Données de santé : de la migration vers un cloud souverain à la préparation du cadre européen

Une migration qui illustre la maturité de la filière cloud française

La Plateforme des données de santé met à disposition des chercheurs des données de santé, notamment issues des remboursements de l'Assurance Maladie, ainsi qu'une infrastructure hautement sécurisée pour héberger leurs traitements à des fins de recherche, d'innovation et d'élaboration des politiques publiques.

La sensibilité de ces données impose des exigences particulièrement élevées en matière de cybersécurité, de confidentialité et de protection des informations. En avril 2026, à l'issue d'un processus de sélection exigeant reposant sur plus de 350 critères techniques, le groupement d'intérêt public (GIP) de la Plateforme des données de santé a retenu Scaleway comme hébergeur cloud dans le cadre du marché Nuage public.

La matinée d'échange organisée par la DINUM, avec la PDS et la filière Cloud, le jeudi 5 novembre 2026, s'inscrit dans la continuité de ces travaux.

Partager les avancées techniques pour faire progresser toute la filière

Réunissant une trentaine de représentants de l'État et d'industriels du cloud français*, cette matinée a été consacrée aux enjeux techniques de la migration de la PDS et aux enjeux stratégiques de l'écosystème cloud.

Walter Arnaud, directeur interministériel du numérique, et Hela Ghariani, directrice de la PDS, ont ouvert la matinée en rappelant les ambitions du projet et les enjeux de sécurité liés à la migration.

Sur le plan technique, il a été rappelé que, si la qualification SecNumCloud constitue un cadre de sécurité essentiel, certains risques nécessitent des mesures de protection complémentaires.

Deux besoins de sécurité reposant sur des services cloud ont été présentés pour les illustrer, le premier concerne le cloisonnement des flux réseau en interne : il doit permettre de limiter les communications internes aux seules instances de services cloud autorisées, afin d'empêcher tout transfert non autorisé de données vers un autre espace de stockage, notamment en cas de compromission d'une application ou d'identifiants d'accès. Le second porte sur le contrôle de la configuration des services : les clients doivent pouvoir imposer des règles de sécurité à l'échelle de leur environnement, afin de prévenir les erreurs de configuration et les règles d'accès non conformes, susceptibles d'entraîner une exposition non autorisée des données.

Au-delà des besoins propres à la PDS, ces mécanismes répondent à des enjeux rencontrés par d'autres organisations amenées à traiter des données sensibles. La PDS prévoit ainsi de documenter et de partager, avec l'appui de la DINUM, les principes d'architecture (design patterns) et les dispositifs de sécurité mis en œuvre pour répondre à ces enjeux.

Cette démarche a pour but de permettre aux acheteurs publics et privés de mieux définir leurs besoins en matière de défense en profondeur et aux acteurs du cloud d'identifier ces besoins et de les intégrer dans le développement de leurs offres.

Préparer les futures exigences européennes en matière de données de santé

La dimension européenne de ces travaux a également été abordée, avec une présentation de l'Espace européen des données de santé (EEDS) et des futurs environnements de traitement sécurisés, ou Secure Processing Environments (SPE).

Le règlement européen sur l'EEDS établit un cadre commun pour faciliter l'accès et l'utilisation des données de santé, tout en garantissant leur protection. Son entrée en application est prévue à partir de mars 2029. Le règlement prévoit que le traitement des données de santé dans des projets de recherche et d'innovation soit obligatoirement réalisé au sein d'environnements sécurisés, les SPE, également appelés « bulles sécurisées ».

Un acte d'exécution est actuellement en cours d'élaboration par la Commission européenne afin de préciser les exigences techniques et organisationnelles applicables à ces environnements :

• Le contrôle des accès : seules les personnes physiques énumérées dans l'autorisation de traitement peuvent accéder aux données ;
• La protection des données : des mesures techniques et organisationnelles de pointe doivent limiter les risques de consultation, de copie, de modification ou de suppression non autorisées ;
• La limitation du nombre d’intervenants : seul un nombre restreint de personnes physiques, identifiées et autorisées, peut introduire, inspecter, modifier ou supprimer les données ;
• La traçabilité : les accès et les opérations réalisées doivent être enregistrés pour permettre leur contrôle ;
• La sécurité des traitements : les environnements doivent intégrer des dispositifs de chiffrement, de cloisonnement et de surveillance ;
• Le contrôle des exports : les résultats extraits des environnements sécurisés doivent faire l'objet de vérifications, notamment en matière d'anonymisation.

L'acte d'exécution doit également encadrer l'ensemble du cycle de vie des environnements sécurisés : leur création, le chargement des données, les accès des utilisateurs, les analyses, l'export des résultats et leur dé-commissionnement.

Une consultation publique du texte est prévue afin de recueillir les contributions des parties prenantes. Pour les industriels français et européens du cloud, cette étape représente une occasion importante de faire entendre leur expertise et de contribuer à la définition des futurs standards.

En harmonisant les exigences applicables aux plateformes de données de santé des États membres, ce texte définit également un cadre de référence pour les fournisseurs européens de solutions cloud sécurisées.

De la coopération nationale à la souveraineté numérique européenne

Cette matinée illustre une démarche essentielle pour la souveraineté numérique : faire travailler ensemble les administrations, les autorités de sécurité et les industriels autour de besoins concrets, particulièrement exigeants.

La migration de la plateforme technologique de la Plateforme des données de santé montre qu'un acteur français du cloud peut être mobilisé sur un projet portant sur des données hautement sensibles, dans un cadre où la sécurité, la confidentialité et la maîtrise des infrastructures constituent des priorités absolues.

Le partage des avancées techniques et des enseignements du projet permet ensuite de faire bénéficier l'ensemble de la filière de cette expérience. Enfin, les travaux européens sur les bulles sécurisées ouvrent de nouvelles perspectives pour diffuser ces exigences et valoriser les compétences industrielles françaises à l'échelle européenne.

L'ambition est ainsi double : garantir la protection des données de santé des Français et contribuer à faire émerger un écosystème cloud français et européen capable de répondre aux enjeux stratégiques de demain.

Au 1er janvier 2027, la DINUM qui deviendra l’Autorité référente pour l’intelligence artificielle et le numérique de l’État (Ariane), continuera à porter cette ambition, en accompagnant les administrations dans leurs choix numériques et en favorisant la diffusion des exigences de sécurité et de souveraineté auprès de l'ensemble de la filière.

*Parmi les participants figuraient notamment la direction générale des Entreprises (DGE), la direction générale de la recherche, de l'innovation et du numérique en santé (DGRINES), S3NS, Cloud Temple, Bleu, Outscale, Numspot et Scaleway.