La question décisive n’est pas où se trouve le serveur. C’est qui détient la clé.

Imaginez : vous assistez à la démonstration d’un outil d’IA qui rédige des rapports médicaux. Le vendeur prononce deux phrases. « Chez nous, tout reste en Suisse. » Et : « De toute façon, les données de patients ne peuvent quitter le pays qu’avec un consentement exprès. »

La première phrase peut être un bon argument. La seconde est inexacte. Mais l’erreur est moins dangereuse que ce qu’elle cache : la question de savoir qui peut lire vos données en clair.

Ce que dit vraiment la loi sur la protection des données.

Selon l’article 5 de la loi fédérale sur la protection des données (LPD), les données de santé sont des données sensibles. Elles peuvent pourtant être communiquées à l’étranger si le Conseil fédéral a constaté que l’État concerné offre une protection adéquate. La liste figure à l’annexe 1 de l’ordonnance sur la protection des données. Outre les États de l’Union européenne, le canton de Zurich indique que les entreprises américaines certifiées selon le Data Privacy Framework sont aussi considérées comme sûres. Sans une telle décision, il faut des garanties appropriées, par exemple des clauses types de protection des données. Le consentement exprès figure à l’article 17 parmi les exceptions, il n’est pas la règle.

Une distinction s’impose. Les cliniques et cabinets privés sans mandat de prestations public relèvent de la loi fédérale. Les hôpitaux avec un mandat public relèvent du droit cantonal, qui présente des différences importantes. Le canton de Zurich précise en outre que l’utilisation du cloud par une clinique privée ne requiert en principe pas le consentement des patients, pour autant qu’ils soient informés de cette utilisation.

La règle la plus stricte n’est pas dans la loi sur la protection des données.

Elle est dans le Code pénal. L’article 321 protège le secret professionnel, et le canton de Zurich décrit dans son bac à sable pour l’innovation en IA ce que cela implique pour le cloud. Si un fournisseur peut lire vos données en clair, le secret professionnel peut s’opposer à son utilisation, à moins qu’il ne soit intégré contractuellement et organisationnellement au point d’être considéré comme un auxiliaire. Selon le canton, c’est souvent difficile avec les grands fournisseurs. L’autre solution est technique : un chiffrement dont le fournisseur ne détient pas la clé.

Pour les données couvertes par le secret professionnel qui partent aux États-Unis, le canton est précis. Le fournisseur ne doit avoir aucun accès, et la clé doit rester en Suisse, chez le prestataire de soins. S’y ajoutent des domaines avec leurs propres règles. Pour le dossier électronique du patient, par exemple, le canton cite une disposition qui interdit le stockage à l’étranger.

Il en découle une chose que l’on entend rarement en rendez-vous commercial : un serveur suisse ne règle pas le problème à lui seul. Si les collaborateurs du fournisseur suisse peuvent lire vos rapports en clair, la question du secret professionnel se pose exactement de la même façon.

Un serveur suisse est un bon début. Ce n’est pas une réponse au secret professionnel.

Le rapport avec votre site.

Il est plus étroit que la plupart des cliniques ne le pensent. Selon l’analyse du canton de Zurich, le simple nom d’une personne en lien avec un médecin, par exemple lors d’une prise de contact, est déjà une donnée de santé. Le formulaire de contact, l’outil de réservation, le chat du site et le numéro WhatsApp traitent donc des données sensibles. Où vont ces données ? Vers un service de formulaires aux États-Unis, une messagerie privée, un CRM en Irlande ?

La loi exige de la transparence. Si des données sont communiquées à l’étranger, la déclaration de protection des données doit nommer l’État et, le cas échéant, les garanties. Lorsqu’un patient échange directement avec une IA, par exemple un chatbot, un devoir d’information peut découler du principe de transparence, selon le canton. Et pour beaucoup d’applications médicales d’IA qui vont au-delà de l’administratif, une analyse d’impact relative à la protection des données sera vraisemblablement nécessaire.

Ma position.

J’héberge mon propre site en Suisse et je le recommande aussi aux cliniques, parce que cela simplifie beaucoup de choses. Mais je ne le vendrais jamais comme la réponse au secret professionnel. Un fournisseur se choisit sur son contrat et sur la question de savoir qui détient la clé. Le drapeau du centre de données ne remplace pas un contrat.

Ce que je vérifierais.

• Le parcours des données du site. Formulaire, réservation, chat, newsletter : où va chaque information, qui la traite et dans quel pays.
• Le contrat avec chaque fournisseur. Finalité, sécurité, lieu de traitement, sous-traitants, droits de contrôle et confidentialité, comme les énumère le canton de Zurich.
• La clé. Qui peut voir les données en clair, chez le fournisseur et chez ses sous-traitants.
• La déclaration de protection des données. Les États, les garanties et la mention lorsque les patients échangent avec une IA.
• Une analyse d’impact pour chaque outil d’IA qui fait davantage que déplacer des rendez-vous.

Avant d’introduire le prochain outil.

1. Cette semaine

   Lister tous les outils

   Chaque système qui reçoit des données du site ou du cabinet, avec le fournisseur et le lieu de traitement.

2. Ce mois-ci

   Demander les documents

   Le contrat de sous-traitance, la liste des sous-traitants et qui a accès aux données en clair.

3. Avant chaque projet d’IA

   Analyse d’impact et question de la clé

   Documenter les risques et décider où se trouve la clé.

4. Chaque année

   Revoir

   Les décisions d’adéquation et le contexte politique peuvent changer vite, comme le rappelle aussi le canton.

Pensez à l’outil que votre clinique utilise le plus : l’agenda, la messagerie ou le dossier patient. Répondez maintenant à une seule question, sans regarder le contrat. Si demain un employé de ce fournisseur voulait lire un dossier précis, le pourrait-il ?

Si votre réponse est « je ne sais pas », ce n’est pas une négligence de votre part. C’est la question que presque personne ne pose au moment de signer. Mais il vaut mieux connaître la réponse avant qu’un patient ne la pose.

Si vous voulez que j’examine votre site et vos outils sous cet angle, commencez par le Diagnostic stratégique. L’appréciation juridique d’un cas précis revient à votre conseiller juridique ou, pour les hôpitaux investis d’un mandat public, à l’autorité cantonale de protection des données.