nLPD : un logiciel d'ambulances hébergé en France, légal ?

Oui : une entreprise privée d'ambulances ou de transport de patients en Suisse romande peut héberger les données de son logiciel en France, parce que la France figure à l'annexe 1 de l'ordonnance sur la protection des données (OPDo), la liste des États dont le Conseil fédéral a reconnu le niveau de protection adéquat. La nouvelle loi sur la protection des données (nLPD) n'impose pas de garder les données en Suisse. Elle impose de choisir un pays adéquat ou d'ajouter des garanties, d'encadrer le prestataire par un contrat et de protéger les données. Deux nuances changent la réponse : si vous êtes un service public ou le mandataire d'un canton, la loi cantonale peut aller plus loin ; et dans tous les cas, moins un logiciel porte de données sensibles, moins la question pèse.

Vous êtes peut-être dans cette situation : un fournisseur suisse vous présente son offre et glisse que « vos données doivent rester en Suisse ». La phrase sonne comme une obligation légale. Pour une entreprise privée, elle ne l'est pas. Ce guide reprend les textes mot pour mot (art. 16 LPD, art. 8 et annexe 1 OPDo, position du PFPDT), distingue les trois situations qui comptent et termine par une procédure de vérification à suivre avant de signer avec n'importe quel éditeur, suisse ou étranger.

Avertissement utile : cet article explique le cadre légal tel qu'il ressort des textes officiels. Il ne remplace pas l'avis d'un juriste sur votre situation, en particulier si vous travaillez sur mandat public.

Que dit la nLPD sur l'hébergement des données de santé par un logiciel ?

La nLPD ne contient pas de règle spéciale « hébergement des données de santé » comparable à ce qui existe en France. La question de l'hébergement à l'étranger se règle par les dispositions générales sur la communication de données personnelles à l'étranger, à l'art. 16 de la loi fédérale sur la protection des données (LPD, RS 235.1).

Voici l'art. 16, tel qu'il figure sur fedlex (nouvel onglet) :

« Art. 16 Principes 1 Des données personnelles peuvent être communiquées à l'étranger si le Conseil fédéral a constaté que l'État concerné dispose d'une législation assurant un niveau de protection adéquat ou qu'un organisme international garantit un niveau de protection adéquat. 2 En l'absence d'une décision du Conseil fédéral au sens de l'al. 1, des données personnelles peuvent être communiquées à l'étranger si un niveau de protection approprié est garanti par : a. un traité international ; b. les clauses de protection des données d'un contrat […] préalablement communiquées au PFPDT ; c. des garanties spécifiques […] ; d. des clauses type de protection des données […] ; e. des règles d'entreprise contraignantes […]. 3 Le Conseil fédéral peut prévoir d'autres garanties appropriées. »

La structure est simple et mérite d'être retenue, car c'est elle qui répond à la question de votre fournisseur :

1. Premier étage (al. 1) : si le Conseil fédéral a constaté que l'État de destination offre un niveau de protection adéquat, la communication est admise. Aucune garantie supplémentaire n'est exigée par cet alinéa.
2. Deuxième étage (al. 2) : à défaut de décision d'adéquation, la communication reste possible, mais il faut une garantie : traité, clauses contractuelles communiquées au PFPDT, garanties spécifiques, clauses types ou règles d'entreprise contraignantes.
3. Troisième étage (al. 3) : le Conseil fédéral peut ajouter d'autres garanties appropriées.

Nulle part l'art. 16 ne dit que les données doivent rester sur le territoire suisse. Il organise la sortie des données, il ne l'interdit pas.

Héberger chez un prestataire étranger, est-ce une « communication à l'étranger » ?

Quand votre logiciel stocke les fiches de vos courses sur un serveur situé en France, les données quittent physiquement la Suisse. Le plus prudent est de raisonner comme s'il s'agissait d'une communication à l'étranger au sens de l'art. 16 : c'est l'hypothèse la plus exigeante pour vous. Et même sous cette hypothèse, comme on va le voir, la France passe par le premier étage.

La France figure-t-elle dans l'annexe 1 de l'OPDo ?

Oui. L'art. 16 al. 1 LPD renvoie à une décision du Conseil fédéral ; cette décision prend la forme d'une liste, fixée par l'ordonnance sur la protection des données (OPDo, RS 235.11). L'art. 8 OPDo (nouvel onglet) dispose :

« Art. 8 […] 1 Les États, les territoires, les secteurs déterminés dans un État, et les organismes internationaux avec un niveau de protection adéquat sont mentionnés à l'annexe 1. »

L'annexe 1 contient une liste numérotée d'États. On y lit notamment, reproduites telles qu'elles figurent dans le texte, les entrées « 1 Allemagne* », « 5 Belgique* », « 14 France* » et « 24 Italie* ». La version consultée de l'annexe intègre la mise à jour du 14 août 2024, en vigueur depuis le 15 septembre 2024.

Le Préposé fédéral à la protection des données et à la transparence (PFPDT) le résume sur sa page consacrée à la communication de données à l'étranger (nouvel onglet) : les États adéquats sont ceux de l'annexe 1 de l'OPDo ; vers ces États, les données peuvent être transférées librement ; vers les autres, il faut recourir à des clauses types ou à d'autres garanties.

Conséquence directe pour votre logiciel : un éditeur qui héberge vos données en France, en Belgique ou en Allemagne se trouve dans le premier étage de l'art. 16. Ce n'est pas une zone grise et ce n'est pas une tolérance : c'est la règle écrite.

Entreprise privée d'ambulances : que faut-il vraiment pour héberger en France ?

Pour une entreprise privée (service de sauvetage privé, entreprise de transport de patients, société qui assure des transferts programmés pour des EMS ou des cliniques), l'hébergement en France est licite sans garantie supplémentaire au titre de l'art. 16. Cela ne veut pas dire « sans rien faire ». Trois obligations restent pleinement les vôtres, quel que soit le pays d'hébergement, y compris la Suisse.

1. Un contrat de sous-traitance avec l'éditeur

L'éditeur de votre logiciel traite des données pour votre compte : identité et adresse des patients transportés, horaires, équipages. Il agit comme sous-traitant, et cette relation doit être encadrée par un contrat. C'est le document qui transforme une promesse commerciale (« vos données sont en sécurité ») en engagement vérifiable. Un éditeur sérieux le fournit ou décrit précisément ses conditions de traitement ; un éditeur qui reste vague sur le sujet vous laisse porter seul le risque.

2. Des mesures de sécurité adaptées

Le pays d'hébergement ne dit rien de la sécurité réelle. Un serveur en Suisse mal protégé expose davantage vos patients qu'un serveur en France bien tenu. Les questions à poser portent sur le chiffrement des échanges, la gestion des accès (qui, chez vous et chez l'éditeur, voit quoi), les sauvegardes et leur localisation, et la manière dont l'éditeur réagit en cas d'incident.

3. Le devoir de diligence dans le choix du prestataire

En tant que responsable du traitement, vous devez choisir votre prestataire avec soin et pouvoir le démontrer. Concrètement : avoir lu ses conditions, savoir où sont les données (serveurs principaux et sauvegardes), connaître ses propres sous-traitants et garder une trace de ces vérifications. C'est ce dossier, plus que l'adresse du centre de données, qui vous protège en cas de question d'un patient ou d'une autorité.

Ce qui n'est pas requis

Pour un hébergement dans un État de l'annexe 1 :

• pas d'obligation d'héberger en Suisse ;
• pas de clauses types de protection des données (elles relèvent de l'al. 2, c'est-à-dire des États non listés) ;
• pas de communication préalable de clauses au PFPDT (même raison) ;
• pas de consentement du patient au titre de l'art. 16 al. 1, qui ne repose que sur la décision d'adéquation.

Service public ou mandataire d'un canton : la loi cantonale s'applique-t-elle ?

C'est la nuance qui justifie de ne pas répondre « oui » sans réfléchir. Tout ce qui précède vaut pour une entreprise privée. Les services publics cantonaux et communaux relèvent, eux, des lois cantonales sur la protection des données : la LIPAD à Genève, la LPrD dans le canton de Vaud. Ces lois sont décrites comme plus restrictives pour les services publics tels que les services d'incendie et de secours (SIS), les hôpitaux publics comme les HUG ou les CSU communaux.

Trois cas de figure se présentent pour une entreprise d'ambulances romande :

1. Vous êtes vous-même un service public (service d'ambulances rattaché à un hôpital, à une commune ou à un SIS) : la loi cantonale prime, et elle peut encadrer plus strictement la sortie des données hors de Suisse ou le recours à un prestataire informatique. Le raisonnement « la France est à l'annexe 1, donc c'est réglé » ne suffit pas.
2. Vous êtes une entreprise privée qui travaille sur mandat public (convention avec une centrale, transports pour un hôpital public) : votre convention ou votre mandat peut reprendre des exigences de l'autorité. Relisez-le avant de choisir votre logiciel.
3. Vous êtes une entreprise privée sans mandat public : vous restez dans le cadre fédéral décrit plus haut.

Dans les deux premiers cas, la démarche sûre est de se renseigner auprès du préposé cantonal à la protection des données avant de signer. Une question écrite, avec le nom du logiciel, le pays d'hébergement et la liste des données traitées, vous donnera une réponse opposable bien plus utile qu'un argument commercial.

L'autorisation d'exploiter elle-même relève aussi du canton, avec des règles différentes d'un canton à l'autre ; notre article sur la distinction entre service de sauvetage et transport de patients en Suisse fait le point sur ce cadre.

Le secret professionnel (art. 321 CP) change-t-il la réponse ?

Il s'ajoute à la protection des données, il ne la remplace pas. La doctrine considère que le secret professionnel de l'art. 321 du Code pénal s'applique aux ambulanciers (voir par exemple l'analyse publiée sur swissprivacy.law (nouvel onglet), une source doctrinale secondaire et non un texte officiel). Cette lecture doctrinale a deux conséquences pratiques pour le choix d'un logiciel :

• Limiter qui voit quoi. Le secret vise ce que l'équipage apprend dans l'exercice de son activité. Plus le logiciel collecte d'informations sur l'état de santé, plus le cercle des personnes qui y ont accès (régulation, administration, éditeur) devient un sujet.
• Ne pas confondre localisation et confidentialité. Le secret n'est pas mieux protégé parce que le serveur est en Suisse ; il l'est parce que les accès sont limités, que les données inutiles ne sont pas collectées et que le prestataire est tenu contractuellement à la confidentialité.

Si vous avez un doute sur la portée exacte de l'art. 321 CP pour votre personnel, la question relève de votre conseil juridique ; aucune source officielle ouverte pour ce guide ne la tranche.

Pourquoi certains éditeurs mettent-ils en avant un « hébergement suisse » ?

Parce que c'est un argument commercial efficace, et parfois un vrai besoin pour une partie de la clientèle. Ce n'est pas une obligation légale pour une entreprise privée.

Deux exemples relevés le 28 octobre 2026 illustrent la diversité des pratiques :

• djooze.dispo, de Gartenmann Software AG (Winterthur, fondée en 1992), est un logiciel de disposition généraliste en allemand qui cite notamment parmi ses fonctions « Dispositionssoftware », « Einsatzplanung Software », « GPS-Flottenansicht », « Fahrer-App » et « Rechnungswesen », et qui compte le « Krankentransport » parmi ses secteurs. Sa page consacrée au transport de malades (nouvel onglet) met en avant un hébergement suisse.
• LIRIE, plateforme de coordination des transports basée à Genève, déclare dans ses mentions légales (nouvel onglet) (mises à jour le 13 avril 2026) un hébergement par des prestataires européens, avec un traitement possible hors de Suisse et de l'EEE.

Autrement dit, même parmi les outils actifs en Suisse, l'hébergement exclusivement suisse n'est pas la norme. Un éditeur qui le propose répond à une demande légitime : services publics soumis à une loi cantonale stricte, clients qui préfèrent simplifier leur dossier, politique interne d'un groupe. Ce qui pose problème, c'est de présenter ce choix comme une exigence légale universelle. Pour une entreprise privée, le critère légal est l'annexe 1 de l'OPDo, pas la frontière.

Et en France ?

La comparaison éclaire bien le malentendu : en France, l'hébergement de données de santé par un prestataire est soumis à une certification spécifique (HDS), une particularité française sans équivalent en Suisse, que nous détaillons dans notre guide RGPD et transport sanitaire en France. La Suisse ne connaît pas de certification obligatoire de ce type ; elle raisonne en niveau de protection du pays et en obligations du responsable.

Tableau : ce que la loi exige selon votre situation

Sources : LPD, art. 16 (fedlex) (nouvel onglet) ; OPDo, art. 8 et annexe 1 (fedlex) (nouvel onglet) ; PFPDT, communication de données à l'étranger (nouvel onglet) ; swissprivacy.law (nouvel onglet) (doctrine). Relevé du 28/10/2026.

Minimiser les données : le levier que l'on oublie

Le débat « Suisse ou France » cache souvent la vraie question : quelles données votre logiciel contient-il ? La protection des données repose sur un principe de bon sens que tous les textes partagent : on ne collecte que ce dont on a besoin. Or un outil de régulation n'a pas besoin de connaître la pathologie d'un patient pour planifier sa course.

Ce dont la régulation a besoin :

• qui transporter, d'où, vers où, à quelle heure ;
• dans quelles conditions de mobilité (assis, fauteuil, brancard), traitées comme une exigence de véhicule ;
• quel équipage et quel véhicule ;
• le statut de la course (confirmée, en cours, terminée).

Ce dont elle n'a pas besoin :

• le diagnostic ou le motif médical du transport ;
• la prescription du médecin ;
• le numéro AVS du patient ;
• les informations détaillées de sa caisse-maladie.

Un outil de régulation qui ne porte aucune donnée médicale réduit l'enjeu à tous les niveaux : moins de risque en cas d'incident, un secret professionnel plus facile à garantir, une conversation plus simple avec un préposé cantonal. C'est particulièrement vrai pour les transports récurrents : une entreprise qui assure des séries de transports vers un centre de dialyse planifie les mêmes patients plusieurs fois par semaine, et la tentation de tout noter dans le même outil est forte. Notre article sur le transport de dialyse en Suisse et les séries LAMal montre comment organiser ces séries sans faire du planning un dossier médical.

La facturation et les documents médicaux ont leur propre circuit (votre logiciel de facturation, votre fiduciaire, la caisse-maladie). Les séparer de la régulation n'est pas une contrainte : c'est ce qui permet de choisir chaque outil selon ses mérites.

Procédure : vérifier un logiciel d'ambulances avant de signer

Voici une procédure en sept étapes, applicable à n'importe quel éditeur, qu'il héberge en Suisse ou ailleurs.

1. Qualifiez votre situation. Entreprise privée sans mandat public, entreprise privée sur mandat, ou service public : c'est ce qui détermine si la LPD fédérale suffit ou si une loi cantonale s'ajoute.
2. Demandez où sont les données, sauvegardes comprises. Un pays pour les serveurs principaux et un autre pour les sauvegardes est fréquent. Les deux doivent figurer à l'annexe 1 de l'OPDo, sinon il faut une garantie de l'art. 16 al. 2.
3. Vérifiez le pays dans l'annexe 1. Ouvrez la version en vigueur de l'OPDo sur fedlex plutôt que de vous fier à une liste recopiée : l'annexe est mise à jour (dernière mise à jour relevée : 14 août 2024, en vigueur le 15 septembre 2024).
4. Listez les données que le logiciel collecte. Écran par écran : y a-t-il un champ « motif », « diagnostic », « prescription », « numéro AVS » ? Chaque champ médical inutile à la régulation est un risque sans contrepartie.
5. Obtenez les conditions de traitement par écrit. Contrat de sous-traitance ou conditions publiées : finalités, lieux d'hébergement, mesures de sécurité, sous-traitants ultérieurs, sort des données en fin de contrat.
6. Interrogez le préposé cantonal si vous êtes un service public ou un mandataire. Une question écrite et précise vaut mieux qu'une supposition.
7. Archivez le dossier. Gardez les réponses, les versions des conditions et la date de vos vérifications : c'est la preuve de votre diligence.

Les erreurs courantes

• Confondre argument commercial et obligation légale. « Vos données doivent rester en Suisse » est vrai pour certains services publics selon leur loi cantonale ; ce n'est pas la règle pour le privé.
• Oublier les sauvegardes. Un logiciel peut annoncer un pays pour ses serveurs et sauvegarder ailleurs. Posez la question explicitement.
• Croire que le lieu d'hébergement règle tout. Un serveur suisse ne dispense ni de contrat, ni de sécurité, ni de diligence.
• Mettre des données médicales dans l'outil de planning. Un champ « remarques » utilisé pour noter un diagnostic suffit à faire basculer votre planning dans une autre catégorie de risque.
• Se fier à une liste d'États recopiée sur un blog. L'annexe 1 de l'OPDo évolue ; la seule référence est le texte en vigueur sur fedlex.
• Ignorer son propre mandat. Une convention avec un hôpital public ou une centrale peut contenir des exigences que la LPD fédérale ne pose pas.

Ce qu'un logiciel de régulation apporte ici (et ce qu'il n'apporte pas)

SanteMobile est un logiciel de régulation pour sociétés d'ambulances : planning, affectation des équipages, application équipage, application patient gratuite, exports CSV/XLSX. Sur la question traitée dans cet article, voici les faits, sans arrondi.

Hébergement : données hébergées en France (VPS), sauvegardes en Europe (Cloudflare R2, Europe de l'Ouest). La France figure à l'annexe 1 de l'OPDo ; si vous êtes un service public ou un mandataire cantonal, la vérification auprès de votre préposé cantonal reste nécessaire, et nous ne la faisons pas à votre place.

Données : aucune donnée médicale (ni prescription, ni motif de transport, ni numéro AVS). La mobilité du patient est traitée comme une exigence de véhicule. Les échanges sont chiffrés en transit (TLS 1.3).

Position : pendant chaque course, de « En route » à la dépose, l'application de l'équipage partage la position du téléphone avec le régulateur et le patient ; aucune position hors course, seule la dernière est conservée.

Ce que SanteMobile ne fait pas : aucun lien avec les caisses-maladie ; SanteMobile n'émet aucune facture, l'export CSV/XLSX alimente votre logiciel de facturation ou votre fiduciaire. Les conditions de traitement des données sont décrites dans notre politique de confidentialité : lisez-la dans le cadre de votre diligence, comme vous le feriez pour tout autre éditeur.

Prix : gratuit pendant la bêta. Le tarif de sortie, un forfait mensuel selon la taille de votre flotte, sera communiqué aux membres de la bêta avant toute facturation.

Pour voir comment le logiciel s'utilise dans une entreprise romande, consultez notre page logiciel d'ambulances pour la Suisse.