Vos informations ainsi que celles de vos patients sont parmi les plus sensibles qui existent. Vous méritez de savoir précisément où elles vivent, sous quelle juridiction, et pourquoi nous avons fait les choix que nous avons faits.

Cet article vous le raconte sans détour.

La plupart des logiciels de santé stockent leurs données chez Google (Google Cloud), AWS (Amazon) ou encore Azure (Microsoft). Ces plateformes sont fiables, bien connues, certifiées. Beaucoup affichent un centre de données à Paris, Francfort ou Dublin.

Ce que leurs pages marketing ne mentionnent pas, c'est que la localisation du serveur ne protège pas grand-chose face à la loi américaine.

AWS, Azure et Google Cloud sont des entreprises de droit américain. À ce titre, elles sont soumises à deux législations dont les implications dépassent les frontières américaines.

Ces deux textes ne sont pas des rumeurs ou des théories. Ce sont des lois fédérales en vigueur, documentées par des juristes européens, analysées par la CNIL et d'autres autorités de protection des données.

Un dossier patient hébergé chez un prestataire américain peut être communiqué à des agences fédérales américaines sans que vous en soyez jamais informé. Légalement.

Face aux inquiétudes sur le Cloud Act, la réponse habituelle des grands fournisseurs cloud est simple : « Vos données sont hébergées en Europe. Donc protégées par le RGPD. »

Ce message est rassurant. Il est aussi incomplet.

Ce qui compte n'est pas l'adresse du centre de données. C'est la nationalité juridique de l'entreprise qui opère ce centre de données. Et si cette entreprise est américaine, la juridiction américaine s'applique à elle, où qu'elle place ses serveurs.

La Cour de justice de l'Union européenne l'a confirmé en juillet 2020. Dans l'arrêt dit « Schrems II » (affaire C-311/18, 16 juillet 2020), la CJUE a invalidé le Privacy Shield, le mécanisme d'adéquation qui permettait légalement de transférer des données européennes vers les États-Unis. La Cour a estimé que les programmes de surveillance américains, dont la section 702 du FISA, ne garantissaient pas aux personnes concernées un niveau de protection équivalent à celui du RGPD.

Être conforme au RGPD et être à l'abri du Cloud Act sont deux choses différentes. Une organisation peut cocher les deux cases, ou seulement l'une d'elles.

Beaucoup d’entreprises choisissent leurs centres de données pour des raisons classiques : sécurité, proximité, connaissance technique ou familiarité historique des développeurs.
​
Chez Moofl, lorsque nous avons construit notre solution, le choix de l’hébergeur n’était pas un simple détail technique à régler en dernier. C’était une question de cohérence.
​

Souveraineté européenne et engagement environnemental : deux piliers qui caractérisent Moofl.
​

Un outil de soin qui traite des données de patients vulnérables ne peut pas héberger ces données dans une zone juridique opaque ou fragile. Nous avons donc recherché un hébergeur répondant à deux critères non négociables : une infrastructure souveraine, située dans une juridiction européenne, et un engagement environnemental sérieux.
​

Nous avons choisi Infomaniak.

Infomaniak est une entreprise fondée en 1994 à Genève. Elle est détenue majoritairement par ses propres employés. Son capital est suisse, son actionnariat est indépendant, et elle n'a aucun lien de contrôle avec une entreprise hors espace économique européen.

La Suisse n'est pas membre de l'Union européenne, mais ses lois de protection des données ont été reconnues équivalentes au RGPD. La Commission européenne a maintenu et confirmé cette décision d'adéquation en janvier 2024, après l'entrée en vigueur de la nouvelle loi sur la protection des données suisse (nLPD) le 1er septembre 2023.

Cette configuration n'est pas seulement conforme : elle est délibérément plus protectrice que ce qu'impose le RGPD seul.

Le deuxième critère était environnemental. Et ce n'était pas un bonus à l'utilisation d'Infomaniak, c'était une condition.

Prendre soin de personnes et saccager la planète où elles vivent sont deux postures incompatibles. Un outil de soin doit être cohérent avec ce qu'il sert.

Infomaniak a construit ses centres de données autour d'une contrainte qu'elle s'est elle-même imposée : ne pas dépenser plus d'énergie qu'il n'est strictement nécessaire, et ne pas gaspiller l'énergie dépensée.

Ces engagements sont certifiés : Infomaniak détient les certifications ISO 14001 (management environnemental), ISO 50001 (management de l'énergie) et, depuis 2025, la certification B Corp.

Moofl ajoute à cette infrastructure sa propre couche de protection : les communications sont chiffrées en transit via TLS 1.3, et les fichiers les plus sensibles sont chiffrés côté applicatif avant leur envoi vers le stockage.

Vous savez désormais où sont vos données, sous quelle juridiction, et pourquoi.

Moofl n'est pas le seul outil numérique que vous utilisez dans votre cabinet. Vous avez probablement aussi un logiciel de comptabilité, un outil de prise de rendez-vous en ligne ou encore une messagerie professionnelle.

Pour chacun de ces outils, la même question mérite d'être posée :

Ce ne sont pas des questions pour des juristes. Ce sont des questions que tout praticien qui confie des données sensibles à un outil numérique peut légitimement poser. Et attendre une réponse claire.