Le prix par ligne baisse, mais les risques et les contrôles se multiplient

À l'arrière-plan, un médecin en blouse blanche interagit d'un simple effleurement du doigt avec une illustration blanche en suspension, comportant des graphiques et des zones de texte, qui se trouve au premier plan.

03.11.2026

Appareils de dictée

Les offres de prestataires situés dans les pays voisins attirent par des effectifs suffisants, des coûts plus bas et un contrat apparemment complet. Pourtant, le recours à des prestataires à l’étranger accroît les obligations en matière de justification, de contrôle et de réaction, tout en renforçant l’insécurité juridique. La prestation peut être confiée au-delà des frontières, mais la responsabilité reste celle de l’hôpital.

Le risque ne figure pas dans l’offre

Le service de transcription interne manque de personnel, les retards dans la rédaction des rapports s’accumulent et le budget ne prévoit pas de postes supplémentaires. C’est alors qu’arrive l’offre d’un prestataire allemand : terminologie médicale spécialisée, prix par ligne plus bas, certification ISO et contrat de sous-traitance du traitement des données inclus.

L’offre fournit également l’argument relatif à la protection des données : l’Allemagne figure à l’annexe 1 de l’ordonnance sur la protection des données, de sorte que la communication de données ne nécessite pas de garanties supplémentaires. C’est exact, mais cela ne répond qu’à la question la plus simple parmi celles qui se posent. Case cochée, analyse de rentabilité calculée, prêt à signer ?

Un niveau de protection adéquat ne suffit pas

En effet, le caractère adéquat du niveau de protection ne répond qu’à une partie de la question. Toutes les autres obligations restent applicables : limitation du traitement à sa finalité, sécurité des données, information des personnes concernées, contrôle du traitement des données par le sous-traitant et ses éventuels sous-traitants, ainsi que réalisation d’une analyse d’impact relative à la protection des données en cas de risque élevé. De plus, le traitement des données par un sous-traitant n’est autorisé que si aucune obligation légale ou contractuelle de confidentialité ne s’y oppose (art. 9, al. 1, let. b, LPD).

Les rapports opératoires, psychiatriques et de sortie d’hospitalisation contiennent non seulement des données personnelles particulièrement sensibles, mais leur contenu est généralement aussi soumis au secret professionnel au sens de l’art. 321 du Code pénal suisse (CP). Le fait qu’une communication de données à l’étranger soit autorisée au regard du droit de la protection des données ne règle donc pas la question du secret professionnel. Le droit pénal ne prévoit aucune liste de pays autorisés.

Les médecins peuvent faire appel à des auxiliaires, une catégorie qui peut englober aussi bien le secrétariat médical que les prestataires informatiques. Ce n’est pas la dénomination figurant dans le contrat qui est déterminante. Les accès aux données doivent être nécessaires, les personnes concernées clairement identifiées, soumises à une obligation de confidentialité et effectivement intégrées dans une structure d’instructions et de contrôle. C’est également ce qu’exigent les préposés cantonaux à la protection des données, réunis au sein de la Conférence privatim : le simple fait de qualifier contractuellement une personne d’« auxiliaire » ne suffit pas.

L’Allemagne, avec l’article 203 du Code pénal (StGB), dispose d’un régime spécifique de protection du secret pour les personnes qui y sont soumises. Le secret professionnel ne se retrouve donc pas dans un vide juridique au-delà des frontières. Il appartient toutefois à l’hôpital suisse de vérifier et de pouvoir démontrer que les deux cadres juridiques s’articulent sans lacune dans la chaîne concrète des prestations, qu’il s’agisse de la transcription, de l’assurance qualité, du support, du télétravail ou de chacun des sous-traitants. Un simple « Nous sommes conformes » ne saurait remplacer cette vérification.

De l’autre côté de la frontière, les risques et les exigences de contrôle se multiplient

Au-delà de la frontière, un deuxième espace juridique apparaît. Qui peut entendre ou lire les données en clair, et où ? Quelle obligation de confidentialité s’applique à chaque personne ? Quelles autorités peuvent accéder aux données ? Qu’en est-il en cas d’urgence ou de conflit juridique ? Comment faire respecter les droits d’audit, d’effacement et de donner des instructions ? En principe, cela s’applique indépendamment du fait que la transcription soit effectuée par des personnes ou par des systèmes assistés par l’intelligence artificielle (IA) : ce qui reste déterminant, c’est de savoir qui reçoit le texte en clair, où et quelle législation est applicable.

Même l’évaluation publique la plus favorable est assortie de réserves. Un guide non contraignant juridiquement, publié en 2025 par l’AI Innovation Sandbox de Zurich, considère que l’externalisation à l’étranger est en principe possible pour les hôpitaux publics, tout en soulignant les risques accrus et la nécessité de mesures supplémentaires. De son côté, le Préposé fédéral à la protection des données et à la transparence (PFPDT) indique qu’il convient d’éviter de faire appel à des prestataires établis à l’étranger pour le traitement de données personnelles médicales, car le droit étranger n’offre pas toujours une protection équivalente à celle prévue par l’art. 321 du Code pénal suisse (CP). Il ne s’agit pas d’une interdiction générale, mais d’un signal d’alerte clair. Une direction hospitalière ne peut pas se contenter de cocher des pays sur une liste pour considérer la question comme réglée.

L’allemand standard ne suffit généralement pas

Un élément qui n’apparaît que dans très peu d’offres : la langue. La documentation médicale en Suisse constitue un espace linguistique à part entière. Le rapport de sortie s’appelle « Arztbrief » en Allemagne ; à cela s’ajoutent la garantie de prise en charge, le médecin prescripteur, les noms de préparations qui n’existent qu’ici, et des dictées marquées par les particularités des dialectes suisses alémaniques. Ceux qui entendent cela quotidiennement corrigent au fur et à mesure, tandis que ceux qui ne le font pas génèrent des demandes de précisions et des boucles de correction qui n’apparaissent nulle part dans le prix à la ligne. Dans le pire des cas, cela se traduit par des erreurs dans le rapport destiné au médecin référent. Ce qui est donc déterminant, ce n’est pas le siège social de l’entreprise, mais le fait que les personnes impliquées dans le processus de transcription connaissent le quotidien hospitalier suisse. Cette question doit figurer dans chaque appel d’offres et dans chaque projet pilote.

La surprise ne vaut pas consentement

Selon le PFPDT, un consentement implicite ne couvre que les communications de données auxquelles les patientes et les patients peuvent raisonnablement s’attendre. L’équipe soignante entre dans cette catégorie, mais difficilement un centre de transcription externe situé à l’étranger.

Lorsque des rapports opératoires, psychiatriques ou de sortie sont communiqués à des tiers à l’étranger, qu’ils soient lus ou écoutés, on ne saurait présumer que les personnes concernées s’y attendaient. Le silence ne transforme pas la surprise en consentement. Le traitement des données à l’étranger doit être transparent et, selon la situation, un consentement spécifique au déliement du secret professionnel est également requis.

La responsabilité incombe à l’hôpital

L’hôpital peut déléguer l’exécution des tâches, mais pas sa responsabilité. La tâche est loin d’être simple : il doit sélectionner le prestataire, lui donner des instructions et contrôler son travail, encadrer les sous-traitants, garantir l’exercice des droits des personnes concernées et enquêter sur les incidents. Pour les hôpitaux figurant sur une liste hospitalière cantonale, la contrainte de temps s’ajoute à ces exigences : les cyberattaques soumises à une obligation de déclaration doivent en principe être signalées à l’Office fédéral de la cybersécurité dans les 24 heures suivant leur découverte. Une longue chaîne d’escalade ne ralentit pas le compte à rebours.

L’utilisation ultérieure des données, par exemple pour entraîner des modèles, améliorer des produits ou réaliser des analyses comparatives, doit également faire l’objet de dispositions contractuelles explicites. Le contrat doit préciser si le prestataire ou l’un de ses sous-traitants est autorisé à utiliser les données au-delà du cadre du mandat et, le cas échéant, à quelles fins.

Concernant le dossier électronique du patient, la Confédération a établi un lien entre le lieu de stockage des données et la juridiction applicable : les serveurs de stockage doivent se trouver en Suisse et être soumis au droit suisse (art. 12, al. 5, O-DEP). S’il n’y a pas d’interdiction expresse de la transcription à l’étranger, c’est un signal clair quant à l’importance accordée à la souveraineté des données de santé sensibles. Les hôpitaux publics et de droit public doivent en outre respecter la législation cantonale en matière d’information et de protection des données, le secret de fonction et les prescriptions relatives à l’externalisation. Selon le canton et le niveau de risque, une analyse d’impact relative à la protection des données, un contrôle préalable ou une consultation de l’autorité de surveillance peuvent être requis. Entamer ces démarches seulement après l’attribution du marché expose l’établissement au risque de voir le projet suspendu et, dans le pire des cas, de subir une atteinte à sa réputation.

Cinq questions avant la signature

Qui a accès aux données en clair et où ? Répertorier les services de transcription, d’assurance qualité, d’assistance, de télétravail et les sous-traitants.
Quelle obligation de confidentialité s’applique à quelle personne ? Faire évaluer par écrit la chaîne de protection, le droit applicable et la force exécutoire.
Où se trouvent les données et à quelles fins ? Vérifier les fichiers audio, les textes, les sauvegardes, la suppression et toute utilisation secondaire.
L’hôpital est-il en mesure d’agir en l’espace de quelques heures ? Tester les procédures de signalement, les journaux d’événements, les analyses médico-légales et les demandes des autorités.
Les patientes et les patients en sont-ils informés ? Informer en toute transparence du traitement des données à l’étranger et vérifier si un consentement est nécessaire.

Le coût de la gouvernance

La frontière ne marque pas une interdiction. Elle marque toutefois le début de nouvelles exigences en matière de gestion des risques et de contrôle. En optant pour un prix à la ligne plus avantageux de l’autre côté de la frontière, un hôpital doit aussi composer avec un second ordre juridique, un plus grand nombre de personnes susceptibles d’accéder aux données et des délais de réaction plus longs.

Le fait que les données, leur traitement et leur accès restent en Suisse ne garantit pas pour autant la sécurité. Cela peut néanmoins réduire la complexité juridique et organisationnelle, faciliter les audits et simplifier la mise en œuvre des droits. Le calcul de rentabilité doit donc tenir compte non seulement du prix à la ligne, mais aussi du coût de la gouvernance, un coût qui figure rarement dans l’offre.

Première publication : clinicum 5/26, 14 octobre 2026