Health Data Hub : L’État rompt avec Microsoft pour miser sur le SecNumCloud national

En bref :

• Le Health Data Hub prépare une rupture Microsoft en faveur d’un cloud national souverain, qualifié SecNumCloud, pour héberger les données de santé.
• Ce virage, mené par l’État français, vise une meilleure sécurité informatique et une protection des données renforcée, avec un horizon 2026 pour la bascule complète du SNDS.
• Des acteurs made in France comme OVHcloud, Cloud Temple et S3NS prennent une longueur d’avance dans l’appel d’offres stratégique, soutenant une souveraineté numérique retrouvée.
• Le dossier est aussi une étape clé pour l’Espace européen des données de santé et le cadre EHDS à l’échelle européenne.
• Pour suivre l’analyse et les enjeux, l’article fait référence à des ressources spécialisées et à des exemples concrets d’implémentation, notamment via le lien dossier d’analyse et article d’analyse détaillé sur le contexte

Health Data Hub est devenu un cas d’école du passage du privé au public dans le domaine sensible des données de santé. Aujourd’hui, tout le paysage numérique de l’État français se retrouve braqué sur une question simple mais cruciale : peut-on encore faire confiance à un cloud transfrontalier pour des données aussi personnelles que sensibles ? La question est plus large que Microsoft, elle touche à la souveraineté numérique et à la sécurité informatique du système de soins. Dans ce cadre, le passage au SecNumCloud, validé par l’ANSSI et appuyé par la CNIL, est perçu comme une garantie supplémentaire qui vient s’ajouter à un dispositif déjà complexe et en mouvement. Si ce virage est confirmé, il ne s’agit pas seulement d’un changement de prestataire. Il s’agit d’un repositionnement stratégique qui peut redéfinir les règles de coopération entre acteurs publics et privés, tout en ouvrant la porte à une protection des données plus robuste et à une meilleure transparence des flux d’informations. Pour moi, cet épisode symbolise aussi l’exigence grandissante de l’utilisateur final : qui peut garantir que mes données de santé restent dans un cadre strictly national et conforme aux normes du cloud national ?

Contexte et rupture stratégique autour du Health Data Hub et du SecNumCloud

Je me replonge dans le tableau de bord des décisions et je constate que l’annonce officielle marque une rupture marquante avec le passé récent du Health Data Hub. La Ministre de la Santé, Stéphanie Rist, a officialisé l’abandon des solutions hébergées hors des frontières européennes, et cela inclut, explicitement, Microsoft Azure. Cette décision n’est pas une simple réorientation technique ; elle est une affirmation claire : les données de santé doivent être protégées par des standards nationaux et européens, et non par des cadres juridiques qui restent parfois flous pour les responsabilités transnationales. Cette orientation répond directement à des préoccupations historiques liées au Cloud Act et à d’autres cadres étrangers qui avaient incité, jusqu’ici, une prudence partagée avec la CNIL. L’objectif est d’étirer ce cadre jusqu’à l’intégralité du Système national des données de santé, le SNDS, et de faire converger ce socle avec le futur Espace européen des données de santé, l’EHDS. Le cadre SecNumCloud n’est pas une formalité : c’est une qualification rigoureuse qui repose sur une appréhension complète des risques, une vigilance continue et une architecture qui peut résister à des scénarios d’attaque déterministes. Dans ce contexte, l’appel d’offres stratégique s’inscrit dans la logique d’un marché public qui privilégie la sécurité informatique, la souveraineté numérique et l’informatique en nuage domestique. En clair, il s’agit de faire converger les exigences de protection des données avec les réalités opérationnelles d’une administration moderne, tout en évitant le piège d’un dépendance technologique extérieure longtemps perçu comme un frein. L’ensemble du dispositif repose sur une coordination étroite entre DINUM, l’ANSSI et les autorités compétentes, pour éviter toute dérive et garantir une transition fluide vers les solutions souveraines. Pour les praticiens de la sécurité, ce mouvement est aussi une invitation à repenser les contrôles en amont et à adopter une culture de risques partagés, afin d’assurer que les données demeurent accessibles, traçables et protégées.

Dans la pratique, la trajectoire choisie prévoit un passage direct à une solution cible plutôt que des étapes intermédiaires complexes. L’objectif est de migrer les copies complètes du SNDS d’ici la fin de l’année 2026. Cette échéance est ambitieuse et exigeante ; elle dépend toutefois d’un ensemble de facteurs qui vont bien au-delà d’un simple déploiement technique. Il faut aligner les procédures de sauvegarde, les contrôles d’accès, la gestion identitaire, le chiffrement des données et les mécanismes de journalisation. Sans oublier l’impératif d’un contrôle CNIL et d’un cadre de transparence pour les publics utilisateurs et professionnels qui accèdent à ces données. Cette approche déploie aussi une logique d’interopérabilité et de normalisation, afin que les données puissent circuler sans compromis dans le cadre de l’EHDS et des échanges européens, tout en restant chiffrées et régulées par des protocoles de sécurité standardisés. En somme, la rupture vise à créer une architecture unifiée et certifiée qui peut soutenir à la fois les besoins nationaux et les exigences européennes, sans risquer un retour en arrière.

Pour illustrer le passage au cloud souverain, j’observe les étapes du processus d’appel d’offres. Premier jalon : l’utilisation du marché « Nuage Public » piloté par la DINUM pour structurer les appels et les contrats. Ensuite, l’évaluation par l’ANSSI et la CNIL des propositions afin d’authentifier leur conformité au niveau SecNumCloud. Les prestataires présents sur le terrain — OVHcloud, Cloud Temple, S3NS — se positionnent comme les principaux candidats, porteurs d’une promesse technologique et d’un alignement sur les exigences de sécurité et de souveraineté. Cette dynamique s’inscrit dans une perspective plus large : celle de l’émergence d’un écosystème cloud national, capable de soutenir non seulement la gestion des données de santé, mais aussi les services publics sensibles qui devront bientôt migrer vers des solutions certifiées et conformes à un cadre réglementaire robuste.

Des enjeux pour la confiance et la transparence

La confiance est l’enjeu fondamental. Quand les citoyens confient leurs données les plus intimes à des systèmes publics, ils attendent une traçabilité inattaquable et une capacité à contrôler les flux d’information. >>> Le passage au SecNumCloud se veut une réponse à ces attentes, avec des mécanismes renforcés pour la protection des données et des garanties sur le lieu de traitement des informations. Ce n’est pas seulement une question de localisation physique des serveurs ; c’est une question de responsabilité et de diligence accrue dans les opérations quotidiennes de sécurité. Pour l’État, cela signifie une meilleure gestion des risques, une réduction des dépendances et une capacité renforcée à imposer des standards partagés, tout en laissant la porte ouverte à l’innovation. Pour les professionnels de la sécurité, cela ouvre aussi des opportunités d’améliorer les procédures de détection et de réponse aux incidents, tout en restant alignés sur les exigences juridiques et éthiques les plus strictes.

Les acteurs nationaux et l’architecture du cloud souverain pour la santé

Dans ce chapitre, je décris les forces et les défis des acteurs nationaux qui pourraient porter le cap du cloud souverain destiné à la protection des données de santé. L’arène se structure autour de trois grands noms qui émergent comme des piliers de l’écosystème hexagonal : OVHcloud, Cloud Temple et S3NS. Chacun apporte une approche différente — l’un privilégie l’intégration et la proximité des datacenters européens, l’autre mise sur une flexibilité contractuelle et des « labs sécurité » internes, le troisième se positionne sur l’agilité et l’adoption rapide de solutions hybrides. L’objectif commun est d’offrir une architecture qui peut accueillir l’ensemble du SNDS et les données associées, tout en garantissant des niveaux de conformité élevés et une traçabilité complète des traitements. Cette triade n’est pas une simple alternative à Microsoft ; c’est une reconfiguration stratégique qui permet à l’État de disposer d’un portefeuille de choix, adapté à des contextes opérationnels variés, des scénarios de charge ponctuels aux services à forte demande. Le périmètre, aujourd’hui, est centré sur l’hébergement des données sensibles et le respect des règles du SecNumCloud, tout en restant attentif à la dimension européenne. Dans ce cadre, l’État ne cherche pas seulement à migrer des flux, mais à redéfinir le cadre de collaboration avec les acteurs privés, tout en imposant des exigences de transparence, de sécurité, et de performance, afin de préserver l’intégrité du système de santé public et d’offrir une expérience utilisateur fiable.

Sur le plan opérationnel, la migration vers un cloud national passe par des mécanismes de démonstration de conformité, des tests de résistance, et des exercices de gestion des incidents qui doivent être réalisés dans un cadre réglementaire strict. Les acteurs privés, pour leur part, se voient offrir une opportunité de démontrer leur capacité à répondre à des exigences d’évolutivité et d’interopérabilité avec les systèmes publics. Cette dynamique est particulièrement sensible pour les données de santé, car elle sollicite non seulement les aspects techniques, mais aussi les questions de droit, de protection des données et d’éthique numérique. Enfin, le financement et les modalités contractuelles joueront un rôle déterminant : les budgets publics doivent être alloués avec discernement, tout en assurant des garanties de performance et de sécurité qui restent à la hauteur des enjeux.

Depuis quelques mois, j’observe une accélération des échanges entre le secteur public et ces acteurs français. L’objectif est double : assurer que les données de santé demeurent sous contrôle national et, en parallèle, tester des modèles d’innovation qui n’excluent pas les exigences de sécurité informatique et de protection des données. Pour les professionnels du domaine, cela signifie aussi une révision des procédés d’audit et un renforcement des contrôles d’accès, afin de prévenir les risques liés à des accès non autorisés ou à des défaillances systémiques. Si les choix technologiques et contractuels restent à préciser, les signaux émis par l’État soulignent une volonté claire de réduire les dépendances, tout en maintenant une capacité d’intervention publique forte en cas de besoin. Cette vision n’est pas uniquement technique ; elle implique une refonte des pratiques et des cultures autour des données de santé, afin de garantir que les utilisateurs bénéficient d’un service fiable et d’un cadre légal insaisissable.

Pour approfondir les enjeux et les implications pratiques, voici une liste structurante des priorités à suivre :

• Établir une cartographie précise des flux de données et des droits d’accès
• Renforcer la traçabilité et la journalisation des opérations
• Mettre en place des scénarios de tests d’incidents et de reprise après sinistre
• Garantir l’interopérabilité des systèmes avec l’EHDS
• Consolider les mécanismes de contrôle CNIL et ANSSI

dossier d’analyse et article d’analyse détaillé sur la transformation en cours et les horizons pour le Health Data Hub, l’État et l’écosystème.

Vers une architecture européenne et les enjeux EHDS

La perspective d’un Espace européen des données de santé (EHDS) sert de cap à moyen terme. En clair, il s’agit d’inscrire le mouvement national dans une logique européenne où les données de santé pourraient être viablement partagées entre États membres, sous des garde-fous communs. Du point de vue technique, cela exige une standardisation des protocoles, des formats et des critères de sécurité qui transcendent les frontières nationales tout en restant compatibles avec les exigences SecNumCloud. Pour les décideurs, l’enjeu est double. D’un côté, il faut gagner en agilité pour répondre rapidement aux besoins des professionnels et des patients. De l’autre, il faut préserver une cohérence juridique et opérationnelle qui ne fragilise pas la sécurité des données. Dans cette logique, le passage au cloud national ne doit pas être vu comme une fermeture sur l’Europe, mais comme une base sûre et maîtrisée qui peut faciliter les échanges dans un cadre conforme et transparent. L’adhésion à l’EHDS, même si elle est progressive, offre une opportunité d’aligner les politiques françaises sur les meilleures pratiques européennes et d’éviter des scénarios de fragmentation qui pourraient tirer parti des lacunes de gouvernance. Je suis convaincu que ce rapprochement entre sécurité nationale et intégration européenne peut renforcer la confiance des citoyens et des professionnels dans l’usage des données de santé à des fins publiques et scientifiques.

Pour soutenir la crédibilité et la lisibilité du mouvement, l’État prévoit des mécanismes de reporting et de reddition de comptes qui seront critiques pour l’acceptabilité générale. Les risques ne sont pas seulement techniques, mais aussi juridiques et éthiques. Une gestion responsable des données de santé implique d’expliquer clairement les finalités, les conditions d’accès et les droits des patients, ce qui suppose des outils de communication efficaces et des dispositifs d’audit externes solides. La lumière sera également faite sur les coûts et les économies potentielles, car la souveraineté n’est pas synonyme d’un coût prohibitif ; c’est surtout une garantie de résilience et de stabilité à long terme. Dans ce cadre, les mots-clés tels que Health Data Hub, État français et rupture Microsoft deviennent des repères forts pour mesurer l’avancement du projet et son impact concret sur la vie quotidienne des citoyens.

Pour nourrir l’analyse, voici une autre ressource utile, qui éclaire les enjeux et les choix technologiques : dossier d’analyse sur l’évolution du Health Data Hub et le passage vers une infrastructure européenne souveraine. Cette ressource permet de comprendre pourquoi l’État préfère le cloud national et comment cette stratégie s’insère dans le cadre plus large de protection et de sécurité des données de santé

Points d’attention et recommandations

Pour moi, la réussite repose sur une articulation fine entre les exigences de sécurité et les besoins opérationnels du système de santé. Voici des conseils concrets :

• Établir une gouvernance claire des données et définir les responsabilités de chacun
• Renforcer les mécanismes de vérification et d’audit des prestataires
• Mettre en place des tests réguliers de résilience et des exercices de réponse
• Assurer l’accès approprié et le contrôle des flux d’information sensibles

Le chemin vers le cloud souverain est semé d’ajustements, mais la trajectoire est limpide. Le Health Data Hub avance, et les raisons, les risques et les bénéfices se dévoilent de manière plus nette avec chaque étape franchie. Le lien entre la sécurité informatique, la protection des données et la souveraineté numérique n’est plus abstrait ; il devient une réalité opérationnelle et une promesse pour les années à venir. L’enjeu est grand, mais la direction est claire : construire un cadre robuste qui puisse soutenir l’avenir de la santé publique tout en restant fidèle aux principes démocratiques et européens.

Pour enrichir ce chapitre, j’inclus une deuxième référence à une ressource analytique qui détaille les choix et les implications Regards sur Health Data Hub et le rupture Microsoft dans le contexte français. Ce lien explicitement permet d’approfondir les stratégies et les enjeux .

FAQ

Qu’est-ce que le SecNumCloud et pourquoi est-il central ici ?

Le SecNumCloud est une qualification de sécurité délivrée par l’ANSSI pour les clouds répondant à des exigences strictes de protection et de sécurité des données. Dans le cadre du Health Data Hub, il garantit que les données de santé sont traitées dans un cadre conforme, sécurisé et contrôlé, ce qui est indispensable pour gagner la confiance du public et se conformer aux obligations légales.

Quels acteurs français participent et pourquoi ?

Des acteurs comme OVHcloud, Cloud Temple et S3NS apparaissent comme les principaux candidats, offrant des capacités de cloud souverain adaptées aux exigences du SNDS et au cadre SecNumCloud. Leur implication aide à réduire la dépendance à l’égard des prestataires étrangers et à renforcer la souveraineté numérique.

Comment l’Espace européen des données de santé influence ce projet ?

L EHDS vise à faciliter les échanges transfrontaliers tout en maintenant des standards de sécurité élevés. Le Health Data Hub peut devenir une pierre angulaire de ce cadre européen, en assurant que les données de santé françaises restent fiables et interopérables dans un environnement régional sécurisé.