Cloud santé : pourquoi le secteur reste le plus prudent de France

Cloud santé : un établissement sur deux seulement a franchi le pas

49 % des établissements de santé utilisent déjà des outils cloud, plateformes SaaS ou cloud printing. 39 % n’ont pas franchi le pas, 12 % ne se prononcent pas. Ces chiffres viennent du Baromètre Quorum Santé et Numérique 2025, réalisé entre fin septembre et fin octobre 2025 auprès de 500 DSI, RSSI, médecins DIM et directeurs d’établissement.

Le contraste avec les collectivités locales saute aux yeux : 70 % d’adoption côté territorial, 49 % en santé. La santé ferme la marche des acteurs publics. Là où le cloud entre, c’est par la bureautique et l’impression managée, rarement par le cœur clinique.

Le même baromètre coupe court à l’explication paresseuse. 73 % des professionnels interrogés jugent la transformation numérique essentielle à leur activité, contre 65 % chez les collectivités. La conviction dépasse celle des autres secteurs publics. Ce n’est donc pas l’envie qui manque. Restent 12 % d’indécis : ils signalent surtout un besoin de repères avant d’arbitrer.

Trois raisons à cette prudence : HDS, RGPD, souveraineté

La retenue du secteur s’explique par trois contraintes concrètes, toutes étrangères à la peur du changement.

D’abord, la donnée elle-même. Un dossier patient relève des données sensibles au sens de l’article 9 du RGPD : leur traitement est interdit par principe, sauf exceptions encadrées. La CNIL range la santé parmi les données les plus protégées, au même rang que les opinions politiques ou religieuses. Une fuite ne se rattrape pas.

Ensuite, l’hébergement. Héberger des données de santé pour le compte d’un tiers impose une certification HDS — hébergeur de données de santé — prévue à l’article L.1111-8 du Code de la santé publique. La nouvelle version du référentiel, publiée au Journal officiel le 16 mai 2024, devient obligatoire au 16 mai 2026 selon l’Agence du Numérique en Santé. Elle s’appuie sur la norme ISO/IEC 27001. Héberger chez un prestataire non certifié expose à des sanctions pénales.

Enfin, la souveraineté. Le référentiel HDS version 2 impose une localisation des données dans l’Espace économique européen et une transparence sur les risques d’accès par des autorités d’États tiers — comprendre : le Cloud Act américain. La loi SREN du 21 mai 2024 a donné une base juridique à cette exigence.

Reste une zone grise. La certification HDS n’atteint pas, à ce jour, le niveau d’immunité extraterritoriale du référentiel SecNumCloud. L’articulation entre les deux se décidera avec le futur schéma européen EUCS, attendu d’ici 2027.

La sécurité avant le prix : ce que révèle le choix des prestataires

Le marché de la santé a déjà rebattu ses critères d’achat IT. Dans le choix d’un prestataire, 70 % des établissements placent la sécurité en tête. La confiance suit (61 %), puis l’expertise technique (59 %). Le prix n’arrive qu’en quatrième position (52 %). Le baromètre acte un basculement : la fiabilité passe devant la facture.

Cette hiérarchie se double d’une dépendance assumée. 83 % des établissements travaillent avec des prestataires externes, et 63 % en font intervenir plusieurs. Seuls 17 % gardent toute leur informatique en interne. Le cloud n’est qu’un maillon d’une chaîne déjà largement externalisée.

La peur qui structure ces choix est précise : 66 % redoutent le piratage des données comme première menace, devant les rançongiciels (59 %). Les attaques répétées contre les hôpitaux publics français ont laissé des traces.

Un angle mort persiste. 69 % des établissements n’ont toujours pas de stratégie cyber formalisée. La conscience du risque devance nettement l’organisation.

Cloud privé, public ou hybride : la grille de décision pour les données de santé

Le bon réflexe consiste à faire correspondre chaque type de donnée à un modèle d’hébergement. L’État applique déjà cette logique de tri dans sa doctrine cloud ; elle se transpose à l’hôpital.

Quelles données vont où

Les données patients et cliniques — dossiers médicaux, imagerie, comptes rendus — vont dans un cloud privé ou un hébergement HDS dédié. Les usages bureautiques et non sensibles, messagerie générique ou outils collaboratifs, tolèrent un cloud public. Entre les deux, le modèle hybride sert de pivot : il garde le sensible au chaud et bascule le reste vers des offres mutualisées. La doctrine « Cloud au centre », pilotée par la DINUM, retient le même principe : données sensibles et essentielles sur cloud interne ou de confiance, données non sensibles sur cloud commercial avec redondance.

La checklist avant de signer

Avant d’arrêter un hébergeur, cinq points à vérifier :

• Certification HDS à jour, alignée sur le référentiel version 2 (obligatoire au 16 mai 2026).
• Qualification SecNumCloud de l’ANSSI pour les traitements les plus sensibles, gage d’immunité face aux lois extraterritoriales.
• Localisation des données dans l’Espace économique européen, documentée et opposable.
• Réversibilité : récupérer ses données et changer de fournisseur sans dépendance technique bloquante.
• Plan de reprise d’activité testé, condition de continuité des soins.

Aucune grille ne remplace l’analyse au cas par cas. Un même établissement loge souvent des données aux régimes de sensibilité très différents.

Souveraineté numérique : une contrainte qui devient un atout

La souveraineté joue désormais en faveur des établissements qui s’en saisissent tôt. Depuis 2021, la doctrine « Cloud au centre » fait du cloud de confiance le réflexe par défaut de l’État pour ses projets sensibles. Le marché a suivi : en 2025, les fournisseurs européens ont capté 70 % de la commande publique sur le « Nuage public », selon numerique.gouv.fr. Le gouvernement a annoncé la migration de la Plateforme des données de santé vers un cloud de confiance d’ici 2027.

Côté offre, des hébergeurs cumulent certification HDS et qualification SecNumCloud, comme OVHcloud ou Outscale ; Scaleway, certifié HDS, est engagé depuis 2025 dans la qualification SecNumCloud. Ces acteurs hébergent en France, sous droit européen.

La confiance, elle, devient un argument. Dans un secteur où 70 % des acheteurs placent la sécurité en premier critère, un hébergement souverain rassure le patient autant que le régulateur.

Une limite demeure. Même hébergées en Europe, beaucoup d’applications reposent sur des briques logicielles étrangères. Le bilan de la DINUM, publié fin 2025, le pointe sans détour : la souveraineté de l’hébergement ne fait pas la souveraineté complète.

Le calendrier, lui, est connu. Au 16 mai 2026, seuls les hébergeurs conformes au référentiel HDS version 2 pourront encore stocker des données de santé. En 2027, la Plateforme des données de santé doit avoir basculé sur un cloud de confiance. Pour un DSI, l’arbitrage se déplace vers la cartographie des données : laquelle, à quel niveau de sensibilité, chez quel hébergeur. Le reste suivra cette grille.

Sources citées

1. Baromètre Quorum Santé et Numérique 2025 — Institut Quorum pour Konica Minolta, novembre 2025
2. Agence du Numérique en Santé — Certification HDS : https://esante.gouv.fr/produits-services/hds
3. CNIL — Données de santé : https://www.cnil.fr/fr/thematiques/sante
4. ANSSI — SecNumCloud / cloud de confiance : https://cyber.gouv.fr/enjeux-technologiques/cloud/
5. DINUM — Doctrine « Cloud au centre » : https://numerique.gouv.fr/offre-accompagnement/cloud-administrations/la-doctrine-de-letat/
6. numerique.gouv.fr — Transition vers des offres cloud souveraines, bilan décembre 2025 : https://www.numerique.gouv.fr/sinformer/espace-presse/etat-transition-cloud-offres-europeennes-souveraines/