Image g�n�r�e par lIA
Malgré le durcissement de la situation juridique, le cloud public peut devenir un facteur de réussite dans le secteur de la santé. Un exemple pratique montre comment combler le fossé entre conformité et modernisation, et quels sont les critères de sélection décisifs.
Pénurie de personnel qualifié, augmentation des coûts conjuguée à un financement incertain, infrastructure statique, digitalisation nécessaire dans l’immédiat, le tout avec un niveau d’exigences élevé imposé par l’ordonnance KRITIS – le secteur de la santé est confronté à d’énormes défis. Depuis peu, un autre règlement vient s’y ajouter : l’article 393 du livre V du code social allemand oblige les hôpitaux, les caisses d’assurance maladie et leurs prestataires de services informatiques à présenter un certificat C5 de l’Office fédéral pour la sécurité de l'information (BSI) pour les solutions de cloud. En outre, il s’agit de limiter le traitement des données à l’Allemagne, à l’UE et à quelques autres pays. Des exigences qui vont au-delà du Règlement général sur la protection des données (RGPD) et qui nécessitent de la part des organisations concernées de nouveaux processus de certification ainsi qu’une nouvelle façon de penser lors du choix du fournisseur de cloud.
Parallèlement, les institutions du secteur de la santé doivent moderniser leur infrastructure informatique, devenir plus flexibles et réduire leurs coûts. Pour combler ce fossé, de nombreux responsables informatiques se posent la question suivante : Le renforcement de la situation juridique exclut-il le cloud public – ou existe-t-il des moyens de satisfaire aux deux exigences ?
Les grands acteurs du secteur de la santé traitent d’énormes volumes de données. Chez AOK Niedersachsen, par exemple, ce sont plus de 20 millions de documents par an, dont des avis, des décomptes de prestations ou des lettres d’information. Quatre documents sur cinq sont envoyés par la caisse d’assurance maladie par courrier postal. L’envoi classique est nécessaire parce que certaines informations ne peuvent ou ne doivent pas être représentées numériquement ou parce qu’il y a un manque de mise en œuvre numérique cohérente entre les acteurs du secteur de la santé. Au total, il s’agit d’environ 16 millions d’envois par an, qui doivent être imprimés, mis sous pli et affranchis.
Dans le cas de promotions spéciales adressées à tous les assurés – où jusqu’à 2,3 millions de documents doivent être envoyés presque simultanément en période de pointe – l’évolutivité d’un propre datacenter sur place atteint ses limites. Il peut entraîner des goulets d’étranglement au niveau des performances, ce qui a un impact sur la disponibilité du service. Pour une caisse d’assurance maladie où de nombreux envois sont soumis à des délais stricts, il s’agit d’un risque critique.
L’étape logique : la migration des services gérés vers le cloud. Mais dans lequel ? Un cloud privé offre certes plus de contrôle, mais pose souvent des problèmes d’évolutivité similaires à ceux des solutions sur site, car il faut continuer à planifier à l’avance les nouvelles capacités et à acheter du matériel informatique. En revanche, un cloud public promet précisément ce qui fait défaut : ressources à la demande, mise à l’échelle en quelques heures plutôt qu’en quelques semaines, pas de délai pour les pics de charge.
Mais dans le secteur de la santé, la question suivante se pose immédiatement : Est-ce que cela est compatible avec les exigences strictes en matière de protection des données et de conformité ? Peut-on concilier données de santé sensibles et cloud public ? En principe, oui – mais tous les clouds publics ne répondent pas aux exigences.
La migration vers le cloud public ne devrait donc pas commencer par le choix de la technologie, mais par des concertations internes intensives. Le délégué à la protection des données, le service juridique et les secteurs spécialisés doivent travailler en étroite collaboration afin de régler au préalable toutes les questions juridiques et organisationnelles. Quelles sont les exigences auxquelles un fournisseur de cloud doit répondre ? Quelles sont les clauses contractuelles indispensables ? Comment garantir le contrôle des données sociales ? Ce n’est que lorsque ces bases sont établies que le processus de sélection peut commencer. Cet ordre est décisif pour la réussite du projet, afin de pouvoir examiner les fournisseurs de manière ciblée.
L’article 393 SGB V exige depuis mars 2024 un certificat C5 du BSI et limite le traitement des données à l’Allemagne, à l’UE et à quelques autres pays. L’article 80 SGB X régit le traitement des données sociales par des prestataires de services externes et exige que le contractant n’agisse que selon les instructions. Le RGPD protège les données à caractère personnel et exige la transparence. Un cloud public doit remplir ces trois conditions de manière démontrable.
Où se trouvent physiquement les serveurs ? Des données quittent-elles le territoire allemand ? Les responsables ont besoin de la certitude que les données sociales sont traitées exclusivement dans des datacenters allemands – sans portes dérobées par des lois étrangères comme l’US Cloud Act. Qui a accès aux systèmes ? La gestion des clés externes est également un aspect décisif de la sécurité : la souveraineté sur le décryptage doit revenir à l’entreprise de santé, le fournisseur de cloud ne doit pas y avoir accès.
Pour exclure toute dépendance vis-à-vis d’un fournisseur, les solutions de cloud devraient idéalement être basées sur des normes ouvertes. Il est donc techniquement facile de changer de fournisseur. Parallèlement, la solution de cloud doit pouvoir évoluer rapidement afin de gérer les pics de charge en quelques heures.
La mise à disposition des services est devenue pour nous un projet phare pour l’utilisation des services de cloud. Et nous n’avons pas regretté d’avoir franchi le pas pendant cette période.
AOK Niedersachsen souhaitait rendre plus flexible sa gestion documentaire du fournisseur Binect. Le choix s’est porté sur T Cloud Public avec des datacenters situés en Allemagne, de sorte que les données sociales ne quittent à aucun moment le territoire fédéral. La solution fonctionne de manière stable depuis plus de trois ans. Les délais de résolution sont passés de plusieurs jours à quelques heures, rapporte Sebastian Angerstein, responsable de la gestion de projets et de solutions informatiques chez AOK Niedersachsen. L’expérience utilisateur s’est aussi nettement améliorée. De plus, la disponibilité des services a été considérablement optimisée. Les mises à jour peuvent être déployées rapidement, la mise à l’échelle se fait sur simple pression d’un bouton. Le modèle Pay-as-you-use offre des avantages en termes de coûts et de transparence sur les coûts réels. « La mise à disposition des services est devenue pour nous un projet phare pour l’utilisation des services cloud. Et nous n’avons pas regretté d’avoir franchi le pas pendant cette période », explique Christoph Meyer, responsable de la gestion des solutions chez AOK Niedersachsen.
Ce que d’autres organisations peuvent tirer comme enseignement de ce projet : Un cloud public et le secteur de la santé ne sont pas incompatibles. La mise en conformité avec les nombreuses réglementations peut même être facilitée à l’aide de solutions de cloud certifiées provenant d’Allemagne. L’implication précoce des services de conformité, le choix de normes ouvertes (open source) et la focalisation sur les fournisseurs détenteurs d’un certificat C5 de type 2 sont des facteurs décisifs pour réussir.
