Souveraineté des données de santé : Cloud Act vs hébergement 2026

L'essentiel en 30 secondes

Introduction

La souveraineté des données de santé est passée du détail juridique au critère décisif dans les appels d'offres hospitaliers. La question n'est plus seulement de savoir où sont stockés les dossiers patients, mais quelle loi s'applique à l'entreprise qui peut y accéder. Pour un DSI, cette distinction structure désormais l'achat, la cartographie des risques et l'attention de la direction.

Cette tension porte un nom : le Cloud Act américain. Adopté en 2018, il peut contraindre un fournisseur soumis au droit des États-Unis à communiquer des données qu'il contrôle, même lorsqu'elles sont hébergées dans un centre de données européen. Ajoutez l'incertitude laissée par l'arrêt Schrems II de la Cour de justice de l'Union européenne en 2020, et la seule localisation cesse d'être une garantie.

Galeon développe un DPI (dossier patient informatisé) intelligent, boosté à l'IA, construit avec les soignants depuis 2016. Il est utilisé dans 19 hôpitaux, dont 2 CHU, pour plus de 3 millions de dossiers patients et plus de 10 000 soignants. La souveraineté, dans ce contexte, se joue moins sur le pays affiché sur la carte que sur la loi qui gouverne l'entreprise qui détient les clés.

Ce guide explique, de façon mesurée, ce que le Cloud Act autorise réellement, pourquoi la certification HDS et SecNumCloud répondent à des questions différentes, et comment un hôpital peut évaluer un hébergement souverain sans céder au mythe de la souveraineté totale.

Qu'est-ce que la souveraineté des données de santé et pourquoi est-elle un critère d'appel d'offres en 2026 ?

La souveraineté des données de santé est la capacité à garder un contrôle effectif sur le lieu de stockage des données, sur les personnes qui peuvent y accéder et sur la juridiction applicable. Elle est devenue un critère d'appel d'offres parce que la localisation et l'exposition juridique sont désormais évaluées explicitement, et non plus présumées.

Deux notions sont souvent confondues. La résidence des données désigne l'emplacement physique des serveurs. La souveraineté des données désigne le contrôle juridique, qui dépend de la loi liant l'opérateur. Un centre de données européen exploité par une entreprise soumise à une loi étrangère n'offre pas automatiquement la souveraineté.

En pratique, la souveraineté est un continuum de contrôle, pas un badge que l'on possède ou non. L'objectif réaliste consiste à réduire et documenter l'exposition, pas à affirmer qu'elle a disparu.

Qu'est-ce que le Cloud Act américain et comment atteint-il des données hébergées en Europe ?

Le Clarifying Lawful Overseas Use of Data Act (Cloud Act) est une loi américaine de 2018 qui permet aux autorités des États-Unis de contraindre un fournisseur soumis à leur droit à produire des données qu'il contrôle, quel que soit leur lieu de stockage. Un centre de données européen ne place donc pas, à lui seul, les données hors de portée lorsque le fournisseur relève de la juridiction américaine.

La portée suit l'entreprise, pas la carte. Elle peut viser une maison mère américaine et, selon la structure, ses filiales européennes. C'est pourquoi l'identité et le contrôle du fournisseur comptent autant que l'adresse du centre de données.

Les régulateurs européens ont signalé cette friction. Le Comité européen de la protection des données et le Contrôleur européen de la protection des données ont publié en 2019 une réponse conjointe notant que le Cloud Act peut entrer en conflit avec le droit européen. L'arrêt Schrems II a ensuite confirmé le sérieux avec lequel le droit de l'Union traite l'accès étranger aux données européennes.

La certification HDS protège-t-elle du Cloud Act ?

Non. La certification HDS prouve la manière dont les données de santé sont hébergées en sécurité, mais elle n'accorde aucune immunité face à une loi étrangère extraterritoriale. Un fournisseur soumis au droit américain peut détenir la certification HDS et rester dans le champ du Cloud Act.

Le HDS (hébergeur de données de santé) est la certification française exigée lorsque l'hébergement de données de santé est confié à un tiers. Il est encadré par l'ANS, l'Agence du numérique en santé, et le référentiel en vigueur est le référentiel HDS 2024, aligné sur la norme de sécurité ISO 27001:2022.

Le HDS répond à la question ces données sont-elles hébergées en sécurité ; il ne répond pas à la question qui pourrait être contraint juridiquement de les remettre. HDS et souveraineté sont donc complémentaires mais distincts. Pour aller plus loin, voyez notre guide sur la certification HDS en 2026.

Qu'est-ce qu'un cloud de confiance et que garantit réellement SecNumCloud ?

Un cloud de confiance est un service qualifié comme résistant aux lois extraterritoriales. En France, cette qualification est SecNumCloud, délivrée par l'ANSSI, l'agence nationale de la sécurité des systèmes d'information.

SecNumCloud ajoute des critères qui vont au-delà de la sécurité : il exige que le fournisseur ne soit pas exposé à une loi extraterritoriale hors Union européenne et pose des conditions sur la propriété et le contrôle de l'opérateur. Dans sa version actuelle, il figure parmi les qualifications cloud les plus exigeantes en Europe.

Ce n'est pas un label universel. Peu de services le détiennent, et il vise les données les plus sensibles et les opérateurs critiques. La lecture pragmatique est que SecNumCloud constitue une réponse forte là où la classe de données le justifie, pas une case à cocher pour chaque projet.

Que signifie concrètement un hébergement souverain pour un hôpital ?

Un hébergement souverain signifie que les données, les clés de chiffrement et le contrôle juridique restent dans un périmètre européen que vous pouvez vérifier. Concrètement, il associe une localisation dans l'Union européenne, un opérateur contrôlé en Europe, une sous-traitance transparente et une réversibilité réaliste.

Pour un RSSI, le responsable de la sécurité des systèmes d'information, la question pratique ne se limite pas à la géographie. Il s'agit de savoir si une autorité étrangère pourrait légalement contraindre à une divulgation, et si l'hôpital garde la maîtrise des clés et d'une voie de sortie.

Le droit européen offre une protection partielle. Au titre du RGPD, et en particulier de l'article 48 du règlement (UE) 2016/679, une décision de justice étrangère ne constitue pas, à elle seule, une base valable pour transférer des données personnelles. Un conflit juridique réel peut néanmoins subsister, ce qui explique pourquoi l'architecture et le choix du fournisseur comptent. Voyez notre synthèse sur le RGPD et les données de santé.

Comment Galeon aborde-t-il la souveraineté des données en pratique ?

Galeon associe un hébergement certifié HDS en Europe au Swarm Learning, une méthode d'entraînement d'IA décentralisée dans laquelle les données de chaque hôpital restent sur ses propres serveurs. Cela réduit les mouvements de données, ce qui abaisse l'exposition, sans prétendre supprimer tout risque juridique ou technique.

Plutôt que de regrouper les dossiers dans un jeu de données central pour entraîner des modèles, le Swarm Learning entraîne là où les données se trouvent et partage des mises à jour de modèle plutôt que des données patients brutes. Moins de mouvements signifie une surface à exposer plus réduite, même si la gouvernance et la sécurité doivent rester rigoureusement pilotées.

Galeon structure aussi les données de santé avec les soignants, ce qui garde les dossiers exploitables pour le soin et, lorsque cela est autorisé, prêts pour la recherche. Le cadrage honnête est que cette approche améliore le contrôle : elle n'est pas un bouclier magique contre tous les scénarios.

Que doivent vérifier un directeur d'hôpital et un DSI avant de signer ?

Avant de signer, un directeur général (DG) et un DSI devraient vérifier qui peut être légalement contraint d'accéder aux données, pas seulement où elles sont stockées. Les questions les plus révélatrices portent sur la propriété, la loi applicable et la réversibilité.

• Propriété du fournisseur et loi applicable : qui contrôle l'entreprise et quelle juridiction peut l'atteindre.
• Sous-traitants : toute la chaîne, y compris un acteur situé hors Union européenne.
• Maîtrise des clés : qui détient et gère les clés de chiffrement.
• Périmètre HDS : ce que la certification couvre réellement dans votre contrat.
• Besoin de SecNumCloud : si la sensibilité des données justifie une qualification cloud de confiance.
• Réversibilité : des conditions de sortie concrètes et le format de vos données exportées.

Limites et points de vigilance

• Les décisions d'adéquation ne sont pas permanentes : le Data Privacy Framework UE - États-Unis, approuvé par la Commission européenne en 2023, fait l'objet de contestations juridiques, il ne doit donc pas être traité comme une garantie stable.
• SecNumCloud a des contreparties : il est exigeant, peu de services le détiennent, et la parité de fonctionnalités ou la disponibilité peuvent être en retrait par rapport aux plus grands clouds mondiaux.
• La décentralisation n'est pas une solution miracle : garder les données sur les serveurs de l'hôpital réduit les mouvements, mais ne supprime pas toute surface d'attaque ni toute question juridique, et déplace une partie de la charge opérationnelle vers l'hôpital.
• Coût et maturité : un hébergement souverain ou spécialisé peut coûter plus cher ou offrir moins de services managés qu'un hyperscaler, l'arbitrage doit être fait en conscience.
• Pas de définition unique : la souveraineté n'a pas de définition juridique unifiée, toute promesse de souveraineté totale mérite donc la prudence.

FAQ

Mes données sont-elles à l'abri du Cloud Act si elles sont stockées en France ?
Pas automatiquement. Si votre fournisseur est contrôlé par une entreprise américaine, la seule localisation du stockage peut ne pas empêcher une demande fondée sur le Cloud Act.

La certification HDS équivaut-elle à la souveraineté ?
Non. Le HDS couvre la sécurité de l'hébergement des données de santé. Il n'accorde aucune immunité face à une loi étrangère, et un fournisseur sous contrôle américain peut être certifié HDS.

Ai-je besoin de SecNumCloud pour toutes les données de santé ?
Pas nécessairement. SecNumCloud vise les données les plus sensibles et les opérateurs critiques. Le niveau adapté doit être évalué par classe de données, plutôt qu'appliqué partout sans distinction.

Le RGPD bloque-t-il le Cloud Act ?
L'article 48 du RGPD encadre les transferts fondés sur une décision de justice étrangère, mais un conflit juridique réel peut subsister. C'est pourquoi le choix du fournisseur et l'architecture comptent autant que la loi.

Qu'est-ce que l'EHDS et change-t-il la souveraineté ?
L'espace européen des données de santé, adopté en 2025, encadre l'usage et le partage des données de santé dans l'Union. Il renforce la vigilance sur la gouvernance des données, mais ne remplace pas l'analyse de souveraineté.

La souveraineté totale des données est-elle atteignable ?
Aucune garantie absolue n'existe. L'objectif réaliste est de réduire et contrôler l'exposition, puis de documenter le risque résiduel pour la gouvernance.

En résumé

La souveraineté des données de santé en 2026 se joue autant sur le contrôle juridique que sur la géographie. Le Cloud Act le montre : un centre de données européen ne protège pas des données confiées à un fournisseur soumis à une loi étrangère. La certification HDS répond à une question de sécurité et reste indispensable, tandis que SecNumCloud et la doctrine du cloud de confiance répondent à une question distincte, celle de l'immunité face aux lois extraterritoriales. La position de Galeon est volontairement mesurée : un hébergement certifié HDS en Europe, un opérateur européen, et le Swarm Learning qui garde les données d'entraînement de l'IA sur les serveurs de chaque hôpital pour réduire les mouvements de données et abaisser l'exposition. Rien de tout cela ne promet une souveraineté totale, qu'aucun prestataire sérieux ne peut garantir. L'objectif concret, construit avec les soignants depuis 2016 dans 19 hôpitaux et plus de 3 millions de dossiers patients, est de garder un contrôle vérifiable, une exposition minimale et des choix réversibles.

Hébergement de données de santé : comment choisir son prestataire HDS en 2026

Sources

• Règlement (UE) 2016/679 (RGPD), chapitre V et article 48 - EUR-Lex
• US CLOUD Act, H.R.4943 (2018) - Congrès des États-Unis
• CEPD et CEPD (EDPB et EDPS), réponse conjointe sur le US CLOUD Act (2019)
• CJUE, Schrems II, affaire C-311/18 (16 juillet 2020)
• ANSSI, référentiel de qualification SecNumCloud
• ANS, référentiel de certification HDS (2024)
• CNIL, recommandations sur le cloud et les données de santé
• Galeon - RGPD et données de santé : ce que tout DSI d'hôpital doit savoir en 2026
• Galeon - Certification HDS en 2026 : ce que chaque hôpital doit vérifier avant de signer
• Galeon - IA et données de santé : ce que chaque hôpital doit maîtriser en 2026

‍