Souveraineté numérique dans le secteur de la santé: Les données de santé suisses relèvent d’une responsabilité suisse

Dans les établissements de santé suisses, le débat sur les solutions cloud a changé de nature. Ce qui relevait autrefois d’un choix technique, souvent délégué à l’IT, est devenu une décision stratégique de gouvernance. Elle engage les directions générales, les conseils d’administration et les responsables de la protection des données — et ne se résume plus à une question d’efficacité ou de standard du marché.

Décider où et comment sont traitées des données de santé, ce n’est pas choisir une infrastructure. Cela signifie décider de la responsabilité juridique, de la confiance et de la crédibilité.

La réalité juridique rencontre la responsabilité managériale

En Suisse, les autorités de protection des données[1]  rappellent régulièrement les risques liés au traitement de données particulièrement sensibles par des services cloud internationaux - y compris lorsque l’infrastructure est opérée physiquement en Suisse. La raison est connue: certaines législations étrangères, notamment américaines, peuvent produire des effets extraterritoriaux et permettre des demandes d’accès indépendamment du lieu de stockage.

Il en résulte, pour les institutions publiques en Suisse, un conflit juridique fondamental. La protection de données particulièrement sensibles — telles que les données de santé, sociales ou fiscales — est clairement encadrée par le droit suisse. Dans le même temps, les fournisseurs internationaux ne peuvent pas garantir de manière juridiquement contraignante ce niveau de protection en cas de litige. Il ne s’agit pas d’un risque théorique résiduel, mais d’une incertitude systémique.

Dans une recommandation[2]  rendue publique, la Conférence des préposés suisses à la protection des données a donc clairement indiqué que les services cloud internationaux peuvent difficilement être considérés comme juridiquement sûrs pour le traitement de données sensibles et confidentielles.

Conséquence directe pour les hôpitaux, les cabinets médicaux, les réseaux de soins et les administrations de la santé : les décisions cloud ne relèvent plus d’un simple choix technologique. Elles engagent une responsabilité juridique et une crédibilité vis-à-vis des patientes et des patients.

Réalité fédérale : une protection des données cantonale, donc plus complexe

À cette dimension s’ajoute une spécificité suisse souvent sous-estimée : dans le secteur public, la protection des données n’est pas appliquée de façon uniforme. Les cantons disposent de leurs propres bases légales, autorités compétentes et, parfois, d’interprétations différentes de principes pourtant centraux.

Pour un établissement actif sur plusieurs cantons — ou impliqué dans des prestations intercantonales — la complexité augmente immédiatement. Ce qui est acceptable sous conditions dans un canton peut être considéré comme critique, voire non admissible, dans un autre.

Les modèles de cloud internationaux, fondés sur des contrats standardisés, des processus globaux et une gouvernance centralisée, atteignent rapidement leurs limites dans ce contexte. La mise en œuvre pratique devient non seulement juridiquement exigeante, mais aussi difficilement pilotable de manière rigoureuse sur le plan opérationnel.

Plus le cadre juridique est fragmenté, plus des responsabilités claires, des modèles de gouvernance simples et un contrôle total sur le traitement et l’accès aux données deviennent indispensables. C’est précisément là que se décide si une stratégie cloud est réellement viable — ou si elle ne fonctionne que sur le papier.

« Il suffirait de sécuriser davantage » – pourquoi cette logique échoue souvent

Une objection fréquemment avancée est la suivante : les services cloud internationaux pourraient être sécurisés par un chiffrement supplémentaire, des clauses contractuelles additionnelles ou des mesures organisationnelles. En théorie, c’est exact. En pratique, la réalité est souvent différente.

Premièrement, ces mesures exigent un niveau très élevé de savoir-faire spécialisé, des contrôles permanents et une exécution rigoureuse sur plusieurs années. Les concepts de sécurité échouent rarement à cause de leur conception; ils échouent face à la réalité: rotation du personnel, pression temporelle, contraintes budgétaires et priorités contradictoires.

Deuxièmement, la responsabilité finale reste, dans tous les cas, celle de l’institution. Ni celle du fournisseur cloud, ni celle d’un consultant, mais bien celle des décideurs. Opter pour une architecture de sécurisation complexe, c’est assumer l’entière responsabilité de son bon fonctionnement à tout moment.

Troisièmement, une contradiction centrale est souvent passée sous silence : le chiffrement de bout en bout et l’exploitation productive de modèles d’IA sont, dans la pratique, largement incompatibles. Les systèmes d’IA doivent pouvoir traiter, analyser et contextualiser les données. Lorsque celles-ci sont intégralement chiffrées de bout en bout, elles ne sont, de fait, plus disponibles sous une forme exploitable pour le modèle. La solution prétendument « maximale en matière de sécurité » conduit ainsi à une impasse : soit les applications d’IA ne peuvent pas être exploitées de manière pertinente, soit leurs fonctionnalités sont fortement limitées.

Le résultat est une impasse stratégique : soit l’on autorise l’accès aux données et l’on accepte une incertitude juridique, soit l’on chiffre de manière stricte et l’on renonce, de facto, à un usage productif de l’IA dans le domaine de la santé.

Lorsqu’il s’agit de données de patients, un principe inconfortable mais réaliste s’impose: ce qui est organisationnellement trop complexe ou conceptuellement contradictoire ne peut pas être mis en œuvre durablement et de manière responsable au quotidien. Et ce qui ne peut pas être mis en œuvre durablement et de manière responsable n’est pas une option viable pour des données de santé hautement sensibles.

Des solutions suisses souveraines: pas une vision, une réalité

Dans ce contexte, l’appel à des solutions cloud suisses souveraines n’est pas un slogan. C’est une conséquence logique.

Une solution souveraine est une solution qui:

• est exploitée exclusivement en Suisse, par des fournisseurs suisses,

• relève entièrement du droit suisse,

• n’ouvre aucun accès fondé sur des législations étrangères,

• établit des responsabilités claires et traçables,

• permet une transparence crédible vis-à-vis des autorités de contrôle et de protection des données.

La souveraineté numérique ne signifie ni isolement, ni renoncement à l’innovation.Elle signifie une capacité d’action dans un cadre juridique clair, et donc une innovation qui peut être assumée.

Notre approche issue du terrain

Chez Saipient, nous avons abordé ces questions de manière très concrète. Le choix de développer, en parallèle d’une solution sur plateforme internationale, une variante pleinement souveraine n’était pas un geste marketing. Il résulte d’échanges répétés avec des directions, des préposés à la protection des données et des conseils d’administration du secteur santé.

Notre solution souveraine:

• s’appuie sur des fournisseurs cloud suisses,

• ne crée pas de dépendance à des législations étrangères,

• repose sur des modèles d’IA ouverts et transparents,

• est déjà utilisée en production aujourd’hui.

Une première implémentation a été réalisée avec Phoenix Technologies — non comme “pilote”, mais dans le cadre d’une exploitation régulière auprès de clients hospitaliers et ambulatoires. Preuve simple : la souveraineté n’est pas seulement possible, elle est opérationnelle.

Ce que cela signifie concrètement pour les décideurs

Pour les directions générales, conseils d’administration, CIO et responsables de la protection des données, plusieurs conclusions s’imposent:

• La souveraineté numérique est une question de gouvernance, pas un débat technique de détail.

• La clarté juridique et le contrôle des données priment sur la commodité technologique.

• La réalité fédérale de la protection des données en Suisse élève considérablement les exigences en matière de stratégie cloud.

• Les gains d’efficacité à court terme offerts par des fournisseurs internationaux peuvent engendrer à long terme des risques juridiques et réputationnels majeurs.

• Des alternatives souveraines, viables et innovantes existent aujourd’hui.

Conclusion

La question n’est pas de savoir si les plateformes cloud internationales sont performantes.La question est de savoir si leur cadre juridique est compatible avec la responsabilité que les institutions de santé suisses portent envers leurs patientes et leurs patients.

Notre expérience de terrain est claire : la souveraineté suisse et l’innovation numérique ne s’excluent pas. Au contraire — elles vont de pair lorsque la responsabilité est prise au sérieux. Aujourd’hui, toute décision cloud n’engage pas seulement une organisation, mais aussi la confiance des personnes qui lui confient leurs données.

[1] Swissinfo: Data protection officer warns Swiss authorities over US cloud risks  https://www.swissinfo.ch/eng/various/data-protection-officer-warns-swiss-authorities-over-us-cloud-risks/90478203

[2] MetaNet Blog: Schweizer Datenschutzbehörden schränken Cloud‑Nutzung für Ämter drastisch ein  https://www.metanet.ch/de/blog/schweizer-datenschutzbehoerden-schraenken-cloud-nutzung-fuer-aemter-drastisch-ein