Commande publique : audition du Health Data Hub

À toutes et tous chers collègues, nous reprenons nos travaux aujourd'hui en approfondissant notre étude de la politique des achats numériques des personnes publiques que nous avons engagé à l'initiative de notre rapporteur et qui nous mène au croisement des problématiques de commande publique et de souveraineté numérique. Nous constatons au fil de nos auditions une grande ambivalence de la part de nos interlocuteurs qui malgré une doctrine de l'État en la matière très claire, s'agissant notamment de l'hébergement souverain des données, persiste à s'en éloigner de peur de modifier des usages anciens ou au prétexte de l'absence de solutions équivalentes à celles proposées par des acteurs étrangers soumis à des législations extraterritoriales. Le cas du Els Data Hub, plateforme des données de santé, est à ce titre emblématique.

Ce groupement d'intérêt public a été institué par la loi du 24 juillet 2019 pour, je cite, mettre à disposition les données du système national de santé et promouvoir l'innovation dans l'utilisation de celle-ci en constituant un guichet unique pour y accéder. Depuis sa création, un choix à la fois technique et politique réalisé à l'époque fait l'objet de critiques récurrentes, celui d'héberger sa plateforme sur Microsoft Azure et non une solution souveraine. Depuis cette date, malgré de nombreuses promesses, aucune migration n'a été engagée.

Nous avons eu l'occasion d'interroger d'autres acteurs au cours des semaines passées qui ont bien évoqué le plan de réversibilité mais qui nous ont confirmé qu'en effet cette migration n'était pas opérationnelle pour l'instant. Pour échanger avec nous sur ce sujet, nous recevons donc madame Stéphanie Combe, directrice du HDH. Je vous informe que cette audition sur décision de notre commission sera diffusée en direct sur le site du Sénat et fera l'objet d'un compte-rendu publié.

Je rappelle également qu'un faux témoignage devant notre commission d'enquête sera passible des peines prévues aux articles 434-13, 434-14 et 434-15 du code pénal, soit 75000 € d'amende et jusqu'à 5 ans d'emprisonnement, voire 7 ans en fonction des circonstances. Je vous invite donc à prêter serment de dire toute la vérité, rien que la vérité. Veuillez s'il vous plaît appuyer sur le bouton de votre micro, lever la main droite et dire "Je le jure." Je le jure.

Je vous remercie. Je vous laisserai dans un premier temps présenter brièvement la jeunèse le rôle et l'organisation du HDH, sachant que sa création a été quelque peu perturbée par la crise sanitaire et que sa montée en puissance l'est tout autant par cette question de sécurité des données. Ainsi, le rapport marchandier sur les données de santé de 2023 indique que le choix d'Azure, je cite, auère la capacité du HDH à assurer sa mission fondamentale de mise à disposition des données de la base principale du système national des données de santé.

Ce constat est-il selon vous toujours d'actualité ? Nous avons cru comprendre que l'outil juridique sur lequel repose l'hébergement du HDH auprès de Microsoft Azure est une commande réalisée auprès de l'Union des groupements d'achat public, l'UGAP. Il nous serait donc utile que vous puissiez nous expliquer quel est le sourçage ou l'étude préalable qui a été conduite à l'époque avant de retenir cette solution selon une procédure certes conforme au droits de la commande publique mais moins transparente qu'un appel d'offre.

De nombreux acteurs de premier plan indiquent ne pas avoir été sollicités. Depuis cette date, le paysage technologique a évolué tout comme les solutions sur le marché. Qu'en est-il de la situation actuelle ?

Vous pourrez nous indiquer si selon vous Microsoft avait 6 ans d'avance sur les solutions européennes et si le différentiel capacitaire et fonctionnel est tel qu'il ne peut toujours pas être comblé. L'article 31 de la loi Senine du 21 mai 2024 prévoit que tout hébergement de données d'une sensibilité particulière dont font évidemment partie les données de santé doit être préservé des législations extraterritoriales permettant notamment à l'administration américaine d'accéder aux données qu'il stockent sans en informer la personne concernée. Vous pourrez nous indiquer quel est l'état de vos réflexions pour que le HDH se mette en conformité avec cette obligation législative.

Cela renvoie sans doute à l'annonce du lancement d'un appel d'offre fait par la ministre Clara Chapaz à l'Assemblée nationale le 8 avril dernier pour faire migrer le HDH sur un hébergeur sécurisé. Êtes-vous en mesure de nous dire davantage de choses sur ce sujet, de nous informer plus précisément. Nous serions notamment intéressés par les conditions d'exigence de la qualification Secnum Cloud dans ce cadre.

Je vous laisse maintenant la parole pour un propoliminaire de 10 à 15 minutes. Et je vous rappelle que si vous estimez que des éléments qui vous sont demandé sont couverts par le secret des affaires, vous pouvez refuser de les fournir dans le cadre de la présente audition publique. Vous devrez toutefois nous les communiquer par écrit dans les meilleurs délais.

Ensuite, monsieur le rapporteur vous interrogera tout comme nos collègues membres de la commission d'enquête que je remercie pour leur présence fidèle depuis le début de nos travaux. La parole est à vous. Très bien, merci beaucoup.

Bonjour à tous et à toutes et merci de me donner l'occasion de présenter les actions du STEB. Dans le cadre de vos travaux, vous avez cité un très grand nombre d'aspects. Donc je sais pas si je vais pouvoir tout couvrir là en 10 minutes, mais vous allez m'interroger, je je présume pour clarifier mes propos.

Euh peut-être juste à titre introductif, donc vous l'avez rappelé, le hub est un une structure publique assez récente. Elle a été créée il y a un petit peu plus de 5 ans maintenant par la loi et elle résulte d'une volonté commune de à la fois contribuer euh à faire de la France un un compétiteur en matière de recherche en santé. aussi faciliter l'accès à des données de santé qu'on juge très intéressantes en France, riche mais parfois aussi difficile d'accès et difficile à exploiter et enfin attirer le meilleure partie de l'innovation numérique et en particulier de l'intelligence artificielle.

Donc dans ce contexte, on a créé du coup cette institution et une série de services tout en agissant de manière très rigoureuse dans le respect du code des marchés publics et et également ce qu'on souhaitait c'est avoir des résultats concrets, utiles et impactants rapidement. Euh notre priorité depuis la création du web a été de fournir un un service à l'état de l'art pour les chercheurs. Euh donc à la fois en fournissant une offre technologique avancée, mais aussi avec un très haut niveau d'exigence en matière de sécurité égard aux données dont on est en train de parler hein, données de santé certes pseudonymisées mais des données de santé.

Euh les choix technologiques qui ont été faits ont toujours été réversibles dès le démarrage et ça je pourrais y revenir. On a tout au long de ces dernières années établi des états des lieux du marché, mis à jour ces analyses, on les a documenté, partagé et on a contribué aux travaux de la DINUM et je pourrais également y revenir sur leur politique de soutien aux acteurs du cloud français pour qu'ils développent les services manquants par rapport aux hyperscalers américains que vous avez évoqué. Euh l'ambition est évidemment de migrer vers une solution souveraine, mais on souhaite collectivement que cette solution souveraine, elle soit au moins aussi sécurisé que la solution actuelle eu égard aux enjeux de protection des données de santé dont on se parle là.

Si je reviens très rapidement sur la genèse, elle fait suite au rapport du la création du Zup fait suite à la publication du rapport de Cédric Villani sur l'intelligence artificielle, vous en souvenez peut-être, qui préconisait pour développer l'intelligence artificielle de mettre en place des grandes plateformes de partage de données dans des secteurs stratégiques, notamment la santé. Donc c'est dans ce contexte-là que la décision a été prise euh de créer la structure euh une des actions de la stratégie présidentielle pour l'intelligence artificielle euh lancée en 2018. Euh sur nos missions, pour les résumer rapidement parce qu'elles sont assez nombreuses dans la loi.

Une mission évidemment naturelle de faciliter l'accès aux données de santé qui prend des formes variées puisque on parle beaucoup de la plateforme technologique mais on accompagne également les porteurs de projet sur toutes leurs démarches réglementaires. Donc on a toute une action administrative. On on gère le secrétariat du guichet unique du C13 qui est le comité éthique et scientifique national et on produit beaucoup de documentations de formation avec nos partenaires comme l'ACNIL et LAACNAM pour accompagner les porteurs de projet parce que c'est parfois un petit peu vécu comme un parcours d'obstacle que d'accéder aux données de santé pour la recherche en France.

Une deuxième mission est de constituer un catalogue de données d'intérêt. Donc le catalogue du SNDS donc avec des bases diverses et diverses et varié mais qui ont un intérêt stratégique pour la recherche. C'est avec le comité stratégique des données de santé qui est créée par la loi qu'on identifie ses bases.

Le but, c'est de pouvoir les répliquer dans la plateforme technologique et les enrichir avec les données de la base principale de l'assurance maladie pour les rendre plus intéressantes pour la recherche et de travailler sur les conditions de partage de ces données, que ce soit des conditions contractuelles, valorisation scientifique des acteurs qui sont à l'origine de ces bases de données, valorisation économique de leurs efforts et cetera et cetera. Tous ces travaux-là sont menés depuis la création du comité stratégique des données de santé dont le démarrage a été un peu ralenti par la crise sanitaire. Donc il était prévu par la loi mais il a été mis en œuvre en 2021.

Mais ces travaux sont très nourris et vous pouvez les trouver sur notre site internet. Le comité, il est présidé par le ministre chargé de la santé mais c'est nous qui en assurons le secrétariat et vous avez énormément de livrables qui ont été produits à ce jour. Euh le catalogue du SNDS contient plus d'une vingtaine de bases également.

Euh donc euh ces missions sont euh aujourd'hui en train de se mettre en œuvre progressivement, mais il fallait bien établir les conditions du partage avant que ces données puissent être partagées à tous. 3è mission autour de l'offre technologique. Donc ça vous l'avez bien en tête, fournir aux porteurs de projet des capacités à gérer les données de manière sécurisée mais aussi avec une offre technologique importante.

Il y avait déjà des projets de recherche sur les données de santé avant la création du LZUB. Donc on n' pas attendu leup pour mettre en œuvre des projets. Par contre des projets qui étaient intensifs en technologie, eux ne pouvaient pas se faire.

Donc c'est ça l'ambition. C'était ça l'ambition du SZB et a priori c'est encore celle-ci aujourd'hui dans un monde qui est extrêmement dynamique sur la progression des technologies. On le voit avec les sorts de l'IA générative par exemple.

Dernier axe d'activité, un axe plutôt autour de l'animation de l'écosystème. On est en contact avec un très grand nombre d'acteurs qui ont qui contribuent à la production et à l'utilisation des données de santé en France. Et donc du coup, on a la capacité de jouer le rôle de relais y compris dans des réflexions qui se tiennent au niveau européen.

Et donc on a participé par exemple à mettre en place un prototype de l'espace européen des données de santé qui vise à favoriser le partage mais à l'échelle européenne cette fois-ci. Au niveau français, on a aussi la capacité de fédérer des acteurs pour monter des consortiums ambitieux. On l'a fait assez récemment avec un projet qui s'appelle partage où on a réuni une trentaine d'acteurs, une vingtaine d'établissements de santé, une dizaine d'acteurs académique et quelques acteurs industriels comme Mistral autour d'un projet DIIA générative en santé.

Euh et pour finir sur nos missions, mais pas des moindres pour autant, nous nous avons un lien très éto avec les associations de patients euh et nous travaillons avec la direction citoyenne qui a été créée à cet effet au sein du SDub sur l'aspect implication de la société civile par le biais de consultation, formation, information. Euh pour vous résumer l'organisation, donc c'est un groupement d'intérêt public qui réunit 56 parties prenantes tout de même. Donc ce vœu relativement représentatif de l'écosystème des données de santé qui sont réunis en neuf collèges et ensuite on a des instances traditionnelles dans un enfin dans une structure conseil d'administration assemblée générale enfin vous me direz les les aspects qui vous intéressent à développer.

Euh vous souhaitez revenir sur le choix initial de Microsoft. Donc là-dessus, je je ne sais pas si vous avez eu l'occasion d'entendre l'adresse, mais je tiens à préciser que du coup ce choix a été fait non pas par le SZ lui-même qui n'existait pas, mais à l'adresse à l'époque. Euh donc c'est euh c'est l'adresse qui qui était pardon, excusez-moi.

Oui. La direction de la recherche, des études et des évaluations en santé. Direction du ministère.

Tout à fait. Vous avez parfaitement raison, on s'y habitué au fil du temps. Mais euh donc cette direction du ministère de la santé qui avait été chargée par la ministre de piloter la phase de préfiguration du SZ.

Euh donc moi à l'époque je travaillais dans cette direction et j'étais chargé du coup du pilotage de ces travaux et le choix de Microsoft lui-même a fait l'objet d'un arbitrage politique et c'est la ministre qui a pris la décision à cette époque. Agnè Busin. Ag Busin.

Tout à fait. Euh donc est-ce que vous avez la date précise de de ce choix ? Alors, la date précise peut-être pas, mais euh au niveau du mois, ça doit être mars ou avril 2019.

Euh et donc concrètement euh on avait une équipe projet au sein du ministère qui a impliqué à la fois des membres de la DSI du ministère, enfin un membre de la DSI du ministère, un expert en cybersécurité et euh euh on travaillait aussi avec les autres services compétents sur nos sujets comme le service des achats de l'adresse. Ce que nous avons fait assez rapidement, c'est monter un comité technique avec les acteurs compétents, donc des représentants de chercheurs, de start-up, l'assurance maladie, euh des représentants d'établissement de santé pour établir les fonctionnalités cibles qui ont par la suite été publié sur le site de l'adresse également, donc de la direction dans laquelle je travaillais. Notre objectif était donc bien de de mettre en œuvre des environnements de travail pour les chercheurs élastiques qui pouvaient s'adapter à des cas d'usage très différent parce que par exemple vous avez des projets utilisant des données de santé qui vont utiliser des images médicales qui représentent des très gros volumes et puis vous allez avoir d'autres projets qui vont travailler sur des données de registre ou des données médico-administratives qui vont avoir des formats très différents et donc il faut pouvoir s'adapter à la fois en capacité de stockage de calcul mais aussi en terme de logiciel mis à disposition.

Donc ça c'est un défi technique associé aux exigences de sécurité. Ça devient un problème compliqué. Euh donc on a rencontré entre euh 2e moitié de 2018 et début 2019 une dizaine d'acteurs académiques et industriels euh pour recueillir leur capacité fonctionnelle et leur capacité à répondre aux exigences de sécurité qui étaient les nôtres, à savoir le référentiel de sécurité du SNDS qui est publié par arrêté, hein, vous pouvez consulter son contenu.

Euh mais également la certification HDS qui n'est pas normalement obligatoire dans notre contexte puisqu'on est dans un contexte de recherche et que la certification HDS normalement est prévue pour l'usage primaire des données, donc plutôt le soin, mais qui a été jugé indispensable au regard du bah du niveau de sécurité qu'on attendait pour ces données. Parallèlement à ça, les vecteurs contractuels disponibles au niveau du ministère ont été regardés puisque la la ministre avait demandé à ce que on ait des résultats rapides sur la mise en œuvre de ces chantiers avec une solution opérationnelle mi-29, ce qui était particulièrement ambitieux. Euh et donc conclusion euh des déclarations de ces différents acteurs qui ont été rencontrés euh est apparu que seul Microsoft répondait au prérequis qui étaient les nôtres et euh cette analyse comparative a été transmise au cabinet de la ministre à cette époque-là pour arbitrage.

Et donc la solution qui a été retenue, bah vous la connaissez. Euh le projet est parti sur Microsoft, ce qui a été jugé euh pragmatique et en même temps réversible dès le démarrage, à la fois par euh la logique technique qu'on avait retenue pour les développements, mais aussi contractuellement et ça permettait de réévaluer ce choix au fur et à mesure de la montée en en compétence du marché cloud français. Je me permets simplement une petite incise.

On vous demande pas la la communication là tout de suite, mais à l'issue de de l'audition de bien pouvoir nous informer de la liste précise des sociétés, des différents acteurs que vous avez pu solliciter, rencontrer entre, je reprends vos termes, entre le 2e semestre 2018 et le début de l'année 2019. Très bien. Euh donc voilà peut-être ce que je peux vous dire pour la partie choix initial.

Peut-être donc vous dire aussi sur le volet réversibilité. Qu'est-ce que ça veut dire ? Donc d'un point de vue technique, ce que ce qu'on entend par réversible, c'est que les développements informatiques qui ont été faits ont été faits en ce qu'on appelle infrastructure as code, c'est-à-dire un langage de programmation qui permet ensuite de déplacer le code sur un autre environnement.

Alors, c'est plus compliqué que ce que je vous décris bien évidemment, mais ça se veut le le plus simple possible. C'est-à-dire que c'est pas personnalisé à l'offreur d'hébergement qu'on a choisi et ça dès le démarrage ça a été voulu comme ça. Par ailleurs, vous le savez, enfin si vous avez discuté avec la dum cet aspect, vous savez que notre projet a fait l'objet d'un avis de la d'un audit article 3 et d'un avis de la dum le directeur de la dinume de l'époque évoque bien dans son avis le fait que l'analyse de ces équipes lui confirme qu'à priori la réversibilité sera opérationnable, enfin pourra être opéré.

Euh d'un point de vue contractuel, rien dans nos contrats avec Microsoft nous oblige à rester avec lui sur une certaine durée. On peut arrêter demain si on le dessine. Euh il y a pas de pénalité, il y a pas de consommation minimum.

Ça c'est des aspects aussi qui ont été pris en compte dès le démarrage. Euh et sur les études de réversibilité, peut-être pour vous dire un petit mot de ça. Donc la première étude de réversibilité, donc ce que j'appelle étude de réversibilité, c'est études de marché en gros.

Donc l'idée était de voir si on était parti d'un premier constat où où les entreprises qu'on avait rencontré n'étaient pas capables de fournir les attendus fonctionnelles et de sécurité. Sauf que ça ça peut changer dans le temps. Fortusement.

Donc assez rapidement, je crois que c'était fin 2019, on a fait la première étude de de réversibilité. On l'a mise à jour en en en 2020 pardon, je sais plus exactement à quelle date, mais on avait travaillé avec la DINUM sur cette mise à jour. Euh ce qu'on a cherché à faire avec la DINUM en 2020 euh c'est de se dire euh dans la liste des services de sécurité notamment qu'on utilise chez Microsoft, quels sont ceux qui sont vraiment indispensables pour ne pas faire de la surqualité si je puis dire en terme de sécurité.

Et donc on a identifié enfin avec leur expertise 14 services dit essentiels. Et donc les études comparatives, elles ont été faites sur ces services essentiels. C'est-à-dire qu'on était déjà prêt à renoncer à des services dit secondaires qui sont pourtant intéressants pour ce qu'on cherche à faire.

Euh donc ces deux études 2019 et 2020, elles ont conclu que le marché était pas mature. Euh ensuite en entre 2021 et 2022, on a pris un prestataire qui s'appelle B to Cloud pour mener une une étude, la mise à jour de cette étude de manière plus ambitieuse. Euh un acteur spécialisé dans le cloud et qui pouvait interroger plus largement, y compris à l'échelle européenne, puisque nous, on avait plutôt rencontré que des acteurs français à ce stade-là. euh et avec une méthodologie beaucoup plus fouillée.

Enfin, ils sont allés vérifier les informations euh des fournisseurs, ils ont posé un grand nombre de questions, ils ont eu des échanges dans lesquels nous n'étions pas. Donc l'idée c'était aussi de rendre ce cet exercice le plus indépendant possible. Euh la conclusion de cette de cette étude était que le marché n'était pas encore mature et en fin 2023, la DNS a fait une étude également dans le contexte de euh la demande d'autorisation qu'on a formulé sur le projet EMC2 sur lequel je pourrais revenir si vous le souhaitez et la DINUM a fait sa propre étude courante 2024.

Toutes ces études ont confirmé que pour le moment euh les acteurs euh avaient des difficultés à attendre atteindre le niveau requis surtout en matière de service de sécurité. Ceci dit, là en 2025, à partir des des rencontres qu'on mène régulièrement avec les acteurs industriels, on voit bien qu'il y a une progression qui est plus soutenue probablement que les années précédentes et qu'on a un certain nombre d'acteurs qui sont bien engagés maintenant dans leur processus de certification Secum Cloud. Euh alors je suis pas je peux rien vous prédire mais en tous les cas on peut penser que certains obtiendront leur certification dès cette année et peut-être voir même avant la fin de l'année.

Ce qui est une bonne nouvelle. H vous souhaitez que euh vous m'aviez demandé pas mal de choses. Euh vous vouliez que je revienne sur euh sur euh l'annonce de la ministre peut-être et sur la mise en conformité avec la loi Seren.

Alors sur la loi SREN donc évidemment on a on a bien conscience de son application et notamment du critère Secum Cloud qui est le point certainement important enfin qui va distinguer cette exigence par rapport aux exigences précédentes. Jusqu'à présent nous dans le contexte dans lequel on travaille de recherche en santé on avait le référentiel de sécurité du SNDS qui s'appliquait. Maintenant on a ce critère c'estum cloud qui s'applique également.

D'où l'importance de suivre la progression des processus de certification des acteurs. Ce que nous faisons à ce stade, la loi sera n'est pas encore appliquée puisqu'on attend toujours la publication du décret d'application, mais ça ne devrait pas tarder, je pense. Donc enfin tout va dépendre des délais de publication de ce décret, mais s'il est publié dans les dans les prochains mois, ça sera sans doute un peu court pour migrer d'ici là vers une solution Secnum Cloud qui n'est pas encore officielle.

Euh mais euh en tous les cas, moi aujourd'hui, je suis confiante dans notre capacité à opérer cette migration euh dans le délai euh imparti par la loi. Euh enfin, je voilà. Euh sur l'annonce de la ministre, donc la ministre a évoqué un le lancement d'un marché.

Alors c'est pas tout à fait le même sujet mais c'est un sujet évidemment adhérent. Euh donc dans son rapport euh dans le rapport piloté par euh Jérôme Marchandvier était évoqué l'idée de mettre en place une solution intercalaire. Donc euh conscient euh du temps que euh les acteurs du secteur euh pouvaient mettre pour monter en maturité sur les services euh manquants dans leurs offres cloud.

L'idée qui est qui est sous-jacente à cette proposition dans le rapport était de dire est-ce qu'on peut avancer sur la question de l'hébergement de la base principale que vous avez évoqué. Alors, il faut savoir que sur la base principale, certes aujourd'hui, elle est encore hébergée du côté de l'assurance maladie, mais on a mis en place un partenariat avec l'assurance maladie qui fait que on travaille main dans la main dans la mise en œuvre des extractions et qu'aujourd'hui, on a quand même un dispositif assez fluide de mise à disposition des données aux acteurs depuis fin 2023 et qui a permis de produire plusieurs centaines d'extractions, 300 l'année dernière par exemple. Donc le nous mettons en œuvre nos missions.

En revanche, c'est pas parfaitement satisfaisant et ça tout le monde en a bien conscience. Et donc l'idée de cette solution intercalaire, c'est de pouvoir copier la base principale dans un système d'information qui serait à la maîtrise du LZub euh dans une solution évidemment souveraine et qui euh permettrait à mes à mes équipes d'être totalement autonomes et de ne plus avoir à s'articuler avec celle de l'assurance maladie, même si ça se passe bien aujourd'hui. Donc par rapport à cet appel d'offre, les travaux ont été initiés il y a quelques mois maintenant suite à l'arbitrage pris de lancer cette action.

Et simplement là aussi pour être précis quand vous dites il y a quelques mois, c'était début de début d'année 2025. Oui. D'accord.

Euh enfin consécutivement à l'arbitrage. Donc il fallait que l'arbitrage soit pris avant que nous puissions lancer les lancer les travaux. Euh et donc on a fait une phase de sourcing pour ce cet appel à projet pour cette ce marché pardon.

Euh donc on a rencontré entre 10 et 15 acteurs. Je saurais pas vous dire donner le chiffre exact. Vous me direz si c'est une information utile.

Euh le corpus documentaire est quasiment fini à ce jour. Donc là dans les prochaines semaines, on sera en mesure de lancer le marché. Donc là, de la même façon, nous sommes intéressés par tous les éléments liés à cette phase de sourçage préalablement à la publication des documents.

Et pensez-vous que cette publication pourrait intervenir avant la fin du mois de juin ? Oui. Et ben auquel cas nous vous en demanderons évidemment immédiatement communication aussi parce que nous avons prévu de rendre nos conclusions d'ici la fin du mois de juin.

Donc ça nous permettra d'être le plus réactif et le plus juste possible. Est-ce que vous voulez que je poursuive sur un sujet en particulier ? Je suis pas sûre d'avoir totalement tout couvert de Je sais pas si j'ai tout couvert de ce que vous m'avez dit au début.

Il y avait beaucoup de choses mais je suis prête à continuer sur Oui oui. Non mais vous allez avoir beaucoup de beaucoup de questions. Avant de laisser la parole à monsieur le rapporteur parce que l'une des questions fondamentales quand même qui est posée, c'est au moment où nous nous parlons sur l'application des législations extraterritoriales.

Est-ce que vous pouvez être très clair sur le sujet là au moment même s'applique-t-elle concernant nos données de santé avec les conséquences qu'elles emportent ? Est-ce que vous pouvez nous confirmer si oui ou non ces législations extraterritoriales au regard du prestataire qui est à l'œuvre pour l'instant s'applique ? Alors euh nous on a fait euh deux analyses juridiques sur ce sujet-là euh qui qui converge sur le fait que leur application est très peu crédible dans notre contexte.

Euh et par ailleurs, euh cette analyse a été confirmée par le Conseil d'État dans ses ordonnances dans divers contentieux qui ont eu lieu consécutivement soit à la publication de textes, soit à des autorisations KNIL. euh le conseil enfin tous les tous les contentieux ont été euh euh enfin toutes les requêtes ont été euh perdu enfin les requérants n'ont jamais euh obtenu gain de cause. Le les conseil d'État a toujours soutenu qu'aujourd'hui notre contrat avec Microsoft, il est conforme au RGPD et que le risque d'application de ces lois est extrêmement faible nous concernant.

On est d'accord que faible ce n'est pas nul et que tout l'enjeu de nos travaux, c'est de garantir une étanchéité parfaite sur nos données de santé. Donc aujourd'hui, de façon très honnête, cette étanchéité parfaite en toute logique ne peut pas être garantie. Bah après, on peut rentrer dans les détails et je vous et je vous transmettrai les deux analyses.

Parfait, c'est pas 1 ou 2 %, c'est 0%. de possibilité que ces législations extraterritoriales s'appliquent. C'està-dire qu'il y a en réalité même pas besoin de contentieux, il y a pas besoin de procédure particulière.

Donc est-ce qu'aujourd'hui il y a pas besoin de contentieux ? Le fait que sur l'ensemble des contentieux qui ont été menés, ils systématiquement le Conseil d'État a a considéré que ils étaient pas avalables. C'est pas une preuve suffisante.

Non mais les gens ont le droit de faire des contentieux s'ils le souhaitent. Non, non, mais bien sûr. Non, mais ce que ce que je veux dire par là, c'est que euh il n'y a pas besoin euh à la différence de procédures qui existe quand les législations extraterritoriales ne s'appliquent pas où il faut pouvoir passer par la justice pour obtenir les données.

Aujourd'hui, euh si pour une raison ou pour une autre, euh l'État fédéral américain exige de Microsoft d'obtenir telle ou telle donnée, d'une part, nous n'en saurons rien. et l'application de la législation extraterritoriale fait que nous n'avons absolument pas la possibilité de de l'empêcher. Donc est-ce qu'aujourd'hui vous confirmer bien qu'il y a pas d'étanchéité totale ?

Non, je confirme pas ça parce que je pense que c'est un peu simpliste de présenter les choses comme ça. Je je vous prie de m'excuser mais à la foiscie vous avez toujours agréable mais allez-y. Excusez-moi.

Le le sujet me semble complexe. Je pense que Oui oui ben on le découvre pas. On a entendu bien d'autres acteurs avant vous aussi.

Donc vous pouvez avoir raison contre tout le monde mais pour l'instant toutes les informations qui nous ont été remontées vont dans ce sens-là. Donc mais OK en tous les cas vous avez des législations qui ont un champ d'application. Donc déjà vous pouvez les prendre chacune tour à tour et regarder si elle s'applique dans notre contexte.

Je pense que les gens avec qui vous avez discuté dans le cadre de de votre commission ne sont pas tous euh ne ne s'expriment pas tous dans le contexte du S data Hub. C'est-à-dire que c'est pas parce que nous dans notre contexte où les données sont pseudonimisées où il y a des d'importantes euh garanties contractuel et technique euh qu'elle ne s'applique pas sur un autre cas d'usage qui va par exemple mobiliser des données personnelles nominatives. C'est pour ça que je pense que le sujet il est il est peu simple et qu'on peut pas aussi simplement le résumer.

Il y a trois généralement quand on parle de de législation extraterritoriale, on parle de trois lois. On peut les regarder les trois et voir si ça s'applique dans notre cas. Euh nous euh l'intérêt de du système c'est que on ne manipule que des données pseudonymisées.

Donc vous avez déjà euh certaines euh législations qui par euh by design ne peuvent pas s'appliquer à nous parce qu'elles reposent sur l'utilisation de ce qu'on appelle des sélecteurs comme par exemple ou des numéros de téléphone ou des adresses mail ou ce genre de choses. Vous vous n'avez pas ça dans la base que nous gérons. Ça ne veut pas dire mon propos ne porte que sur le SDAB.

Euh vous avez peut-être rencontré d'autres cas d'usage pour lesquels il y a tout à fait euh une application de ces lois-là. Donc euh moi en tout cas, je suis tout à fait prête à vous partager euh ces deux analyses juridiques vous pour que vous puissiez voir euh bah si ça concorde avec euh les autres éléments dont vous disposez. Mais aujourd'hui, leur application dans notre champ, dans notre domaine à nous n'est pas du tout avéré.

Par ailleurs, nous avons des garanties contractuelles et ensuite nous avons des garanties techniques. La combinaison de tout ça fait que aujourd'hui, ben quand des gens attaquent euh pour dire que les données ne sont pas protégées, euh leur requête est réfutée par le Conseil d'État. Je pense que c'est beaucoup plus fort comme élément de réassurance que ce que moi je pourrais vous dire aujourd'hui devant vous.

J'entends simplement les propos que vous avez tenu, hein, devant une commission d'enquête sous serment. C'est en citant le le Conseil d'État, vous avez dit que c'était peu probable. Vous n'avez pas dit que c'était impossible.

Vous dites que ça n'est pas avéré. Donc, jusqu'à preuve du contraire, je vais m'arrêter là pour laisser la parole à monsieur le rapporteur et et aux collègues. Merci vos explications madame la directrice.

Donc, j'ai bien compris qu'au départ, vous avez quand même précisé qu'il y a pas eu d'appel d'offre qu'une consultation de 10 entreprises. Alors, en effet, tout à fait. J'ai pas mentionné ce pointl.

Vous avez raison mais vous l'aviez mentionné dans votre introduction donc je pensais que c'était admis. Euh le du coup le Microsoft a été acheté via l'UGAP. Non mais avant est-ce que dans votre mission avant vous avez dit que vous avez consulté.

Oui. Bon alors je vais être plus précis. Euh d'abord il y a une étude par Cap Gemini qui a fait la sélection.

Alors là vous avez perdu. Je perdu. Je vous retrouver.

En 2019, il y a une sélection de Cap Gémini, il me semble qui a prévalu pour réaliser l'étude d'hébergement. Après, je me demande s'il y a une concurrence par rapport à Cap Gimini pour choisir ce pass et on parle quand même à l'époque d'un budget d'un million d'euros à louer à cet audit. Pas de connaissance.

Mais quel audit ? Pardon, je suis perdu. Bah bah oui, ben au départ c'est Cap qui qui a créé le cas des charges.

Il a une audite au départ. Non non, en fait euh alors non, je trompe peut-être hein. Bah en tous les cas euh enfin un consultant Cap Gemini a fait de la PMO sur le chantier parler en français PMO c'est a fait de la coordination des acteurs plus euh formaliser les les les euh exigences fonctionnelles.

Cap a fait quelque chose. Oui, tout à fait. Mais là vous êtes en train de dire qu'on a acheté un cahier des charges à Cab.

Je pose pas de question. qui a fait un travail donc il a dû quand même avoir des charges ou un appel d'offre pour mettre Capini au départ. Il y a d'autres cabinets il y a pas cap dans dans la planète des audits.

Il y a d'autres acteurs. Non mais c'était pas un audit. C'était quoi alors ?

Bah c'est en accompagnement en maîtrise d'œuvre du projet. Ouais mais un million œuvre c'est quand même plus c'est un seul lieu marché important. Donc il y a une mise en concurrence sur la loi européenne au moins de mettre en concurrence Cap avec d'autres.

Pourquoi le choix de CAP Juni est pas des loises ou autres ? Parce que bon à momenté c'est quand même un choix sur union apparemment de budget. On peut avoir un qu des cherche qui met en concurrence plusieurs acteurs.

Mais les 1009, vous faites référence à quoi ? Parce que en je pense qu'il faut enfin il faudrait regarder sur quelle période parce que en tout cas c'est pas là juste le chantier de la plateforme technologique l'appui en en en en consultant pour mettre en œuvre le chantier. Doncutin il serait nécessaire de rentrer plus dans les détails pour que je puisse répondre à votre question.

En revanche, ce que je comment on le fera par écrit. Pas de problème. En revanche, ce que je peux vous dire à la fois pour la prestation KFG mini et celle de Microsoft, on est passé par la centrale d'achat UGAP et pas c'est pas d'ailleurs les seuls achats qu'on a fait par cette centrale d'achat.

Le ministère euh dispose d'une convention d'adhésion à l'UGAP à avant que nous nous lançions le chantier de préfiguration du Hazab. Euh donc euh ça paraît assez logique d'utiliser les moyens euh dont s'est doté le ministère pour favoriser l'achat public. Euh après euh les les responsables hiérarchiques auraient pu décider de de procéder différemment, mais l'avantage de la centrale d'achat, c'est qu'elle a déjà opéré la mise en concurrence précédemment.

Donc elle permet de faire bénéficier aux acteurs publics qui adhèrent à cette centrale d'achat et de mutualiser l'effort d'organisation du marché. Donc vous reposez sur Lugap en tant que prestateur et vous étiez bien au départ avec un qu des charges pas au débat. Vous avez donné un qu d'écharge au départ quand même pour ce cet hébergement des directives parce que sinon euh le l'UGAP euh vous fournit un catalogue de prestation suite à une mise en concurrence qu'il a fait préalablement, c'est-à-dire indépendamment du projet làdup par exemple qui permet au ministère de consommer cette prestation si elle est pertinente dans le cadre de son projet.

Ça c'est le fonctionnement d'une centrale d'achat et pas que l'UGAP hein d'ailleurs, elle fonctionne toute comme ça. Le la centrale d'achat, elle anticipe la centrale d'achat anticipe le besoin de ses adhéants. Euh après vous, enfin ça peut certainement et j'imagine que c'est aussi l'objet de vos vos travaux que de challenger ce pardon de de discuter ce mécanisme, mais pour les acheteurs publics, c'est très utile.

Oui, mais là pour le coup, on nous avons un vrai sujet politique parce que euh en effet, vous dites le marché tel qu'il existe euh l'enjeu avec des besoins nouveaux, des attentes que vous avez pu euh rappeler euh c'est de pouvoir euh aussi accompagner la structuration euh de filières souveraines. Et là, c'est pas votre responsabilité directement, c'est évidemment celle des élus, des ministres qui est interrogé la volonté de vouloir véritablement se donner les moyens d'être souverain et autonome comme les acteurs de la filière nous ont dit pouvoir le faire au cours des dernières semaines. Mais il est certain que si nous raisonnons à périmètre constant, en permanence, nous ferons le constat que ce sont les mêmes qui peuvent répondre et que les autres ne sont pas en capacité de le faire.

Tout l'enjeu, c'est est-ce qu'on donne à un moment de l'impulsion avec les moyens conséquents pour structurer ces filières et leur donner les moyens en effet de pouvoir répondre aux attentes ou non ? Et le réflexe UGAP de ce point de vue-là, très clairement, ça n'est pas le bon véhicule parce que le véhicule UGAP, c'est à marché constant. Or là, nous parlons bien de filières nouvelles, de besoins nouveaux, mais ça c'est la responsabilité de la puissance publique.

Encore une fois, la responsabilité politique. Donc là, on a un vrai sujet qui sera au cœur de toute façon de nos préconisations. Je je voudrais, si vous l'acceptez, juste rajouter un point là-dessus parce que évidemment, je suis totalement d'accord avec vous.

Nous, on est dans un rôle d'acheteur public. Donc forcément, si on nous dit il faut mettre en place une plateforme d'ici mi-29 et que il y a un marché disponible et que en plus les consultations ont permis de voir qu'il y avait que l'acteur qu'on peut acheter est le seul à répondre au prérequis, on va pas se lancer dans autre chose, sauf si la ministre l'avait voulu. Par contre pour soutenir la filière, partant du constat que il était nécessaire de développer des services managers dans leurs offre et notamment des services managers de sécurité, là la DINUM a quand même structuré progressivement au fil des années une vraie politique publique avec son appel d'offre démonstrateur enfin qui s'appelait comme ça initialement qui s'appelle peut-être un peu différemment maintenant dont l'ambition était bien d'identifier les besoins besoins techniques et nous LZ nous avons contribué à ce travail.

Euh, on a participé à beaucoup de travaux de la DINUM pour identifier les priorités en tout cas du LZ et ensuite ils ont lancé cet appel à projet dans le cadre de France 2030 pour soutenir le développement des services managers qui pourraient bénéficier à tous et pas seulement au LZ. Et là, je pense qu'on a une machine qui est beaucoup plus un levier beaucoup plus efficace que juste un marché du S Data Hub qui aurait pas permis pardon on n'est pas doté de suffisamment de moyens pour permettre à des acteurs français de développer tous les services qu'il leur manquaient. Nous les avons entendu et nous avons pu faire le calcul le rapporteur lui-même que rapporté au nombre de projets retenus les montants qui étaient déployés n'étaient pas du tout suffisant. revenir un peu en arrière sur vos qu des charges puisque quand même vous qui vous qui qui êtes à la demande quand même de regrouper les éléments.

Donc à partir vous avez fait un c des charges vous-même, un précail des charges pour faire votre demande. Le comité technique qu'on a qu'on est parti l'ensemble le comité technique oui le comité technique qu'on a réuni avec des représentants des utilisateurs de la plateforme a permis de formaliser les exigences se sont fait aider par un cabinet d'audit qui s'appelle Cap Gémini. Dites oui ou non ?

Alors non mais est-ce que est-ce que à l'audit oui ou non c'est tout ? C'est vous dites non c'est non, vous dites oui c'est oui. Mais est-ce qu'il y a eu une aide par cabinet extérieur pour vous amener l'élément demande de décision qui est prêt à passer par le GAP ?

Moi je je veux le démarrage s'il vous plaît. Oui ou non ? C'est tout.

Un mot en tout cas oui il y avait un consultant Cap Jimini qui aidait à faire la mise en œuvre de ce Merci de répondre. Et est-ce concurrence avec d'autres auditeurs qui auraient pu ramener le cahier des charges ? Moi je sais pas c'est quand même un marché et quand je vous dis un je sais de quoi je parle c'est une certaine somme.

Donc on a pris cap sur la tablette avec un en disant c'est et pas personne d'autre. On n pas cherché à voir qui pouvait répondre d'un préappel d'offre déjà du c des charges avant de passer à l'appel d'offre. C'est ça que je veux savoir.

Dites-moi ou non, c'est tout. Après euh non, on est passé par Lucas. Moi je Non, mais non, Lucas, ça vient après.

Non, ça vient pas après. Non, vient après. Vous bien de me dire euh ou moi je j'entends mal, vous venez de me dire que il y a eu Cap Desigimini qui a mis qui vous a aidé à les conditions dans lesquelles il a été fait appel à CAP Gémini.

En fait, c'est vraiment ça la question, les conditions contractuelles, financières. Est-ce qu'il s'agit d'un contrat plus large d'accompagnement du ministère ? Ça pourrait être le cas avec des droits de tirage.

Est-ce que c'est une prestation spécifique ? Si oui, de quelle manière ce contrat a-t-il été formaliser et avec quel montant alloué ? Voilà les les questions.

Mais encore une fois, si là vous ne pouvez pas nous apporter la réponse, je veux vous le fournirez. Non mais vous nous le fournirez après. Non non mais si d'aventure elle n'est pas en mesure madame la direction si vous n'êtes pas en mesure de nous donner ces éléments confirmer c'est que il y a un véhicule contractuel mais je préfère quand même vérifier très précisément parce que bon ça date quand même de 2018 le nom de la prestation et son menton montant si ça vous va.

C'était bien avant quoi dans ils vous ont dit dans le c des charges de départ avant de passer l'appel d'offre. Mais je comprends pas votre raisonnement. Et en fait, il y a il y a eu deux euh il y a il y a eu deux véhicules contractuels, c'est pour ça que je préfère vérifier avant de vous confirmer euh qui était activable au ministère.

Il y avait un marché de mémoire il me semble qui était interministériel et qui permettait de recourir à Capgemini. Mais je vérifierai, je préfère vous dire ça. Et euh et il y avait l'UGAP donc mais on n pas consommé que Microsoft via l'UGAP, on a consommé d'autres prestations.

Donc en fait il y a différents véhicules contractuels. Mais là la question c'est vraiment sur le l'appel qui a été fait à CAPG mini. C'est vraiment les questions de monsieur le rapporteur c'est sur les conditions contractuell financières de l'appel à CAPG mini.

Alors, est-ce que encore une fois c'est un marché global qui lit le ministère euh en matière de de maîtrise d'œuvre et qui inclurait la réflexion sur le Dataup ? Ça peut être une hypothèse ou ça peut être un marché spécifique dans quelles conditions a-t-il été conclu et à quel prix ? Donc encore une fois, on a bien compris que vous aviez besoin de vérifier les informations.

Nous vous les demanderons évidemment dans les meilleurs délais. Très bien madame Maurin de tout d'abord madame la directrice je vous demanderais de bien vouloir parler de la plateforme des données de santé parce que le HD c'est terminé ça a été d'ailleurs réglé en justice cette affaire une association de défense de la francophonie a déposé plainte et ça a été traité ça a été réglé donc il faut parler de la plateforme des noyés de santé alors je ne vous porte pas responsable de l'appellation de la plateforme à son origine puisque forcément ça relève du ministère concerné Mais tout de même, nous sommes l'année où nous fêtons les 30 ans de la loi Toubon et les acronymes et les anglicistes. Je crois que ça suffit.

Voilà, je le dis assez fermement. Ici dans cette maison, on a fait beaucoup de travaux sur la sur la question et je pense que la souveraineté, elle commence par la souveraineté culturelle et linguistique. Voilà, c'est dit.

Merci. dans les missions euh que vous avez euh décrites au tout début de votre propos portant sur l'objectif de cette plateforme des des données de santé, le pourquoi du du comment, vous avez beaucoup parlé d'être à la pointe de l'innovation en matière de traitement des données de santé, de progrès pour la médecine, des intentions bien sûr tout à fait louables. En revanche, dans les objectifs à atteindre, j'ai peu entendu cette notion que la donnée était un actif stratégique majeur.

À ce titre, elle méritait sans doute d'être regardée de près et protégée qu'elle relève à la fois donc d'un domaine stratégique économiquement parlant, secteur prudentiel et assurentiel, tous les développements possibles de traitement de la donnée de santé au-delà de la médecine euh proprement dite, mais euh également la donnée en tant que propriété finalement intime de chaque individu que nous représentons. C'est pour ça que je m'étode qu'à l'époque, peut-être pouvez-vous nous éclairer, pourquoi au moment où on réfléchit et vous êtes faites partie de la mission de préfiguration avec de nombreux chercheurs du CNRS, de l'INA et cetera, pourquoi on ne se tourne pas à un moment donné vers la représentation nationale pour conduire un débat sur cette question d'autant que c'est un projet très novateur hein. Première première question, quels sont les liens avec monsieur conseiller numérique du président de la République à l'époque justement dans la préconisation du choix de Microsoft, en tout cas dans la finalisation euh de ce choix, je le rappelle, sans appel d'offre spécifique.

Alors, si vous pouviez nous donner en effet la liste des entreprises qui ont été sollicité comme cette revue qui a été établi d'après ce que vous nous dites au préalable pour vérifier leur fonctionnalité, leur capacité à sécuriser des données et cetera, ce serait très intéressant parce que beaucoup se sont émus auprès de nous à l'époque en 2020 de ne pas avoir été consulté du tout d'une aucune manière que ce soit. Bernard Charles pour citer de Dasso système, ça en est même plein directement au président de la République. Donc pourquoi certains se plaignent de ne pas avoir été consultés et sans doute euh pas des moindres ?

Donc ça c'est une première série de de questions. Pourquoi vous nous dites à juste titre et je relevais des propos dans une interview que vous avez donné il y a 4 ans où vous parlez bien entendu euh de robustesse. Il est important d'avoir des solutions en matière de cybersécurité très robuste.

Et vous nous parlez là tout à l'heure, vous nous avez dit qu' que la réversibilité du coup a été conçue d'emblé aussi comme étant intégré à la solution choisie. Pourquoi ? Pourquoi le 16 juillet 2020, c'est le jour où j'interpelle d'ailleurs Cédric sur le choix de Microsoft, le jour où est sont est invalidé l'accord de transfert des données des Européens vers les États-Unis, le privacy Shield.

Pourquoi on ne s'attaque pas immédiatement alors que la doctrine Claudo Centre, la certification secoulane n'existait pas à l'époque ? Pourquoi on ne s'attaque pas immédiatement à trouver une solution alternative via justement un appel d'offre en bon du forme qui intégrerait cette préoccupation de sécurisation des données qui ne sont plus du tout protégées puisque l'accord de transfert des données des Européens est invalidé. Donc, on a été dans un vide juridique pendant un certain nombre d'années avant que monsieur Biden vienne ressigner un accord avec madame Belave.

Biden sans qu'il change d'ailleurs beaucoup. Pourquoi on ne travaille pas d'emblé à cette réversibilité alors qu'il y avait sans doute des des solutions ? C'est une première série de questions, j'en aurai une deuxième après. directrice. [Musique] Euh je voulais juste regarder si j'avais pas la liste des sous les yeux euh des acteurs mais je la retrouve pas directement.

Est-ce que Alors donc fin 2018, à partir de fin 2018, on a rencontré Talè Séos OVH Docapost Orange Teralab l'Institut Pasteur, le CSD, le Ganyal Sagit Amazon, Google Microsoft. Donc je suis un petit peu étonnée pour le point sur des système. H je pourrais vous les renvoyer si vous le souhaitez.

Euh donc sur le sur le fait que les données représentent un actif straté stratégique qui mérite d'être protégé, je ne peux que euh être d'accord avec vous. Et à vrai dire, dans les derniers temps, ce qui revenait assez souvent dans le débat, c'était de savoir comment trouver le curseur entre souveraineté et sécurité. parce que la sécurité de la plateforme qui héberge aujourd'hui les données de santé, elle a elle est elle est de très haut niveau et ça a été reconnu par de très nombreux acteurs.

Vous pouvez le trouver écrit dans des communications de l'ACNIL, dans l'avis de la DINUM lorsqu'elle a rendu son avis. Excusez-moi, je suis à l'accil, c'est pas tout à fait l'avnil, je suis administratrice de l'ACNIL. Euh OK.

En tous les cas euh vous pouvez aussi euh enfin c'est aussi ce qu' ce que disait la NCY euh c'est aussi ce qui ressort de nos audits de sécurité euh et donc euh et ce qui a été reconnu par le Conseil d'État. Donc ce qui est généralement reproché, en tout cas euh moi c'est ce que j'ai l'impression d'avoir vu ressortir du débat ces dernières années, c'est de dire pourrait-on renoncer à un petit peu de sécurité pour plus de souveraineté ? Parce que les enjeux sont pas tout à fait de même nature et je suis pas en train de dire ça les acteurs français sont aussi sécuritaires que les autres.

Pourquoi renoncer une sécurité ? Quelle sécurité ? Pourquoi renoncer plus de sécurité pour souveraineté ?

Je comprends pas bien votre position là. française. Bah c'est pas ma position puisque justement nous n'avons pas renoncé à la sécurité ou à cette à aucun moment.

Moi, je suis obligée de vous contredire, pardonnez-moi, d'abord parce que je suis administratrice de l'ACNIL et vous savez très bien que l'ACNIL avait besoin d'être saisi pour autoriser la poursuite en fait de la gestion de la la plateforme. C'était un peu avant 2020 parce que cette question d'avoir confié à Microsoft sur appels d'offre spécifique sur débats parlementaires, ça a fait beaucoup de buz à tel point que la plateforme elle a été mise en un peu en sommeil en suspend avant peu avant la l'élection présidentielle de 2020 car il fallait demander en effet l'habilitation de la clinique qui ne voulait pas la donner, vous le savez très bien euh pour euh des raisons en réalité de sécurité parce que contrairement à ce que vous affirmez, je suis désolé de vous contredire, nous sommes des législateurs. dont nous ne connaissons la loi y compris les lois étrangères la loi FISA qui s'applique depuis 1978 et qui est régulièrement reconduite qui la lutte la la loi visant à lutter contre l'espionnage aux États-Unis les meilleurs juristes les meilleurs spécialistes en cybersécurité vous le disent quoi qu'il en soit que ce soit Microsoft que ce soit Google que ce soit Azure sur requête de l'État fédéral les DSI sont obligés de transférer les données des Européens vers l'État fédéral, en tout cas qui qui le demande encore plus aujourd'hui.

D'ailleurs, vu les situations politiques qu'elle a changé et que la commission qui est chargée d'examiner les requêtes de l'État fédéral à 80 % dit oui à ces demandes de transfert. Donc ils ne vous le disent pas mais chez ces prestataires, chez un Microsch, chez un Google, chez un WS, ils sont obligés de transférer. Donc c'est un fantasme que que dire d'ailleurs que la certification Segnum Cloud si elle aurait été accordée préserverait des lois extraterritoriales.

Combien même les données sont psonomisées d'abord parce qu'on peut toujours par recoupement réanony enfin comment dire ressortir l'identité des données. Donc on n pas le temps de rentrer dans les débats techniques mais les meilleurs spécialistes c'est d'ailleurs quelles sont les études juridiques qui vous disent vous parlez de sans arrêt du conseil d'état mais jusqu'à présent moi j'ai beaucoup de respect pour le conseil d'état mais ce sont pas des des techniciens ou des juristes spécialistes de la question qui est qui est très pointue vous c'est pas simple vous l'avez dit mais quelles sont ces études juridiques j'aimerais bien les les connaître mo je vous dis voilà que c'est pas possible tout le monde le vous savez bien que tout le monde s'est meux de cela là aujourd'hui. Donc pourquoi justement à partir du moment où on invalide, c'est invalidé l'accord de transfert des données, pourquoi on ne va pas vers la réversibilité immédiatement en intégrant à des appels d'offre des critères de sécurisation complète des données des Français.

Ce sont nos données à nous, hein. Voilà. et de et de du coup de souveraineté, d'autonomie stratégique et de protection euh maximale.

Pourquoi aussi ? Deuxème question euh c'est ce que nous disent l'ensemble des acteurs du du secteur qui sont très nombreux que nous avons auditionné longuement. Ils s'interrogent tous sur les billets qu'ils observent entre les modalités de sélection qui leur sont appliquées par la plateforme des données de santé et celles bénéficiant à Microsoft Azure AWS. selon des témoignages requis, c'est ce que j'écrivais à la première ministre le 18 décembre 2023.

J'avais eu donc des des témoignage. Le sentiment général, c'est que le la plateforme des données de santé est peut-être aussi adulent entendant démontrer par tous les moyens qu'ils ne sont pas en capacité de répondre à ces exigences. Donc ça se traduit par la multiplication des critères.

Pourquoi il y a on démultiplie les critères plus de 200 cas d'usage 466 répétitif parfois contradictoire et par l'obligation de suivre une procédure complexe avec des exigences qui sont modifiées au fil des semaines le tout dans des délais très court tellement courts qu'ils n'ont pas le temps de s'organiser pour répondre au aux appels d'offre comme si on voulait à tout prix toute façon maintenir vous êtes en train de décrire leur témoignage vis-à-vis de l'audit qui a été fait par la DNS à la demande de l'ACNIL dans les délais imposé par l'ACNIL fin 2023. Nous on n'y peut rien. C'est c'est pas des conditions pour analyser les offreurs de technologie.

Moi, je suis d'accord avec vous. Donc là, on était pas du tout dans le cadre d'un appel d'offre. Euh de toute façon, les appels, les procédures formalisées, les délais légaux, ils sont quand même fixés pour que les gens puissent répondre.

Euh donc c'est pas euh enfin nous nous n'étions absolument pas euh en charge des délais qui ont été imposés à ces entreprises pour euh faire savoir si elles pouvaient ou non euh répondre à ces exigences-là. Euh je je mais enfin alors maintenant et après juste pardon, je voudrais répondre à votre autre question parce que finalement là je j'ai pas la possibilité de de vous répondre mais euh vous évoquez donc le privacy shield euh bon qui qui permettait d'encadrer les transferts de données, ce qu'il y a ce qu'il y a pas parce que juste avant vous me parlez de de d'accès non autorisé. Donc il y a pas vraiment de rapport en tout cas si vous voulez des solutions totalement immunes entre le privacy shield, dans tous les cas, il y a de nouveau un un DPF et et on veut quand même de la souveraineté sauf erreur de ma part.

Donc je vois pas bien le lien que vous faites avec le la décision de juillet 2020. Et ensuite, quand vous dites "Je ne comprends pas pourquoi à ce moment-là on n pas mis tous nos efforts pour soutenir les industries de du de la souveraineté numérique, euh je suis je suis navré mais là je comprends plus à quel titre j'interviens dans dans l'échange parce que moi je suis directrice de la plateforme des données de santé. Donc nous on est acheteur public, on achète des solutions qui respectent des exigences qui sont dans les textes.

Donc ensuite, il y a des institutions qui sont peut-être pas si expertes que ça qui ordonnent des choses dans des contextes contentieux. Ben moi, j'ai encore la faiblesse de de penser que elles ont raison, que c'est leur travail. Et ensuite, nous avons nous nous avons agi comme un acteur constructif.

Nous avons fait des études de marché, le S data Data Hub, pas la DINUM, pas la DGE, le S Data Hub, la plateforme des données de santé, euh la la l'audit qui a été piloté par les la DNS dans les conditions que vous venez de décrire, qui était certes insatisfaisante, mais qui a eu le bénéfice d'éclairer des choses, a été fait fin 2023, fin 2023 alors que le sujet date depuis 2019 et euh et et l'état des lieux de la dinUM, le le 4 ans plus tard, 4 ans plus tard, c'est 2024. 4. Donc nous on a contribué les équipes techniques du LZ qui avaient beaucoup de choses à faire par ailleurs parce qu'on est en plein de construction de d'une structure parce qu'il y a un challenge à à de multiples niveaux ont contribué aux travaux de la DINUM de manière constructive et notamment à la mise en place du démonstrateur pour soutenir l'écosystème du cloud français.

Vous avez proposé des pour le clot de français au départ, on a contribué au au travaux de la dinume autour de sa politique publique de soutien à l'écosystème du cloud français. Et ça pas été repris après. Bah c'est en cours.

C'est 2025. depuis 2025 ça. Mais non euh le la le travaux sur le démonstrateur ça fait déjà 2 ans.

C'est l'appel à projet là qui est en cours. Ça ça d'ailleurs oui, ça on le doit d'ailleurs au législateur, pardonnez-moi, parce que si euh le Parlement en tout cas sous l'impulsion du Sénat n'avait pas bouger sur ces questions de souveraineté, d'autonomie stratégique, de préoccupation précisément de la du soutien aussi à à comment dirais-je un écosystème français européen pour des questions de souveraineté et des lois que nous avons évoqué, ça n'aurait pas beaucoup bougé. Donc finalement la première ministre a été contrainte de diffuser une circulaire en joignant les services différents services des des ministères et opérateurs d'ID l'État associé.

Donc vous faites partie finalement hein de autant que faire ce peut désormais d'avoir recours à des solutions souveraines pour des données identifiées comme sensibles. Ce que nous avons traduit nous-même et ça vient du Sénat dans la loi Sine article 31. Et je crois qu'il ne faut pas attendre d'ailleurs les décrets d'application pour se mettre en ordre de marche et anticiper immédiatement la migration parce que ils ont beaucoup de retard déjà les décrets d'application.

J'en ai ému auprès de la la ministre, ça va être conclu dans le mois. On doir une réunion sur le sujet. Mais ce que je voulais vous dire et vous répondre quand vous nous dites que vous voyez pas le rapport avec l'invalidation du privacy le 16 juillet 2020.

C'est-à-dire que jusqu'à cette époque là, on pouvait se dire avoir recours à des acteurs extraeuropéens, en tout cas américains qui applique FISA, ils soit appliqué FISA. Bon, il y a quand même encore un cadre juridique soit-disant protecteur européen, mais là il y en a plus du tout. Donc on a vous portez à votre niveau, bien entendu, il y a la responsabilité politique au sein de votre ministère, mais de de ne pas être alerté par une situation dans laquelle on se trouve qu'on dénonçait déjà hein euh d'illégalité en quelque sorte, non pas d'illégalquité mais une non protection des données. encore plus à partir de ce moment-là, il fallait se poser la question immédiatement de la réversibilité et d'engager, voilà, d'anticiper, d'engager et d'alerter.

Voilà, c'est tout ce que vous voulez dire. Vous portez à votre niveau une forme de responsabilité comme à titre de préfiguration de cette plateforme au démarrage, les choix qui ont été faits à à chaque étape. Je suis désolé de le de le dire.

Monsieur le rapporteur, oui, question, je revenir un petit peu sur le choix de CGI. C'est vous ou l'adresse qui a choisi Cap Gimini dans l'audit de départ ? Moi Stéphanie Combre.

Oui. Bah non, moi je j'étais pas chargé de prendre des décisions à l'adresse. D'accord.

Et que peut-on dernière question, monsieur le président, merci de votre patience. Dernière question parce que voilà ce qui se dit de toute façon la plateforme des données de santé voudra toujours continuer à travailler avec Microsoft. On sait que l'offre bleue c'est Cab Mini justement donc peut-être conflit d'intérêt hein s'ils ont été je voilà cabinet de conseil cabinet d'étude.

On les retrouve dans une offre soi-disant souveraine qui sera peut-être certifiée que Nom Cloud avec bleu et Microsoft qu'on continue à faire travailler Microsoft. Il y a le projet Nom Spot aussi qui candidate aussi à laisation Secloud. Donc est-ce que on va enfin avoir un appel d'offre en bonne et du forme qui va prendre en compte cette dimension pour nous stratégique et nécessaire d'abord de faire appel au plus large panel possible, monsieur le président, et en même temps intégrer ses critères pour être conforme à la loi.

Bah en tous les cas, il faudra bien sécuriser l'achat de la solution Secnum Cloud sur laquelle on va migrer. Donc là à l'heure actuelle, nous nous sommes en train de travailler sur l'appel d'offre de la solution intercalaire à ce stade, mais la migration arrivera juste après. Nous sommes dépendants de l'émergence de ces solutions.

Je je comprends euh que tout le monde puisse trouver ça lent, nous les premiers au final parce que si moi aujourd'hui j'ai à répondre sur ce type de sujet en permanence, c'est bien parce que les solutions elles n'ont pas été disponibles, parce que sinon j'aurais pu m'appuyer dessus et euh nous ne parlerions pas de ça aujourd'hui. Donc on a quand même un regard inversé par les gens qui nous disent "On nous a pas bien consulté. On a des gens comme Exatus ou d'autres qui disent "On a les solutions, on les a." Donc on va essayer de comprendre un peu les positions mais tout le monde nous dit tout ce qu'on a auditionné dans les dans les privés surtout ça capable de nous dire "Oui, on peut le faire sauf qu'on a biaisé les choses au départ l'appel d'offre s'il y en a eu un d'ailleurs c'est c'est toujours se rappeler bon on ira voir de plus près.

Comment on a fait pour compresser les délais ? Comment on a fait pour changer les la donne au foyer à mesure pour que ça atterrisse là où on voulait ? Peut-être que ça atterrisse.

Donc c'est peut-être pas votre problème, c'est le nôtre. Mais ces gens nous répètent les différentes acteurs qu'on peut le faire. Et moi ce qui m'est ce qui m'interpelle le plus c'est cette commande qu'on a donné qui quand même un montant de combien la commande de Lugaps de pour les données de santé c'est combien de millions au lieu de faire travailler des gens qui sont en capacité de le faire à l'adresse c'était moins de 200000 € le monde de commande pardon c'était quelques centaines de milliers d'euros le vent non mais le marché global d'hébergement est plus cher que ça il est plus important ça il faut que vous voyez avec l'UGAP 80 millions on parle donc c'est quand même une masse qui aurait pu permillir ou mais là vous parlez de l'UGAP du coup vous parlez même pas du ministère enfin Attention quand même parce que il y a pas que le ministère de la santé qui peut consommer du Microsoft à UGAP à l'époque.

Je sais d'ailleurs pas si le marché existe encore. Euh moi, je suis à votre disposition au cas par cas, entreprise par entreprise pour vous dire les services qu'il n'avaient pas, qu'ils n'ont toujours pas à l'époque et donc il n'avaient à Forceurie pas il y a quelques années. Parce que les études elles existent.

On on peut vous les fournir. Euh il y en a un certain nombre qui sont déjà publiés parce qu'il y a eu euh des demandes d'ouverture de ces documents, ce qui est tout à fait légitime. Moi, je suis à votre disposition pour vous répondre au cas par cas euh parce que là, je je ne peux pas je peux pas avancer différemment.

Je c'est c'est pas une question de parole contre parole à un moment donné. On parle vraiment de services précis de sécurité. Est-ce qu'ils existent ou non ? vous devraz être capable d'objectiver ça.

Oui, étant entendu, ça nous a bien été rappelé par des acteurs et nous avons l'occasion aussi de pratiquer ce sujet aussi en tant qu'élu locaux que beaucoup dépend de la façon dont les choses sont rédigées. C'estàd que pour un même objectif, vous pouvez orienter bah là honnêtement on a rencontré les acteurs de la filière. Encore une fois, vous pouvez tout à fait considérer, c'est votre droit. euh que euh nous sommes ignars en la matière.

Euh nous avons la prétention de penser euh en tout état de cause au regard de ce qui nous a été confirmé par les entreprises et les organisations professionnelles qui les représentent. Euh et heureusement d'ailleurs qu'il y a possibilité d'orienter d'une façon ou d'une autre les choix qui sont ensuite opérés. au cas pour être tout à fait clair parce que nous devons mettre un terme à cette audition.

Nous vous demanderons évidemment différentes étapes, tous les éléments liés au choix de CAPG Gémini, la communication des études qui ont été réalisées et qui ont présidé au choix final de la solution portée par Microsoft. Nous entendons bien aussi, et là votre message est très clair, nous n'avions pas de doute en la matière qu'il y a des responsabilités à établir aussi bien du côté de l'UGAP que des ministères. Ça c'est très clair.

Ce n'est pas de votre ressort personnel mais c'est de notre responsabilité de savoir précisément qui a fait quoi dans ce processus. Ensuite sur le else data parce que pour rebondir sur la remarque de notre collègue Catherine Morin de Saite Internet en l'occurrence c'est bien l'adresse web qui est rédigée de la sorte et c'est même le logo et le nom qui est sur le site internet. Donc là aussi c'est un détail mais il importera de de faire le nécessaire sur le budget.

Moi, j'entends bien quand vous renvoyez à l'UGAP, mais malgré tout, au-delà du droit tirage, il y a bien des lignes budgétaires qui euh sont visibles. Donc nous demanderons précisément les sommes dont il est question évidemment pour CAPG Mini, pour Microsoft, au regard des services qui sont demandés par la plateforme des données de santé. Et puis dernière question pour terminer aujourd'hui, où sont physiquement hébergées les données de santé de la plateforme des données de santé ?

Vous voulez l'adresse du data center de Microsoft ? Pardon, j'ai Oui, oui. Je En France, région parisienne, je peux pas vous donner l'adresse exacte.

D'accord. Uniquement, enfin physiquement hébergé en France. Oui.

D'accord. Très bien. Donc là aussi, on on demandera les les précisions utiles et et les documents nécessaires.

Nous vous remercions. Nous aurons donc l'occasion de de poursuivre ces échanges par écrit au cours des prochains jours et des prochaines semaines. Nous vous demanderons évidemment dans les meilleurs délais de pouvoir nous transmettre les informations et les documents qui ont été évoqués. par les collègues et et par moi-même.

Merci madame la directrice. Merci à vous pour votre écoute.