M. Aurélien Lopez-Liguori interpelle M. le ministre de l’Économie, des Finances et de la Souveraineté industrielle et numérique sur le maintien de Microsoft au sein du Health Data Hub, entériné par la CNIL le 21 décembre 2023.
Le Health Data Hub (HDH) est une plateforme qui centralise les données de santé des Français, dans le but de faciliter la recherche médicale, et l’accès des professionnels du secteur aux informations relatives à leurs patients. La gestion de ce dernier est aujourd’hui confiée à Azure, plateforme de cloud du géant américain Microsoft.
Cette gestion de données aussi sensibles par une société américaine pose des problèmes élémentaires de souveraineté numérique, d’autant plus que la loi FISA (Foreign Intelligence Surveillance Act), prolongée par les Etats-Unis jusqu’à au moins avril 2024, permet aux services de renseignement américains comme la NSA d’accéder à toutes les données administrées par les entreprises américaines, même si ces dernières sont stockées sur des datacenters situés hors des Etats-Unis.
De plus, lors du choix de Microsoft Azure en 2019, aucun appel d’offre n’avait été lancé, le choix se portant directement sur le service américain, et excluant les acteurs français et européens. Cela aurait pourtant pu permettre de mieux sécuriser les données de santé des Français, empêcher leur accès par des acteurs tiers (les services de renseignement et les services de police américains), tout en encourageant la croissance des clouders français.
Ces raisons avaient amené Olivier Véran, alors ministre de la Santé en 2020, à promettre une solution technique nouvelle, privilégiant des acteurs européens, dans un délai maximum de 18 mois. Néanmoins, cette promesse ne s’est jusqu’à maintenant pas matérialisée. Pire encore, le 21 décembre 2023, la CNIL a décidé d’accepter que ce soit Microsoft qui héberge les données de l’Assurance maladie, alors que notre pays dispose de fleurons capables de prendre un charge ce dossier sans présenter les risques d’ingérence qu’Azure implique (OVH, Numpost, Scaleway..)
Il demande donc plus de clarté sur ce dossier, en communiquant les conclusions de la consultation menée par la DNS auprès des clouders français. Il s’enquiert par ailleurs du calendrier de la migration des données du Health data Hub vers une entreprise française et la date d’un appel d’offre pour conférer le marché à une entreprise française.