Table des matières
la certification HDS ne dit pas tout. Un hébergeur soumis au droit américain peut être contraint de communiquer des données aux autorités des États-Unis, même quand ces données sont hébergées en Europe : c'est le Cloud Act. Pour un cabinet dentaire, le choix de l'hébergeur de son logiciel n'est donc pas qu'un choix technique, c'est un choix de souveraineté et de juridiction.
Vous avez vérifié que votre logiciel dentaire est hébergé chez un hébergeur certifié HDS. C'est indispensable, et c'est déjà plus que ce que font beaucoup de cabinets. Mais il reste une question que presque personne ne pose : sous quel droit vit cet hébergeur ?
Car un serveur peut être physiquement à Paris ou à Francfort et rester juridiquement rattaché aux États-Unis. Si la société qui l'exploite est la filiale d'un groupe américain, elle est soumise au droit américain, et notamment à une loi de 2018 dont on parle peu dans les salles d'attente : le Cloud Act. Cette loi permet, dans certaines conditions, aux autorités américaines d'exiger l'accès à des données que le fournisseur contrôle, où qu'elles soient stockées dans le monde.
Cet article explique ce qu'est cette question de souveraineté, ce qu'elle change concrètement pour un cabinet dentaire, où va la réglementation française et européenne, et les questions précises à poser à votre éditeur avant de lui confier vos données patients.
HDS ne veut pas dire souverain
Commençons par lever une confusion fréquente. La certification HDS (Hébergement de Données de Santé) est une obligation légale : tout logiciel qui stocke ou traite des données de santé pour le compte d'un cabinet doit s'appuyer sur un hébergeur certifié. Nous avons détaillé ce que recouvre cette certification, comment la vérifier et ce que risque un cabinet non conforme dans notre article dédié à l'hébergement HDS d'un logiciel dentaire.
Ce que cet article-là ne disait pas, et que celui-ci va dire : la certification HDS atteste la sécurité de l'infrastructure, pas la juridiction dont dépend l'entreprise qui l'exploite.
Concrètement, des filiales européennes de grands acteurs américains du cloud figurent sur la liste officielle des hébergeurs certifiés HDS publiée par l'Agence du Numérique en Santé. C'est parfaitement légal, et ces infrastructures sont techniquement solides : datacenters sécurisés, chiffrement, redondance, audits. La certification fait son travail, qui est de vérifier des exigences de sécurité, de disponibilité et de traçabilité.
Mais la certification ne pose jamais la question suivante : si une autorité étrangère exige l'accès aux données, l'hébergeur peut-il être légalement contraint de les communiquer ?
Pour une filiale européenne d'un groupe américain, la réponse tient en trois lettres et un mot : le Cloud Act.
Sécurité et souveraineté : deux questions différentes
- La sécurité répond à la question : les données sont-elles protégées contre le vol, la perte, l'intrusion ? C'est le terrain de la certification HDS, du chiffrement, des sauvegardes, et plus largement de la cybersécurité du cabinet dentaire.
- La souveraineté répond à une autre question : qui peut légalement exiger l'accès à ces données, et selon le droit de quel pays ?
Un hébergeur peut être excellent sur la première question et exposé sur la seconde. C'est tout l'angle mort du réflexe "c'est certifié HDS, donc c'est réglé".
Le Cloud Act expliqué simplement
Le Cloud Act (Clarifying Lawful Overseas Use of Data Act) est une loi fédérale américaine adoptée en mars 2018. Elle est née d'un contentieux réel : les autorités américaines réclamaient à un grand fournisseur de messagerie des données stockées sur des serveurs situés en Irlande, et le fournisseur contestait leur droit à les obtenir. Plutôt que d'attendre la décision de la Cour suprême, le Congrès a tranché par la loi.
Ce que dit le Cloud Act, en substance : un fournisseur de services soumis au droit américain peut être requis, dans le cadre de procédures judiciaires américaines, de communiquer les données dont il a la possession, la garde ou le contrôle, que ces données soient stockées aux États-Unis ou à l'étranger.
Trois points méritent d'être posés calmement, sans dramatisation :
- Ce n'est pas un accès libre et généralisé. Le Cloud Act s'inscrit dans un cadre judiciaire, avec des mandats et des procédures. Il ne s'agit pas d'une surveillance de masse des cabinets dentaires français, et il serait malhonnête de le présenter ainsi.
- Mais la localisation des serveurs ne protège pas. C'est le cœur de la loi : le critère n'est pas l'endroit où se trouvent les données, mais le fait que le fournisseur soit soumis au droit américain. Un datacenter en France exploité par la filiale d'un groupe américain entre dans le périmètre.
- Et cela crée un conflit de lois avec le RGPD. L'article 48 du RGPD prévoit qu'une décision d'une juridiction ou d'une autorité administrative d'un pays tiers exigeant un transfert de données personnelles ne peut être reconnue ou rendue exécutoire que si elle se fonde sur un accord international, par exemple un traité d'entraide judiciaire. Un fournisseur soumis aux deux droits peut donc se retrouver face à des obligations contradictoires.
Ce conflit de lois n'est pas une vue de l'esprit : il est documenté par les autorités et les régulateurs européens depuis des années, et il explique en partie la jurisprudence européenne sur les transferts de données vers les États-Unis, qui a successivement invalidé deux cadres de transfert (le Safe Harbor, puis le Privacy Shield). Un nouveau cadre existe aujourd'hui, mais le sujet reste juridiquement mouvant.
Pour un cabinet dentaire, la conclusion pratique est simple : tant que l'hébergeur de votre logiciel dépend d'une maison mère soumise au droit américain, il existe un scénario, encadré mais réel, dans lequel des données qu'il contrôle peuvent être exigées par une autorité étrangère. Avec un hébergeur français appartenant à un groupe européen, ce scénario n'existe tout simplement pas dans le droit applicable.
Ce que ça change pour un cabinet dentaire
On pourrait objecter que les dossiers d'un cabinet dentaire du Finistère n'intéressent pas la justice américaine, et c'est très probablement vrai. Mais le raisonnement ne s'arrête pas là, pour trois raisons.
Vous restez responsable de traitement
Au sens du RGPD, le cabinet est responsable de traitement des données de ses patients. L'éditeur du logiciel et son hébergeur sont des sous-traitants, mais c'est le praticien qui répond du choix de ses sous-traitants et de la protection des données qu'il leur confie. Les obligations RGPD d'un cabinet dentaire incluent explicitement la vigilance sur les transferts de données hors de l'Union européenne et sur les garanties offertes par la chaîne de sous-traitance.
Autrement dit : "je ne savais pas qui hébergeait" n'est pas une position tenable pour un responsable de traitement. Poser la question de la juridiction de l'hébergeur fait partie de la diligence normale d'un cabinet.
Les données de santé sont la catégorie la plus sensible
Le RGPD classe les données de santé parmi les catégories particulières de données, celles qui bénéficient de la protection la plus élevée. Un dossier patient dentaire contient des antécédents médicaux, des traitements en cours, des observations cliniques, parfois des éléments de situation sociale ou financière. Ce niveau de sensibilité justifie d'appliquer aux données de santé un standard d'exigence supérieur à celui qu'on accepterait pour, par exemple, un outil de comptabilité.
La confiance des patients est engagée
La France a montré à quel point ce sujet est sensible avec le Health Data Hub, la plateforme nationale des données de santé : le choix initial d'un hébergeur américain a déclenché un débat public de plusieurs années, des recours devant le Conseil d'État, des avis de la CNIL, et l'engagement des pouvoirs publics d'une migration vers un hébergement souverain. Quelle que soit l'issue technique de ce dossier, il a établi une chose : pour les Français, la question "qui peut accéder à mes données de santé" n'est pas un détail d'ingénieur.
Un patient qui demande à son praticien où sont hébergées ses données mérite une réponse claire. "En France, chez un hébergeur français certifié HDS, soumis uniquement au droit européen" est une réponse qui se donne en une phrase et qui clôt le sujet. L'alternative demande des explications sur les filiales, les clauses contractuelles et les conflits de lois. En matière de confiance, la simplicité de la réponse est déjà un signal.
« Vos données ? En France, chez OVHcloud, sous droit européen. » Avec DentalIAssist, la réponse à donner à vos patients tient en une phrase. Venez vérifier tout le reste en démonstration.
Demander une démo gratuiteSecNumCloud, EUCS, la doctrine "cloud au centre" : où va la réglementation
Si la question de la souveraineté était marginale, les régulateurs ne s'en occuperaient pas. Or c'est exactement l'inverse qui se passe : la tendance de fond, en France comme en Europe, va vers une exigence croissante de souveraineté pour les données sensibles, et les données de santé sont en première ligne.
SecNumCloud : la réponse française
L'ANSSI, l'agence nationale de la sécurité des systèmes d'information, délivre une qualification appelée SecNumCloud, le plus haut niveau d'exigence français pour un service cloud. Son référentiel ne se limite pas à des critères techniques : il impose des critères de protection contre les lois extraterritoriales. En pratique, un fournisseur contrôlé par un groupe soumis à un droit non européen ne peut pas être qualifié SecNumCloud, précisément pour immuniser les données contre des législations comme le Cloud Act.
C'est un point remarquable : l'autorité française de cybersécurité considère officiellement que l'exposition à un droit extraterritorial est un risque en soi, indépendamment de la qualité technique du fournisseur.
Pour bien situer les deux référentiels :
| Certification HDS | Qualification SecNumCloud | |
|---|---|---|
| Qui la délivre | Organismes accrédités, sous l'égide de l'Agence du Numérique en Santé | ANSSI |
| Ce qu'elle garantit | Sécurité de l'infrastructure d'hébergement | Sécurité et protection contre les lois extraterritoriales |
| Obligatoire pour un cabinet | Oui, pour toute donnée de santé | Non (référence pour les données sensibles) |
| Protège du Cloud Act | Non | Oui, par construction du référentiel |
La doctrine "cloud au centre" et le cloud de confiance
La doctrine de l'État français en matière de cloud, dite "cloud au centre", va dans le même sens : pour les données sensibles des administrations, l'État privilégie des offres dites de "cloud de confiance", qui s'appuient sur la qualification SecNumCloud et sur une protection contre les réglementations extracommunautaires. Les données de santé des Français figurent explicitement parmi les données considérées comme sensibles dans ce cadre.
EUCS : le débat européen
Au niveau européen, un schéma de certification de cybersécurité pour les services cloud, connu sous le nom d'EUCS, est en discussion. Le point le plus débattu est précisément celui-ci : faut-il, pour le niveau de garantie le plus élevé, imposer des critères de souveraineté qui excluent les fournisseurs soumis à des lois extraterritoriales ? La France défend cette position, d'autres États membres y sont opposés, et le débat n'est pas tranché. Mais le simple fait que ce soit le point de friction central du dossier dit tout de l'enjeu.
Ce qu'il faut en retenir pour un cabinet
Aucune règle n'impose aujourd'hui à un cabinet dentaire libéral d'utiliser un hébergeur qualifié SecNumCloud. Mais la direction est claire : les exigences de souveraineté montent, réglementation après réglementation. Choisir dès maintenant un hébergeur français d'un groupe européen, c'est s'aligner sur le sens de l'histoire réglementaire plutôt que de devoir changer de logiciel plus tard sous la contrainte. C'est d'ailleurs un critère que nous recommandons d'intégrer à toute grille de choix d'un logiciel dentaire IA, au même titre que les fonctionnalités, dans notre comparatif des logiciels dentaires.
Les questions à poser à votre éditeur
La bonne nouvelle : il n'est pas nécessaire d'être juriste pour évaluer la souveraineté d'une solution. Cinq questions écrites suffisent, et les réponses, ou leur absence, sont très parlantes. Elles complètent celles, tout aussi décisives, sur la réversibilité : notre guide pour récupérer ses données d'un logiciel dentaire les détaille.
1. Qui héberge les données, exactement ?
Pas "un cloud sécurisé", pas "un partenaire de confiance" : le nom de l'entreprise. Si l'éditeur ne peut ou ne veut pas nommer son hébergeur, arrêtez-vous là.
2. Dans quel pays sont situés les serveurs ?
France, Union européenne, ou ailleurs ? Et pas seulement les serveurs principaux : demandez aussi où sont les sauvegardes et les réplicas.
3. Sous quelle juridiction est la maison mère de l'hébergeur ?
C'est la question que presque personne ne pose et qui change tout. Une filiale française d'un groupe américain reste soumise au droit américain via sa maison mère. Un groupe dont la société de tête est européenne ne l'est pas. La réponse figure dans les mentions légales et la structure capitalistique de l'hébergeur ; un éditeur sérieux la connaît.
4. Les données sortent-elles de l'UE, y compris pour les traitements d'IA ?
C'est le point aveugle des solutions récentes. Un logiciel peut être hébergé en France et envoyer, à chaque requête, des extraits de données vers une API d'intelligence artificielle opérée depuis les États-Unis. À mesure que les usages de l'IA au cabinet dentaire se multiplient, cette question devient incontournable. Demandez explicitement : les traitements d'IA sont-ils réalisés dans l'UE ? Par quels fournisseurs ? Avec quelles garanties contractuelles ?
5. Les modèles d'IA sont-ils entraînés avec les données du cabinet ?
Exigez un engagement écrit : les données des patients ne servent jamais à entraîner des modèles d'IA. C'est une clause qui devrait figurer noir sur blanc dans le contrat ou la politique de confidentialité.
Un éditeur transparent répond à ces cinq questions en un email. Les réponses évasives, les formules du type "nos partenaires respectent les standards les plus élevés" sans nom ni pays, sont en elles-mêmes une information.
| Question à poser | Une bonne réponse | Signal d'alerte |
|---|---|---|
| Qui héberge les données ? | Le nom précis de l'entreprise | « Un cloud sécurisé » sans nom |
| Où sont serveurs et sauvegardes ? | France ou UE, localisation précise | Localisation vague ou inconnue |
| Juridiction de la maison mère ? | Société de tête européenne | Filiale d'un groupe non européen |
| Les données sortent-elles de l'UE, IA comprise ? | Traitements IA dans l'UE, garanties écrites | Silence sur les sous-traitants IA |
| Les modèles sont-ils entraînés avec vos données ? | Engagement écrit : jamais | Formules évasives ou renvoi au juridique |
Le choix DentalIAssist : hébergement en France chez OVHcloud
Chez DentalIAssist, cet arbitrage a été fait dès la conception, et il se résume en une phrase : les données des cabinets sont hébergées en France chez OVHcloud, hébergeur français certifié HDS, appartenant à un groupe européen qui n'est pas soumis au Cloud Act.
Concrètement :
- Hébergement en France chez OVHcloud, hébergeur certifié HDS (rappel utile : c'est l'hébergeur qui est certifié HDS, jamais le logiciel lui-même).
- Juridiction européenne : OVHcloud est un groupe français, dont la société de tête est européenne. Il n'existe pas de maison mère américaine par laquelle une demande fondée sur le Cloud Act pourrait transiter.
- Chiffrement : AES-256 pour les données au repos, TLS 1.3 pour les données en transit.
- Pas d'entraînement de modèles : les données des cabinets ne sont pas utilisées pour entraîner des modèles d'IA.
Nous ne prétendons pas que ce choix est le seul possible, ni que les solutions hébergées ailleurs sont insécurisées. Nous disons que pour des données de santé, la question de la juridiction mérite d'être posée, et que notre réponse à cette question tient en une phrase claire, celle que vous pourrez donner à vos patients.
Posez-nous les cinq questions de cet article en direct : hébergeur, juridiction, traitements IA, entraînement des modèles. Les réponses de DentalIAssist sont écrites, précises et vérifiables.
Demander une démo gratuiteSources officielles
FAQ
Questions fréquentes
Un hébergeur américain certifié HDS est-il conforme pour un cabinet dentaire ?
Sur le plan strictement réglementaire, oui : la certification HDS peut être obtenue par la filiale européenne d'un groupe américain, et l'hébergement de données de santé chez cet acteur n'est pas illégal en soi. Mais la certification atteste la sécurité de l'infrastructure, pas la juridiction dont dépend la maison mère. Un fournisseur soumis au droit américain reste exposé au Cloud Act, ce qui pose une question de souveraineté que la certification ne règle pas.
Qu'est-ce que le Cloud Act ?
Le Cloud Act (Clarifying Lawful Overseas Use of Data Act) est une loi américaine adoptée en 2018. Elle permet aux autorités américaines, dans le cadre de procédures judiciaires, d'exiger d'un fournisseur soumis au droit des États-Unis qu'il communique des données dont il a la garde ou le contrôle, y compris lorsque ces données sont stockées sur des serveurs situés hors des États-Unis, par exemple en Europe.
Le RGPD protège-t-il contre le Cloud Act ?
Partiellement, et c'est justement le problème. L'article 48 du RGPD prévoit qu'une décision d'une autorité d'un pays tiers exigeant un transfert de données n'est exécutoire que si elle repose sur un accord international. Un fournisseur soumis au droit américain peut donc se retrouver pris entre deux obligations contradictoires : le droit américain qui exige la communication, le droit européen qui l'encadre. Le cabinet, lui, n'a aucun moyen d'arbitrer ce conflit.
Où vérifier qui héberge les données de mon logiciel dentaire ?
Trois sources : la politique de confidentialité de l'éditeur, qui doit nommer ses sous-traitants, la liste officielle des hébergeurs certifiés HDS publiée par l'Agence du Numérique en Santé sur esante.gouv.fr, et une simple question écrite à l'éditeur : qui héberge, dans quel pays, sous quelle juridiction est la maison mère. Un éditeur sérieux répond précisément à ces trois questions.
Qu'est-ce que SecNumCloud ?
SecNumCloud est la qualification de sécurité la plus exigeante de l'ANSSI, l'agence française de cybersécurité, pour les services cloud. Au-delà des exigences techniques, son référentiel impose des critères de protection contre les lois extraterritoriales : un fournisseur contrôlé par un groupe soumis à un droit non européen ne peut pas être qualifié. C'est aujourd'hui la référence française en matière de cloud de confiance.
Les données de mon cabinet peuvent-elles être utilisées pour entraîner une IA ?
Tout dépend de l'éditeur et de ses sous-traitants. Certains services d'IA grand public se réservent le droit d'utiliser les contenus soumis pour améliorer leurs modèles. Pour des données de santé, c'est une ligne rouge : exigez de votre éditeur un engagement écrit que les données du cabinet ne servent jamais à entraîner des modèles, et demandez où sont traitées les requêtes IA. Chez DentalIAssist, les données des cabinets ne sont pas utilisées pour entraîner des modèles d'IA.