Commande publique : audition d'Agnès Buzyn

Chers collègues, notre commission d'enquête en examinant la question du rôle que la commande publique pouvait jouer afin de promouvoir la souveraineté numérique a été confronté à un cas particulier porté à notre connaissance par notre collègue Catherine Morin de Sa qui illustre bien les ambiguïtés, attermoiements et contradictions de l'action publique en la matière, à savoir celui de l'hébergement de la plateforme des données de santé dite El Tata Hub créé par la loi du 24 juillet 2019 sous la forme d'un groupement d'intérêt public, la PDS est chargée à titre principal de mettre à disposition de la recherche les données du système national des données de santé et de promouvoir l'innovation dans l'utilisation des données de santé. Elle traite donc des données particulièrement sensibles à caractère personnel et qui méritent un niveau de sécurité très élevé. Pourtant, dès sa phase de préfiguration par les services du ministère de la santé, en l'occurrence l'adresse qui est intervenu en 2018-29, soit avant le vote de cette loi, un arbitrage politique avait été rendu pour confier son hébergement à Microsoft Azur, solution soumise aux législations extraterritoriales américaines.

Nous recevons donc madame Agnè Buzin, ancienne ministre des solidarités et de la santé de mai 2017 à février 2020 pour échanger avec nous à ce sujet et comprendre les raisons de ce choix. Je vous informe que cette audition sera diffusée en direct sur le site du Sénat et fera l'objet d'un compte-rendu publié. Je vous rappelle également qu'un faux témoignage devant notre commission d'enquête sera passible des peines prévues aux articles 434-13, 434-14 et 434-15 du code pénal, soit 75000 € d'amende et jusqu'à 5 ans d'emprisonnement, voire 7 ans en fonction des circonstances.

Je vous invite donc à prêter serment de dire toute la vérité, rien que la vérité. Veuillez s'il vous plaît lever la main droite, appuyez sur le bouton de votre micro et dites "Je le jure." Je le jure.

Je vous remercie madame la ministre. Vous avez conduit, madame la ministre, le processus de préfiguration de la plateforme des données de santé, sa consécration législative dans la loi du 24 juillet 2019, puis superviser la création du GIP et les premières étapes de son lancement qui a ensuite été perturbé par la crise sanitaire. Pourriez-vous nous rappeler le contexte dans lequel la naissance de cette structure s'inscrivait et le niveau de priorité que vous ainsi que le gouvernement y attachiez ?

Subissiez-vous de votre côté une pression politique notamment pour faire aboutir rapidement ce projet ? Nous avons auditionné la directrice de la PDS, madame Stéphanie Combe, qui a indiqué que le recours à Microsoft Azure avait fait l'objet d'un arbitrage de votre part en mars 2019. Pourriez-vous nous rappeler les conditions dans lesquelles vous l'avez rendu ?

Aucune procédure de mise en concurrence n'a alors été lancée. Un achat direct auprès de l'Union des groupements d'achat public UGAP ayant été privilégié ne permettant donc pas l'émergence d'une offre souveraine concurrente. Aujourd'hui, 6 ans plus tard donc malgré les promesses et annonces de vos successeurs, aucune migration n'a encore été engagée vers une solution souveraine et celle-ci désormais imposée par la loi diten du 21 mai 2024 devrait nécessiter au moins une année de travail.

Ne pensez-vous pas, avec le recul qu'il aurait été préférable à l'époque de faire confiance aux acteurs français et européens pour bâtir avec eux une solution nativement souveraine ? Le coût immédiat aurait peut-être été plus important mais largement rentabilisé à long terme comme nous en avons pu avoir confirmation au cours de très nombreuses auditions. Je vous laisse la parole madame la ministre pour un proposiminaire d'une dizaine de minutes.

Ensuite monsieur le rapporteur vous interrogera tout comme les membres de notre commission d'enquête que je remercie pour leur présence. Merci beaucoup monsieur le président, monsieur le rapporteur, mesdames et messieurs les sénateurs. Je n'ai pas prévu de proposiminire écrit.

Je vais vous raconter l'histoire telle que je l'ai vécu en mars 2018, il me semble que le député Cédric Vilani, qui avait été mandaté par le président de la République en 2017 pour faire un état des lieux de l'avancée de l'intelligence artificielle dans notre pays avait rendu un rapport public qui disait le rapport s'appelait donner un sens à l'IA et il reconnaissait que La France avait énormément d'atout pour l'intelligence artificielle, outre évidemment les compétences de ces ingénieurs et cetera. Il considérait que nous avions euh des données extrêmement importantes qui étaient sous-utilisées dans quatre secteurs où l'IA pouvait être à la fois souveraine et très en avant sur son temps qui était la santé, les transports, l'environnement et la défense. Et donc dans ce cadre-là, nous avions travaillé et j'avais totalement acquié à à ce constat.

Nous avions travaillé à rendre ces données disponibles notamment pour les chercheurs. Nous avions en France un système de données de santé qui est de fait centralisé au sein de la CNNAM, le SNDS, mais nous avons aussi énormément d'entrepôt de données au sein des hôpitaux. Nous avons des grandes cortes de patients qui permettent de faire des études épidémiologiques.

Nous avons euh des registres notamment pour toutes les pathologies, mais en fait ces données sont éparses, elles ne sont pas compatibles entre elles. Et donc l'idée était de faire de construire une sorte de fédérateur de concentrateur de ces données qui pouvait être anonymisé et mis à disposition de la recherche pour notamment produire des algorithmes d'IA souveraines et puis également pour piloter le système de santé parce qu'on sait aujourd'hui qu'un bon système de santé et notamment si on le veut durable doit être piloté notamment par l'analyse des données. Donc il nous semblait très très important d'être au rendez-vous de ces grandes avancées technologiques.

Il y avait devant nous un certain nombre de pays qui avaient été identifié comme en avance qui était les USA, la Grande-Bretagne, si mes souvenirs sont bons, Taiwan un système de données de santé très centralisé et cetera. Et comme nous avions le SNDS qui permet la centralisation des données de remboursement de la CNAM pour tous les Français, nous avions vraiment une avancée notable. Donc fort de ce voilà ce de ce défi de se doter euh d'un euh système centraliser des données de santé anonyme et mis à disposition des chercheurs mais également peut-être de start-up et et pour le pilotage du système, nous avons mandaté euh un groupe de travail dont je crois que Stéphanie Combe était la la responsable pour nous proposer ce Health Data Hub et en faire les contours.

Donc à partir donc de la de cette préfiguration du Dataub, nous avons mis la création du Dataub dans la loi de 2019 qui a été discuté à partir du mois de janvier au février, il me semble et voté en juillet 2019. Et euh dès le départ évidemment nous sommes posés la question de l'hébergeur et de comment nous avions la capacité à centraliser ces données. Alors euh en réalité euh la question vous vous posez sur l'opportunité de de confier ces données de santé et de les faire porter par un opérateur industriel américain s'est posé dès le départ et nous n'avons pas cessé euh de pousser à essayer de trouver une autre solution.

Alors, ne me demandez pas de rentrer dans les détails techniques des différents acteurs qui ont été approchés par mes services. Dans mon souvenir, il y en a 8 ou 10 dont Talès, don OVH et cetera. Ça, je laisse évidemment les acteurs de l'adresse et madame Combe vous répondre très spécifiquement, mais il y a eu énormément d'aller-retour entre le cabinet et les services pour essayer de voir comment nous pouvions échapper quelque part à cette difficulté.

En gros, après plusieurs mois d'études, ce qui m'est m'a été remonté à ce moment-là, c'est qu'en fait nous n'avions pas le choix entre Microsoft et un autre acteur européen, je parle même pas français mais européen, mais que nous avions simplement le choix entre faire le H dataub ou ne pas le faire. Donc ça n'est pas un arbitrage entre Microsoft et d'autres hébergeurs, mais un arbitrage entre faire le F Delta Hub avec Microsoft comme hébergeur et je reviendrai sur les précautions que nous avons prises à l'époque face à cette difficulté. Euh mais donc c'était faire ou ne pas faire un hébergeur.

Et à l'époque, alors là des souvenirs sont très clairs pour moi. On m'avait dit il n'y aura aucun outil permettant en fait de de d'assurer cette cette fonction avant 4 ans. Alors ce que j'ai compris et parce que ça a été évidemment dans le cahier des charges que nous avions dit, c'est c'est nous avions acté un la sécurisation à l'extrême notamment par des clés de cryptage qui sont au sein.

Alors je sais pas si c'est l'ANC ou le ministère de la santé mais en tous les cas le cryptage des données n'était pas du tout accessible par Microsoft. C'était simplement un porteur des données mais tout le décryptage se faisait ailleurs. En tous les cas le cryptage n'était pas accessible.

Et la deuxième chose, c'est que nous avions acté que à tout moment, si une un autre hébergeur, notamment européen ou français était disponible, le système pouvait basculer sur un autre portage. Ça c'était évidemment une, je dirais une garantie que dès qu'un système serait accessible euh nous le nous basculerions vers un autre opérateur. Donc si mes souvenirs sont bons, je suis désolée parce que je n'ai pas accès à toutes mes archives et ça prend énormément de temps de retrouver les archives du ministère mais en gros le nous le marché entre guillemets était renouvelé tous les 2 ans.

À ma connaissance, tous les ministres de la santé qui se sont succédés après moi, ont eu exactement les mêmes difficultés. Et pour l'instant, ce que j'ai compris, c'est que ces données sont toujours sur Microsoft et ne sont pas encore capables de basculer sur un autre hébergeur. Voilà.

Donc ce qui était clair pour nous, c'était que à partir du moment où le seul choix qui nous était présenté, en tous les cas à moi ministre, qui était faire ou ne pas faire, nous avons pris la décision de le faire avec un maximum de sécurité. Tout cela a été largement discuté lors de la commission en commission lors de l'élaboration de la loi d'organisation et transformation du système de santé. Ça a été discuté avec les parlementaires à différents moments et donc je voilà ça ça n'a jamais été caché.

Ça n'est pas une volonté de masquer un risque. Le risque est réel, nous le savions. Mais entre-temps, je dirais que le contexte géopolitique, le contextes des menaces cyberes, les contextes de pollution de données, tout cela a évolué et nous sommes 6 ou 7 ans plus tard. 6 ans plus tard.

En tous les cas, lorsque ça a été conceptualisé en 2018, nous sommes donc 7 ans plus tard. Il est évident qu'il est légitime qu'une commission se pose la question sur combien de temps encore sommes-nous dépendants de Microsoft. Voilà, moi je ne peux pas juger aujourd'hui des contraintes et des capacités qu'ont d'autres opérateurs à euh fournir ce service, mais ce que je peux vous dire, c'est qu'en 2018 et 19, à aucun moment mes services et et Dieu sait qu'on les a challengé comme on dit dans ce mauvais anglais ou franglais détestable. on les a poussé jusqu'au bout pour essayer d'éviter de passer par Microsoft.

En fait, on nous a dit en réalité rien n'est faisable en dehors de Microsoft sauf à perdre 4 5 6 ans. Or dans 4 5 6 ans, et bien l'IA se sera développée. Elle se sera développée sur des données à l'étranger.

Moi, j'ai pas envie que les Français soient soignés avec des algorithmes entraînés sur des données chinoises ou américaines. Ce ne sont pas les mêmes façons de suivre les malades. Ce ne sont pas la même façon de les soigner.

Et donc il était très important non seulement qu'on ait des algorithmes souverains, des algorithmes français venant de chercheurs français sur nos bases de données, mais il était aussi indispensable que les données d'entraînement, d'autant plus que nous les avons, soient des données françaises de de français soignées selon les standards et le recommandations françaises. L'idée, c'est qu'on puisse faire de la prévention personnalisée, qu'on puisse développer des algorithmes de recommandation, qu'on puisse piloter le système de santé de façon à le rendre plus efficient. Et tous ces enjeux sont aujourd'hui toujours d'actualité.

Donc voilà ce que je peux dire, c'est pour terminer mon propinaire, c'est que je pense que euh de dire que nous avons tergiversé ou des attermoiements, je pense que ce ne sont pas les bons mots. En réalité, on a pris toutes les précautions possibles pour savoir si vraiment il n'y avait aucune autre alternative. et et après moi je suis pas une spécialiste de l'informatique mais clairement l'adresse et tous les services m'ont remonté après avoir vu tous les opérateur possible y compris des équipes de recherche que ça n'était pas possible sauf à perdre plusieurs années.

Donc ce n'est pas des attermoiements c'est qu'on s'est donné les moyens d'être sûr de notre arbitrage. Les conditions d'arbitrage elles sont celles-là. c'était faire ou ne rien faire.

Et ça a été discuté dans la loi euh quand à la mise en conférence à ma connaissance, il y avait un marché UGAP euh avec trois cloud qui étaient tous les trois américains. Euh il me semble que c'était Amazon et Google et Microsoft et que le marché avait déjà été donné à Microsoft. Donc on a fait au plus simple, mais de toute façon les choix étaient entre trois Américains.

Euh voilà, donc il y a pas il y a pas eu d'enjeu de coût, il y a pas eu de pression politique, il y a eu l'envie de servir euh et une question d'intérêt général. Donc euh après, euh je dirais que c'est un arbitrage qu'on doit tous faire en permanence. Où est l'intérêt général prédominant ?

Est-ce que c'est d'éviter à tout prix euh effectivement de se retrouver euh euh dans cette seringue de Microsoft ? quitte à ne pas du tout avoir d'IA française et de pilotage français ou est-ce que c'est de donner en fait à la France les outils d'un d'un de voilà d'être à la pointe de l'IA et du pilotage du système de santé sur des données françaises. À l'époque nous avions considéré que l'intérêt général portait était plutôt de se douter des de se doter des bons outils.

Je dirais que en 2025 peut-être que l'arbitrage n'est plus le même contexte a changé. Peut-être que technologiquement il y a d'autres outils et mais moi je suis pas capable d'en juger aujourd'hui. Je m'arrêterai là.

Merci madame la ministre. Pour ma part, je maintiens le terme d'ermoi euh qui est bien le l'action de de fait de reporter dans le temps, mais encore une fois, vous n'êtes pas la seule comptable de ces différentes actions ou inactions, même si vous êtes à l'initiative de la création de cette plateforme des données de santé au tout début du processus, la réalité c'est que en tout cas pour les opérateurs que nous avons rencontrés, ils nous ont confirmé en réalité dans le meilleur des cas avoir reçu un coup de téléphone entre deux portes. Pour eux, il ne s'agissait pas clairement d'une concertation, d'une consultation.

Et puis ensuite, ce que nous observons c'est que vos successeurs ont pris des engagements répétés en 2020, en 2022, en 2023, en 2024 et que comme vous l'avez souligné, euh 6 ans après cette promesse d'un hébergement souverain, nous n'y sommes évidemment toujours pas. Monsieur le rapporteur, merci madame la ministre pour vos propos préliminaires. Ce qui me rassure d'ailleurs parce que on est parti d'une très très belle idée, une idée, vous l'avez rappelé, pour nos chercheurs français, pour nos données françaises, pour une souveraineté et j'ai l'impression que dans tout le cheminement, on n' pas eu la même approche de tous les côtés.

J'ai l'impression qu'on a fléché volontairement d'un certain côté. Moi, ce qui m'ennuie beaucoup, c'est que euh on a trouvé une solution qui était extra. européenne et on parle depuis de 7 ans de basculer ce qui n'a rien été fait.

Moi, j'ai neu questions à vous poser les question qui sont Christiano. En tant que ministre des solarités et la 18, vous avez validé validé la feuille de route du ELS Data Club incluant le recours à Cap Géini comme conseil et Microsoft comme hébergeur. Pouvez-vous nous expliquer qui au sein de votre ministère a proposé Cav Géini comme partenaire stratégique et sur quel critère ce choix a-t-il été fait avant même lancement de la mission de préfiguration ?

Alors, je n'en avais absolument aucun souvenir parce que je n'ai aucun souvenir d'avoir jamais travaillé avec une société de conseil lorsque j'étais ministre. Par contre, ce que j'ai cru comprendre au moment où il y a eu effectivement énormément de de polémiques et à juste titre sur la place des sociétés de conseil dans les ministères, j'ai compris que il y avait régulièrement des marchés publics qui étaient lancés par les ministères, notamment par les secrétariats généraux pour accéder avec des bons tirages en fait hein à des sociétés de conseil pour certains sujets de transformation notamment dans le numérique où ça nécessite des compétences très particulières où les ministères sont en général assez désarmé. Donc il est tout à fait possible que le ministère de la santé ait eu un marché Cap Gémini à l'époque et que simplement étant le marché choisi, le Help Dataub est fait appel à Cap Gémini pour des conseils dans la structuration du HP Data Hub.

En tous les cas, moi je n'ai pas contractualisé, je n'ai pas le souvenir d'avoir eu des notes de me proposant des cabinets de conseil et cetera. Donc je je ne peux pas vous répondre au-delà mais je n'en avais jamais entendu parler jusqu'à présent. Euh ce qui est clair, c'est que sur des sujets extrêmement techniques comme ça et et je ne me je ne me défausse pas sur l'arbitrage.

L'arbitrage, je l'ai pris en pleine connaissance de cause sur le fait que c'était Microsoft ou rien. Et donc nous avons choisi Microsoft. Mais sur des sujets très techniques comme ça, euh vous me dites que certains acteurs ont considéré qu'en 2018, il y avait la possibilité d'héberger ces données ailleurs.

Moi, aucun aucune des notes qui me soient remonté de mes services n'ont à aucun moment mis en balance le fait qu'on avait d'autres possibilités. Les notes étaient formelles sur le fait que aucun acteur n'apportait ni la capacité de stockage, ni les conditions de sécurité de Microsoft et que de ce fait voilà, il y avait moi je on ne m'a donné aucun choix et c'est pas faute d'avoir comme vous le faites remis en cause ce choix-là. C'estàd je sentais bien que c'était un sujet compliqué et potentiellement polémique.

Donc j'avais aucune raison si vous voulez de me mettre en difficulté. Après à un moment faut arbitrer. Donc le choix je dirais pas courageux ça aurait été de dire bah on attend que quelque chose soit accessible et de et et faisable et puis tant pis pour la politique de souveraineté de la France.

Et je je peux remarquer maintenant avec mon expérience que quand on fait de la politique et notamment quand on est ministre, moi on prend de décision, moi on est attaqué. Je dis ça parce que je dois être à ma 8e ou 9e commission d'enquête parlementaire. Donc à force, je me demande si je suis l'ennemi public numéro 1 de cette nation, si vous voulez.

Donc voilà, je pense que le moins risqué, c'est de ne jamais prendre de décisions. Quand on prend des décisions, on le fait avec en essayant d'avoir la totalité des informations possibles. Si vous me dites que les notes de mes services ne sont pas bonnes et que il y avait d'autres possibilités, ben je je ne suis pas capable d'en juger.

En tous les cas, un ministre n'est pas capable d'en juger. Un ministre fait confiance à son administration a priori. Non, simplement nous ne nous permettons pas de dire que les notes n'étaient pas bonnes parce que nous n'avons pas eu connaissance.

Ce que nous disons simplement c'est que dans ce que un certain nombre d'interlocuteurs au cœur du projet nous disent être du sourcing, donc avoir été tentative de contacter des entreprises pour savoir ce qu'elles étaient en mesure de fournir. En réalité, si l'on se fit au retour des opérateurs économiques en question, ce n'en était pas du tout. Donc de ce point de vue-là, si évidemment vous ne posez pas les bonnes questions ou dans des conditions un peu dégradées et que de l'autre côté vos interlocuteurs vous répondre de façon cibiline, vous pouvez très rapidement et faussement en déduire que ne sont pas en capacité de ce n'est pas vous qui êtes en cause hein, mais on a eu des acteurs nationaux type Scalou au VH et d'autres qui nous ont dit on était capable de le faire ce qui est quand même très surprenant.

Moi je pense que dans cet appel enfin appel qui n'est pas un appel, on a fléché chaque fois qu'il y a une réponse, on rechangeait le sujet. Moi je continue mes questions. En tant que je dire dans cet appel d'offre, le choix de Microsoft en tant qu'hébergeur a été effectué sans réel appel d'offre puisquon est passé sur l'étagère du gap.

Contrairement au règ habituel de la compte publique, pouvez-vous confirmer et je pense que vous déjà dit non, c'est une une évaluation formelle avec d'autres prestateurs parce qu'à mon avis vous me dites on m'a donné que le choix de Microsoft, c'est le seul qui est en capsé mais est-ce qu'on a des éléments et on vous les demandera peut-être par écrit qui permettent de dire est-ce qu'on a proposé à d'autres acteurs de haut niveau français ce cette possibilité d'héberger ? J'ai besoin de faire cette réponse là parce que c'est très important. Peut-être pas aujourd'z pas des mais est-ce qu'on a consulté ?

Est-ce qu'on a des pièces qui permettent de dire on a consulté ? Si c'est entre deux murs et qu'on vous voir dans le ministère en vous disant effectivement madame la ministre on a qu'un choix micro de soft moi j'irais bien aimé en tant que ministre dire voilà effectivement mais qu'est-ce qu'il y avait d'autre ? Bah non ils sont pas prêts.

Un tel n'est pas prêt un tel on me dit ça on vous a dit il faut 4 ans sans élément concret. J'ai besoin d'élévements de vévaluation pour vraiment voir si on était au bout de la concurrence. On a dit il y a Microsoft, il y a Microsoft Microsoft.

Non, non, non. Il y avait peut-être des acteurs de niveau et on les a auditionné. Ils nous ont confirmé qu'il était en capacité déjà de le faire, sauf qu'on les a pris entre deux portes.

On l'a jamais. Et est-ce que vous avez un factuel qui permet de l'avoir dit on les a consulté ? Alors euh évidemment, moi je je n'ai absolument pas la capacité de savoir quelles ont été les consultations faites par mes services et les services de l'adresse de façon formelle.

Ça, je pense que je je ne sais pas où les trouver. J'ai des notes de mon cabinet. Euh voilà, la note de mon cabinet dit euh alors elle est compliquée parce qu'elle est en plus hypertechnique.

Je il y a des choses que je ne comprends pas moi-même. Mais moi non plus je suis n de crunch. Je suis pas un spécialiste non plus.

Ce que je que dis c'est après consultation des industriels français Open, ATOS, Tales, OVH, Docapost et cetera et analyse de leur offre, la seule solution permettant à la fois d'obtenir la qualité, de tenir les délais tout en respectant les contraintes juridiques et de s'appuyer sur le service Azure de Microsoft disponible via un marché UGAP pour l'hébergement et le traitement des données. Comme le confirme la contrexpertise des services de la DINSIC, je sais pas ce que je sais pas ce que c'est. solution satisferait le meilleur équilibre technique sur le plan des coûts des délais de la sécurité et de la qualité de service.

En outre, elle assurait une compatibilité facilité avec les solutions développées par les start-ups qui s'appuyent de plus en plus sur du PAAS, par exemple diplomatique pour l'annotation d'imagispensable pour l'apprentissage d'algorithmes de déur. Euh alors enfin voilà, donc j'ai pas j'ai pas j'ai pas les rendez-vous. Euh ce qu'on me dit, c'est les éléments de sécurité, de gouvernance euh disponible alors disponibles dans les solutions PAS proposé par certains acteurs de l'hébergement de données.

Euh non, pardon, ce qu'on me dit, pardon, je vais reprendre, c'est qu'en réalité les autres hébergeurs étaient moins performants du côté de la sécurité. Voilà. Mais je sincèrement, je suis pas capable d'aller au-delà si vous voulez.

Moi je très bien. On vous demandera simplement communication de ce document. Absolument.

Ouais, absolument. En 2018, Cédric Ha alors conseiller au produit président Macron pour le numérique était un servant des promoteurs de l'IA et des partenariats avec des gens des géantes technologiques. A-t-il exercé une influence directe ou indirecte sur le choix de Microsoft Azur ?

Il a eu des échanges avec lui et son équipe concernant les orientations pour le HDH ? Alors euh pas à mon niveau, c'est-à-dire que je n'ai pas le souvenir d'avoir eu une réunion technique avec Cédric ou ses services ou son cabinet au sujet de lataub. Après, est-ce que au niveau des cabinets ou au niveau plus technique, il y a eu des échanges ?

C'est possible. Ce dont je peux vraiment vous apporter la garantie, c'est que je n'ai eu aucune pression personnelle pour aller dans le sens de Microsoft. C'est simplement après je ne sais combien d'aller-retours où j'ai poussé mes services au maximum parce que j'avais la même crainte que vous et quelque part la même inquiétude des polémiques et force des force de constater que j'avais un bon pressentiment et bien je voulais pouvoir éviter à tout prix Microsoft mais à la fin que vous avez la totalité des services qui vous disent qu'il n'y a pas d'autres solution ben on fait avec.

Ce qui est intéressant, excusez-moi, juste quand même pour parce que c'est c'est j'entends que des acteurs disent qu'ils avaient la possibilité de le faire et je suis pas capable de juger pourquoi ils n'ont pas été choisis. Mais ce ce marché, il a été renouvelé tous les ans, tous les 2 ans, 3 ans, je ne sais pas combien, mais il a été renouvelé à chaque fois et je pense que tous les ministres de la santé qui m'ont succédé se sont retrouvés devant le même dilemme et qu'à la fin, ils se sont retrouvés face à la même décision. Donc je je pense que c'est pas si simple.

Euh je pense que si c'était euh une erreur manifeste de mon cabinet, enfin de moi de moi avec mon cabinet ou des services à moment où j'étais ministre, et bien peut-être que les ministres qui m'ont succédé auraient pu rectifier le tir. S'ils ne l'ont pas fait, c'est probablement que la solution n'est pas si simple à trouver. En tous les cas, ce qu'on a fait et vraiment c'est vraiment pousser au maximum la sécurité, le cryptage, ça a été vu avec LANC, l'agence de sécurité des systèmes de informatique.

Ça a été on a à tout moment vérifié qu'on était capable de basculer vers un autre système justement pour ne pas avoir pied et points lié avec Microsoft. Donc on a essayé de se donner le maximum de garantie. Quant à Cédrico, pour en revenir votre question, je n'ai aucune pression ni aucune discussion particulière avec Cédric à ce sujet. simplement, madame la ministre, vous dites que le dossier n'est pas simple et et nous en convenons aisément.

Simplement, il se peut aussi que la longueur pour l'entalisation concrète en matière de de migration soit lié aussi à une succession d'erreurs ou euh dans le pire des cas une absence de volonté politique. C'est pas simplement parce que le sujet est compliqué. Euh il suffit de reprendre mais là vous n'en êtes pas comptable hein, les propos tenus par vos successeurs.

Euh encore une fois en 2020, il disait au plus tard dans 2 ans la réversibilité, nous travaillons sur une solution souveraine. Les engagements étaient clairement écrits, noir sur blanc, des réponses à des questions parlementaires. Et ce que nous ont encore une fois dit les opérateurs économiques que nous avons rencontré, c'est que en réalité le constat qu'ils font, c'est qu'il n'y a pas de volonté politique avec évidemment des moyens adéquats pour mettre en œuvre ces solutions souveraines.

Donc je souhaiterais aussi rétablir ces ces éléments. Il appartiendra à chacun de de se faire son idée. Mais en tout cas, on ne peut pas simplement se réfugier derrière la complexité du dossier pour expliquer qu'en 6 ans, il ne s'est de fait sur ce pointl rien passé.

Ministre Stéphanie Combe, nommé directrice du HDH en 2019 a joué un rôle central de la mise en œuvre technique du projet. A-t-elle agi de façon autonome dans la supervision des choix, vous en avez un peu parlé technologique, notamment en orientant la sélection vers Microsoft ou ces décisions étaient-elles systématiquement validées par par votre ministère, vos collaborateurs ? Je je suis pas capable de vous répondre.

Je pense que ça devait dépendre de la sensibilité des décisions. Quand il s'agit de brique technique, j'imagine que mon cabinet, sachant qu'à l'époque on avait plutôt des cabinets de 10 personnes, j'avais pas de spécialiste de l'informatique. Donc je pense que sur les sujets très techniques, il a pas été validé forcément au niveau du cabinet. sur un sujet sensible et moi le seul sujet dont j'ai le souvenir c'est vraiment cette histoire de Microsoft comme hébergeur.

Évidemment, je je le répète et j'assume parfaitement, nous l'avons validé et Stéphanie Combe n'a pas pris la décision seule. De même Stéphanie Combe, elle était au sein de l'adresse, il y avait un pilotage par l'adresse, il y avait comme acteur consulté Landy et d'autres directions. Donc voilà, elle elle agissait.

J'ai enfin vraiment j'ai eu une confiance totale dans Stéphanie Combe au moment où je l'ai nommé. 6 ans plus tard, je vois que rien a évolué. Donc vous considérez peut-être, monsieur le président, je l'entends que c'est un manque de volonté politique.

Sincèrement, si je faisais encore de la politique, je trouverais ça assez dangereux en fait de pas avoir de volonté politique de quitter Microsoft surtout par les temps qui courent. Donc moi je pense que malheureusement le le le la problématique depuis 6 ans a quand même été en en grande partie une problématique technique. Euh voilà, je je mets un bémol parce que faudrait être fou aujourd'hui politiquement pour considérer qu'on est heureux de se mettre entre guillemets dans les mains d'une plateforme américaine.

Je vois pas quelle politique a intérêt à cela. Donc j'entends votre remarque mais je me permets de de penser que c'est en tous les cas en grande majoritairement faux. Je vais sauter les questions de relation entre CAP Gimini et Microsoft.

Je vais passer directement euh au timing du choix de Microsoft. Des documents internes suggèrent que Microsoft était déjà considéré comme le soit le choix privilégié dès l'été 2018 avant même la finalisation du rapport de la commission de préfiguration. Pouvez-vous confirmer s'il y a eu des discussions avec Microsoft en amont et si oui qui les a initié au sein de votre ministère ou ailleurs ?

Je ne peux pas vous répondre monsieur le rapporteur. Je n'étais même pas au courant que Cap Gemini avait été plus ou moins dans la boucle de cette préfiguration. Donc je sincèrement je ne peux pas vous répondre.

Ma dernière question. En validant un hébergeur soumis au Claude Act, votre ministère a été accusé de compromettre la souveraineté unique française. Un sujet que vous avez pourtant qualifié aujourd'hui et à l'époque de prioritaire en novembre 2019.

Avec le recul, regrette-vous d'avoir suivi la recommandation de Cap Gémini en faveur de Microsoft et assumez-vous personnellement, je mets des guillemets hein parce que je suis pas au courant de tout ce choix face aux critiques de l'ACNIL et du conseil d'État et pour la route simplement aujourd'hui vous revenez en arrière. J'ai pris la décision que j'ai prise et je l'assume avec la connaissance qui m'a été fournie. Je je le répète, on arbitre sur des données, des notes, des dossiers qu'on nous apporte.

Voilà, je je ne peux pas je n'aurais pas pris une décision différente sur la base des documents qui m'ont été fournis à l'époque et donc j'assume cette décision. Euh on m'a dit et on m'a répété et j'ai eu tout un tas de notes qui en attestent que c'était la seul moyen de faire émerger le Data Hub sinon on perdait plusieurs années et je considérais qu'on avait besoin de souveraineté en IA et notamment d'entraînement de nos IA sur des données françaises. C'est indispensable. répéter le mot comme tout le monde souveraineté soiné mais si on héberge.

Alors le cloud act si j'ai bien compris pardonnez-moi, je suis pas non plus une spécialiste des lois américaines, mais le cloud act vise essentiellement des données nominatives qui portent sur les opérateurs de de communication. donné non toutes donné ça sera toutes donné non mais elles ne sont pas nominatives là ce sont des données anonymisées dans le non c'est toute donné toutes données hébergées les compagnies américaines sont soumises sur une demande fédérale ou autre de les transmettre c'est une loi oui mais la clé de cryptage est en France ils ne l'ont pas ils ont les donné c'est ce que j'ai enfin c'est ce que j'avais compris à excusez-moi c'est ce que j'ai compris c'est qu'on avait une clé cryptage que les données étaient anonymes et que donc le risque un risque théorique de de transmettre des données à l'étranger était en réalité excessivement faible du fait de l'anonymisation et d'un cryptage complet. Après, l'autre possibilité qu'on va donner, c'est de ne rien faire.

Vraiment, les notes étaient claires, c'estàd que soit on décide qu'on attend un hébergeur européen en capacité d'avoir les mêmes caractéristiques et donc j'ai pris ma décision sur cette base là. Mon arbitrage c'était faire avec Microsoft ou ne rien faire. Et donc j'ai pris la décision de faire avec Microsoft en prenant l'engagement que dès que nous pouvions transférer ces données sur un autre hébergeur, nous étions en capacité de le faire.

Voilà. Avant de passer la parole, merci madame la ministre. Avant de passer la parole à nos collègues Daniel Salmon et Jean-Luc Ruel, je voulais simplement vous lire un extrait.

Alors, vous n'étiez plus ministre à ce moment-là d'une note qui a été adressée au comité relatif à l'intelligence artificielle en provenance de la plateforme des données de santé datée du 24 octobre 2023. Il est dit page 5, je cite donc dans les recommandations, exiger du gouvernement une position constructive, claire et de long terme concernant les exigences de souveraineté. Il s'agirait d'une part d'assumer de manière réaliste et pragmatique l'autorisation de l'utilisation de solutions étrangères afin de ne pas mettre en péril notre capacité d'innovation.

C'est quand même c'est très lourd de sens. D'autre part, il est nécessaire soit de réellement mobiliser des moyens financiers compatibles avec la montée en compétence des acteurs du cloud souverain, soit de reconnaître que la souveraineté ne pourra pas être atteinte sur toute la chaîne de valeur et d'en tirer les conséquences. Là aussi, moi je vous avoue que lire lire de tels propos interpelle et en tout cas ces propos font très largement écho à ce que nous avons pu tenir avec monsieur le le rapporteur.

Mais encore une fois, il ne vous engage pas. Je quand vous évoquiez tout à l'heure qu'il serait quasiment coupable de faire preuve de défaut de volonté politique, là visiblement la plateforme des données de santé à tout le moins le laisse plus qu'entendre dans les propos qui sont écrits dans cette note que nous pourrons vous communiquer. Monsieur Daniel Salmon et monsieur Jean-Luc Ruel.

Merci monsieur le président. Là je je vais changer un petit peu de sujet. Euh nous faisons face euh périodiquement à des pennuries de médicaments.

En ce moment, ce sont les psychotropes, mais c'est t tous les mois où on s'aperçoit que là aussi notre souveraineté est mise à mal. Euh avec le recul que vous avez, euh que pensez-vous que la commande publique devrait faire pour que nous puissions euh et bien avoir une production qui soit si ce n'est nationale, du moins au sein de l'Union européenne ? vous avez connu l'épisode des masques.

Voilà, je pense que vous en avez retiré un certain nombre de conclusions et voilà, nous pensons ici que la commande publique a vraiment euh un rôle à jouer, un rôle très important pour que nous puissions demain ne pas être prisonniers de l'étranger. Merci madame la ministre. J'ai été déjà amené à répondre à une commission d'enquête du Sénat sur les pénuries de médicaments.

Je crois il y a un an et demi. Je ne sais pas si vous en faisiez partie, monsieur le sénateur. Donc j'avais voilà.

Non, non, mais je vais vous donner les réponses. Bon, les pénuries de médicaments sont liées en fait à des phénomènes extrêmement complexes. Euh d'une part à l'augmentation d'une demande phénoménale parce que nous avons doublé la population mondiale en l'espace de deux générations.

Nous avons euh augmenté la durée de vie d'environ 20 ans, l'espace de deux générations et nous avons 3 milliards de personnes qui sont sorties de l'extrême pauvreté. Donc en réalité, nous avons triplé ou quadruplé la demande de médicaments et de personnes susceptibles dans de les payer. Et je pense que aucun producteur de médicaments n'a triplé ou quadruplé ces lignes de production.

L'autre chose, c'est que aujourd'hui euh la l'innovation va vite et que on est notamment dans les pays européens très en demande d'innovation et donc ces lignes de production, elles changent sans arrêt en fait pour s'adapter à l'innovation et les industriels de la pharmacie ont beaucoup plus intérêt à produire des médicaments innovants qui vendent très chers qu'à des médicaments anciens qui vendent peu cher. Donc en fait, il favorise, il donne toujours un avantage à la production de l'innovation. Donc si euh beaucoup évoquent que les coûts des médicaments sont trop faibles en France et que ça expliquerait les pénuries, c'est une très mauvaise explication. même dans des pays où on paye des médicaments très chers, il y a des pénuries et ça se en fait la la les causes des pénuries se retrouvent à peu près à tous les niveaux de la chaîne, que ce soit de la production, de la distribution euh et et donc je pense que l'argument du prix est un mauvais argument.

Par contre, aujourd'hui, je suis absolument convaincu que sans politique du médicament européenne, aucun pays est en mesure d'assurer la souveraineté sur l'ensemble des médicaments dont il a besoin. Euh, d'abord parce qu'il y en a énormément et que d'autre part, il change énormément. C'est un euh le la pharmacopée est très évolutive et donc si vous construisez une usine pour être souverain, vous avez beaucoup de chance que 5 ans après en fait ce médicament soit obsolète en fait.

Pour avoir vraiment une souveraineté, nous avons besoin aujourd'hui d'une commande publique européenne, d'une fixation du prix du médicament européen et d'une vision européenne des médicaments indispensables. Les médicaments indispensables sont pas toujours celui qu'on croit. J'ai beaucoup regardé avec beaucoup d'intérêt toute la polémique sur le dolipran.

Euh le Dolipran n'est pas un médicament qui euh euh qui est indispensable en ce sens que la vie et la mort ne dépendent pas du dolipran. Au pire, vous avez de la fièvre où vous souffrez. Mais je ne suis pas sûr que la souveraineté sur le Doliprane soit prioritaire par rapport au corticoïdes par exemple.

Donc si on devait choisir des médicaments, l'OMS a fait une liste de médicaments indispensables. Ils sont vitaux et je pense que les pays européens pourraient rajouter beaucoup de chimiothérapie et cetera. Moi, je pense qu'il faut qu'on s'entende sur des médicaments indispensables, qu'on ait une vision européenne de la souveraineté, ça ne peut pas être à l'état à l'échelon national, ça n'a pas de sens.

Je rappelle qu'on est un tout petit pays hein, 66 millions d'habitants. Euh on est la taille de deux villes chinoises. Donc vous voyez que par rapport au marché du médicament, on est quand même tout petit et donc ça ne peut se faire qu'à l'échelle de 450 millions d'habitants, ça c'est sûr.

Monsieur Salmon. Oui, juste pour rebandir parce que la particularité de cette commission d'enclète, elle est effectivement sur la commande publique. Donc moi, ce ma question, elle allait dans le sens vous, je pars j'entends parfaitement le constat, mais à l'instant, qu'est-ce que l'on peut faire ?

Si nous dans cette commission d'enquête, nous devons faire des préconisations ? Quelles sont les préconisations pour vous de premier rang pour faire en sorte que nous soyons dans une meilleure posture dans les années à venir ? Voilà, c'est c'est tout simplement ça l'objet de ma question.

Alors, je comprends, excusez-moi, j'avais pas compris à quel point vous étiez focalisé sur la commande publique. Euh, c'est compliqué. Je pense que sur des médicaments qui sont des invariants, je pense au corticoïdes dont on a absolument besoin GU à gérer une pénurie de corticoïde en 2017, c'est un enfer.

Ça c'est vital. C'est vraiment vital. euh vous pouvez euh enclencher la commande publique et avoir des stocks euh sur la plupart des médicaments.

En fait, c'est c'est ces innovations permanentes qui font que euh commander et avoir des stocks ne résout pas tout. Et euh pour beaucoup travailler avec le secteur de la défense en ce moment, euh je vois bien à quel point on on est focalisé sur la question des stocks et où en fait la vraie question c'est celle des flux. À quel point on est capable de relancer une ligne de production quand on a besoin de quelque chose ?

Ça c'est la vraie question par rapport à avoir un stock qui en fait ne permet jamais de tenir au-delà d'un mois, 2 mois, 3 mois, ne serait-ce que parce que les produits se périm. Donc voilà, commande publique certainement pour certains produits mais à mon avis pas pour tous et pour les autres ceux qui ne sont pas des invariants et qui évoluent rapidement. Je pense que la seule question qui se pose, c'est comment on a des lignes de production qui s'adaptent et qui sont sécurisées pour les Européens.

Et tout ça, je pense que ça dépend en particulier de la commande publique pour avoir une certitude. L'industriel, il n'y va que s'il a une lisibilité et s'il est à peu près sûr qu'on va pas aller chez le concurrent qui est un peu moins cher à l'autre bout du monde. dans le sens de la sécurisation industriale, oui, euh il faut évidemment apporter une sécurité sur la commande.

Mais bon, je je pense que tant qu'on a'ura pas une vraie euh vision et stratégie européenne, euh penser qu'on peut avoir une stratégie de ce type-là à l'échelon national me paraît illusoire. On peut l'entendre mais en particulier sur le sujet des masques. Alors encore une fois, vous n'étiez plus ministre à ce moment-là mais nous l'avons bien vécu en Bretagne avec des usines qui se sont créées et la réalité c'est qu'il y a pas eu de commande publique et que nous avions des enseignants qui dans leur casier à la rentrée scolaire des années qui ont suivi avait des boîtes de masque made in China.

Donc euh on est bien conscient, d'ailleurs on le dit sur un certain nombre de filières stratégiques, la bonne échelle est européenne, mais il y a déjà une exemplarité à avoir et un effet levier de la commande publique française entre l'État, les collectivités. Sur un certain nombre de sujets, euh nous avons les moyens euh d'aider à l'émergence de de filière et de pouvoir les les péréniser dans le temps. Et là, c'est vrai que sur le sujet des masques, nous avons un exemple frappant.

Mais encore une fois, vous n'étiez plus ministre à ce moment-là. Monsieur Jean-Luc Cruel. Donc si je si je comprends bien, en fait tout démarre en 2017 hein sur la sur le plan de la restructuration des systèmes d'information de la santé.

Alors effectivement c'est c'est quand même c'est quand même un enjeu extrêmement important où il y a beaucoup de points qui doivent être intégrés. Bon la gestion des stocks sanitaires, on vient d'en parler. euh la problématique des investissements et le suivi des investissements hospitaliers, le suivi des vaccinations des des plans de vaccination obligatoire, euh les problématiques de liées à la réforme des études médicales, la prévention i santé et téléconsultation, recherche clinique, partenariat public.

En fait, bon, c'est vraiment quelque chose de complexe à intégrer avant avant donc cette décision de bon qui s'est traduit par la l'ord avec Microsoft enfin Blue hein, quel était le système d'information qui était en place ? Alors, il n'y avait pas euh alors il y avait plusieurs Voulez dire le système numérique. Hm hm.

Donc le SGPI euh pendant une dizaine d'années a financé des territoires numériques en santé. Donc chaque territoire avait euh une enveloppe de 10 millions d'euros, il me semble et faisait son dossier numérique, son carnet de vaccination numérique. Chaque territoire avait sa ou une plateforme de téléconsultation.

Donc en fait euh le SGPI, donc le secrétariat général au grand emprunt avait financé sur appel à à projet euh des territoires variés qui avaient chacun leur projet. Donc par ailleurs, vous aviez le dossier, comment s'appelait le dossier le DMP, le dossier médical partagé qui peit à émerger et qui était je crois porté par la CNAM à l'époque. Et donc j'ai souhaité, considérant que les datas et les données de santé allaient être un enjeu absolument majeur de pilotage et de souveraineté de l'IA, j'ai souhaité mettre de l'ordre dans tout ça.

Donc, j'ai créé une délégation du numérique en santé. Euh nous avons arrêté les territoires numériques éparpillés euh pour rationaliser un peu la dépense publique et nous avons créer ce qu'on appelle l'espace numérique en santé qui est une plateforme qui a été créée dans la loi de 2019 et qui permet à chaque français de mettre à la fois son dossier médical, à la fois des applications qui sont utiles au suivi de sa pathologie par exemple, mettre aussi son dossier de vaccination et cetera et qui peut être euh euh euh regardé par son médecin traitant ou d'autres professionnels de santé auquel il donne accès, ce qui permet d'avoir une vision partagée du dossier euh des des Français. Donc l'espace numérique en santé aujourd'hui, je crois qu'il y a plus de 10 millions de Français qui l'ont ouvert à ma connaissance.

Ça peut être le médecin traitant qui l'ouvre, soi-même qui l'ouvre ou en pharmacie. Et c'est semble-t-il un outil aujourd'hui qui s'étend. Voilà.

Donc j'ai essayé de rationaliser la délégation du numérique en santé a d'une part créé cette plateforme pour tous les Français et d'autre part à travailler sur le Data Hub en lien avec l'adresse. Donc voilà, j'ai essayé de de créer un un une dynamique autour des des données de santé, une rationalisation, une vision. Et en fait, je me suis inspirée de ce que j'avais vu un an plus tôt.

Euh j'avais à l'époque où je présidais la haute autorité de santé, j'avais passé une semaine au département d'État américain euh à la santé. J'avais regardé comment s'était mis en place l'OBAMER notamment et j'avais vu que les Américains avaient créé une délégation transversale au ministère parce qu'en fait les services informatiques des ministères ne sont pas armés en fait pour proposer une vision de ce qui peut être fait à l'échon national. Ils connaissent les systèmes informatiques du ministère ou des hôpitaux.

Et donc cette délégation a pris en main une vision du numérique en santé. Et je crois qu'aujourd'hui cette délégation qui était transversale et que je pilotais moi-même à l'époque a rejoint les administrations centrale. C'est maintenant une direction du numérique en santé au sein du ministère.

C'était justement une des questions, hein, c'était quel benchmark vous aviez fait à l'époque euh parce que bon euh il y a il y a eu quand même dans un certain nombre de pays des des vraies réussites en matière de dans le secteur de la santé, en matière de gestion euh des informations, hein, Royaume-Uni, Estonie, Canada, Allemagne. Après la question que je me posais, c'est aujourd'hui finalement bon on sait qu'on a quand même un problème avec Microsoft, on est exposé. Euh bon, qu'est-ce qui se passe quoi ?

Bon, les les les technologies, les savoir-fa ont évolué. Qui a ça dans la main ? et qui peut qui peut à la fois permettre la pérénisation d'un système de confiance tout en redonnant de la souveraineté à nos données.

Alors, je ne suis plus ministre depuis 5 ans. Euh, j'ai pas suivi toutes les transformations gouvernementales. Euh enfin, moi je considère que sur le numé numérique en santé, on s'est quand même doté d'une direction de haut niveau.

Elle a été dirigée par des personnes remarquables. On a essayé d'inscrire une vision dans la loi. Ça veut pas dire qu'elle est figée, hein.

Elle peut évidemment évoluer. Mais je pense que entre l'ANC et la délégation du numérique en santé, il y a quand même la capacité dans notre pays d'identifier les enfin en tout cas, je pense qu'on a les ressources humaines et les compétences pour identifier les les grandes orientations à venir et à faire évoluer éventuellement les choix qu'on a fait par exemple en 2017. On est 7 ans plus tard, je peux pas je peux pas considérer qu'on a fait les les meilleurs choix pour Advitam Eternam.

On a fait les choix qu'on a pu faire à ce moment-là tout en se donnant la possibilité de les faire évoluer et je pense qu'on a les compétences aujourd'hui au sein du ministère et au sein du des administrations. Voilà. Mais je peux pas vous en dire plus monsieur le sénateur, je suis confuse.

Je ne connais pas assez. Je voulais juste dire un petit point. Est-ce que vous avez donc on l'a vu hein tout ce qu'embrasse le système d'information ?

C'est c'est considérable. Est-ce que par exemple vous avez introduit enfin je suppose que oui he des indicateurs de ou des clés de mesure la réussite ou enfin des des proms et des prems. Voilà, c'est ça.

C'est oui, c'est des indicateurs de qualité des soins. Voilà. Exactement.

Alors, c'est plutôt à l'état encore embryonnaire, hein. Il y a des chercheurs qui travaillent là-dessus. La haute Autorité de santé a un service qui travaille là-dessus.

L'idée en fait c'est de piloter la qualité des soins avec des indicateurs qu'on recueille à la fin d'une prise en charge. Par exemple, vous avez un AVC, vous avez des hospitalisations, une rééducation et le PRS ou les Premes sont des indicateurs qui sont recueillis auprès des malades pour savoir la qualité du soin et leur récupération. Euh ces indicateurs là, ils sont utilisés dans d'autres pays et assez peu encore utilisés en France pour piloter le système de santé.

Si on modifia un jour le mode de rémunération des professionnels de santé, on pourrait, si on a de bons indicateurs, les rémunérer à la qualité. Donc c'est indispensable de piloter le système non pas seulement quantitativement en rémunérant sur l'exacte, mais en rémunérant les gens aussi sur la qualité des soins. Donc ce type d'indicateur, typiquement, il a besoin de data, il a besoin de données qui sont recueillies tout au long du parcours.

Ça fait partie des des données que pouvait apporter le DATub. pour le pilotage. Merci madame Karine Daniel.

Merci. Moi, je trouvais très intéressant la réflexion que vous avez donné sur les nouveaux défis qui sont devant nous qui nous amène sans doute à réfléchir plus en terme de gestion de flux, de réponse à des crises qui par nature nous ne connaissons ni la nature justement et et ni l'ampleur. Et alors, il a été cité l'exemple des médicaments qui sont peut-être effectivement un exemple d'ampleur.

Les masques évidemment nous viennent tous en tête, mais demain on ne sait pas dans le domaine de la santé quels seront les équipements de prévention, de prophylaxie, de traitement qui dont dont on aura besoin. Et je pense que c'est une question alors euh que que je vous pose mais qu'on doit se poser collectivement et qui devra sans doute euh être un élément euh important dans notre rapport, c'est justement comment est-ce que la commande publique peut s'inscrire dans euh les éléments qui sont par nature non prévisibles dans le cadre de la gestion de crise et comment la commande publique et les décideurs publics justement se dotent d'outils de gestion de crise qui amène à une forte agilité et on peut bien le constater, la commande, les outils de la commande publique ne sont pas toujours euh les plus adaptés à cette demande d'agilité, de vitesse et de régulation soudaine et massive. Donc je vous pose cette question, sachant que cette question évidemment nous est posée à toutes et tous.

Madame la ministre, merci beaucoup madame la sénatrice. Oui, c'est c'est une question très importante. Je pense que nous n'avons pas fait collectivement le rétex de la pandémie de Covid.

J'en suis absolument persuadée. On est encore tous avec l'idée que les stocks répondent au sujet alors que à l'évidence dans aucune crise les stocks ne répondent au sujet et ils y répondent pour une durée d'une semaine. Je rappelle qu'un milliard de masque c'était euh une semaine de consommation.

Donc on voit bien qu'un stock ne répond à rien et je dirais que c'est pareil pour l'armer avec les munitions. Ce qui compte c'est la la capacité de réarmement derrière et de production. C'est pas d'avoir un stock.

Alors c'est toujours bien d'avoir je dis pas qu'il faut pas de stock mais c'est mais de de focaliser sur le stock est illusoire en réalité. Et donc la question qui se pose, c'est celle de l'agilité euh parce que la prochaine crise, ça peut être je dis n'importe quoi, mais Ébola et il nous faudra des gants. Il nous faudra pas des masques et je sais pas si on sait produire des gants parce que tous les gants, ils sont fabriqués en Thaïlande.

Voilà, comme les masques sont fabriqués à à Wan, les gants sont fabriqués en Thaïlande. Et puis si ça se trouve, on aura besoin, je dis n'importe quoi, si on a un virus de type variole, de vaccin contre la variole. Et donc en fait la la seule question qui se pose c'est face à tous les possibles et et donc ce cône des possible, il est immense.

Euh quelles sont les possibilités derrière d'activer des euh des réarmements et des flux et des productions ? Et c'est ça c'est très difficile parce que d'abord faut identifier le champ des possibles et il est sans fin en fait. Euh et euh ensuite, il faut être certain que on a la capacité de produire.

Alors, est-ce que la commande publique euh est un est un levier ? Ça, je suis en train de faire euh dans ma tête un un parallèle avec ce que ce qu'on a envisagé pour le pandemic fund. Vous savez, ce fond pandémie qui a été créé au sein de la Banque mondiale après le Covid.

L'idée était que en cas de nouvelles crises sanitaire, de nouvelles pandémies, tous les pays euh s'engage à l'avance sur x milliards qui mettraient à la Banque mondiale de façon à pouvoir abonder la recherche pour avoir un vaccin si c'est un virus, abonder je ne sais pas quoi pour produire des masques ou voilà. Et donc c'est une forme d'engagement préalable, c'est ça ne bloque pas d'argent public. Euh ça n'oblige pas à payer à l'avance mais c'est une forme d'engagement sur X milliards en cas de crise.

Je pense que c'est ce type de stratégie qu'il faut avoir plutôt que d'aller commander des masques, des gants et des je sais pas quoi et des vaccins et des pipettes et des antibiotiques et des parce qu'on ne sait pas du tout de quoi on aura besoin lors de la prochaine crise. Merci monsieur Fabien Jeunet. Merci monsieur le président.

Merci madame la ministre pour vos éléments. Moi je voudrais revenir un peu sur le le choix de Microsoft pour héberger le système d'information de des informations de santé parce que j'ai bien entendu ce que vous nous avez dit et on comprend qu'avec le temps, le fait que vous ne soyez plus en responsabilité, vous avez parfois du mal à à étayer les les éléments. C'est c'est tout à fait naturel.

Mais tout de même vous avez dit euh il faudrait être fou pour un politique aujourd'hui de faire confiance à une solution américaine d'hébergement. Euh alors je ne sais pas sans nous lancer dans des grands débats géopolitiques à quoi vous faites référence parce que si vous faites référence à l'identité du locataire de la Maison Blanche actuellement, il me semble qu'au moment où vous étiez ministre à partir de 2017 lui aussi était locataire de la Maison Blanche et que quelque part si tout le monde se met d'accord pour dire que Trom 2 est peut-être un peu au-delà de ce qu'il était la première fois, il y a un certain nombre d'éléments sur son rapport rapport au monde et cetera et cetera qui était déjà présent en 2017. Donc sur l'appréciation de cette folie que pourrait constituer le fait de faire confiance à une entreprise américaine.

Est-ce que vous pourriez nous expliquer comment à l'époque vous avez apprécié ce risque euh comment la dimension géopolitique a été intégrée dans votre appréciation de ce risque puisque vous ne dites aujourd'hui que il faudrait être fou pour encore faire confiance aux entreprises américaines. Et deuxièmement, si je suis bien votre raisonnement, si la souveraineté constitue aujourd'hui un tel risque et donc pouvait dès lors le constituer également à l'époque, vous nous dites que les notes étaient toutes convergentes de vos services disant qu'il n'y avait pas d'autres solutions. Vous avez donc été contrainte d'accéder à cette proposition qui vous était faite.

Est-ce que vous pourriez nous préciser à ce moment-là quelles actions vous avez pu initier au sein de votre ministère ou en interministériel auprès d'autres membres du gouvernement de l'époque pour pouvoir développer une solution souveraine qui pourrait alors prendre la suite de cette solution américaine que vous aviez été d'après vous dire contrainte de choisir. Madame la ministre. Merci beaucoup.

Alors quand je dis il faudrait être fou pour faire confiance, c'est en terme d'image. Je veux dire qu'aujourd'hui aucun politique c'était pour répondre à monsieur le président qui considérait qu'il y avait pas de volonté politique. Je pense que en terme d'image personne n'a envie aujourd'hui avec effectivement le deuxème mandat du président Trump de de d'avoir une confiance aveugle dans les voilà dans dans l'État américain aujourd'hui avec un une éventualité de renversement d'alliance.

J'irai peut-être pas jusque là mais en tous les cas d'instabilité. Donc c'était en terme d'image que je l'ai dit et évidemment le premier mandat du président Trump n'était pas aussi angoissant que le deuxème. Pour autant, on a cherché et vraiment je peux vous dire queavant qu'on accepte cette solution, on a renvoyé des notes 10 fois en demandant qu'on nous assure qu'il n'y avait pas d'autres solution parce que ne serait-ce que pour une question de principe, ça n'est même plus pas une question de danger mais une question de principe.

Si on a moyen moyen de garder des données sur le territoire français ou européen, on le préfère à des données sur des serveurs qui sont hébergés en Europe, hein. Je crois que les serveurs sont en Europe mais sur un système européen. Après moi je suis quand même prudente parce que on on a des enfin on a des démarches paradoxales.

On est absolument tous convaincus qu'il faut faire extrêmement attention aux données de santé. Quand je vois le nombre de Français qui ont des montres connectées dont toutes les données vont aux Philippines sans aucune garantie, elles sont même pas anonymes, hein. Euh donc et qui sont revendus à je ne sais pas qui, à quelles assurances et cetera.

Donc tous les Français avec des mondes connectés Apple aujourd'hui les données partent directement sur des hébergeurs. Ailleurs, ça ne gêne personne. Je parle aussi des tests génétiques qui sont interdits par la loi.

Combien de Français vont faire des tests génétiques ? Et Dieu sait que dans la loi bioéthique, on les a bloqué pour voir s'ils ont euh 4 % d'hommes de néandertal ou s'ils ont des cousins lointain en Australie. Ces tests génétiques ne sont soumis à aucun contrôle.

Ils sont chez des effectivement euh des industriels privés qui les revendent. Je veux dire euh moi j'aimerais bien aussi qu'on alerte tout le monde. Il y a pas que les données de santé de du ELF Data Hub en réalité tout le monde fait n'importe quoi avec ses propres données sans se préoccuper en fait de la question de souveraineté et de sécurité.

Donc voilà, je pense qu'il faut aussi rappeler que que en dehors du Data Hub, nous donnons touses nos données à un nombre de gens invraisemblables quand on paye par carte et cetera. Voilà, donc peut-être que il faut s'interroger plus généralement sur ce qu'on laisse public ou pas. Ensuite, donc par rapport à votre première question, quand je dis il faudrait être fou, c'est en terme d'image.

Aujourd'hui, je pense que aucun gouvernement n'a envie d'affirmer qu'il est heureux. de s'abandonner à des systèmes informatiques américains et tout le monde ne parle que d'une chose, c'est d'un cloud européen. Et donc quand vous me dites quelle solution nous avons mis en œuvre pour développer alors je suis honnête, moi monsieur le sénateur, ministre de la santé en 2017, on m'a dit qu'il y avait pas de cloud européen.

Je ne me suis pas mise en j'ai pas mis en œuvre une politique de cloud européen. À l'époque, il y avait un ministre en charge du numérique et j'espère que leur seule obsession était de créer un cloud européen, mais ça n'a pas été dans mes fonctions et je ne m'en suis pas mêlée. Je vous en prie.

Votre dernière assertion me laisse un peu pantoi parce que on pourrait considérer que lorsqu'en sectoriel les ministres ont des sujets de de souveraineté, ce serait pas choquant qu'ils puissent voir en interne ministériel si on peut trouver ensemble une solution pour faire avancer les choses. Et dans votre témoignage, en fait, ce que je comprends pas, c'est au moment où vous avez pris la décision, est-ce que vous considériez qu'il y avait un vrai risque ou s'il n'y a pas de risque parce que vous nous avez dit aussi en parallèle que vous aviez vérifié que enfin vos services vous avaient dit qu'il y avait des clés de cryptage et que toutes les impératifs de sécurité étaient respectés. Donc peut-être que là vous faites un mauvais procès à Microsoft et finalement encore aujourd'hui il n'y a aucun problème de sécurité.

Donc en fait, vous n'avez pas de vision claire pour savoir est-ce qu'il y a un problème de sécurité ou est-ce qu'il y a pas de problème de sécurité. Et le la deuxième chose qui me fait un peu réagir, c'est votre argument sur c'est un problème d'image. Mais alors, madame la ministre, euh comment considérez-vous le fait que les différents ministres de la santé français ont laissé partir au fur et à mesure la production de médicaments en Chine ou ailleurs ?

Est-ce que vous ne pensez pas que là, il y a à la fois un problème de sécurité et de souveraineté et un problème d'image ? Alors madame ministre, pardon. Merci monsieur le président, pardonnez-moi monsieur monsieur le sénateur.

Pour revenir à à la question de souveraineté, vous avez raison, j'ai beaucoup de sujets de souveraineté, enfin j'avais pardonnez-moi, beaucoup de sujets de souveraineté au ministère de la santé. pas un cloud européen, mais pour moi d'avoir des IA formés sur des données françaises avec des algorithmes français, c'est un enjeu de souveraineté majeur. Et c'est pour ça qu'on a créé le web dataub, c'est pour ne pas dépendre d'algorithmes américains ou chinois.

J'ai vu qu'il y a aujourd'hui des algorithmes chinois qui sont vendus à des médecins français qui sont entraînés sur des données chinoises ou je ne sais pas d'où d'ailleurs. Et donc la question de la souveraineté, elle se pose dans mon champ ministériel, c'est-à-dire celui des des des outils destinés à la santé. Bien sûr, on a des enjeux de souveraineté numériques, mais c'est pas le cloud, c'est pardonnez-moi de pas avoir précisé.

Ensuite, vous m'avez posé la question. Euh, j'ai oublié, pardon, pourtant je l'ai noté. Euh la deuxième question, vous m'avez posé.

Est-ce qu'au final il y a un problème Ah, d'imag ? Ouais, ouais, oui. Alors, je vais être honnête, euh à l'époque, ce que j'ai ressenti, c'était plus un problème d'image que d'un problème de sécurité. tel que ça m'a été présenté, tellement on m'a montré des différents degrés de sécurité, les échanges avec l'ANC, les échanges avec je sais pas quelle direction et cetera, le fait que c'était crypté, le fait que c'était anonyme et cetera.

Donc à l'époque, j'étais plus gênée du problème d'image de ne pas être capable d'avoir un serveur français en un hébergeur français m'a gêné mais j'étais plutôt rassurée sur le risque réel. Voilà. C'était je crois avant le cloud d'acte he parce que le cloud d'acte est plus récent il me semble euh il me semble qu'il date de je sais pas 2023.

Donc on avait pas le cloud d'acte il me semble à l'époque hein. Euh je crois que je l'ai noté. Donc en fait la question du claod ne se posait pas.

Ah non 2018 pardon. Je dis n'importe quoi. 2018.

Non, excusez-moi, je je dis une bêtise. Mais en tous les cas, j'ai pas en tous les cas, j'ai pas le souvenir euh que ça a été un que les enjeux que j'avais peur pour la sécurité. J'avais vraiment j'étais gênée en terme d'image de ne pas pouvoir recourir à un autre hébergeur, un hébergeur européen.

Voilà, c'était et et j'avais raison quand je vois ce qui s'est passé depuis. Voilà. Oui, madame ministre, on peut penser également si madame Main de C était là au fct qui date de 1978.

Moi, je je souhaitais réagir quand même sur quelques éléments relatifs à la sécurité. Tout d'abord, ce qui nous a été rapporté par plusieurs personnes, plusieurs experts que nous avons auditionné, c'est que le cryptage euh en réalité n'offrait pas de garantie suffisante, loin de là, quel que soit le le mode de cryptage, à partir du moment où il y avait ces législations extraterritoriales, au passage, alors on en a pas obtenu confirmation ce matin, mais il nous a bien été rapporté qu'à priori, pour donner un exemple, hein, ce qui concerne pas directement la plateforme des données de santé, Mais Microsoft aurait fourni la clé de cryptage d'Autlook à la NSA. Euh autre élément euh sur euh la sécurité parce que là je je me cite la clarification des points à l'issue de l'audition fournie par madame Stéphanie Combe.

Elle explique parce que c'était l'un des arguments, celui de la sécurité. Une solution dite souveraine peut présenter des failles de sécurité comme en témoignent les incidents réguliers de suite de données dans certains établissements de santé qui s'appuyent sur des solutions française. Là aussi, il faut quand même être très clair et ça nous a été rappelé par l'un des experts de la gendarmerie dans le dans le domaine, c'est que aujourd'hui les solutions technologiques liées aux environnements Microsoft sont en nombre et de loin les plus attaquées et celles qui présentent le plus de faiblesse.

Donc évidemment Microsoft va présenter des des preuves des preuves inverses et va essayer de de donner carte carte blanche à ses experts pour démontrer qu'il qu'il n'en est rien. Mais de la veu de beaucoup, la fragilité, la vulnérabilité des systèmes Microsoft est bien établi. Et euh moi le point qui m'a aussi fait réagir dans la réponse à monsieur Fabien Jeunet, c'est quand vous évoquez les comportements privés et on peut partager avec vous des inquiétudes sur le sujet, ça renvoie à la sensibilisation, à la formation de nos concitoyennes et nos concitoyens.

Mais là, il est bien établi que dans le cadre de cette commission d'enquête, nous devons les uns et les autres faire toute la lumière sur les actions des pouvoirs publics. C'est bien de cela dont il est question et que des défaillances, des erreurs personnelles ne sont pas dans le le périmètre de notre commission d'enquête, mais qu'à contrario, les pouvoirs publics, état, collectivité, établissement public de quelque nature qu'il soit puisse nous expliquer les décisions qu'ils ont prises ou non pas prises et au nom de quels intérêts ou principes supérieurs. Donc c'était important de le rappeler parce que d'une certaine manière j'ai ressenti dans votre argumentation le fait que bah grosso modo à partir du moment où plein de nos concitoyens utilisaient des montres connectées, cette question de la souveraineté et du recours aux solutions américaines finalement ne méritait même pas d'être posé et vous êtes pas la seule à avoir ouvert ce ce champ qui nous nous interpelle parce que tout l'enjeu et c'était déjà le cas je pense en 2017 c'est de savoir comment est-ce qu'on accompagne en particulier avec la commande publique, la structuration de filières françaises européennes, ce que font les États-Unis depuis des années.

Depuis des années et j'ai cru voir hein parce que en 2017 c'était quand même l'élection d'un président dont vous étiez très proche qui avait tenu des propos quand même extrêmement volontaristes en la matière. Lui-même était à l'initiative de la démarche autour de l'intelligence artificielle que vous avez rappelé qui a donné naissance à la plateforme des données de santé. Donc à un moment donné, est-ce que les actes sont en cohérence avec les discours ?

C'était bien ça aussi. l'un des objectifs, monsieur le rapporteur, de cette commission d'enquête. Donc, madame la ministre, je vous laisse réagir.

Du côté des collègues, pas d'autres questions. Donc, je je vous laisse je vous laisse la parole madame les ministres et nous conclurons. Merci monsieur le président.

Alors effectivement, je me suis vraiment très très mal d'exprimé. C'était en c'était vraiment pas quand j'ai évoqué ces données individuelles que tout le monde laisse partir ailleurs, ça n'était vraiment pas pour justifier de pas se préoccuper. C'est au contraire et quand j'ai insisté sur la loi de bioéthique et les données de génétique, c'est pour vous dire à quel point en fait ça me heurte et ça m'attriste.

Ça a été une bataille d'interdire les testogénétiques et et tout le monde continue de les faire et au Parlement tout le monde voulait les libéraliser parce que ça amuse tout le monde. Et donc c'est pour vous dire qu'au contraire je suis extrêmement sensible à la souveraineté des données et enfin la souveraineté en tout cas la sécurité des données des Français et que je me suis bâtie pour ça. Donc je me suis excusez-moi d'avoir pas été suffisamment clair, ça n'est pas une justification loin de là.

Euh mais je pense que on laisse partir trop de choses et euh considérant que je me suis battue pour les données individuelles, je me suis d'autant plus intéressé aux données collectives en tant que effectivement responsable politique. Donc je ne peux pas vous dire autre chose que j'étais inquiète depuis le début du fait qu'on ne me proposait pas d'autres solutions. J'ai renvoyé 10 fois le travail sur l'établi pour qu'on m'assure qu'il y avait pas d'autres solutions.

Et quand au bout de je sais pas combien de temps ça a pris, sincèrement, je ne me souviens pas si ça a pris 2 mois ou 6 mois, je peux pas vous le dire. Je ne sais pas combien on a fait de réunion à ce sujet parce que c'était il y a 7 ou h il y a 6 ou 7 ans, je ne m'en souviens plus. Mais en tous les cas, j'étais particulièrement attentive et à la fin on m'a affirmé qu'il n'y avait aucune autre solution possible. euh en terme de sécurité, de capacité et cetera.

Et donc, j'ai pris mes responsabilités en actant que c'était Microsoft et en étant extrêmement mal à l'aise parce que je savais quelque part que ça allait donner en fait du grain à moudre et euh des à à des gens qui vont dire "Vous avez eu je sais pas quoi des pressions, il y a ceux qui vont vous dire "Vous avez été payés, il y a ceux qui vont vous dire euh Cap Géini" et vous l'évoquez. Et je ne sais pas si c'est euh enfin je je ne peux pas vous affirmer à 100 % que personne à aucun moment dans aucune aucun niveau de l'administration ne peut être influencé par qui que ce soit. Mais ce que je peux vous dire, c'est que j'ai pris mes précautions, que il y avait une direction d'administration centrale qui était sur le sujet, il y avait plusieurs personnes, il y avait eu des concertations et que moi on m'a affirmé qu'il y avait pas d'autres solutions.

Donc entre ne rien faire et faire, j'ai choisi de faire et je me doutais que ça allait être un problème. Voilà. Et donc j'ai tout fait pour que ce soit basculable à tout moment lorsqu'une autre solution verrait le jour.

Je ne peux pas vous dire plus, monsieur le le le président. Après, vous m'avez vous avez évoqué que Microsoft fait l'objet de beaucoup de de d'âmeonnage pour les hôpitaux. C'est possible.

Je n'ai aucune idée de de la fragilité ou pas de Microsoft. Donc je peux pas prendre la parole sur ce sujet. Nous vous remercions madame la ministre.

Nous vous prions évidemment de bien vouloir nous communiquer les documents, en particulier la note, je crois, qui avait été rédigée par votre cabinet à l'époque et tous les éléments complémentaires de nature à à éclairer ou en tout cas à compléter les propos parce qu'encore une fois, nous comprenons que plus de 5 ans après avoir quitté le ministère, euh vous n'ayiez pas tout en tête, mais en particulier euh par rapport aux questions de monsieur le rapporteur et et des collègues qui nécessiteraient des précisions. si vous pouviez nous les apporter dans les meilleurs délais d'ici idéalement la fin de cette semaine, nous vous en sors gré. Encore une fois, merci pour vos réponses.