Données de santé: la France renforce les obligations des hébergeurs

Le gouvernement a indiqué avoir publié jeudi un décret imposant aux opérateurs de cloud (informatique dématérialisée) hébergeant des données de santé d’informer leurs clients sur les risques d’accès aux données par des autorités étrangères.

Ces opérateurs devront informer « dans leurs contrats » leurs clients (établissements de santé, du médico-social, fabricants de dispositifs numériques en santé…) « sur les risques de transfert de données personnelles (…) ou d’accès non autorisés à celles-ci par des législations extra-européennes », a indiqué la délégation au numérique en santé dans un communiqué de presse.

Ces opérateurs devront également « rendre publique et mettre à jour la cartographie des transferts de données vers les pays hors Espace économique européen, et la description des risques d’accès non autorisés », a-t-elle ajouté.

Le décret vise en particulier les géants du cloud américain qui dominent aujourd’hui le marché. Les autorités américaines peuvent en effet dans certains cas demander à ces géants de leur fournir les données de leurs clients, même si elles sont stockées hors des Etats-Unis.

Cloud Temple, une entreprise française de cloud, s’est réjouie de cette obligation d’information imposée à ses concurrents non-européens.

Les risques de transfert aux autorités de pays étrangers « sont généralement invisibles pour les dirigeants d’entreprises françaises », et ne sont connus « que des techniciens », a indiqué à l’AFP Sébastien Lescop, codirecteur général. Cette obligation peut « créer une forme de déontologie dans les achats numériques », en faveur d’opérateurs européens, a-t-il estimé.

« A court terme, cela ne changera rien. A moyen terme, cela peut permettre d’infléchir des positions », selon ce dirigeant.