La France décide de ne plus dépendre de Microsoft pour les données de santé

Les inquiétudes concernant la souveraineté numérique entraînent un changement

Le gouvernement français a lancé un programme visant à réduire la dépendance des services de santé à l’égard des logiciels fournis par la société technologique américaine Microsoft, dans le cadre d’un changement important motivé par les inquiétudes concernant la souveraineté numérique et le contrôle étranger des infrastructures critiques.

Au cœur du problème se trouve la Plateforme des données de santé (PDS), plateforme numérique hébergée depuis sa création en 2019 sur Microsoft Azure, malgré les réserves exprimées par la CNIL.

Le PDS contient des enregistrements de presque toutes les interactions électroniques au sein du système de santé français. Les spécialistes de la sécurité affirment que les informations permettant d’identifier les patients ou les professionnels de la santé ont été supprimées et que les données sont conservées sous forme anonymisée pour soutenir la recherche médicale.

Inquiétudes croissantes concernant le contrôle des données

L’opposition à la confiance d’un système aussi sensible à une entreprise américaine est un thème récurrent dans le débat politique français, axé sur les implications du placement d’infrastructures critiques sous contrôle juridique et politique étranger.

La question a pris de l’importance dans un contexte de tensions géopolitiques plus larges, notamment sous la deuxième présidence de Donald Trump et sous la direction du secrétaire américain à la Santé, Robert F. Kennedy Jr.

Une inquiétude particulière a suivi les sanctions américaines imposées aux juges de la Cour pénale internationale de La Haye, qui ont intensifié le débat européen sur la vulnérabilité des institutions publiques dépendantes des grands fournisseurs de technologie américains.

Les législations américaines telles que le Cloud Act et les dispositions du Foreign Intelligence Surveillance Act (FISA) ont encore renforcé les craintes que les autorités américaines puissent exiger la divulgation des données détenues par les fournisseurs de cloud américains, même lorsqu’elles sont stockées en Europe.

Transition vers des fournisseurs européens

Lorsque Microsoft a été sélectionné pour héberger le PDS, le gouvernement a déclaré qu’aucun fournisseur français n’atteignait ses performances et ses capacités de sécurité.

Cependant, suite à une pression politique et institutionnelle soutenue, un nouveau processus d’appel d’offres a été lancé en 2025, mettant davantage l’accent sur la souveraineté numérique..

Les critères révisés excluaient effectivement Microsoft du conflit.

En avril, le gouvernement a annoncé que Scaleway avait été retenu pour exploiter la plateforme. L’entreprise fait partie du Groupe Iliad, surtout connu pour sa marque de télécommunications Free.

Les conditions financières n’ont pas été divulguées, même si les estimations du secteur estiment le contrat à environ 6 millions d’euros sur quatre ans.

L’infrastructure sera hébergée en Europe, mais pas nécessairement en France même, selon Scaleway.

Examen Doctolib

Avec la transition PDS en cours, l’attention se tourne vers Doctolibqui exploite le système de prise de rendez-vous médical dominant en France.

Doctolib détient des données relatives à environ 50 millions de personnes, soit environ 70 % de la population française, ainsi que des informations sur 500 000 professionnels de santé. Ses données sont hébergées par Amazon Web Services.

Cet arrangement le place sous les mêmes cadres juridiques américains – y compris les dispositions du Cloud Act et de la FISA – qui ont incité à examiner le rôle de Microsoft dans le système PDS.

Doctolib a jusqu’à présent résisté aux appels visant à délocaliser son hébergement de données vers un fournisseur européen, arguant qu’aucune alternative nationale ou européenne n’égale actuellement l’ampleur et la fiabilité des hyperscalers américains.

L’entreprise a également fait l’objet d’un contrôle judiciaire en France concernant des allégations de transfert non autorisé de données à l’étranger, mais l’affaire a finalement été résolue en sa faveur par le Conseil d’État, la plus haute juridiction administrative de France.

Doctolib a apporté des ajustements limités à sa stratégie d’infrastructure, notamment en transférant certaines données vers S3NS, une joint-venture entre Thales et Google, reflétant un modèle hybride de conformité et de diversification des risques.

Toutefois, la dépendance à l’égard des infrastructures liées aux États-Unis reste essentielle à ses opérations.

Pressions sur la souveraineté européenne et nationale

Les préoccupations de souveraineté numérique ne se limitent pas aux données de santé. Le Parlement européen a remplacé Google par le moteur de recherche français Qwant sur des milliers de systèmes internes, bien que Qwant lui-même ait été critiqué pour sa dépendance à l’infrastructure Bing de Microsoft.

En France, des préoccupations similaires s’étendent aux systèmes de communication gouvernementaux. La plateforme de messagerie sécurisée Tchap, utilisée par les ministres et les fonctionnaires, a récemment été compromise après qu’un pirate informatique a pris le contrôle d’un compte utilisateur. Le Direction interministérielle du Numérique (DINUM) a déclaré qu’aucun message stocké n’avait été consulté.

Le gouvernement a également encouragé l’adoption de l’application de messagerie cryptée développée en France, Olvid, comme alternative aux plateformes américaines telles que WhatsApp, même si son adoption reste limitée.

Malgré le changement de politique en faveur des fournisseurs européens, les responsables restent confrontés à un dilemme structurel : trouver un équilibre entre les objectifs de souveraineté et les capacités de performance, d’échelle et de sécurité des fournisseurs de cloud hyperscale américains, qui dominent toujours les marchés mondiaux des infrastructures.