La souveraineté numérique en santé aura son rendez-vous national. Dijon accueille les 10 et 11 février 2027 les premiers Santenov Days consacrés au sujet. L’annonce tombe trois mois après la sortie de la plateforme française des données de santé du cloud de Microsoft. Reste à savoir ce que le mot recouvre vraiment, entre certification HDS, qualification SecNumCloud, cloud souverain et règlement européen.
En résumé
La France avance sur la souveraineté numérique en santé. L’essentiel se joue pourtant dans des détails techniques que les annonces gomment.
1. Le rendez-vous existe. Dijon accueille les 10 et 11 février 2027 le premier forum national dédié au sujet. Dominique Pon, ancien responsable du numérique en santé au ministère, en signe l’ouverture.
2. Le symbole est acquis, la garantie non. Le Health Data Hub quitte Azure pour Scaleway, un acteur français qui n’a pas encore la qualification SecNumCloud de l’ANSSI. Cette qualification n’était pas exigée par le marché.
3. Changer d’hébergeur ne protège pas d’un rançongiciel. La santé est restée le troisième secteur le plus visé en France en 2025, avec 10 % des interventions de l’ANSSI.
Un premier forum national, six ans après le début du débat
Le cluster santé régional Santenov Dijon Bourgogne organise les premiers Santenov Days « e-santé et souveraineté ». Rendez-vous les 10 et 11 février 2027 au Palais des congrès de Dijon. La Gazette France a révélé l’information le 29 juillet 2026. Deux jours de conférences et de retours d’expérience, entre hospitaliers, industriels, start-up et institutions.
L’ouverture est confiée à Dominique Pon, directeur général de La Poste Santé & Autonomie. Le choix n’est pas neutre. Cet homme a piloté la feuille de route du numérique en santé au ministère entre 2019 et 2022. C’est la période où le Health Data Hub est parti chez Microsoft. Il dirige aujourd’hui un opérateur qui se positionne précisément sur le créneau du numérique de santé souverain. Un forum institutionnel qui s’ouvre sur un acteur du marché, cela mérite d’être signalé au lecteur.
Reste que le sujet n’avait effectivement aucun rendez-vous national. Six ans après la première polémique sur l’hébergement des données de santé françaises, la souveraineté numérique en santé se dote enfin d’une adresse.
Le Health Data Hub quitte Azure, sans le label SecNumCloud
La souveraineté numérique en santé s’est jouée cette année sur un appel d’offres plus que sur une tribune. Le gouvernement a lancé sa procédure de migration en février 2026. Le 23 avril 2026, la Plateforme des données de santé a annoncé le nom du repreneur : Scaleway, filiale du groupe Iliad. La copie autonome de la base principale du SNDS doit basculer entre la fin 2026 et le début 2027. L’évaluation a porté sur plus de 350 exigences techniques, avec l’appui de la DINUM et d’Inria.
Le geste politique est réel. La base de santé la plus sensible du pays sort d’une infrastructure américaine. Le choix initial avait été contesté jusque devant le Conseil d’État.
Le détail qui coince tient en une ligne : Scaleway n’était pas qualifié SecNumCloud au moment de sa sélection. L’entreprise a engagé la démarche en janvier 2025 et ne détient toujours pas le visa de l’ANSSI. Cette qualification ne figurait pas parmi les prérequis du marché. Cloud Temple, Docaposte, OVH, Atos et S3NS avaient répondu ; Bleu, la coentreprise Microsoft, Orange et Capgemini, ne s’est pas présentée.
Le repère · HDS et SecNumCloud, deux tampons différents
La certification HDS (hébergeur de données de santé) est obligatoire pour héberger des données de santé à caractère personnel en France. Elle couvre six activités, du site physique à l’infogérance. Son socle : la norme ISO 27001, augmentée d’environ 80 exigences propres à la santé. Plus de 130 hébergeurs la détiennent, dont Microsoft Azure, Amazon Web Services, Google Cloud et OVHcloud.
La qualification SecNumCloud, délivrée par l’ANSSI, ajoute une condition que la HDS ignore : l’immunité aux législations extracommunautaires, donc au Cloud Act américain. Onze prestataires seulement l’ont obtenue, parmi lesquels OVHcloud, Outscale, Cloud Temple, Orange Business et Thales. Une vingtaine d’autres sont en cours de qualification.
Ce qu’il faut retenir : la HDS certifie des procédures de sécurité, pas une nationalité juridique. Un service peut être parfaitement HDS et rester exposé à une injonction américaine.
Ce que Microsoft a reconnu devant le Sénat
Le 10 juin 2025, la commission d’enquête sénatoriale sur la commande publique auditionnait Microsoft France. Face aux sénateurs : Anton Carniaux, directeur des affaires publiques et juridiques du groupe. Pouvez-vous garantir que les données des citoyens français ne seront jamais transmises à l’administration américaine ? Sa réponse : « Non, je ne peux pas le garantir. » Contraint par une décision de justice américaine, l’éditeur remettrait les données.
Cette phrase a fait plus pour le débat sur la souveraineté numérique en santé que dix rapports. Elle dit une chose simple : la localisation des serveurs en Europe ne règle pas la question du droit applicable à l’entreprise qui les exploite.
Vigilance
Une application de santé peut afficher en toute honnêteté la mention « hébergement HDS » tout en reposant sur un fournisseur soumis au Cloud Act. Le logo ne dit rien du droit applicable : la question à poser à un éditeur est celle de la maison mère de son hébergeur.
D’où l’intérêt du précédent S3NS. Cette coentreprise entre Thales et Google a décroché la qualification SecNumCloud le 19 décembre 2025 sur son offre PREMI3NS. Elle a démontré qu’elle opère la technologie licenciée hors de portée du droit américain. Le prix à payer est instructif : S3NS doit analyser chaque mise à jour publiée par Google avant de la déployer. La souveraineté a un coût en agilité, et il vaut mieux l’annoncer que le découvrir.
L’EHDS fixe le calendrier, l’Europe fixe la note
Le règlement européen sur l’espace européen des données de santé, entré en vigueur le 26 mars 2025, va rebattre les cartes. Les États membres devront proposer des systèmes de dossier médical conformes dès mars 2027. Les catégories de données prioritaires, dont l’ordonnance électronique et la synthèse patient, sont attendues pour le 26 mars 2029. L’imagerie médicale et les comptes rendus d’hospitalisation suivront en 2031. Les manquements exposent à 20 millions d’euros d’amende ou 4 % du chiffre d’affaires annuel.
Le texte déplace le curseur. La question n’est plus seulement « où sont stockées les données », mais « qui peut y accéder, pour quel usage, et sous quel contrôle ». Le sujet dépasse déjà les hôpitaux : les assistants grand public proposent aujourd’hui d’analyser les dossiers médicaux de leurs utilisateurs, sur des infrastructures qui ne relèvent d’aucun droit européen. L’interopérabilité imposée par l’EHDS multiplie mécaniquement les points d’accès, et chaque point d’accès est une surface d’attaque de plus. La souveraineté numérique en santé se jouera autant sur les autorisations que sur la géographie des serveurs.
La souveraineté numérique en santé ne remplace pas la sécurité
Le panorama de la cybermenace publié par l’ANSSI le 11 mars 2026 donne la mesure du problème réel. L’agence a traité 1 366 incidents en 2025 sur 2 209 signalements, dont 128 attaques par rançongiciel et 196 exfiltrations de données. La santé arrive au troisième rang des secteurs concernés, avec 10 % des interventions, derrière l’enseignement et les collectivités.
Aucune de ces attaques n’aurait été empêchée par un changement d’hébergeur. Un serveur d’imagerie sous système d’exploitation obsolète dans un centre hospitalier reste vulnérable, qu’il soit sauvegardé chez Scaleway ou chez Amazon. Ce qui protège un hôpital ? Une équipe qui applique les correctifs, un réseau segmenté, des sauvegardes testées et des exercices de crise. Il y faut aussi un budget de sécurité qui ne saute pas au premier arbitrage. La directive NIS 2 pousse dans ce sens, sans financement dédié pour l’instant.
Le risque de l’année 2027 est là. Que la souveraineté numérique en santé devienne un mot de colloque. Pendant ce temps, les services informatiques hospitaliers réclament toujours des postes.
Qu’est-ce que la souveraineté numérique en santé ?
C’est la capacité d’un pays à garder la main sur les données et les logiciels de son système de soins. L’enjeu : ne dépendre ni d’un droit ni d’un fournisseur étranger. Elle couvre l’hébergement des données, les outils métiers des hôpitaux et, de plus en plus, les modèles d’intelligence artificielle utilisés en clinique.
La certification HDS suffit-elle à protéger les données de santé ?
Non. La certification HDS impose un niveau de sécurité et un hébergement dans l’Union européenne, mais elle ne rend pas l’hébergeur imperméable au droit américain. Un fournisseur américain certifié HDS reste soumis au Cloud Act. La qualification SecNumCloud de l’ANSSI est le seul visa français qui traite ce point.
Où seront hébergées les données du Health Data Hub ?
Chez Scaleway, opérateur français retenu et annoncé le 23 avril 2026. La bascule depuis Microsoft Azure est prévue entre la fin 2026 et le début 2027. Scaleway est engagé dans une démarche de qualification SecNumCloud depuis janvier 2025, sans l’avoir encore obtenue.
Quand l’EHDS s’appliquera-t-il concrètement ?
Le règlement est entré en vigueur le 26 mars 2025. Les obligations sur les catégories de données prioritaires, comme la synthèse patient et l’ordonnance électronique, s’appliqueront à partir du 26 mars 2029. L’imagerie médicale et les comptes rendus d’hospitalisation suivront en mars 2031.
Un forum national, une migration réussie et un règlement européen ne font pas une politique de souveraineté numérique en santé. La bonne question à poser aux intervenants de Dijon en février prochain n’est pas « sommes-nous souverains ». C’est « combien de nos hôpitaux peuvent restaurer leurs données en moins de 48 heures ».
Les sources citées
- La Gazette France. Dijon accueille le premier forum national consacré à la souveraineté du numérique en santé, 29 juillet 2026.
- Plateforme des données de santé. La Plateforme des données de santé engage sa migration vers un cloud souverain avec Scaleway, 23 avril 2026.
- Le Monde Informatique. Scaleway devient l’hébergeur du Health Data Hub, 2026.
- Sénat, commission d’enquête sur la commande publique. Audition d’Anton Carniaux, Microsoft France, 10 juin 2025.
- ANSSI. Panorama de la cybermenace 2025, 11 mars 2026.
- Next. S3NS obtient la qualification SecNumCloud par l’ANSSI, 19 décembre 2025.
- Règlement (UE) 2025/327 relatif à l’espace européen des données de santé, en vigueur depuis le 26 mars 2025.
