Réferendum Epic canton de Vaud

Dossier patient informatisé : la souveraineté numérique et le secret médical sont en jeu

Les cantons informatisent le dossier des patient·e·s. Le canton de Vaud a retenu le logiciel américain Epic pour le CHUV et les hôpitaux de la FHV ; à Zurich et dans d’autres cantons, la décision n’est pas encore tombée. Face aux données les plus intimes de la population, un principe doit s’imposer : la souveraineté numérique et le secret médical ne peuvent pas rester de simples promesses — ils doivent être garantis par des mesures techniques et juridiques contraignantes. À défaut, ces projets ouvrent la voie à la surveillance et aux abus. Dans le canton de Vaud, un référendum reste possible ; dans les cantons où la décision est en suspens, les parlements doivent corriger le tir pendant qu’il en est encore temps. Nous appelons celles et ceux qui veulent lancer un référendum à se faire connaître et à nous rejoindre pour constituer un comité.

Un choix cantonal, un enjeu national

Il s’agit de nos données les plus intimes : diagnostics, traitements, suivis psychiatriques, listes de médicaments. Des données qui ne regardent que la personne concernée et ses soignant·e·s.

Le 22 septembre 2026, le Grand Conseil vaudois a définitivement adopté les quatre décrets dotant le CHUV et onze établissements de la Fédération des hôpitaux vaudois (FHV) du dossier patient informatisé d’Epic, un éditeur américain. Il reste un recours démocratique : le référendum cantonal. À Zurich et dans d’autres cantons, un choix comparable est en préparation et le parlement cantonal ne s’est pas encore prononcé.

La vraie question n’est pas technique, elle est démocratique : qui, demain, contrôlera ces données — et la personne soignée pourra-t-elle encore faire confiance au fait que ce qu’elle confie reste entre elle et son médecin ? C’est l’autodétermination informationnelle qui est en jeu, pour toute la population. Les hopitaux publics et le personnel soignant ont pour vocation de prodiguer les meilleurs soins possibles aux patients, et cela nécessite des outils adaptés, fiables et dans lesquels ils peuvent avoir confiance. La décision d’investir dans une solution comportant autant de risques va à l’encontre de leur mission.

Un verrou juridique étranger qu’aucun contrat cantonal ne lève

Confier un tel système à un éditeur américain, c’est le soumettre au droit américain. Le CLOUD Act autorise les autorités États-Uniennes à contraindre une entreprise américaine à livrer des données, où qu’elles soient hébergées — à Lausanne comme ailleurs. Aucune clause d’un contrat cantonal ne prime sur une injonction fédérale américaine.

Pire : ces injonctions s’accompagnent souvent d’une interdiction d’en informer la personne ou l’institution concernée. Autrement dit, nous pourrions ne jamais savoir que les données ont été transmises. Quant à vérifier par nous-mêmes le fonctionnement du logiciel, la loi américaine Digital Millenium Copyright Act (DMCA) et ses dispositions anti-contournement rendent l’audit approfondi d’un logiciel propriétaire fermé juridiquement risqué.

« Hébergé en Suisse » ne signifie donc pas « protégé en Suisse ». Un contrat n’est qu’une promesse ; la loi étrangère, elle, est une contrainte.

Ce qui peut fuir ne se limite pas aux données

Même sans accès aux dossiers complets, un tel système apprend. Ce qui peut en sortir, ce ne sont pas seulement les données brutes des patient·e·s, mais aussi les métadonnées — qui consulte quoi, quand, à quelle fréquence — et surtout les modèles entraînés sur ces données. Un algorithme nourri des dossiers d’un canton peut s’en aller sans qu’un seul nom ne quitte le bâtiment.

Là réside l’usage abusif le plus insidieux : le profilage. Un modèle peut apprendre à reconnaître une grossesse, une interruption de grossesse, un traitement hormonal, une maladie chronique — puis à identifier d’autres personnes, non parce qu’on connaît leur dossier, mais parce qu’elles ressemblent à d’autres. Pas forcément ici, pas forcément aujourd’hui.

Pour les femmes, les personnes queer, les minorités et les malades — celles et ceux qui paient toujours le prix fort lorsque les données de santé cessent d’être protégées — le risque n’est pas abstrait. Il est concret, et il est durable.

L’effet dissuasif touche le cœur du soin

Quiconque doit craindre une surveillance adapte son comportement. Cet « effet dissuasif » atteint tout particulièrement les relations soumises à un strict devoir de confidentialité : la protection des sources journalistiques, le secret de l’avocat·e — et le secret médical.

Or la qualité du soin repose sur la confiance. Si une personne redoute que ce qu’elle confie circule au-delà de la relation de soin, elle en dira moins, ou taira l’essentiel. Un dossier mieux partagé ne vaut rien si le lien de confiance se défait. Le secret médical n’est pas un accessoire administratif : c’est la condition même d’un soin de qualité.

Des promesses ne suffisent pas : il faut des garanties techniques

Les garde-fous ajoutés au projet vaudois — audit externe annuel, expert juridique, clauses contractuelles — sont des promesses. Or ce qui gouverne réellement un système informatique, ce n’est pas le contrat signé autour, c’est le code qui tourne dedans. Le juriste Lawrence Lessig l’a résumé il y a plus de vingt ans : code is law (le code, c’est la loi). Un logiciel propriétaire fermé, qu’on ne peut pas auditer — a fortiori sous le régime du DMCA — échappe par nature au contrôle.

La position que Société Numérique défend pour le dossier électronique de santé fédéral s’applique ici : un système manipulant des données de santé doit être conçu de telle manière qu’il ne soit pas nécessaire de faire confiance à son exploitant (« Zero Trust »). Cela suppose un contrôle local des clés et de l’infrastructure, ainsi qu’un code source ouvert — car seule la publication du code permet un contrôle indépendant, la traçabilité et la confiance. L’étude de l’EPFL commandée par l’OFSP a montré, pour le dossier de santé, que de telles exigences sont techniquement réalisables.

Adaptées au contexte hospitalier, ces exigences ne relèvent pas de l’idéal : elles sont le minimum. La sécurité et la souveraineté ne doivent pas rester de vaines promesses — elles doivent être ancrées techniquement, et vérifiables.

L’interopérabilité passe par les standards ouverts, pas par le monopole

On justifie souvent le choix d’un fournisseur unique par le besoin d’interopérabilité : « il y a trop de systèmes, consolidons tout sur un seul ». C’est l’inverse de la vérité. L’interopérabilité n’est pas affaire de nombre de logiciels, mais de standards ouverts : le courrier électronique et le web font dialoguer des milliers de systèmes différents parce qu’ils respectent des normes publiques (les RFC). Se verrouiller sur un éditeur propriétaire unique, ce n’est pas atteindre l’interopérabilité, c’est y renoncer.

La souveraineté numérique, c’est aussi des compétences locales : des solutions suisses, la collaboration entre cantons — comme l’offre de partage des Hôpitaux universitaires de Genève — et des budgets qui irriguent l’emploi et la recherche ici, plutôt que des coûts de licence qui partent ailleurs.

Le coût d’une dépendance qu’on ne maîtrise plus

La dépendance à un éditeur unique s’installe en cascade : financière, technologique, contractuelle, juridique — et devient très difficile à inverser. Le verrouillage par les licences n’a rien d’hypothétique : c’est la « crise des périodiques », par exemple. Dans les bibliothèques de recherche nord-américaines, les dépenses pour les revues ont bondi d’environ 223 % entre 1986 et 2011, plus vite que les budgets ; l’EPFL en porte la trace locale dès les années 1990, et les prix négociés sont depuis devenus confidentiels. Une fois captif, on ne maîtrise plus ni le prix, ni la sortie.

Dans le canton de Vaud, le nouveau dossier du patient est devisé à 207,6 millions de francs ([ictjournal, 23 septembre 2026](https://www.ictjournal.ch/news/2026-09-23/le-grand-conseil-vaudois-valide-le-nouveau-dossier-patient-base-sur-epic-update)) : c’est l’ampleur de l’engagement pris, et de la dépendance qui l’accompagne. C’est exactement le piège qui a conduit à l’obsolescence du système actuel : une dépendance à un fournisseur dont on ne peut plus se défaire. Sans stratégie de sortie, la facture enfle et la prochaine décision « en urgence » se profile déjà.

Nos revendications

Pour tout dossier patient informatisé mis en place par un canton, les conditions suivantes doivent être garanties — techniquement et juridiquement — avant toute signature :

1. Souveraineté juridique. Les données et leur traitement ne doivent pas être soumis à un droit étranger. Tout transfert, accès ou entraînement de modèles à l’étranger doit être exclu, garanti principalement par l’architecture technique, ainsi que par contrat et le risque de sanctions.
2. Auditabilité. Code source ouvert, ou à tout le moins droit d’audit indépendant complet, sans clause ni dispositif anti-contournement qui l’empêche.
3. Zero Trust. Une architecture telle que ni le fournisseur ni un tiers privilégié ne puisse techniquement accéder aux données contre la volonté de l’institution et des patient·e·s.
4. Minimisation. Collecte des données et des métadonnées réduite au strict nécessaire ; interdiction d’entraîner des modèles sur ces données sans base légale ni consentement.
5. Compétences internes. Le canton doit conserver les compétences nécessaires pour exploiter et vérifier le système : le contrôle ne se sous-traite pas.
6. Réversibilité. Stratégie de sortie, formats ouverts et portabilité des données inscrits au contrat.
7. Standards ouverts. L’interopérabilité doit reposer sur des normes publiques, non sur un écosystème propriétaire fermé.
8. Transparence. Contrat, analyse d’impact sur la protection des données et rapports périodiques communiqués au parlement et au public.

Ce que dit déjà le droit :

– Déjà obligatoire (CH – LPD révisée ; UE – RGPD) : la minimisation (point 4) et, pour un traitement à risque élevé, l’analyse d’impact (point 8). Les deux lois imposent aussi une sécurité « appropriée » et la protection des données dès la conception — mais sans prescrire de technologie précise.
– Encadré, mais impossible à garantir pleinement (point 1) : les transferts à l’étranger sont réglementés par les deux lois, mais aucune ne neutralise l’accès d’un État étranger ; tant que l’éditeur est soumis au CLOUD Act américain, la pleine souveraineté reste hors d’atteinte.
– Déjà dans le droit de l’UE, mais pas en Suisse : le Data Act impose la réversibilité (point 6) ; l’Espace européen des données de santé pousse des standards d’interopérabilité (point 7).

Appel

La santé peut entrer dans l’ère numérique — mais uniquement de manière sûre, souveraine et au service de la population. Ce sont des données aussi précieuses que la santé elle-même ; elles méritent la meilleure protection possible.

Dans le canton de Vaud, où le Grand Conseil a tranché, le référendum est le dernier recours démocratique : nous appelons celles et ceux qui veulent le lancer à se faire connaître et à nous rejoindre pour constituer un comité. À Zürich et dans tous les cantons où la décision est encore en suspens, les parlements ont la responsabilité de poser ces conditions avant de signer — de corriger le tir maintenant, et non dans dix ans, lorsque la facture et le verrouillage seront irréversibles.

Société Numérique appelle les élu·e·s, les soignant·e·s, les associations de patient·e·s et l’ensemble de la société civile à exiger des garanties contraignantes. Car il ne s’agit pas de refuser le numérique : il s’agit de refuser qu’on sacrifie, au passage, la confiance qui fonde le soin.

Sources