{"id":37774,"date":"2026-07-31T09:30:45","date_gmt":"2026-07-31T13:30:45","guid":{"rendered":"https:\/\/www.inuvika.com\/?p=37774"},"modified":"2026-07-31T09:30:45","modified_gmt":"2026-07-31T13:30:45","slug":"la-souverainete-des-donnees-de-sante-au-dela-du-baa","status":"publish","type":"post","link":"https:\/\/www.inuvika.com\/fr\/healthcare-data-sovereignty-beyond-the-baa\/","title":{"rendered":"Souverainet\u00e9 des donn\u00e9es de sant\u00e9 : la question que le contrat de sous-traitance ne r\u00e8gle pas"},"content":{"rendered":"

Le Comit\u00e9 europ\u00e9en de la protection des donn\u00e9es<\/a> a pr\u00e9cis\u00e9 en juin 2025 que l\u2019injonction d\u2019une autorit\u00e9 d\u2019un pays tiers ne constitue pas, \u00e0 elle seule, un fondement permettant de communiquer des donn\u00e9es \u00e0 caract\u00e8re personnel. Au titre de l\u2019article 48 du RGPD<\/a>, une telle injonction ne peut \u00eatre reconnue ou rendue ex\u00e9cutoire que si elle est fond\u00e9e sur un accord international, tel qu\u2019un trait\u00e9 d\u2019entraide judiciaire. Le CLOUD Act am\u00e9ricain exige l\u2019inverse d\u2019un fournisseur qui en rel\u00e8ve.<\/p>\n

Savoir si un fournisseur se trouve dans cette situation d\u00e9pend du fournisseur lui-m\u00eame et non de son implantation. Le contrat de sous-traitance ne le consigne pas.<\/p>\n

La r\u00e9sidence des donn\u00e9es dit o\u00f9 se trouvent les dossiers des patients. La souverainet\u00e9 des donn\u00e9es dit quelles autorit\u00e9s peuvent en ordonner la communication. Pour les donn\u00e9es concernant la sant\u00e9, que l\u2019article 9 du RGPD prot\u00e8ge au titre des cat\u00e9gories particuli\u00e8res, la seconde question p\u00e8se plus lourd. C\u2019est elle qui nous occupe ici.<\/p>\n

Dans un d\u00e9ploiement VDI, la cha\u00eene compte souvent plusieurs intervenants : l\u2019\u00e9diteur du logiciel, le partenaire d\u2019h\u00e9bergement, le cloud sous-jacent, le prestataire de support. Pour chacun d\u2019eux, l\u2019article 28 du RGPD impose un contrat de sous-traitance, et son paragraphe 4 soumet tout sous-traitant ult\u00e9rieur aux m\u00eames obligations. Ce qu\u2019aucun de ces contrats ne consigne, c\u2019est le pays dans lequel la soci\u00e9t\u00e9 est \u00e9tablie, le droit dont elle rel\u00e8ve, ou la possibilit\u00e9 pour une autorit\u00e9 ext\u00e9rieure au contrat de la contraindre \u00e0 livrer ce qu\u2019elle d\u00e9tient.<\/p>\n

Le m\u00e9canisme<\/h3>\n

Au titre du CLOUD Act am\u00e9ricain, un fournisseur soumis \u00e0 la juridiction des \u00c9tats-Unis peut \u00eatre contraint par les autorit\u00e9s am\u00e9ricaines de communiquer les donn\u00e9es qu\u2019il d\u00e9tient, dont il a la garde ou le contr\u00f4le, m\u00eame lorsque ces donn\u00e9es sont stock\u00e9es hors des \u00c9tats-Unis. L\u2019obligation s\u2019attache au fournisseur, non \u00e0 l\u2019emplacement du serveur. Un centre de donn\u00e9es local r\u00e8gle donc la question de la r\u00e9sidence des donn\u00e9es et laisse celle de la juridiction ouverte.

\nLe CLOUD Act entre ainsi en collision frontale avec l\u2019article 48 du RGPD. Un fournisseur qui rel\u00e8ve des deux ordres juridiques devra trancher lui-m\u00eame, le moment venu.

\nUn second passage du texte montre \u00e0 quel point le contrat est \u00e9troit sur ce point. L\u2019article 28, paragraphe 3, point a) du RGPD oblige le sous-traitant \u00e0 n\u2019agir que sur instruction document\u00e9e, et \u00e0 informer le responsable du traitement lorsqu\u2019une obligation juridique lui impose autre chose. Cette obligation d\u2019information vise le droit de l\u2019Union et celui des \u00c9tats membres. Une injonction venue d\u2019un pays tiers n\u2019entre pas dans ce cadre.<\/p>\n

Une partie de cet examen est d\u00e9j\u00e0 formalis\u00e9e en Europe. L\u2019analyse d\u2019impact des transferts, issue de Arr\u00eat \u00ab Schrems II \u00bb<\/a> demande \u00e0 l\u2019exportateur si le droit du pays de destination autorise les autorit\u00e9s publiques \u00e0 exiger l\u2019acc\u00e8s, et prend express\u00e9ment en compte la port\u00e9e extraterritoriale. Elle suppose toutefois un transfert vers un pays tiers, et tout d\u00e9ploiement associant un fournisseur hors de l\u2019Union ne d\u00e9clenche pas n\u00e9cessairement un tel transfert.<\/p>\n

O\u00f9 cela se situe dans une \u00e9valuation VDI<\/h3>\n

Trois cons\u00e9quences en d\u00e9coulent. La premi\u00e8re est une bonne nouvelle. Les deux autres tiennent encore lorsqu\u2019une d\u00e9cision semble avoir clos la question.<\/p>\n