Conformité · Guide

Un éditeur français n'est pas un éditeur certifié

« C'est une société française, donc mes données sont en sécurité. » Le raccourci est répandu, il est rassurant, et il est faux. Pas seulement imprécis : faux dans les deux sens. Une société française peut parfaitement héberger vos données chez un prestataire non certifié, y compris hors d'Europe. Et plusieurs sociétés étrangères sont certifiées pour les données de santé françaises.

Trois choses qu'on confond

Derrière « c'est français » se cachent trois questions distinctes, qui n'ont pas les mêmes réponses.

La nationalité de la société qui édite le logiciel. C'est ce qu'on lit dans les mentions légales. Cela dit où se trouve le siège social, et rien d'autre.

Le lieu où les données sont stockées. Une entreprise française peut louer des serveurs n'importe où sur la planète. Cela se dit dans la politique de confidentialité, et cela devrait nommer un pays.

La certification de l'hébergeur pour les données de santé. Elle ne dépend ni de la nationalité de l'éditeur, ni même de celle de l'hébergeur : elle dépend d'un audit, réussi ou non, et elle s'inscrit sur une liste publique.

Les trois peuvent varier indépendamment. C'est pour cela qu'une seule réponse ne suffit jamais.

Pourquoi le raccourci est tenace

Parce qu'il mélange deux préoccupations légitimes. D'un côté la crainte que des données de santé partent vers un pays qui n'offre pas les mêmes garanties. De l'autre le souhait de soutenir des acteurs locaux. Les deux se défendent, mais aucune ne répond à la question posée, qui est de savoir si vos données sont hébergées dans les conditions exigées.

Et c'est un argument commercial commode : il se met sur une page d'accueil, il ne se vérifie pas, et il n'engage à rien. Un drapeau ne se contrôle pas ; une inscription sur une liste, si.

Ce qu'il faut demander à la place

Deux questions, dans cet ordre.

Quel est le nom de votre hébergeur ? Un nom de société, pas une catégorie.

Dans quel pays sont stockées mes données ? Un pays, idéalement une région du fournisseur.

Puis vous cherchez le nom obtenu sur la liste des hébergeurs certifiés de l'Agence du Numérique en Santé. Deux minutes, et vous savez.

Le cas qui surprend

Plusieurs grands fournisseurs américains figurent sur la liste, pour leurs infrastructures situées en France. À l'inverse, il existe des sociétés françaises qui hébergent chez des prestataires non certifiés, sans le cacher, simplement parce que personne ne le leur a demandé.

Cela ne veut pas dire que la question de la souveraineté ne se pose pas. Elle se pose, mais c'est une autre question, avec ses propres arguments. Elle ne remplace pas la vérification, elle vient après.

Et Scielle ?

Scielle est une société française, et cela ne prouve rien non plus. Ce qui se vérifie, c'est que les données sont hébergées chez AWS, dans la région de Paris, et qu'AWS figure sur la liste de l'Agence du Numérique en Santé. Le reste est détaillé sur notre page sécurité, et les autres vérifications à faire sont dans notre grille en neuf questions.