurs acad�miques et industriels (dont Thales, Santeos, Docaposte, OVH, Orange, Outscale, Sage, Amazon, Google et Microsoft, selon les affirmations de la directrice du GIP) auraient �t� auditionn�s pour �valuer leur capacit� � r�pondre aux exigences du projet. � Seul Microsoft r�pondait � nos pr�requis, assure St�phanie Combes. Cette analyse a �t� transmise au cabinet minist�riel pour arbitrage. �

Publicit�Bleu et S3NS bient�t certifi�s SecNumCloud

Plus �tonnant, cette position unique de l'�diteur se serait maintenue jusqu'� aujourd'hui. St�phanie Combes mentionne, en effet, des �tudes men�es en 2019, en 2020 (en collaboration avec la Dinum), en 2021 et 2022 (via un cabinet externe), puis encore en 2023 et en 2024 (par la Dinum seule cette fois), qui ont � toutes confirm� que tous les acteurs avaient des difficult�s � atteindre le niveau requis, surtout en mati�re de services de s�curit� �. La directrice du HDH pr�cise toutefois d�celer une progression des alternatives � Azure en 2025, � avec certains acteurs bien engag�s dans leur certification SecNumCloud �. Parmi ceux-ci figurent notamment les cloud dits de confiance b�tis sur l'offre d'hyperscalers am�ricains mais h�berg�s dans une soci�t� de droit fran�ais, contr�l�e par des actionnaires locaux (avec les attelages Google+Thales pour S3NS et Microsoft+Orange+Capgemini pour Bleu), comme le montre la liste que tient � jour l'Anssi.

A ce stade, le Health Data Hub n'a entam� qu'une partie de la migration attendue vers une solution r�pondant aux crit�res attendus par la loi SREN, ce que le GIP appelle la � solution intercalaire �. Soit l'h�bergement de la base principale, tournant aujourd'hui sur les environnements de l'Assurance maladie, ce qui n�cessite actuellement des extractions de donn�es pour r�pondre aux besoins du HDH (environ 300 en 2024). � L'id�e consistera � disposer d'une copie de cette base � la main du HDH �, indique St�phanie Combes. Celle-ci assure que le travail de sourcing a permis d'identifier 10 � 15 acteurs pertinents pour l'h�bergement de cette base et que le march� correspondant doit �tre publi� avant la fin juin 2025.

D�pendant de l'�mergence des solutions SecNumCloud

Sur la migration des ressources d�j� pr�sentes sur Azure, les r�ponses de la directrice du GIP sont, en revanche, plus �vasives. Celle-ci indique d'abord attendre le d�cret d'application de la loi SREN - qui doit d'ailleurs pr�ciser si les cloud devant h�berger les donn�es sensibles devront obligatoirement afficher une labellisation SecNumCloud - et reconna�t : � si ce d�cret est publi� dans les prochains mois, ce sera sans doute un peu court pour migrer vers une solution SecNumCloud �, dont la labellisation n'est � pas encore officielle �. Avant de se dire � confiante � dans la capacit� du HDH � op�rer cette migration � dans les d�lais impos�s par la loi �. � Je comprends que tout le monde puisse trouver �a lent, nous les premiers, lance la directrice du GIP. Mais nous sommes d�pendants de l'�mergence de ces solutions �, pointant vers les offres en cours de labellisation SecNumCloud. Oubliant au passage de pr�ciser que plusieurs offres sont d'ores et d�j� certifi�es par l'Agence nationale de la s�curit� des syst�mes d'information.

M�me si St�phanie Combes se retranche derri�re des analyses juridiques � qui convergent pour dire que l'application [des l�gislations extraterritoriales am�ricaines, NDLR] est tr�s peu cr�dible � dans le contexte du HDH, son h�bergement sur les datacenters d'Azure reste une �pine dans le pied du projet. Un rapport de d�cembre 2023 sur l'utilisation secondaire des donn�es de sant� - pr�cis�ment l'objectif central du HDH - soulignait combien cette question du choix de la plateforme technologique d'h�bergement constituait � un point de blocage �. Raison qui a pouss� ses auteurs � faire de la migration du HDH hors d'Azure leur premi�re recommandation, alors m�me que ce sujet sp�cifique ne figurait pas dans leur lettre de mission. Le document recommandait alors de lancer les travaux pour l'h�bergement du HDH sur un cloud qualifi� SecNumCloud � horizon de 24 mois, � �ch�ance ambitieuse mais cr�dible � ce stade �, �crivaient les auteurs. Un d�lai qui semble d�j� de plus en plus difficile � tenir.

Article r�dig� par

Reynald Fl�chaux, R�dacteur en chef CIO
Suivez l'auteur sur Twitter

Partager cet article