Certification HDS : une clause de souveraineté proposée par la commission d'enquête parlementaire

La commission d’enquête de l’Assemblée nationale sur les dépendances numériques et vulnérabilités systémiques de la France, présidée par le député Philippe Latombe et dont la rapporteure est la députée Cyrielle Châtelain, a rendu début juillet un rapport de plus de 400 pages sur la souveraineté numérique française. Parmi ses recommandations, une proposition concerne directement la santé numérique : intégrer une « clause de souveraineté » à la certification des hébergeurs de données de santé (HDS).

Un critère de souveraineté sans imposer SecNumCloud

Selon TICsanté, qui détaille le 7 août les implications de cette proposition pour le secteur santé, la commission recommande que la certification HDS impose que la majorité du capital des hébergeurs soit détenue par des acteurs européens, et que l’hébergement comme le traitement des données s’effectuent sur le sol européen. Contrairement aux recommandations plus anciennes de la Cour des comptes, qui plaidait pour un rapprochement pur et simple entre la certification HDS et le référentiel SecNumCloud de l’ANSSI, la commission écarte cette option, jugée trop coûteuse pour l’ensemble des hébergeurs certifiés. L’idée est plutôt de reprendre, dans le cadre HDS, les protections contre les lois à portée extraterritoriale que porte déjà SecNumCloud, sans imposer l’intégralité de ce référentiel plus exigeant.

Le cas Doctolib, symbole du problème

Le rapport cible implicitement des situations comme celle de Doctolib, dont les services hébergent aujourd’hui encore des données de santé françaises chez Amazon Web Services. La commission identifie trois risques majeurs dans ce type de montage : l’extraterritorialité juridique, un opérateur américain restant soumis au droit américain (Cloud Act) même lorsque les données sont stockées en Europe ; la dépendance vis-à-vis du fournisseur, qui expose établissements et éditeurs à des changements unilatéraux de conditions ; et le risque de déconnexion (« kill switch »), soit la possibilité qu’un service soit coupé pour des raisons géopolitiques échappant au contrôle des acteurs français.

Ce dossier s’inscrit dans un rapport plus large qui dresse le constat d’une France jugée massivement dépendante des géants numériques américains, avec une facture annuelle estimée à 1,5 milliard d’euros pour les seules dépenses publiques en logiciels et infrastructures non européennes. Le rapport recommande par ailleurs un objectif de 100 % de logiciels libres dans l’État d’ici 2030 et un moratoire sur les nouveaux data centers bénéficiant aux hyperscalers américains.

Une proposition qui s’ajoute à un corpus réglementaire déjà dense

Cette recommandation intervient alors que le référentiel HDS a déjà été révisé à plusieurs reprises : la version 2.0, entrée en vigueur en 2024, avait introduit des obligations d’hébergement au sein de l’Espace économique européen, complétées par le décret d’application de l’article 32 de la loi SREN publié en mars 2026. L’ANS a par ailleurs annoncé début août une version v2.1 du référentiel, centrée sur la clarté contractuelle entre hébergeurs et clients. La proposition de la commission, si elle était reprise par le gouvernement, ajouterait un critère capitalistique et géographique inédit, avec un impact direct sur les hébergeurs et éditeurs dont l’actionnariat ou l’infrastructure ne serait pas européen.

À ce stade, il s’agit d’une recommandation parlementaire et non d’une mesure engagée par le gouvernement ; sa traduction réglementaire dépendra des arbitrages politiques à venir.

Sources

• La commission d’enquête sur la souveraineté numérique propose d’inclure une « clause de souveraineté » dans la certification HDS - TICsanté
• La commission d’enquête de l’Assemblée nationale réclame un « zéro Microsoft » - Alliancy
• Un rapport choc de l’Assemblée nationale veut imposer le 100% open source à l’État dès 2030 et le 0% Microsoft à l’école - Usine Digitale
• 29 propositions pour reconquérir la souveraineté numérique - Silicon.fr