Scaleway, souveraineté propriétaire ou commun ?

Une annonce, trois faits qui méritent vérification

Le communiqué officiel du 23 avril 2026 retient trois éléments structurants. Scaleway, filiale du groupe Iliad, devient le « futur hébergeur » de la Plateforme des Données de Santé (PDS). La procédure n'est pas un appel d'offres ad hoc mais une mise en concurrence menée sur le marché « Nuage public » de l'UGAP, sur la base de plus de trois cent cinquante exigences techniques évaluées en deux mois et demi. Le calendrier annoncé prévoit qu'une copie complète du Système national des données de santé (SNDS) sera gérée en autonomie par la PDS « entre la fin de l'année 2026 et le début de l'année 2027 ».

La presse spécialisée a reconstitué la liste des compétiteurs évalués (OVHcloud, Cloud Temple, S3NS, Atos, Docaposte) à partir de fuites antérieures à l'annonce, sans citation directe attribuable aux dirigeants de la PDS ou de Scaleway. L'élément central du communiqué tient en réalité dans la formulation choisie. La PDS retient le terme « cloud souverain », sans recourir au vocable « cloud de confiance » que l'État et l'ANSSI ont stabilisé depuis 2021 pour désigner les offres qualifiées SecNumCloud. La nuance n'est pas cosmétique. Elle traduit un écart entre l'identité revendiquée du choix et le statut réglementaire du fournisseur retenu.

Car Scaleway dispose effectivement de la certification HDS (Hébergeur de Données de Santé) obtenue en juillet 2024, indispensable à toute prestation de cette nature. Mais sa qualification SecNumCloud est seulement engagée. Le J0 de la procédure a été validé le 9 janvier 2025. L'objectif initial de qualification « avant la fin 2025 » a été dépassé sans qu'un nouveau calendrier ferme soit publié. L'annonce du 23 avril 2026 contractualise donc une migration vers un opérateur dont l'immunité aux lois extraterritoriales américaines, qui constitue le cœur de la promesse SecNumCloud, n'est pas encore réglementairement attestée.

Encadré 1. SecNumCloud et HDS : deux étiquettes, deux portées juridiques

La certification Hébergeur de Données de Santé (HDS), gérée par l'Agence du numérique en santé, atteste de la conformité à un référentiel de sécurité spécifique aux données de santé. Elle est obligatoire pour héberger ce type de données, mais ne dit rien de la juridiction du prestataire ni de son exposition aux lois extraterritoriales étrangères.

La qualification SecNumCloud, délivrée par l'ANSSI, ajoute à un socle de sécurité une exigence d'immunité aux législations extraterritoriales (Cloud Act américain, FISA 702). Elle suppose un capital européen, une juridiction européenne, et une chaîne contractuelle qui empêche tout transfert. Au 25 avril 2026, neuf prestataires sont qualifiés (parmi lesquels OVHcloud, 3DS Outscale, Cloud Temple, Orange Business, Worldline, Oodrive, S3NS depuis décembre 2025). Une dizaine d'autres sont en cours de qualification, dont Scaleway, Bleu et NumSpot.

Sept ans d'errance et l'ombre du Conseil d'État

Comprendre l'annonce du 23 avril 2026 suppose de rouvrir le dossier. La PDS est créée par l'article 41 de la loi du 24 juillet 2019 relative à l'organisation et à la transformation du système de santé. L'arrêté du 29 novembre 2019 lui donne son nom légal. Health Data Hub (HDH) reste la marque internationale, et Plateforme des Données de Santé, le nom officiel français, n'a jamais cessé de l'être. Cette précision compte parce qu'elle disqualifie la lecture d'un « renommage récent ». Le glissement sémantique observé dans la communication relève d'une évolution d'identité visuelle décidée le 22 avril 2026, à la veille de l'annonce Scaleway, pas d'un changement institutionnel.

Le contrat initial avec Microsoft Ireland Operations Limited est signé en avril 2020, via la centrale d'achat UGAP et l'intégrateur SCC. Dès l'automne 2020, l'association Santénathon (CNLL, InterHop, Nexedi, Soft, Ploss-AURA et autres requérants) saisit le Conseil d'État. Dans son ordonnance de référé du 13 octobre 2020, le juge administratif reconnaît un risque, sans toutefois suspendre l'exécution. Le ministre de la santé prend alors un engagement écrit auprès de la présidente de la CNIL, daté du 19 novembre 2020. Le délai de migration vers un hébergeur protégé du droit américain « doit, dans un délai qui soit autant que possible compris entre 12 et 18 mois et, en tout état de cause, ne dépasse pas deux ans ».

L'engagement n'a pas été tenu. Cinq ans plus tard, en novembre 2025, la Cour des comptes documente l'écart dans son rapport sur le Fonds pour la transformation de l'action publique. Le retour sur investissement initial du HDH, projeté à cinquante-quatre millions d'euros, est révisé à cinq cent mille euros. La trajectoire d'usage est restée bien en deçà des hypothèses d'origine. Le rapport sénatorial 873 (2022-2023), porté par Catherine Deroche, avait déjà identifié, en juillet 2023, que la principale faiblesse du dispositif tenait à l'impossibilité d'exercer sa mission première, l'hébergement consolidé du SNDS.

Au sein même des autorités, les positions se sont durcies. La délibération de la CNIL 2023-146 du 21 décembre 2023, qui autorise pour trois ans l'hébergement de la base EMC2 chez Microsoft, déplore qu'aucun prestataire alors disponible ne protège les données contre l'application de lois extraterritoriales. La présidente de la CNIL, Marie-Laure Denis, a précisé en 2025 que les données du SNDS, dans leur ensemble, ne devraient pas être hébergées chez un acteur extra-européen. Le directeur général de l'ANSSI, Vincent Strubel, devant la commission d'enquête du Sénat le 28 mai 2025, formule une thèse qui sera ensuite reprise dans une tribune publique en janvier 2026 (« SecNumCloud est un outil de cybersécurité, pas de politique industrielle »). L'État sortait de l'ambiguïté à mesure que l'horizon de l'EHDS se rapprochait.

Le précédent Cloudwatt-Numergy

Lire l'annonce Scaleway sans le précédent Cloudwatt-Numergy revient à passer à côté de la grammaire industrielle qui se rejoue. En 2012, dans le sillage du projet « Andromède » porté par la Caisse des Dépôts, l'État pousse à la création de deux opérateurs nationaux concurrents (Cloudwatt, opéré par Orange, Thales et la CDC, et Numergy, opéré par SFR, Bull et la CDC). L'objectif est explicitement de doter l'administration et les entreprises stratégiques d'une alternative française aux hyperscalers américains. La Caisse des Dépôts y investit environ soixante-quinze millions d'euros au total.

L'issue est connue. Cloudwatt et Numergy n'ont jamais atteint la masse critique d'usage qui aurait permis d'amortir leurs investissements et de pérenniser leur trajectoire. Cloudwatt est intégré à Orange Business en 2015 puis abandonné en 2019. Numergy est absorbé par SFR Business. Sur le plan technique, les deux opérateurs reposaient sur OpenStack, le même socle libre que celui qu'utilise aujourd'hui Scaleway. Le différentiel de souveraineté entre Cloudwatt et un hyperscaler américain ne tenait donc pas à la pile technique mais au capital, à la juridiction et au label.

La structure du précédent éclaire la situation présente. Le bien à fournir est de même nature (capacité cloud livrée à des acteurs publics et privés stratégiques). La grammaire industrielle est la même (champion national désigné, financement public direct ou indirect). Le socle technique sous-jacent est de même famille (briques libres mutualisées dans la communauté internationale). Les acteurs publics qui orchestrent sont les mêmes (Caisse des Dépôts à travers OpCore, ministère de l'Économie, doctrine de souveraineté numérique). La variable qui change est l'échelle de marché atteinte par Scaleway, sensiblement supérieure à celle de Cloudwatt-Numergy à période comparable, et la maturité de l'écosystème français du cloud (OVHcloud, Outscale, Cloud Temple, S3NS, Bleu en cours).

Souveraineté juridique, souveraineté technique

C'est ici qu'un cadre conceptuel devient utile. Le débat français sur la souveraineté numérique a longtemps oscillé entre un usage juridique stabilisé et une revendication politique floue. Pauline Türk et Christian Vallar, dans La Souveraineté numérique. Le concept, les enjeux (Mare & Martin, 2017), proposent une distinction qui structure utilement l'analyse. La souveraineté juridique renvoie à la capacité d'un État à imposer son droit sur des activités conduites sur son territoire ou par ses ressortissants, et à protéger ses citoyens contre l'application de droits étrangers extraterritoriaux. La souveraineté technique renvoie à la capacité de produire ou de maîtriser les composants matériels et logiciels qui sous-tendent les services numériques.

Ophélie Coelho, dans Géopolitique du numérique. L'impérialisme à pas de géants (Éditions de l'Atelier, 2023), prolonge cette distinction par une critique opérationnelle. La souveraineté ne se réduit pas à la liberté de choisir ses maîtres. Le choix d'un opérateur français règle la dépendance juridique de premier rang (Cloud Act, FISA 702) mais laisse intactes les dépendances techniques amont. Scaleway, comme tout opérateur cloud contemporain, repose sur des semi-conducteurs largement non-européens (Intel, AMD, NVIDIA pour les calculs accélérés), sur des hyperviseurs et des frameworks dont la maintenance amont dépend de communautés internationales et d'acteurs étrangers, et sur des chaînes logicielles que la qualification SecNumCloud n'audite pas.

Cette distinction recoupe une seconde lecture, architecturale, que propose Francesca Musiani dans Nains sans géants. Architecture décentralisée et services Internet (Presses des Mines, 2015). La gouvernance des infrastructures numériques se joue moins dans le choix nominal du fournisseur que dans la forme de l'architecture retenue. Une centralisation chez un opérateur unique, qu'il s'appelle Microsoft ou Scaleway, conserve la même grammaire. Un fournisseur, des interfaces propriétaires, un coût de sortie élevé, une path dependency qui se reconstitue à chaque cycle. Une architecture distribuée, fédérant les entrepôts hospitaliers existants (AP-HP, Ouest Data Hub, structures régionales) autour de standards ouverts (OMOP, FHIR, Kubernetes amont, S3-compatible), produirait une autre forme de souveraineté.

Encadré 2. Le concept opérationnel : souveraineté propriétaire vs commun européen

La souveraineté propriétaire désigne le choix d'un opérateur national (Bull à l'époque du Plan Calcul, Cloudwatt et Numergy en 2012, Scaleway aujourd'hui) dont le capital, la juridiction et le label garantissent l'immunité juridique. L'infrastructure technique demeure propriétaire, l'achat reste une logique de marché public, et le coût de sortie reproduit, à terme, les conditions du verrouillage initial.

Le commun européen désigne une infrastructure mutualisée, fondée sur des briques logicielles libres entretenues collectivement, gouvernée de manière fédérée par les acteurs publics qui en dépendent. Les initiatives récentes (EuroStack, l'IPCEI-CIS approuvé en décembre 2023, OpenDesk en Allemagne, La Suite Numérique de la DINUM en France) en dessinent les premiers contours, sans avoir encore produit d'infrastructure de stockage de masse opérationnelle.

Path dependency, ou l'effet d'inertie qui se reconstitue

Le concept de path dependency, formalisé par Paul David (1985) et W. Brian Arthur (1989), éclaire ce qui s'est joué pendant les sept années écoulées. Une fois un choix initial réalisé, les coûts de sortie augmentent mécaniquement à mesure que les usages se cristallisent, que les compétences s'organisent autour du fournisseur retenu, et que les flux de données s'accumulent dans son environnement technique. Le contrat Microsoft 2020 a engendré sa propre inertie. La migration prend cinq ans, non pas parce que la décision politique tarde à se former, mais parce que la masse à déplacer croît plus vite que la capacité à la déplacer.

Le risque structurel, à ce stade de l'analyse, devient identifiable. Si la migration vers Scaleway se traduit par une centralisation dans un nouvel environnement propriétaire, sans investissement parallèle dans des standards ouverts ni dans une fédération des entrepôts existants, alors le verrou recommence à se constituer. Le prochain cycle (calcul accéléré pour l'IA générative en santé, edge hospitalier, données de génomique) trouvera la PDS dans la même position qu'en 2024, contrainte de choisir entre rester chez Scaleway et s'engager dans un nouveau projet de migration coûteux.

L'EHDS, le commun fédéré non emprunté

Le calendrier européen rend ce point critique. Le règlement (UE) 2025/327 instituant l'Espace européen des données de santé (EHDS) est entré en vigueur le 26 mars 2025. Son application principale débute le 26 mars 2027, soit précisément au moment où la migration Scaleway s'achèvera, selon le calendrier officiel. La PDS a vocation à devenir l'autorité nationale (HDAB) du nœud français de la fédération européenne HealthData@EU. L'infrastructure mutualisée prévue par l'EHDS suppose une interopérabilité technique qui repose sur des standards ouverts, et une gouvernance fédérée qui s'articule mal avec une concentration nationale chez un fournisseur unique.

Le discours institutionnel français est resté, sur ce point, étonnamment muet. Aucune communication publique de la PDS, de la DINUM, du ministère de la santé ou de l'ANSSI n'articule explicitement le choix Scaleway avec la trajectoire HealthData@EU. La question reste ouverte. Le nœud français de l'EHDS sera-t-il un Scaleway national, doté d'interfaces normalisées vers les nœuds européens ? Ou contribuera-t-il à une infrastructure mutualisée européenne, à laquelle Scaleway et d'autres opérateurs nationaux fourniraient des capacités ? Les deux réponses ne sont pas équivalentes du point de vue de la souveraineté définie comme capacité collective.

Encadré 3. Trois angles morts du discours officiel

Le pari réglementaire. La PDS contractualise avec un fournisseur non encore qualifié SecNumCloud, sur la base de la « crédibilité de sa trajectoire ». Que se passe-t-il si la qualification n'est pas obtenue avant la migration effective ? Aucune clause publique n'expose le mécanisme contractuel.

L'option fédérée non débattue. Le débat public oppose Microsoft à Scaleway. Il n'évoque pas l'alternative architecturale d'une fédération inter-CHU autour de standards ouverts. Cette voie est portée depuis 2020 par InterHop, par certaines équipes hospitalières et par des chercheurs, mais elle n'a pas eu d'incarnation institutionnelle.

L'articulation EHDS. Le calendrier de migration coïncide avec l'application principale de l'EHDS. Aucune communication officielle ne précise comment Scaleway s'inscrit dans l'infrastructure européenne fédérée prévue par le règlement.

Hypothèse vérifiable et indicateurs observables

L'annonce du 23 avril 2026 ouvre une fenêtre d'observation précise. Trois indicateurs publics permettront, d'ici dix-huit à vingt-quatre mois, de déterminer si le choix Scaleway relève d'une rupture de modèle ou d'une souveraineté propriétaire qui reproduit, à fournisseur changé, la grammaire industrielle du précédent Cloudwatt-Numergy.

Le premier indicateur est la qualification SecNumCloud effective de Scaleway d'ici la fin de l'année 2026. Le calendrier initial ayant déjà glissé d'un an, l'écart entre la promesse et l'obtention sera publiquement vérifiable sur le site de l'ANSSI. Le second indicateur est l'exposition d'un premier jeu de données du SNDS à la communauté de recherche sur l'infrastructure Scaleway avant le deuxième trimestre 2027. Les communications publiques de la PDS, ses délibérations en comité scientifique et éthique, et les autorisations CNIL des projets utilisateurs en porteront la trace. Le troisième indicateur est l'articulation publiquement formalisée avec HealthData@EU. La désignation de la PDS comme HDAB française, la publication d'un schéma d'interopérabilité et l'engagement de standards ouverts (OMOP-CDM en particulier) permettront de mesurer si le choix Scaleway s'inscrit dans une infrastructure fédérée européenne ou s'il en demeure isolé.

L'hypothèse formulée par l'analyse présente est testable. Si, au deuxième trimestre 2027, la qualification SecNumCloud de Scaleway n'est pas obtenue, ou si la PDS n'a pas formalisé son rôle de HDAB articulé à HealthData@EU, alors le choix Scaleway aura reproduit la grammaire de la souveraineté propriétaire identifiée chez ses prédécesseurs (Bull, Cloudwatt, Numergy). À l'inverse, si les trois indicateurs convergent positivement, et si la PDS publie d'ici fin 2027 une stratégie d'ouverture des standards (S3-compatible, Kubernetes amont, OMOP, FHIR) compatible avec la fédération européenne, alors un autre régime se sera ouvert. La distinction entre souveraineté propriétaire et commun européen n'est pas une opposition idéologique. C'est une différence opérationnelle dont les jalons d'observation sont publics et datables.

Note méthodologique

Cet article s'appuie sur le communiqué officiel de la Plateforme des Données de Santé du 23 avril 2026, sur l'ordonnance du Conseil d'État n° 444937 du 13 octobre 2020, sur la délibération CNIL 2023-146 du 21 décembre 2023, sur l'audition publique de la commission d'enquête du Sénat (Vincent Strubel, 28 mai 2025) et sur le rapport de la Cour des comptes du 13 novembre 2025. Plusieurs points de précision factuelle ont été tranchés. Le volume « vingt pétaoctets » mentionné dans certaines reprises de presse n'a pas pu être confirmé par source primaire et a été retiré au profit d'une formulation qualitative. Le terme « renommage HDH en PDS » est inexact : Plateforme des Données de Santé est le nom légal depuis l'arrêté du 29 novembre 2019. La citation du directeur général de Scaleway sur les concurrents écartés n'a pas été retrouvée sous forme de citation directe et a été reformulée en discours indirect. L'engagement du ministre de la Santé en 2020 portait sur un délai de douze à dix-huit mois, dans la limite de deux ans, et non « dix-huit à vingt-quatre mois ». Le parallèle historique principal retenu est Cloudwatt-Numergy plutôt que le Plan Calcul, en raison de la proximité structurelle supérieure (même nature du bien, même socle technique, mêmes acteurs publics). Le concept central mobilisé est la distinction souveraineté juridique / souveraineté technique (Türk-Vallar, Coelho), prolongée par la lecture architecturale de Musiani, écartant l'usage décoratif d'autres concepts (isomorphisme, traduction) qui n'auraient pas opéré sur ce cas.

Sources

Sources primaires institutionnelles

Plateforme des Données de Santé, La Plateforme des données de santé engage sa migration vers un cloud souverain avec Scaleway, communiqué, 23 avril 2026, https://www.health-data-hub.fr/actualites/la-plateforme-des-donnees-de-sante-engage-sa-migration-vers-un-cloud-souverain-avec.

Conseil d'État, ordonnance n° 444937, 13 octobre 2020, https://www.conseil-etat.fr/actualites/health-data-hub-et-protection-de-donnees-personnelles-des-precautions-doivent-etre-prises-dans-l-attente-d-une-solution-perenne.

CNIL, délibération 2023-146 du 21 décembre 2023 portant autorisation de la cohorte EMC2, https://www.legifrance.gouv.fr/cnil/id/CNILTEXT000049057224.

Légifrance, Loi n° 2019-774 du 24 juillet 2019 relative à l'organisation et à la transformation du système de santé, article 41, https://www.legifrance.gouv.fr/jorf/article_jo/JORFARTI000038821326.

Légifrance, Arrêté du 29 novembre 2019 portant création du groupement d'intérêt public « Plateforme des données de santé », https://www.legifrance.gouv.fr/jorf/id/JORFTEXT000039433105.

Premier ministre, Circulaire n° 6282-SG du 5 juillet 2021 relative à la doctrine d'utilisation de l'informatique en nuage par l'État (« Cloud au centre »), https://www.legifrance.gouv.fr/circulaire/id/45205.

Premier ministre, Circulaire n° 6404/SG du 31 mai 2023 actualisant la doctrine d'utilisation de l'informatique en nuage par l'État, https://www.legifrance.gouv.fr/circulaire/id/45446.

ANSSI, liste des prestataires qualifiés SecNumCloud, https://cyber.gouv.fr/produits-services-qualifies.

Rapports officiels

Cour des comptes, rapport sur le Fonds pour la transformation de l'action publique, 13 novembre 2025.

Sénat, rapport d'information n° 873 (2022-2023) Données de santé : libérer leur potentiel, Catherine Deroche (présidente), 12 juillet 2023, https://www.senat.fr/rap/r22-873/r22-873-syn.pdf.

Audition de Vincent Strubel, directeur général de l'ANSSI, commission d'enquête du Sénat, 28 mai 2025, https://videos.senat.fr/video.5438123_682c11a9c10d4.audition-de-m-vincent-strubel-directeur-general-de-l-agence-nationale-de-la-securite-des-systemes-d.

DINUM, Bilan « L'État dans le nuage », 26 mars 2026, https://www.numerique.gouv.fr.

Cadre européen

Règlement (UE) 2025/327 du Parlement européen et du Conseil du 11 février 2025 relatif à l'espace européen des données de santé, https://eur-lex.europa.eu/eli/reg/2025/327/oj.

Cadres théoriques

Coelho, Ophélie, Géopolitique du numérique. L'impérialisme à pas de géants, Paris, Les Éditions de l'Atelier, 2023.

Musiani, Francesca, Nains sans géants. Architecture décentralisée et services Internet, Paris, Presses des Mines, 2015.

Türk, Pauline et Vallar, Christian (dir.), La Souveraineté numérique. Le concept, les enjeux, Mare & Martin, 2017.

David, Paul A., « Clio and the Economics of QWERTY », American Economic Review, vol. 75, n° 2, mai 1985, p. 332-337.

Arthur, W. Brian, « Competing Technologies, Increasing Returns, and Lock-In by Historical Events », Economic Journal, vol. 99, n° 394, mars 1989, p. 116-131.

Parallèles historiques

Bauer, Michel et Cohen, Élie, Les Grandes Manœuvres industrielles, Paris, Belfond, 1985 (sur le Plan Calcul, Bull et la CII).

Mounier-Kuhn, Pierre, L'Informatique en France, de la Seconde Guerre mondiale au Plan Calcul, PUPS, 2010.

Presse spécialisée mobilisée à titre confirmatoire

Le Monde Informatique, Scaleway devient l'hébergeur du Health Data Hub, 23 avril 2026, https://www.lemondeinformatique.fr/actualites/lire-scaleway-devient-l-hebergeur-du-health-data-hub-99998.html.

Next, dossier Health Data Hub, articles de février et avril 2026, https://next.ink.

CIO Online, Hela Ghariani prend la tête du Health data hub, avril 2026, https://www.cio-online.com/actualites/lire-hela-ghariani-prend-la-tete-du-health-data-hub-16934.html.

Caducee.net, Plateforme des données de santé : le choix de Scaleway ouvre la phase opérationnelle de la migration, 24 avril 2026, https://www.caducee.net/actualite-medicale/16867.