Health Data Hub : L’État cherche à se détacher de Microsoft mais rencontre des obstacles avec la certification SecNumCloud

La bascule du Health Data Hub vers un cloud souverain certifié SecNumCloud bouscule autant le monde politique que le quotidien des soignants et des patients. Entre volonté de souveraineté numérique et contraintes techniques, le chemin pour se détacher de Microsoft est tout sauf linéaire.

Health Data Hub et Microsoft : pourquoi l’État français change de cap

Le Health Data Hub est souvent présenté comme un immense entrepôt numérique regroupant des millions de données de santé. Dossiers hospitaliers, parcours de soins, pathologies rares, consommation de médicaments : correctement anonymisées, ces informations permettent de mieux comprendre les maladies, d’évaluer les traitements et de soutenir la recherche médicale.

Au lancement du projet, l’État français a fait le choix d’héberger cette plateforme sur le cloud de Microsoft, en s’appuyant sur la puissance et la maturité de son infrastructure. Azure offrait alors une solution rapide pour démarrer, avec des outils performants pour le traitement massif des données, l’intelligence artificielle, et la mise à disposition sécurisée d’environnements de travail pour les chercheurs.

Mais très vite, des questions sensibles ont émergé. Comment garantir, face aux lois extraterritoriales américaines, que ces données de santé stratégiques ne puissent jamais être consultées par des autorités étrangères ? Comment s’assurer que les règles européennes, comme le RGPD, soient respectées de bout en bout, sans zone grise juridique ? Ces interrogations ont nourri un débat vif, allant bien au-delà des spécialistes du numérique.

Pour illustrer, imagine un patient comme Karim, suivi pour une maladie chronique depuis plus de quinze ans. Son historique contient des informations extrêmement précises : traitements, examens, hospitalisations, épisodes de douleur, arrêts de travail. Individuellement, ces traces en disent long sur sa vie. Globalement, croisées avec celles de milliers d’autres personnes, elles peuvent aider à améliorer la prise en charge. Toute la question est : comment profiter de cette richesse sans jamais trahir la confiance des patients ?

Ce débat a poussé l’État français à revoir sa stratégie. L’idée de confier ces données à une entreprise soumise au droit américain a été progressivement abandonnée, jusqu’à acter un véritable « divorce » avec Microsoft pour le Health Data Hub. C’est à ce moment qu’est apparu comme incontournable un nouveau mot clé : SecNumCloud.

Cette volonté de changement ne vient donc pas d’un caprice technologique, mais d’un besoin de cohérence : si les données de santé sont considérées comme un bien commun vital, leur hébergement doit être aligné avec une logique de souveraineté et de protection maximale.

SecNumCloud : ce que cache vraiment cette certification pour le Health Data Hub

La certification SecNumCloud, délivrée par l’ANSSI (Agence nationale de la sécurité des systèmes d’information), est devenue la référence quand on parle de cloud sécurisé en France. Derrière ce label, il ne s’agit pas juste de cocher quelques cases techniques : c’est un véritable niveau d’exigence, pensé pour les infrastructures qui hébergent des données stratégiques, comme les données de santé.

Pour être certifié SecNumCloud, un fournisseur doit répondre à des critères très stricts. Ces critères touchent à la fois à la sécurité technique (chiffrement, gestion des accès, journalisation, détection d’intrusions…), à l’organisation interne (gestion des incidents, procédures, formation des équipes) et à la souveraineté juridique (protection contre les lois extraterritoriales, contrôle européen ou français). Tout est pensé pour limiter au maximum le risque de fuite, d’espionnage ou de prise de contrôle par un acteur étranger.

Concrètement, cela signifie par exemple :

• 🔐 Des données chiffrées à tous les niveaux, y compris entre serveurs d’un même data center.
• 🧩 Une séparation stricte des environnements pour que chaque projet de recherche soit cloisonné des autres.
• 👀 Des contrôles réguliers, des audits externes et une traçabilité complète des accès.
• 🇪🇺 Une gouvernance située en Europe, sans dépendance à des juridictions non européennes.

Pour le Health Data Hub, décrocher cette garantie par ricochet – en choisissant un hébergeur certifié – revient à offrir un cadre rassurant à la fois pour les patients, les soignants et les chercheurs. Cela aide aussi à débloquer certains freins juridiques : des projets de recherche auparavant contestés ou retardés peuvent avancer plus sereinement lorsque l’infrastructure est certifiée SecNumCloud.

Mais cette exigence a un coût. Les fournisseurs qui obtiennent ou visent cette certification investissent massivement en cybersécurité et en organisation. Du côté de l’État, exiger SecNumCloud pour le Health Data Hub restreint forcément le nombre de candidats possibles. Certains acteurs européens puissants, mais pas encore certifiés, se retrouvent temporairement hors-jeu, ce qui explique une partie des obstacles rencontrés dans les procédures publiques.

À cela s’ajoute une question peu visible, mais fondamentale : la compatibilité entre les outils modernes de traitement de données et les contraintes de SecNumCloud. Les chercheurs, les CHU et les équipes de data science ont pris l’habitude d’utiliser des briques logicielles souples, parfois très liées à l’écosystème des géants du cloud. Reproduire cette agilité dans un cadre aussi encadré que SecNumCloud demande du temps, de la R&D et beaucoup de coordination.

C’est toute l’ambivalence actuelle : plus la protection des données est forte, plus la mise en œuvre opérationnelle devient délicate. Trouver le bon équilibre entre sécurité, performance et facilité d’usage est au cœur des tensions autour de la migration du Health Data Hub.

Les obstacles concrets à la sortie de Microsoft : technique, juridique et terrain

Sur le papier, quitter Microsoft pour migrer le Health Data Hub vers un prestataire certifié SecNumCloud paraît simple : on change d’hébergeur, on transfère les données de santé, on rebranche les outils de recherche, et l’affaire est faite. Dans la réalité, la situation est beaucoup plus complexe et les obstacles se superposent.

Sur le plan technique, il ne s’agit pas seulement de déplacer des téraoctets de données. Le Health Data Hub fonctionne avec de nombreux services : anonymisation, contrôle des accès, mises à jour des bases, outils de requêtes, espaces sécurisés pour les chercheurs. Ces briques ont été conçues initialement dans l’environnement Azure. Reproduire, adapter ou remplacer ces services sur un autre cloud sécurisé demande une architecture repensée.

Autre difficulté : la continuité de service. Impossible d’arrêter la plateforme pendant des semaines le temps de la migration. Les projets de recherche, les travaux sur les maladies rares ou le suivi de certains indicateurs de santé publique doivent pouvoir continuer. C’est comme déménager un service hospitalier très occupé sans jamais fermer les portes : chaque étape doit être planifiée, testée, puis exécutée sans erreur.

À cela s’ajoute la dimension juridique. Les procédures d’achat public sont lourdes, encadrées par des délais et des règles qui visent à éviter les favoritismes. L’État a d’abord tenté un appel d’offres classique, avant de revoir sa méthode en cours de route, ce qui a contribué à allonger encore les délais. Chaque changement de stratégie, chaque recours potentiel, chaque avis d’instance indépendante vient ajouter une couche de complexité.

Sur le terrain, les soignants et les équipes de recherche vivent ces hésitations comme un bruit de fond permanent. Par exemple, une équipe d’un CHU qui souhaite lancer un projet d’analyse de parcours de soins pour mieux prévenir les réhospitalisations doit parfois repousser ses travaux, le temps d’obtenir des garanties sur les conditions d’accès au Health Data Hub. Le temps administratif prend le pas sur l’urgence ressentie auprès des patients.

Les blocages ne sont donc pas uniquement technologiques : ils sont aussi organisationnels, réglementaires et humains. Certains craignent de perdre les bénéfices d’outils très puissants de l’écosystème Microsoft, d’autres redoutent la lenteur du basculement ou un retour en arrière fonctionnel. Entre ces positions, l’État doit arbitrer, expliquer et rassurer pour ne pas démotiver les équipes engagées dans la recherche.

Dans ce contexte, des ressources pédagogiques, comme l’analyse proposée sur cette page dédiée au cloud souverain pour le Health Data Hub, aident à mieux visualiser les enjeux pour les professionnels comme pour le grand public.

L’enseignement à retenir est simple : changer d’infrastructure pour un système aussi central que le Health Data Hub n’est pas un geste purement technique. C’est une transformation de fond, qui touche à la fois la manière de sécuriser, de soigner et d’innover.

Souveraineté, cybersécurité et protection des données de santé : ce qui est vraiment en jeu

Derrière le choix d’un prestataire cloud pour le Health Data Hub se joue une question de fond : comment protéger des données de santé qui racontent la vie de millions de personnes, tout en permettant à la médecine de progresser ? Cette tension entre confidentialité et innovation est au cœur de la notion de souveraineté numérique.

La protection des données ne se limite plus à empêcher un pirate de voler un fichier. Il s’agit de garantir que les données ne seront pas utilisées à d’autres fins que celles décidées par la collectivité : pas de profilage commercial sauvage, pas de réutilisation à des fins assurantielles, pas de surveillance cachée. En sortant de l’écosystème Microsoft pour aller vers un environnement certifié SecNumCloud, l’État français veut réduire au maximum les zones de flou.

La cybersécurité devient alors un chantier à plusieurs étages :

• 🛡️ Protéger l’accès aux données : authentification forte, restriction des droits, contrôle fin des usages.
• 🧱 Sécuriser l’infrastructure : data centers protégés, mises à jour régulières, détection en temps réel des comportements suspects.
• 🧠 Sensibiliser les humains : former les chercheurs, les administrateurs, les équipes hospitalières aux bons réflexes numériques.

Pour les patients, la question est très concrète : accepter que leurs données soient utilisées pour la recherche suppose une confiance solide dans le système. S’ils ont le sentiment qu’une entreprise étrangère pourrait, un jour, accéder à leurs informations, la participation à ces grands projets collectifs risque de s’effriter. Or sans données, pas de médecine de précision, pas d’algorithmes fiables, pas de progrès sur certaines pathologies.

On le voit à travers des histoires comme celle de Claire, maman d’un enfant atteint d’une maladie rare. Elle sait que la recherche a besoin des données de son fils pour avancer. Mais elle a aussi besoin d’être rassurée : ces informations ne doivent pas servir un jour à refuser une assurance, un prêt, ou toute autre opportunité de vie à son enfant. C’est cette promesse de protection, portée par la certification SecNumCloud et par un cloud sécurisé européen, qui permet de maintenir ce fragile équilibre.

La souveraineté, enfin, ne signifie pas se couper du reste du monde. Il s’agit plutôt de se donner la capacité de décider, en France et en Europe, des règles du jeu. Cela n’empêche ni les collaborations internationales, ni le partage de résultats scientifiques. Mais le socle technique, lui, doit rester sous contrôle européen, pour éviter qu’une décision prise ailleurs vienne fragiliser l’ensemble.

La migration du Health Data Hub hors de Microsoft vers un acteur certifié SecNumCloud symbolise cette nouvelle étape : accepter de prendre plus de temps aujourd’hui pour construire une confiance durable dans l’avenir.

Interopérabilité et usages concrets : comment ce changement impacte soignants, patients et chercheurs

Un point souvent moins visible, mais décisif, est celui de l’interopérabilité. Le Health Data Hub ne vit pas en vase clos. Il doit dialoguer avec des logiciels hospitaliers, des systèmes de laboratoires, des registres de maladies rares, des outils de télésurveillance, des plateformes de recherche. Changer de cloud, quitter Microsoft et adopter un prestataire certifié SecNumCloud implique de revisiter tous ces ponts numériques.

L’interopérabilité, c’est la capacité de systèmes différents à échanger des données de manière fluide, sans perte d’information ni distorsion. Pour un médecin, cela peut signifier retrouver dans un même tableau de bord des éléments venus de l’hôpital, du cabinet de ville et d’un programme de suivi à domicile. Pour un chercheur, cela permet de croiser, par exemple, des données de prescriptions, d’imagerie et d’issues cliniques sans devoir tout reconstituer à la main.

Lorsque l’infrastructure évolue, chaque connecteur, chaque flux doit être vérifié, adapté, parfois entièrement réécrit. C’est un travail patient, qui demande du dialogue entre équipes techniques, soignants et chercheurs. Sans cela, le risque serait d’avoir un cloud très sécurisé, mais difficile à utiliser au quotidien, avec des délais d’accès rallongés ou des données incomplètes.

Pour rendre ces enjeux plus concrets, on peut comparer trois dimensions clés du projet :

Pour les professionnels, quelques bonnes pratiques se dégagent déjà :

• 📌 Participer aux groupes de travail locaux ou régionaux sur les données de santé pour faire remonter les besoins réels.
• 📌 Documenter clairement les usages : quels indicateurs sont essentiels ? quels délais d’accès sont acceptables ?
• 📌 Tester les outils dès que possible, avec de vrais cas cliniques, plutôt qu’en restant dans la théorie.

Des ressources pédagogiques dédiées, comme l’analyse approfondie publiée sur cette page consacrée au Health Data Hub et à SecNumCloud, permettent de mieux suivre les avancées tout en gardant un regard terrain.

En toile de fond, une idée s’impose : ce changement d’infrastructure n’a de sens que s’il améliore concrètement le soin, le suivi des patients et la qualité de la recherche. La technique doit rester au service du geste soignant et de la relation de confiance, pas l’inverse.

Pourquoi l’État français veut-il sortir le Health Data Hub de Microsoft ?

L’État français souhaite réduire la dépendance à un acteur soumis au droit américain et renforcer la souveraineté sur les données de santé. En quittant Microsoft pour un hébergeur certifié SecNumCloud, il cherche à garantir que ces données sensibles restent protégées par un cadre juridique et technique entièrement européen, en cohérence avec le RGPD et les exigences de sécurité nationales.

La certification SecNumCloud est-elle obligatoire pour héberger des données de santé ?

Elle n’est pas légalement obligatoire pour toutes les données de santé, mais elle devient un standard de fait pour les infrastructures jugées stratégiques, comme le Health Data Hub. Exiger SecNumCloud permet de s’assurer que le niveau de cybersécurité, de gouvernance et de protection contre les lois extraterritoriales est parmi les plus élevés disponibles aujourd’hui.

Qu’est-ce que cela change pour les patients au quotidien ?

Pour un patient, le changement est surtout invisible sur le plan pratique : ses soins restent assurés par les mêmes professionnels. L’impact se joue en coulisses : meilleure protection des données, plus grande confiance dans l’usage à des fins de recherche, et à terme, des études plus fiables pour améliorer les traitements et l’organisation des soins.

Les professionnels de santé doivent-ils modifier leurs pratiques à cause de cette migration ?

Dans la plupart des cas, les gestes cliniques ne changent pas. En revanche, les professionnels peuvent être sollicités pour adapter certains outils numériques, participer à des tests d’interopérabilité ou revoir leurs procédures de partage de données. L’objectif est de garder une continuité de soins tout en renforçant la sécurité et la traçabilité.

Le Health Data Hub restera-t-il accessible aux chercheurs pendant la transition ?

Oui, la stratégie de migration vise précisément à maintenir la continuité de service. Les accès sont adaptés progressivement, avec des phases de tests et de bascule, afin de ne pas interrompre les projets en cours. Certaines démarches administratives peuvent être ajustées, mais l’ambition est de préserver au maximum les travaux de recherche déjà engagés.

Source: www.usine-digitale.fr