Les acteurs du cloud français n’ont pas perdu espoir de prendre la main sur le Health Data Hub. Mercredi 14 octobre pourtant, le Conseil d’Etat a décidé de conserver l'hébergeur actuel de la plate-forme destinée à centraliser nos données de santé, Microsoft. Face à la demande d’une dizaine d’associations, la plus haute juridiction administrative de France a considéré que les risques pour les données de santé des Français, par nature sensibles, étaient faibles.
Un revers pour les apôtres du cloud souverain, qui pourrait cependant ne pas durer alors que tous alertent sur les risques que pose l’hébergement du Health data Hub - dédié à favoriser l’échange des données de santé pour la recherche et mis en route à l'occasion de la crise sanitaire - par un acteur non européen, soumis à la juridiction américaine. Plusieurs acteurs français, au premier rang desquels OVH et Outscale, pourraient profiter de ces alertes et poussent leurs pions.
Risque pour les données de santé
Depuis l’annonce du Health Data Hub, le choix d’un acteur américain, Microsoft et sa solution cloud Azure, fait polémique. Associations du logiciel libre et industriels du numérique français critiquant le risque posé pour la sécurité des données hébergées, soumises aux dispositions extraterritoriales d’une loi américaine, le Cloud Act, qui permet aux autorités américaines de les obtenir sous certaines conditions.
Un choix pourtant validé une nouvelle fois par le Conseil d’Etat mercredi 14 octobre, à la suite de l’annulation par la Cour de justice de l’Union européenne (CJUE) du Privacy Shield durant l'été. Un mécanisme régulant le transfert des données envers les Etats-Unis, dont le juge européen avait considéré l’incompatibilité avec le Règlement général sur la protection des données (RGPD), la base juridique réglant l’échange et l’analyse des données personnelles en Europe.
"Le juge des référés du Conseil d’Etat a estimé qu’il n’y avait pas d’urgence à interrompre l’hébergement de l’entrepôt Covid-19 du Health Data Hub sur les serveurs de Microsoft", résume Lorraine Maisnier-Boché, avocate spécialisée dans la protection des données personnelles au sein du cabinet McDermott. Notant que les transferts de données pour maintenance ont été interdits pour le Health data hub, le juge administratif a par ailleurs considéré que le risque posé par les programmes de surveillance américains était bien réel, mais faible.
Hébergeur alternatif
Mais ce n’est pas la fin de la partie, assurent les acteurs du cloud français. “Le juge des référés statue sur l’urgence, et la décision portait sur l’entrepôt Covid-19 du Health data hub, rappelle Maître Maisnier-Boché, ce qui l’a poussé à prendre en compte le motif d’intérêt public important de cette mission et à ne pas l’interrompre”. A plus long-terme, les choses sont moins claires. Si de nombreux dispositifs juridiques et techniques, comme le chiffrement par un tiers, pourraient permettre de sécuriser la solution de Microsoft, la question de l’hébergement par un acteur soumis au droit américain doit encore être jugée au fond. Ce qui pourrait compliquer les choses pour ces acteurs, note Maître Maisnier-Boché, tout en rappelant l'impossibilité pour la commande publique française de discriminer par principe un acteur étranger.
Dans un mémoire transmis au Conseil d’Etat par la Cnil début octobre et révélé par Mediapart, l’institution en charge de veiller à la protection de nos données personnelles considérait cependant que l’hébergement des données de santé par un acteur américain posait problème. Elle y appelait les autorités à “évaluer en urgence l’existence de fournisseurs alternatifs et leurs capacités”.
Quelle alternative crédible ?
C’est là tout le problème. Car Microsoft a été choisi pour des raisons de compétences techniques et de simplicité. En juin, le directeur général de l’Agence nationale de sécurité des systèmes d’information (Anssi), Guillaume Poupard déclarait ainsi que “dans une phase de prototypage, le choix d’une solution facile d’emploi a été privilégié”, relève le site d’information spécialisé ZDNet. Ce dernier conservait néanmoins la porte ouverte, ajoutant que “la portabilité du système a été évoquée dès le départ et est un point important”.
Mais ce transfert n'est pas si simple. “Je serais à titre personnel très heureux qu’un acteur français offre une alternative digne de ce nom", déclare par exemple ainsi Guy Mamou-Mani, l'ancien président du Syntec Numérique à la tête du groupe Open, architecte du Health Data Hub aux côtés de Microsoft. "Mais pour avoir un hub au bon niveau de sécurité et de performance, il n’y avait pas d’autres solution que Microsoft Azure ou AWS d’Amazon”, juge-t-il.
Un constat que d'autres tempèrent. "Plusieurs acteurs français ont déja la certification d'hébergeur de données de santé (HDS), qui vient vérifier que vous êtes en capacité de traiter des données de santé de manière sécurisée”, détaille Jean Noël de Galzain, PDG de l’éditeur de logiciels de gestion d’accès sécurisé Wallix et président du groupement d’entreprises françaises de la cybersécurité Hexastrust. Selon le site Numerama, l’Anssi (l'autorité nationale en matière de sécurité et de défense des systèmes d'information) reconnaissait ainsi 36 structures avec la certification HDS, à différents niveaux de la gestion des données. Parmi elles, Microsoft, mais aussi de nombreux Français comme OVH, Outscale, Atos, Orange, ou Capgemini.
Volonté politique
Mieux : deux groupes, Outscale et Oodrive, sont aux normes SecNumCloud de l’Anssi, considérées comme particulièrement protectrices. Si seul Outscale, qui est la filiale cloud de Dassault Systèmes, propose des services d’infrastructure Cloud, alors qu’Oodrive est spécialiste des échanges sécurisés de données en masse, une récente annonce a confirmé qu'OVH devrait lui aussi obtenir le précieux visa d’ici la fin de l’année.
Un progrès, juge Guy Mamou-Mani, qui rappelle néanmoins que “au moment du choix d’un hébergeur, aucun acteur français n’avait ces certifications. D'autant que dans le cloud, la taille compte. "Les services managés par le Health Data Hub sont d’une complexité terrible, à laquelle ni le HDS ni le SecNumCloud ne garantissent de pouvoir répondre”, pointe ainsi l'entrepreneur.
“Pas besoin d’une Ferrari pour faire un premier tour de piste”, répond Jean Noël de Galzain. Vantant l’écosystème européen, il déplore “l’idée répandue en France qu’en matière de cloud computing, les Américains sont les seuls sécurisés et compétitifs, alors que certains acteurs européens pourraient remplir 90% du besoin”.
Un point de vue partagé par plusieurs acteurs de la filière cloud, qui voient dans ce projet industriel l’occasion de briller comme de se consolider. S’il admet que les Etats-Unis gardent une longueur d’avance, François Xavier Vincent, chief security officer chez Oodrive, note que pour pouvoir grandir, il faudra “un positionnement politique, qui fera le pari de miser sur de futurs champions européens pour concurrencer les acteurs dominants”.
OVH et Outscale en tête
Scaleway, Atos, Cheops Technology, Ikoula, Antemeta, Jaguar Cloud... Les acteurs du cloud souverains français sont nombreux. Mais deux groupes, OVH et Outscale, semblent favoris.
Reste que construire un consortium est un travail long, reconnaît la directrice générale déléguée d’Outscale, Servane Augier qui note que “la plateforme actuelle remplit une mission à un moment où les données de santé sont cruciales, et ne doit pas être mises aux orties”. Elle aussi membre d'Hexatrust, elle pousse pour un travail collaboratif, avec les opérateurs de la plateforme et la filière pour se rapprocher des prérequis du Health data hub. Par exemple avec une “étape intermédiaire, où l’utilisation de certaines briques simples d’infrastructures souveraines pourrait montrer une volonté de changement”.
De son côté, OVH joue la carte européenne. Dès mi-septembre, le Français avait fait un pas dans cette direction en annonçant, dans le cadre du projet Gaia-X, son alliance avec l’allemand T-Systems, une filiale de Deutsche Telekom, pour former un cloud public européen. Eux aussi espèrent bénéficier du momentum pour enfin créer une alternative cloud souveraine. "C'est en scellant des alliances solides qu’une Europe forte du numérique pourra émerger”, avance ainsi Jean Paul Alibert, le PDG de T-Systems France dans un communiqué de presse publié à la suite de la séquence juridique.
Des dynamiques auxquelles le gouvernement semble tendre l’oreille. Le 8 octobre, le secrétaire d’Etat au numérique Cédric O a déclaré devant les sénateurs travailler “au transfert du Health Data Hub sur des plate-formes françaises ou européennes", sans préciser de calendrier, note le site L’Usine digitale. Alors que les alternatives sont en ordre de bataille, il faut désormais qu’elles soient crédibles, qu’on leur fasse confiance... et que l’une d’entre elles gagne contre Microsoft, qui garde encore des atouts dans sa manche.
