Le gouvernement confie à Scaleway l’hébergement de la Plateforme de données de santé pour sortir des clouds américains et renforcer la souveraineté numérique tout en visant la qualification SecNumCloud pour sécuriser les données sensibles

Le gouvernement a choisi Scaleway, filiale cloud du groupe français Iliad, pour héberger la Plateforme de données de santé (PDS) destinée à la recherche, jusqu’ici hébergée chez Microsoft, indique le texte d’origine. Cette décision s’inscrit dans une logique d’« autonomie numérique » mise en avant par les autorités et présentée comme une étape vers un « cloud souverain » pour des données particulièrement sensibles.

Un basculement présenté comme une question de souveraineté

Selon le communiqué cité, la migration de la PDS vers l’offre de Scaleway doit permettre « d’accélérer la mise à disposition des données de santé aux acteurs de la recherche et de l’innovation ». Le groupement d’intérêt public (GIP) responsable de la plateforme justifie ce choix par la nécessité de renforcer la sécurité et la confiance des utilisateurs, motifs repris par Hela Ghariani, directrice de la plateforme, qui y voit « une démarche engagée de longue date ».

Le basculement répond également à des préoccupations juridiques bien connues : les lois américaines peuvent, sous certaines conditions, contraindre des fournisseurs américains du cloud à communiquer des données qu’ils détiennent, où qu’elles soient localisées. Le recours à un hébergeur européen est ainsi présenté comme un moyen de réduire l’exposition à ce type de risque extraterritorial.

Scaleway et la qualification SecNumCloud : une étape nécessaire

Le texte indique que Scaleway a annoncé en janvier 2025 avoir entamé les démarches pour obtenir la qualification SecNumCloud délivrée par l’Agence nationale de la sécurité des systèmes d’information (ANSSI). Ce label vise à garantir que l’hébergement respecte des exigences élevées de sécurité et limite les risques d’ingérence extra-communautaire sur les données.

Obtenir la qualification SecNumCloud est un processus contraignant qui implique des audits, des contrôles organisationnels et techniques, et des exigences sur la localisation et la maîtrise des clés d’accès. Dans ce cadre, le recours à un prestataire européen labellisé est perçu comme une garantie supplémentaire pour les porteurs de projets de santé publique et de recherche.

Le communiqué mentionne par ailleurs que le gouvernement avait annoncé, « début février », son intention de retirer l’hébergement de la plateforme de Microsoft d’ici la fin de l’année. Le texte fourni ne précise pas l’année exacte de cette annonce ni le calendrier détaillé de la migration, information qui reste cruciale pour évaluer le délai et les risques opérationnels associés au transfert.

Sur le plan opérationnel, une migration d’un entrepôt de données de santé — qui contient des jeux de données sensibles et volumineux — exige des garanties techniques (chiffrement, continuité de service, capacité de traitement) et juridiques (clauses contractuelles, audits, traçabilité). Le communiqué insiste sur la volonté d’accélérer la mise à disposition des données pour la recherche, mais le texte d’origine ne détaille pas les mesures concrètes prises pour assurer la transition sans rupture ni perte.

Enfin, ce déplacement d’hébergement s’inscrit dans un contexte politique et médiatique plus large : depuis plusieurs années, les pouvoirs publics européens réfléchissent à limiter la dépendance aux acteurs non-européens pour les infrastructures critiques, et les données de santé figurent parmi celles considérées comme prioritaires.

Évaluation de la fiabilité des sources citées dans l’article : le texte s’appuie principalement sur un communiqué du groupement d’intérêt public (GIP) en charge de la Plateforme de données de santé — source de première main pour l’annonce, généralement fiable pour relayer une décision administrative ou technique. La mention d’une déclaration de la directrice de la plateforme, Hela Ghariani, relève d’un témoignage interne pertinent mais nécessairement orienté.

La référence aux lois américaines et au risque d’accès extraterritorial est une description juridique générale connue et fondée ; elle constitue un argument politique et juridique légitime pour motiver un changement d’hébergeur. En revanche, l’annonce par Scaleway de sa démarche vers la qualification SecNumCloud provient d’un communiqué d’entreprise : fiable pour attester de l’intention et des démarches engagées, mais il faut rester prudent tant que la qualification n’est pas effectivement délivrée par l’ANSSI.

En conclusion, le récit central — transfert annoncé de la PDS de Microsoft vers Scaleway et démarches de SecNumCloud — repose sur des déclarations officielles et d’acteurs pertinents. Toutefois, des précisions manquent dans le texte de départ : date exacte des annonces, calendrier et jalons de la migration, statut actuel de la qualification SecNumCloud et mesures techniques détaillées pour garantir la continuité et la sécurité. Ces éléments sont nécessaires pour une évaluation complète des risques et des bénéfices de l’opération.