Cloud souverain pour la santé : au-delà du HDS

Le HDS ne suffit plus : pourquoi ?

Pendant des années, la certification HDS (Hébergeur de Données de Santé) a été perçue comme le Graal de la conformité pour les données de santé en France. Et à juste titre : elle impose des exigences élevées en matière de sécurité, de disponibilité et de traçabilité.

Mais le paysage a changé. La question n'est plus seulement "mes données sont-elles sécurisées ?" mais "qui peut y accéder ?" Et sur ce terrain, la certification HDS seule ne répond plus à toutes les menaces.

Le cloud souverain pour la santé est devenu un enjeu stratégique pour les établissements, les éditeurs et les hébergeurs. Voici pourquoi, et comment s'y préparer.

Le problème : les lois extraterritoriales

Le Cloud Act américain

Adopté en 2018, le Cloud Act (Clarifying Lawful Overseas Use of Data Act) permet aux autorités américaines de contraindre toute entreprise de droit américain à fournir les données qu'elle détient, quel que soit le lieu de stockage physique de ces données.

Concrètement : si vos données de santé sont hébergées chez AWS, Microsoft Azure ou Google Cloud Platform, elles sont potentiellement accessibles aux autorités américaines, même si les serveurs sont physiquement en France.

FISA Section 702 et EO 12333

Le Cloud Act n'est pas isolé. La section 702 du Foreign Intelligence Surveillance Act et l'Executive Order 12333 autorisent la surveillance des communications de personnes non américaines, sans notification ni mandat judiciaire au sens européen.

L'impact concret pour la santé

Pour les données de santé, les implications sont graves :

• Un gouvernement étranger peut potentiellement accéder aux dossiers patients
• Les patients et les professionnels de santé ne sont pas informés de ces accès
• Le secret médical, pilier du système de santé français, est potentiellement compromis
• La conformité RGPD est mise en question (transferts de données hors cadre légal)

Héberger des données de patients français chez un fournisseur soumis au Cloud Act, c'est accepter un risque juridique et éthique que la plupart des établissements de santé n'ont pas mesuré.

HDS vs SecNumCloud : quelles différences ?

Ce que HDS garantit

La certification HDS assure un niveau de sécurité technique élevé :

• Chiffrement des données au repos et en transit
• Gestion des accès et traçabilité
• Plans de continuité et de reprise d'activité
• Audits réguliers par des organismes accrédités COFRAC

Mais elle ne pose aucune exigence sur la nationalité de l'hébergeur, sa structure capitalistique ou sa soumission à des lois extraterritoriales. Un hébergeur certifié HDS peut parfaitement être une filiale d'un groupe américain.

Ce que SecNumCloud ajoute

La qualification SecNumCloud de l'ANSSI, dans sa version 3.2, ajoute des exigences de souveraineté :

• Entité de droit européen : l'hébergeur ne peut pas être une entreprise de droit américain
• Capital européen : détention majoritaire par des entités européennes
• Immunité aux lois extraterritoriales : aucune législation non européenne ne peut s'appliquer aux données
• Données en UE : stockage et traitement exclusivement dans l'Union européenne
• Support en UE : les équipes de support sont basées en Europe

En résumé

• HDS = sécurité technique des données de santé
• SecNumCloud = sécurité technique + souveraineté juridique
• HDS + SecNumCloud = le niveau de protection maximal disponible aujourd'hui

Les acteurs du cloud souverain en France

Outscale (Dassault Systèmes)

Outscale est le premier fournisseur cloud français doublement qualifié SecNumCloud et certifié HDS. Filiale de Dassault Systèmes (groupe 100 % européen), il propose des services IaaS (machines virtuelles, stockage, réseau) avec une API compatible AWS.

C'est le choix que nous avons fait chez Ducal pour héberger les données de santé de nos clients. La compatibilité API avec AWS facilite les migrations et l'utilisation d'outils standard.

OVHcloud

OVHcloud, premier hébergeur européen, a obtenu la qualification SecNumCloud pour certains de ses services. Sa gamme Healthcare est certifiée HDS. L'avantage : une offre large et des prix compétitifs. Le point d'attention : vérifier que les services utilisés sont bien dans le périmètre qualifié.

Autres acteurs

D'autres acteurs sont en cours de qualification ou offrent des niveaux intermédiaires de souveraineté : NumSpot (consortium Docaposte, Dassault, Bouygues Telecom), Cloud Temple, Scaleway (à vérifier pour SecNumCloud). Le marché évolue rapidement.

Héberger un site web de santé : faut-il du cloud souverain ?

C'est une question fréquente. La réponse dépend du contenu et des fonctionnalités du site.

Cas 1 : Site vitrine sans données de santé

Un site de présentation d'un établissement, sans formulaire collectant des données médicales, sans portail patient, n'a pas besoin d'un hébergement HDS ni SecNumCloud. Un hébergement de qualité avec des mesures de sécurité standard suffit.

Cas 2 : Site avec données de santé

Dès que le site collecte ou traite des données de santé (portail patient, formulaires avec motif médical, annuaire avec données sensibles), l'hébergement HDS est obligatoire. Le cloud souverain est recommandé.

Cas 3 : Plateforme critique (ETP, coordination, DPI)

Pour les plateformes manipulant des données de santé sensibles en volume (ETP, coordination territoriale, DPI), le couple HDS + SecNumCloud est la cible. C'est le standard que nous appliquons chez Ducal pour toutes nos solutions.

Comment migrer vers un cloud souverain ?

Étape 1 : Cartographier vos données et vos hébergements

Avant toute migration, faites l'inventaire :

• Quelles données de santé hébergez-vous ?
• Chez quels prestataires sont-elles stockées ?
• Quels sont les flux de données entre vos systèmes ?
• Quels prestataires sont soumis à des lois extraterritoriales ?

Étape 2 : Prioriser les migrations

Tous les systèmes ne présentent pas le même niveau de risque. Commencez par les données les plus sensibles : dossiers patients, données d'ETP, données de coordination.

Étape 3 : Choisir votre hébergeur souverain

Comparez les offres sur les critères essentiels :

• Qualification SecNumCloud + certification HDS
• Services disponibles (IaaS, PaaS, SaaS)
• Support en français et en heures ouvrées France
• Compatibilité avec vos outils existants
• Prix et modèle de tarification

Étape 4 : Planifier et exécuter la migration

La migration technique peut être simple (transfert de VMs, réplication de bases de données) ou complexe (re-architecture d'applications SaaS). Faites-vous accompagner par un prestataire qui connaît à la fois le cloud cible et les contraintes du secteur santé.

Étape 5 : Mettre à jour la documentation de conformité

Après migration, mettez à jour :

• Le registre des traitements RGPD
• Les contrats de sous-traitance (DPA)
• L'analyse d'impact (AIPD) si elle existe
• La politique de sécurité des systèmes d'information

Le cloud souverain coûte-t-il plus cher ?

Oui, les services cloud souverains sont généralement plus chers que les offres des hyperscalers américains. L'écart se situe typiquement entre 20 et 40 % selon les services. Mais ce surcoût doit être mis en perspective :

• Conformité assurée : pas de risque de sanction CNIL ou pénale
• Souveraineté garantie : aucun accès extraterritorial possible
• Support de proximité : en français, avec connaissance du contexte réglementaire
• Pérennité : pas de dépendance à un acteur soumis à des contraintes géopolitiques

Le coût du cloud souverain est un investissement dans la conformité et la confiance. Il est incomparablement plus faible que le coût d'un incident de sécurité ou d'une violation de données.

Ce qu'il faut retenir

La certification HDS est nécessaire mais pas suffisante. La souveraineté des données de santé impose de regarder au-delà de la sécurité technique, vers la souveraineté juridique. Le Cloud Act et les lois extraterritoriales créent un risque réel pour les données hébergées chez des fournisseurs non européens.

Le couple HDS + SecNumCloud est aujourd'hui le standard le plus exigeant disponible en France. Les acteurs qualifiés existent (Outscale, OVHcloud) et les offres sont matures. La migration est un projet, pas un obstacle.

Chez Ducal, nous avons fait de la souveraineté numérique un principe fondateur. Toutes nos solutions sont hébergées sur Outscale (HDS + SecNumCloud), et nous accompagnons nos clients dans leur stratégie d'hébergement souverain. Nos solutions open source renforcent cette transparence. Pour un audit de votre hébergement actuel ou un projet de migration, contactez-nous.