La question du cloud bloque des achats entiers à l'hôpital : les données patients peuvent-elles résider dans Microsoft 365 ou chez un hyperscaler américain ? Nous y répondons juridiquement et techniquement dans un seul mandat, avec analyse des flux, analyse d'impact des transferts, options de chiffrement et d'hébergement, et la plateforme suisse Priverion comme outil souverain.
Pour RSSI hospitaliers, responsables protection des données, achats et gouvernance IT
Peu de sujets retardent les projets IT hospitaliers aussi sûrement que la question de savoir si et comment les données patients peuvent résider dans le cloud.
Microsoft 365, Teams, Exchange Online et Azure sont depuis longtemps standard dans le quotidien hospitalier. Mais dès que des données de santé particulièrement sensibles entrent dans ces services, la question centrale se pose : où les données sont-elles traitées, qui peut y accéder et sur quelle base juridique ? C'est précisément là que les projets basculent dans des blocages de plusieurs mois entre IT, protection des données, juridique et achats.
Au centre se trouve le US CLOUD Act : un fournisseur ayant un lien avec les États-Unis peut être légalement contraint de communiquer des données, même si celles-ci résident physiquement dans un centre de données européen ou suisse. Pour un hôpital, cela signifie un risque théorique d'accès des autorités aux données patients, qui doit être traité proprement dans le droit de la protection des données et l'évaluation des risques, plutôt qu'ignoré dans le processus d'achat.
S'ajoutent la jurisprudence Schrems de la CJUE et les exigences relatives aux transferts de données à l'étranger : le cadre EU-US Data Privacy Framework ou une décision d'adéquation suffisent-ils, faut-il des clauses contractuelles types, et des garanties supplémentaires sont-elles nécessaires au cas par cas ? Ces questions ne se règlent pas en cochant une case dans un formulaire d'achat ; elles exigent une évaluation juridique documentée résistant à un contrôle du PFPDT ou d'une autorité de surveillance de l'UE.
Ce qui complique encore les choses, c'est que l'architecture IT et la situation juridique sont rarement évaluées par les mêmes personnes. L'IT connaît la configuration technique, le juridique connaît les cas de transfert, et aucun des deux côtés n'a à lui seul l'image complète. Nous comblons cette lacune en réunissant les deux perspectives dans un seul mandat.
Il n'y a pas une seule bonne réponse cloud, mais une décision motivée et documentée par catégorie de données et cas d'usage. Voici les voies que nous parcourons avec vous.
Nous commençons par une analyse des flux de données : quelles données de quelle sensibilité entrent dans quels services, dans quelles régions, chez quels sous-traitants ultérieurs ? Ce n'est qu'une fois les flux réels visibles que l'on peut juger où existe réellement un risque de transfert ou d'accès et où il n'existe pas. Souvent, il s'avère qu'une partie seulement des données est critique et peut être traitée de manière ciblée.
Vient ensuite l'analyse d'impact des transferts (TIA) : pour chaque transfert, nous examinons la base juridique, le pays destinataire, la situation d'accès des autorités et l'efficacité des garanties. Le résultat est une évaluation traçable assortie de conditions claires, que nous étayons par des clauses contractuelles types et des mesures techniques et organisationnelles complémentaires.
Côté technique, nous évaluons le chiffrement et la souveraineté des clés : chiffrement côté client, bring your own key et hold your own key, double key encryption, ainsi que la question de savoir si le fournisseur peut accéder au texte en clair sans votre clé. Lorsque la souveraineté des clés appartient à l'hôpital, le risque juridique d'accès change sensiblement. Nous évaluons ce que votre architecture produit réellement ; nous ne configurons pas une solution nous-mêmes, nous l'évaluons.
Lorsque le risque l'exige, nous examinons des options d'hébergement suisses et européennes comme alternative ou complément : centres de données suisses, EU Data Boundary, offres de cloud souverain et modèles hybrides où les catégories de données les plus sensibles restent en Suisse. Nous évaluons ces options sobrement selon le droit, le risque et l'aptitude opérationnelle, sans vendre de produit d'hébergement propre. Cela garde notre recommandation indépendante.
Nous ne consignons pas les résultats dans un PDF ponctuel, mais dans notre plateforme suisse Priverion Platform : le registre des traitements, les flux de données, le TIA et les mesures y sont tenus à jour. Comme la plateforme est elle-même une solution suisse, vous évitez le paradoxe de conserver des preuves de protection des données dans, justement, un outil cloud américain. C'est un différenciateur d'outillage souverain que des prestataires purement techniques ou purement juridiques n'offrent pas sous cette forme.
La question du cloud est à la fois juridique et architecturale. Nous évaluons les deux faces dans un seul mandat et dans la même langue.
Des juristes titulaires d'un doctorat et de la certification CIPP/E évaluent les cas de transfert, une équipe technique interne évalue l'architecture, le chiffrement et la souveraineté des clés. Il en résulte une évaluation solide à la fois juridiquement et techniquement.
Nous évaluons les transferts selon la nLPD et le RGPD, y compris le cadre EU-US Data Privacy Framework, l'adéquation, les clauses contractuelles types et les exigences Schrems. Pour les hôpitaux avec une maison mère ou des patients dans l'UE, nous pensons les deux régimes juridiques ensemble.
Nous examinons si BYOK, HYOK ou le double key encryption réduit réellement le risque d'accès dans votre configuration concrète, ou si la configuration ne crée qu'une apparence de protection. Cette distinction détermine l'évaluation juridique du transfert.
Nous ne vendons ni capacité cloud ni centre de données propre. Notre recommandation entre Microsoft 365, hébergement suisse et modèles hybrides suit uniquement votre risque, pas un intérêt commercial.
Nous tenons les flux de données, le TIA et les mesures dans la plateforme suisse Priverion Platform, au lieu de conserver les preuves de protection des données dans un outil cloud américain. En cas de demande du PFPDT ou d'une autorité de l'UE, la preuve est disponible sous forme d'outil maintenu et à jour.
Nous conseillons en allemand, français et anglais, pertinent pour la Suisse romande, pour les fournisseurs internationaux et pour les maisons mères de l'UE. Les comités d'achat, l'IT et la protection des données reçoivent le même résultat dans la langue appropriée.
État des lieux cloud
Prix fixe
L'entrée rapide lorsqu'un achat précis ou un service cloud isolé est bloqué.
Évaluation flux & transfert
Prix fixe
L'évaluation approfondie pour Microsoft 365 et d'autres services cloud, documentée de manière auditable.
Mandat résidence des données & Priverion Platform
sur demande
L'accompagnement continu lorsque les flux, contrats et fournisseurs évoluent en permanence.
La résidence des données touche d'autres thèmes que nous couvrons de la même main :
Ancrer les contrôles cloud et la gestion des fournisseurs dans un SMSI prêt pour la certification.
Exigences de protection des données et d'hébergement autour du dossier électronique du patient.
Là où l'IA médicale tourne dans le cloud, droit du transfert et gouvernance IA se rejoignent.
Tous les domaines prioritaires pour hôpitaux, cabinets et MedTech en un coup d'œil.
Notre outil : LexCommand
LexCommand est notre IA juridique interne, adossée à des citations, pour le droit de la Suisse, de l'Allemagne, de l'Autriche et de l'UE. Développée et exploitée de manière souveraine en Suisse par Priverion GmbH, l'entreprise derrière SIDD. Nous ne faisons pas que prôner la souveraineté des données et la traçabilité, nous les avons intégrées dans notre propre outil, en complément de la Plateforme Priverion.
L'IA fonctionne en auto-hébergement sur une infrastructure suisse, sans LLM cloud externes. En tant qu'entreprise suisse indépendante sans société mère étrangère, nous traitons vos documents dans un environnement que nous maîtrisons.
Chaque affirmation juridique renvoie à une source primaire consultable, sinon elle n'apparaît pas. Nos recommandations deviennent ainsi vérifiables et auditables, au lieu de seulement paraître plausibles.
LexCommand prend en charge la recherche, le recoupement et le sourcing. Cela réduit les délais et libère nos conseillers seniors pour le jugement et l'échange avec le client, sans rien céder sur la rigueur.
Nous examinons la protection des données, la sécurité de l'information et la sécurité de l'IA sur une base de sources partagée avec un crosswalk de référentiels. Vous voyez ainsi les obligations qui se recoupent dans une vue consolidée, au lieu de trois analyses isolées.
Concrètement pour votre analyse d'impact des transferts : LexCommand étaye chaque affirmation sur le CLOUD Act, Schrems, l'adéquation et les clauses contractuelles types par la source primaire exactement citée, met côte à côte les obligations de la nLPD et du RGPD, et retient le droit en vigueur à votre date de référence, afin que le TIA résiste à un contrôle du PFPDT.
Déterministe dans le temps (à la date du jour ou à toute date de référence), avec cloisonnement des juridictions (CH/DE/AT/EU) et un vérificateur de citations à la fin de chaque réponse.
Il n'y a pas de réponse générale. Cela dépend de la catégorie de données, de la configuration, du chiffrement, de la souveraineté des clés et de la situation de transfert documentée. Nous évaluons votre cas concret et livrons une décision motivée et auditable plutôt qu'une impression.
Le lieu de stockage physique seul ne suffit souvent pas. Sous le US CLOUD Act, un fournisseur ayant un lien avec les États-Unis peut être contraint de communiquer des données même si elles résident en Suisse ou dans l'UE. Ce qui compte, c'est la combinaison du lieu de stockage, de la structure du fournisseur, des possibilités d'accès et de la souveraineté des clés, que nous évaluons ensemble.
Une analyse d'impact des transferts est l'examen documenté d'un transfert de données à l'étranger : base juridique, pays destinataire, situation d'accès des autorités et efficacité des garanties. Elle constitue la base pour choisir des clauses contractuelles types et des mesures complémentaires en toute sécurité juridique et les justifier auprès des autorités de surveillance.
Souvent oui, mais pas automatiquement. Ce qui compte, c'est de savoir si le fournisseur peut accéder au texte en clair sans votre clé. Des modèles comme BYOK, HYOK ou le double key encryption diffèrent considérablement. Nous examinons ce que votre configuration concrète produit réellement et le traduisons dans l'évaluation juridique du transfert.
Non. Nous n'exploitons pas de centre de données propre et ne vendons pas de capacité cloud. Notre recommandation entre Microsoft 365, hébergement suisse et modèles hybrides suit uniquement votre risque. Notre plateforme Priverion est un outil de tenue des preuves, pas une offre d'hébergement pour vos données patients.
Oui. Nous conseillons en allemand, français et anglais, y compris les particularités cantonales et les fournisseurs internationaux et maisons mères de l'UE.
Nous clarifions la résidence des données, le risque d'accès américain et les options d'hébergement, juridiquement et techniquement, avec un rapport destiné au conseil et une recommandation claire.