Données médicales polonaises dans la nature : l'Europe ne peut plus se permettre ce pari

# Données médicales polonaises dans la nature : l'Europe ne peut plus se permettre ce pari

En 2026, une fuite massive de données médicales touche la Pologne. Des millions de dossiers patients — diagnostics, prescriptions, historiques de soins — se retrouvent exposés. Les enquêteurs remontent la chaîne. Au bout : une infrastructure hébergée chez un acteur américain, soumise de plein droit au Cloud Act américain, et dont les équipes de réponse à incident se trouvent à plusieurs fuseaux horaires de Varsovie.

La question n'est pas de savoir qui a « cliqué sur le mauvais lien ». La question, celle que personne ne pose assez fort dans les DSI européennes, est celle-ci : pourquoi les données médicales les plus sensibles d'un pays européen transitaient-elles encore par une infrastructure sur laquelle l'Europe n'exerce aucune juridiction réelle ?

Le Cloud Act n'est pas une théorie complotiste

Le Cloud Act américain de 2018 est un texte juridique précis, pas un fantasme de souverainistes. Il autorise les autorités américaines à exiger d'un prestataire cloud enregistré aux États-Unis l'accès à des données stockées n'importe où dans le monde — y compris sur des serveurs physiquement situés en Europe. Les clauses de confidentialité, les certifications ISO, les DPA soigneusement négociés : aucun de ces instruments ne suspend l'effet de ce texte.

En matière de données médicales, le niveau de sensibilité est maximal. On parle de données qui peuvent exposer une personne à de la discrimination à l'embauche, à des litiges d'assurance, à des manipulations personnelles. Ce n'est pas de la donnée RH ou du CRM. C'est le dossier médical d'un citoyen européen, protégé en théorie par le RGPD — et pourtant potentiellement accessible à une administration étrangère sans que le patient, le médecin ou la DSI n'en soient jamais informés.

L'incident polonais n'est pas une anomalie. C'est l'illustration d'un angle mort structurel.

NIS2 et RGPD : des cadres solides sur du sable

Depuis janvier 2025, la directive NIS2 s'applique aux opérateurs de secteurs critiques, dont la santé. Elle impose des obligations de sécurité renforcées, des délais de notification d'incident, une responsabilité élargie des directions. Sur le papier, c'est rigoureux.

Mais NIS2 ne résout pas le problème de fond. Elle oblige à mieux gérer les incidents. Elle n'oblige pas à choisir une infrastructure souveraine. Résultat : on peut être parfaitement conforme NIS2, avoir des processus de notification impeccables, et confier ses données à un acteur dont le siège social est à Seattle, soumis à des injonctions qu'aucune autorité européenne ne peut contrecarrer.

Le RGPD, lui, interdit en théorie le transfert de données personnelles vers des pays ne garantissant pas un niveau de protection équivalent à celui de l'UE. La Cour de justice de l'UE l'a rappelé avec force dans l'arrêt Schrems II en 2020. Pourtant, six ans plus tard, l'hôpital polonais, la clinique allemande, le réseau de santé français continuent massivement de s'appuyer sur des infrastructures américaines, en espérant que les clauses contractuelles standards suffiront à couvrir leur responsabilité.

Elles ne suffiront pas, en cas d'incident sérieux.

La vraie question que doit se poser chaque DSI de santé en Europe

Pas « est-ce que notre contrat est conforme ? » — cette question est trop facile à fermer avec un document signé.

Mais : que se passe-t-il si les autorités américaines exigent l'accès à nos données demain matin, avant l'ouverture de nos services ? Qui est notifié ? Qui peut s'y opposer juridiquement ? En combien de temps nos patients sont-ils informés ? Et surtout : avons-nous une alternative opérationnelle déjà en place, ou sommes-nous piégés par plusieurs années de migrations applicatives et de contrats pluriannuels ?

La fuite polonaise forcera sans doute quelques audits, quelques réunions de crise, quelques déclarations à la CNIL locale. Puis le soufflé retombera. C'est le scénario habituel.

Ce qui ne devrait pas retomber, c'est la pression sur un choix d'infrastructure qui n'a rien d'anodin. Des acteurs européens — certifiés HDS pour la santé en France, opérant sous juridiction exclusive européenne — existent. Ils ne sont pas une option de niche réservée aux idéologues de la souveraineté numérique. Ils sont une réponse concrète à un risque juridique et opérationnel documenté.

Le vrai coût de la dépendance

On entend souvent l'argument du coût : migrer vers une infrastructure souveraine serait plus cher, plus complexe, plus risqué à court terme. C'est un calcul incomplet.

Il ne prend pas en compte le coût d'un incident majeur : amendes RGPD potentiellement calculées sur le chiffre d'affaires mondial de l'établissement ou du groupe de santé, perte de confiance des patients, exposition médiatique, paralysie opérationnelle. Il ne prend pas en compte le coût politique, pour un directeur d'hôpital ou un DSI, d'avoir à expliquer à une commission parlementaire pourquoi les données de santé de millions de citoyens européens étaient confiées à une infrastructure extraterritoriale.

L'incident polonais pose une question simple, que chaque responsable de système d'information dans le secteur de la santé en Europe devrait inscrire dans son agenda du prochain COMEX : jusqu'où sommes-nous prêts à déléguer notre responsabilité à des acteurs que nos lois ne gouvernent pas ?

La réponse ne s'improvise pas après une fuite. Elle se prend avant.