Contrat d'hébergement et localisation des données de santé

L'article 32 de la loi SREN du 21 mai 2024 a posé le principe d'une localisation des données de santé ; le décret n° 2026-209 du 24 mars 2026 l'a mis en œuvre en créant l'article R.1111-9-1 du code de la santé publique. Ses règles s'appliquent depuis le 26 septembre 2026, six mois après la publication du décret au Journal officiel.

Les accès à distance sont des transferts

L'article R.1111-9-1 vise les transferts y compris les accès à distance vers un État qui n'est ni membre de l'Union ni partie à l'EEE. Une équipe de support basée hors de l'Union qui se connecte à la production, une supervision opérée depuis un pays tiers ou un prestataire d'astreinte à l'étranger sont donc concernés, même si aucune copie ne quitte l'Union.

Un tel transfert n'est possible que dans deux cas : le pays bénéficie d'une décision d'adéquation de la Commission européenne (article 45 du RGPD) ; ou, à défaut, il est encadré par des garanties appropriées (article 46), comme des clauses contractuelles types. Dans ce second cas, le contrat d'hébergement mentionne l'absence de décision d'adéquation et décrit précisément les garanties retenues.

La cartographie publique des transferts

L'hébergeur rend publique et met à jour une cartographie des transferts de données de santé vers des États hors de l'Union, des accès à distance éventuels et des risques d'accès non autorisé. C'est une obligation de transparence vis-à-vis de tous ses clients et prospects, pas seulement un document d'audit.

L'article L.1111-8 impose un contrat entre l'hébergeur et son client, et l'article R.1111-11 en fixe le contenu minimal. Il contient notamment :

• le périmètre du certificat de l'hébergeur et ses dates de délivrance et de renouvellement ;
• la description des prestations, les lieux d'hébergement et les moyens mis en œuvre ;
• les mesures qui garantissent les droits des personnes : depuis le décret de 2026, notamment l'accès, la rectification, l'effacement, la portabilité et la limitation ;
• le référent à contacter pour le traitement des incidents ;
• les indicateurs de qualité et de performance, et les éventuelles pénalités ;
• les conditions de recours à des sous-traitants et les engagements qui garantissent un niveau de sécurité équivalent ;
• les modalités d'encadrement des accès aux données ;
• les prestations de fin de contrat, y compris en cas de perte ou de retrait du certificat : réversibilité, restitution des données, puis destruction ;
• l'interdiction d'utiliser les données à d'autres fins que l'exécution de la prestation ;
• depuis 2026, la liste des lois extra-européennes auxquelles l'hébergeur ou ses sous-traitants sont soumis et qui pourraient imposer un accès non autorisé, avec les mesures d'atténuation et les risques résiduels, ou la mention qu'il n'y en a aucune.

Selon l'ANS, les contrats déjà signés doivent être modifiés, le cas échéant, pour intégrer ces informations ; les hébergeurs dont les contrats les contiennent déjà sont conformes.

Et l'article 28 du RGPD ?

L'hébergeur est presque toujours sous-traitant au sens du RGPD. Son contrat doit donc aussi contenir les clauses de l'article 28 : traitement sur instruction documentée, confidentialité, sécurité, recours encadré aux sous-traitants ultérieurs, assistance au responsable, sort des données en fin de contrat, audits. Les deux séries de clauses se recoupent largement ; un seul contrat peut les réunir. Notre chapitre sur le contrat de sous-traitance de l'article 28 les détaille.