Licences Microsoft pour la santé : conformité, confidentialité et maîtrise des coûts

Une clinique renouvelle ses postes Windows, ses applications Office et sa messagerie. La direction demande combien cela coûtera. Le responsable informatique veut réduire le nombre d’outils. Le délégué à la protection des données, lui, demande où circulent les informations, qui peut ouvrir un dossier et combien de temps les traces sont conservées. Dans cette situation, la question « quelle licence Microsoft est conforme pour la santé ? » paraît logique, mais elle part du mauvais endroit.

Il n’existe pas une licence magique qui transforme une organisation de santé en environnement conforme. Une licence accorde des droits d’utilisation et peut donner accès à des fonctions utiles. La conformité dépend aussi des finalités du traitement, des bases juridiques, des contrats, de la configuration, des procédures, des personnes et des contrôles quotidiens. Le bon travail consiste donc à relier chaque rôle et chaque charge de travail à des exigences vérifiables, puis à choisir les droits et services correspondants.

Ce guide propose cette méthode pour les cabinets, cliniques, laboratoires, centres de soins et structures médico-sociales. Il couvre le RGPD, NIS2, l’Espace européen des données de santé, les postes partagés, Windows, Office, Windows Server, SQL Server, les CAL, la virtualisation et le coût total de possession. Il fournit une grille de décision, pas un avis juridique adapté à un pays ou à un traitement particulier.

Sommaire

• Pourquoi la santé change la décision
• Droit, contrat, technologie et exploitation
• RGPD, NIS2 et EHDS
• Choisir par charge de travail
• Postes partagés et boîtes aux lettres
• Serveurs, CAL et virtualisation
• Confidentialité, résidence et sécurité
• Réduire le TCO sans affaiblir les contrôles
• Questions fréquentes

Pourquoi les licences Microsoft dans la santé demandent une autre méthode

Les données concernant la santé appartiennent aux catégories particulières de données à caractère personnel au sens du RGPD. Cette qualification ne signifie pas que toute utilisation est interdite, mais elle relève le niveau d’attention attendu. Un rendez-vous, un nom de spécialiste, une prescription jointe à un courriel ou une liste de patients peuvent déjà révéler une information de santé. Le risque ne se limite donc pas au dossier médical électronique.

Le fonctionnement clinique ajoute une autre contrainte : l’interruption n’est pas un simple désagrément bureautique. Un poste indisponible peut retarder l’accueil, l’accès à un résultat ou la transmission d’une consigne. Il faut concilier confidentialité, disponibilité et intégrité. Un contrôle très strict mais impraticable sera contourné. Un environnement très fluide mais sans identités individuelles ne permettra ni enquête fiable ni attribution des actions.

Enfin, Microsoft 365 ou Office ne remplace pas le logiciel de dossier patient, le dispositif médical ou l’application de laboratoire. Il faut cartographier les interfaces entre ces systèmes : pièces jointes exportées, fichiers synchronisés, rendez-vous dans les calendriers, impressions, sauvegardes, comptes de service et accès des prestataires. Une organisation peut sécuriser son tenant Microsoft tout en laissant une copie non maîtrisée sur un poste, un partage local ou une messagerie personnelle.

Quatre couches à ne jamais confondre

Une décision robuste sépare quatre couches. Les confondre conduit à des phrases dangereuses telles que « nous avons acheté Business Premium, donc nous sommes conformes ». Le service peut soutenir un programme de conformité, mais il ne définit pas à lui seul la finalité du traitement, les accès légitimes ou le délai de conservation.

Le modèle de responsabilité partagée de Microsoft suit la même logique. Microsoft sécurise l’infrastructure relevant de son service, selon le modèle concerné. Le client conserve des responsabilités majeures sur ses données, ses identités, ses utilisateurs, ses appareils et ses paramètres. La répartition varie entre logiciel local, infrastructure hébergée et service SaaS. Il faut la documenter charge de travail par charge de travail, plutôt que de supposer que « le cloud s’occupe de tout ». Microsoft présente ce partenariat opérationnel dans sa documentation officielle de sécurité pour la santé.

Carte réglementaire : RGPD, NIS2 et Espace européen des données de santé

RGPD : une base de licéité et une condition pour les données de santé

Le RGPD demande d’identifier une base juridique générale pour le traitement et, lorsqu’il porte sur des données de santé, une condition applicable aux catégories particulières. Réduire le sujet à « demander le consentement » est inexact. Selon la finalité, la relation de soins et le droit national, d’autres bases ou conditions peuvent être pertinentes. La clinique doit effectuer cette qualification avec son DPO ou son conseil, puis la refléter dans l’information des personnes, les contrats, les accès et les durées de conservation. La Commission européenne présente le cadre officiel de protection des données.

L’accès doit suivre le besoin clinique ou administratif. Chaque professionnel reçoit une identité personnelle, des droits proportionnés et une méthode d’authentification adaptée au risque. Les accès privilégiés méritent une séparation et une surveillance renforcées. Les comptes génériques partagés rendent l’attribution incertaine et compliquent la révocation lors d’un départ. Ils ne constituent pas une économie de licence acceptable.

Une analyse d’impact relative à la protection des données peut être requise lorsqu’un traitement est susceptible d’engendrer un risque élevé. Le traitement à grande échelle de données de santé, le suivi systématique, une technologie nouvelle ou la combinaison de jeux de données sont des indicateurs importants, mais la conclusion dépend du projet et des orientations de l’autorité compétente. L’analyse doit précéder le déploiement, pas servir de justification rédigée après coup.

NIS2 : le secteur de la santé est visé, pas chaque cabinet de manière automatique

La directive (UE) 2022/2555, dite NIS2, place la santé parmi les secteurs critiques et renforce la gestion des risques cyber, la gouvernance et la notification des incidents significatifs pour les entités dans son champ. Toutefois, le type d’entité, sa taille, certaines exceptions et la loi nationale de transposition influencent l’analyse. Il serait imprudent d’affirmer que tout cabinet médical européen est automatiquement soumis aux mêmes obligations.

Les États membres devaient transposer la directive au plus tard le 17 octobre 2024, et NIS2 a remplacé NIS1 à partir du 18 octobre 2024. Il faut donc consulter la loi nationale et les indications de l’autorité compétente. La Commission a publié le 20 janvier 2026 une proposition de modifications ciblées ; à la date de ce guide, une proposition ne doit pas être présentée comme une règle finale. La page NIS2 de la Commission fournit le contexte officiel et doit être relue lors de toute décision.

NIS2 ne prescrit pas Microsoft 365 Business Premium, Windows Server ou un autre SKU. Elle est technologiquement neutre. Des fonctions d’identité, de protection des terminaux, de journalisation ou de gestion des vulnérabilités peuvent soutenir des mesures de risque. L’organisation doit néanmoins choisir des contrôles proportionnés, les exploiter, gérer ses fournisseurs, préparer la continuité et conserver les preuves nécessaires.

EHDS : préparer l’architecture, sans prétendre que tout s’applique déjà

Le règlement (UE) 2025/327 relatif à l’Espace européen des données de santé, ou EHDS, a été publié le 5 mars 2025 et est entré en vigueur le 26 mars 2025. Son application est progressive. La Commission décrit des jalons principaux à partir de mars 2029, d’autres catégories et fonctions transfrontalières en mars 2031, puis des phases ultérieures jusqu’en 2035. Cette chronologie exclut deux raccourcis : dire que toutes les obligations sont déjà pleinement applicables, ou repousser toute préparation à 2029.

Pour une organisation de santé, l’EHDS mérite d’entrer dès maintenant dans les décisions de portabilité, d’interopérabilité, de formats, de gouvernance et de sortie fournisseur. Microsoft 365 peut participer à l’environnement de collaboration, mais il n’est pas à lui seul un système de dossier médical conforme à l’EHDS. Les obligations liées aux systèmes de dossiers de santé électroniques, à l’usage primaire ou secondaire et aux échanges transfrontaliers doivent être analysées séparément. La chronologie officielle de l’EHDS est la référence à suivre.

Choisir Microsoft par rôle et charge de travail

Il n’existe pas d’offre universelle appelée « Microsoft 365 Santé » qui résoudrait la sélection. Commencez par une matrice : rôle, identité, appareil, applications, messagerie, collaboration, données, mobilité, contrôles de sécurité et besoin hors ligne. Ensuite seulement, comparez les offres actuelles et les Product Terms. Les noms et les inclusions peuvent évoluer ; une fiche commerciale ne remplace pas les conditions applicables au moment de l’achat.

Office perpétuel : prévisible, mais limité à son périmètre

Une licence perpétuelle donne généralement le droit d’utiliser une version déterminée selon ses conditions. Elle peut convenir à un poste stable qui a besoin de Word, Excel ou PowerPoint sans services continuellement enrichis. Elle ne fournit pas automatiquement Exchange Online, la gestion d’identité, la protection avancée du courrier, l’administration des appareils ou les fonctions de collaboration. L’organisation reste responsable des mises à jour, de la compatibilité et de la fin de support.

Dans l’Espace économique européen, des licences logicielles perpétuelles d’occasion peuvent, sous conditions, être revendues légalement. Il faut toutefois examiner l’origine, la nature du droit, la chaîne de titularité, la désinstallation par le cédant et les restrictions propres au produit ou au canal. Un abonnement actif, un droit non transférable ou une licence liée à un matériel ne devient pas transférable par simple présentation d’une clé. Licendi propose des licences de seconde main légitimes avec la documentation adaptée au produit ; cela peut réduire le coût d’acquisition lorsque le besoin correspond réellement à une édition perpétuelle. Consultez les options Microsoft Office et validez toujours l’édition, la langue, l’appareil et le cycle de support.

Microsoft 365 Apps et Business Premium

Microsoft 365 Apps vise les applications de productivité sur abonnement. Pour un rôle qui n’a pas besoin de messagerie hébergée dans la même offre, les solutions Microsoft disponibles chez Licendi permettent de comparer le périmètre utile. Attention : une offre d’applications seule ne doit pas être recommandée comme si elle incluait Exchange, la gestion complète des terminaux ou tous les contrôles de conformité.

Microsoft 365 Business Premium est souvent pertinent pour une clinique ou un groupe éligible, car il réunit productivité, communication, identité, gestion informatique et sécurité à un niveau élevé. Microsoft le positionne pour les organisations jusqu’à 300 utilisateurs. Cette limite et les besoins d’architecture comptent : un établissement plus grand, plusieurs tenants, des exigences avancées ou des scénarios réglementés peuvent justifier des offres entreprise et un conseil spécialisé. Acheter Business Premium ne suffit toujours pas ; il faut déployer les identités, gérer les appareils et définir les politiques.

Windows lui-même doit être inventorié séparément. Vérifiez l’édition, le droit de mise à niveau, l’activation, la compatibilité matérielle et le cycle de support. Un abonnement Microsoft 365 peut inclure certains droits Windows selon l’offre et le prérequis, mais il ne faut jamais supposer qu’il régularise automatiquement un PC sans licence de base admissible. Pour les postes à licence perpétuelle, examinez les options Windows proposées par Licendi avec les conditions exactes du produit.

Postes cliniques partagés, identités et boîtes aux lettres

Le poste partagé est normal dans de nombreux services. Plusieurs infirmiers peuvent utiliser le même ordinateur au fil de la journée. Microsoft prévoit l’activation d’ordinateur partagé, ou Shared Computer Activation, pour certains droits Microsoft 365 Apps. Son propre exemple cite des infirmiers utilisant des ordinateurs partagés dans un hôpital. Mais SCA modifie le mécanisme d’activation ; elle ne transforme pas une licence utilisateur en licence par appareil.

Chaque personne doit disposer d’une licence éligible et se connecter avec son identité. Business Premium prend en charge SCA et Microsoft indique qu’il s’agit de la seule offre « business » qui le fait ; les offres contenant Microsoft 365 Apps for enterprise peuvent aussi être éligibles. Business Standard ou Apps for business seuls ne doivent pas être présentés comme équivalents dans ce scénario. Consultez la documentation Microsoft sur l’activation des ordinateurs partagés et les Product Terms au moment du projet.

Une connectivité fiable est nécessaire pour obtenir et renouveler les jetons d’activation. SCA n’est pas prise en charge pour Office sur Mac. Ces contraintes doivent entrer dans le pilote : que se passe-t-il pendant une panne réseau, combien de temps dure l’ouverture de session, comment les profils sont-ils nettoyés et quelles applications cliniques restent ouvertes ?

Une boîte aux lettres partagée répond à un autre besoin : plusieurs personnes accèdent à une adresse comme accueil@ ou facturation@ grâce à une délégation. Microsoft indique qu’une boîte partagée peut stocker jusqu’à 50 Go sans licence directement attribuée, tandis que chaque utilisateur qui y accède doit posséder une boîte Exchange Online licenciée. Une licence supplémentaire devient nécessaire dans certains cas, notamment au-delà de cette capacité ou pour certaines fonctions d’archivage, de conservation ou de sécurité. Il faut confirmer le droit exact.

La boîte partagée n’est pas destinée à une connexion directe. Les utilisateurs se connectent avec leur compte puis reçoivent les droits nécessaires. Cette méthode préserve l’attribution et permet de retirer un accès sans changer un mot de passe diffusé dans tout le service. Microsoft détaille ces règles dans sa documentation sur les boîtes aux lettres partagées.

Windows Server, SQL Server, CAL et virtualisation : éviter les raccourcis coûteux

Un serveur de fichiers, une application clinique locale ou une base de données change fortement l’analyse. Les droits d’un abonnement Microsoft 365 attribué au personnel ne doivent pas être confondus avec ceux de Windows Server, SQL Server, Remote Desktop Services ou Exchange Server. Il faut produire un schéma comprenant les hôtes physiques, processeurs et cœurs, machines virtuelles, clusters, utilisateurs internes, appareils partagés, accès externes, environnements de test et reprise après sinistre.

Windows Server est généralement licencié selon des règles liées aux cœurs physiques et à l’édition, avec des minimums et des droits de virtualisation qui dépendent de la couverture correcte du serveur et de l’édition choisie. Des CAL Windows Server peuvent aussi être nécessaires pour les utilisateurs ou appareils qui accèdent aux services. Si le bureau à distance est utilisé, des CAL RDS distinctes peuvent s’ajouter. Le choix User CAL ou Device CAL dépend notamment du rapport entre personnes et terminaux ; une clinique avec beaucoup de salariés sur peu de postes peut avoir un profil différent d’une équipe mobile utilisant plusieurs appareils.

SQL Server offre plusieurs modèles selon l’édition et le programme, notamment par cœur et, dans certains contextes, serveur plus CAL. Le modèle serveur/CAL ne convient pas automatiquement aux accès externes ou difficiles à compter. Le modèle par cœur exige une mesure précise de la couche physique ou virtuelle selon le déploiement et les droits applicables. Les droits de déplacer des machines virtuelles, d’exécuter plusieurs instances ou de bénéficier de certains avantages peuvent dépendre de l’édition, de la couverture et d’éléments contractuels tels que Software Assurance ou un abonnement. Ne transposez pas une règle lue pour une édition à une autre.

La virtualisation n’efface donc pas la licence. Consolider dix serveurs virtuels sur deux hôtes peut améliorer l’exploitation, mais il faut recalculer les droits sur les hôtes, les VM et leur mobilité. Un cluster capable de déplacer une charge entre nœuds mérite une analyse de tous les nœuds potentiels. De même, un serveur de secours « éteint » ou un environnement de test n’est pas forcément libre de droits. Les Product Terms et le canal d’acquisition déterminent le résultat.

Licendi peut fournir des licences perpétuelles de seconde main légitimes pour certains produits serveur, avec une traçabilité adaptée. Cette voie peut être intéressante pour une architecture stable, mais elle n’autorise pas à inventer des droits de mise à niveau, de mobilité, de virtualisation ou de support. Vérifiez le produit sur la page licences Windows Server et les options SQL Server, puis faites valider la métrique, la quantité et les documents avant déploiement.

Confidentialité clinique, localisation et contrôles de sécurité

La cartographie des données doit précéder la configuration. Où naît une information de santé ? Est-elle saisie dans le dossier clinique, reçue par courriel, déposée dans Teams ou exportée vers Excel ? Qui la consulte, sur quel appareil et depuis quel pays ? Où sont les sauvegardes et les journaux ? Sans ces réponses, une règle de sécurité risque de protéger le tenant tout en ignorant le flux réellement sensible.

Le socle commence par des identités individuelles, l’authentification multifacteur, le moindre privilège et une procédure complète d’arrivée, de mobilité et de départ. Les comptes administrateurs doivent être séparés des usages courants. Les accès externes, les invités et les prestataires doivent avoir une durée, un sponsor et une revue. Pour les terminaux, chiffrement, correctifs, protection contre les menaces, verrouillage, inventaire et capacité de retrait sélectif doivent correspondre au modèle de propriété, y compris le BYOD.

Les journaux, alertes et enquêtes nécessitent des responsables et des délais. Décidez quels événements sont surveillés, qui les examine, comment un incident est qualifié et quand le DPO, la direction ou une autorité doit être impliqué. Testez les restaurations et les procédures en cas de compte compromis, de ransomware ou de perte d’appareil. Un plan écrit mais jamais exercé offre une confiance trompeuse.

La frontière européenne des données de Microsoft, EU Data Boundary, couvre certains services commerciaux et publics et prévoit le stockage et le traitement de données client et de données personnelles pseudonymisées dans l’UE/AELE selon un périmètre documenté. Elle ne signifie pas que « les données ne quittent jamais l’Europe ». Microsoft publie aussi des transferts continus applicables aux services. Il faut distinguer résidence, accès de support, traitement, garanties de transfert et souveraineté.

La géographie du tenant, les services couverts, les fonctions optionnelles, le support et les opérations de sécurité influencent l’analyse. Consultez l’aperçu officiel de l’EU Data Boundary, sa documentation sur les transferts continus, le DPA et les Product Terms. Pour un transfert international, évaluez les rôles, les garanties et le contexte juridique applicable. Une simple case « région Europe » ne remplace pas cette analyse.

Réduire le coût total sans affaiblir les contrôles

1. Inventorier. Rapprochez annuaire, contrats, factures, appareils, utilisateurs actifs, prestataires, comptes techniques et charges de travail. Un objet d’annuaire n’est pas automatiquement une personne à facturer.
2. Segmenter les rôles. Définissez quelques profils compréhensibles : clinicien mobile, poste partagé, accueil, back-office, administrateur, prestataire. Évitez une exception par personne.
3. Fixer les contrôles obligatoires. Identité, messagerie, terminal, conservation, partage externe, journalisation et continuité doivent être déterminés avant le SKU.
4. Comparer les droits éligibles. Vérifiez le service description et les Product Terms actuels. Ne supposez pas qu’un nom proche implique les mêmes droits.
5. Gérer les arrivées et départs. Réattribuez ou retirez les licences, mais préservez d’abord dossiers, conservation légale, boîte et propriété des fichiers.
6. Utiliser correctement les ressources partagées. Une boîte partagée peut éviter une licence autonome dans un scénario admissible ; elle ne remplace jamais les licences des utilisateurs. SCA optimise l’usage des postes, pas le nombre d’utilisateurs licenciés.
7. Comparer bundle et outils séparés. Une offre intégrée peut réduire la dispersion si elle remplace vraiment des services existants. Incluez migration, formation et capacité d’administration.
8. Modéliser abonnement et perpétuel. Comptez acquisition, renouvellement, mises à niveau, support, fin de vie, sécurité, messagerie, serveurs, CAL, administration et indisponibilité.
9. Piloter. Testez un service représentatif avec les postes partagés, applications cliniques, impressions, accès hors ligne et procédures de récupération.
10. Réviser chaque trimestre. Mesurez l’usage de manière proportionnée, sans transformer l’optimisation en surveillance des salariés. Corrigez les affectations et documentez les décisions.

Une séquence de décision simple fonctionne bien : inventaire, matrice des rôles, contrôles requis, offres éligibles, modèle TCO, pilote, puis revue trimestrielle. Les économies dépendent du point de départ, des conditions contractuelles et de la qualité de mise en œuvre. Il n’est donc sérieux ni de promettre un pourcentage universel ni de comparer uniquement les prix affichés.

Checklist d’achat pour une clinique ou un établissement

• Nombre de personnes, rôles, prestataires et saisonnalité ;
• taille de l’organisation et limites des offres envisagées ;
• appareils, systèmes d’exploitation, BYOD et postes partagés ;
• applications Office, messagerie, Teams, fichiers et besoin hors ligne ;
• identité, MFA, gestion des terminaux et accès privilégiés ;
• classification, partage, conservation, archivage et contentieux ;
• régions, transferts, support et sous-traitants ;
• intégrations avec dossier patient, laboratoire et partenaires ;
• Windows Server, SQL Server, CAL, RDS et virtualisation ;
• support, compétences internes, engagement, sortie et portabilité.

Pour un achat perpétuel, demandez aussi la version exacte, la preuve d’origine, la chaîne de titularité, les conditions de transfert et la confirmation de désinstallation du cédant lorsque cela s’applique. Licendi aide à sélectionner des licences de seconde main légitimes en fonction du produit et du besoin documenté. Cette assistance peut soutenir une stratégie d’économie, sans prétendre que l’achat crée à lui seul la conformité.

Questions fréquentes

Existe-t-il une licence Microsoft 365 spécifique au secteur de la santé ?

Il n’existe pas une licence universelle qui rendrait automatiquement une organisation de santé conforme. Microsoft propose des offres et fonctions utilisables dans ce secteur, mais le choix dépend des rôles, de la taille, des appareils, de la messagerie, de la sécurité et des données. Il faut relier les exigences aux droits actuels.

Microsoft 365 Business Premium rend-il une clinique conforme au RGPD ?

Non. L’offre peut fournir des capacités utiles d’identité, de gestion et de sécurité, mais la conformité dépend aussi des finalités, bases juridiques, conditions de l’article 9, contrats, paramètres, procédures et contrôles. Une clinique doit configurer, exploiter et documenter ces mesures.

Plusieurs infirmiers peuvent-ils utiliser Office sur un ordinateur partagé ?

Oui, avec un droit éligible à l’activation d’ordinateur partagé et une configuration appropriée. Chaque infirmier doit disposer de sa propre licence éligible et se connecter avec son identité. SCA n’est pas une licence par appareil et nécessite une connectivité pour renouveler les jetons.

Une clinique peut-elle utiliser un seul compte Microsoft pour tout un service ?

Ce raccourci est à éviter. Un compte collectif affaiblit la traçabilité, la révocation et le moindre privilège, et peut contrevenir aux droits de licence. Chaque personne doit utiliser une identité individuelle ; les accès d’équipe passent par des délégations et des groupes contrôlés.

Une boîte aux lettres partagée a-t-elle besoin de sa propre licence ?

Pas toujours. Microsoft prévoit jusqu’à 50 Go sans licence directement affectée à la boîte dans le scénario standard, mais les utilisateurs délégués doivent avoir une boîte Exchange Online licenciée. Une licence peut être requise pour plus de capacité ou certaines fonctions d’archive, de conservation ou de sécurité.

L’EU Data Boundary signifie-t-elle que les données ne quittent jamais l’Europe ?

Non. Elle couvre des services et catégories de données définis, avec une portée et des exceptions documentées. Microsoft publie des transferts continus. Il faut examiner la géographie du tenant, les services, le support, les garanties de transfert et les contrats, sans confondre résidence et souveraineté.

NIS2 s’applique-t-elle à toutes les cliniques ?

Pas automatiquement. La santé est un secteur couvert, mais le champ dépend notamment du type d’entité, de sa taille, des exceptions et de la transposition nationale. Chaque structure doit vérifier la loi de son pays et les indications de l’autorité compétente.

Office perpétuel est-il moins cher que Microsoft 365 ?

Cela dépend du scénario et de la période. Une licence perpétuelle peut réduire les dépenses récurrentes pour un poste stable, mais il faut compter mises à niveau, support, fin de vie, messagerie, sécurité, gestion et collaboration. Comparez le TCO avec des hypothèses explicites.

Conclusion : la licence vient après la cartographie

Une organisation de santé prend une meilleure décision lorsqu’elle suit le bon ordre. Elle classe les charges de travail et les données, identifie les obligations juridiques et contractuelles, définit les contrôles, puis choisit les licences qui autorisent et équipent réellement ces usages. Ensuite viennent la configuration, les tests, la documentation et les revues périodiques.

Cette méthode évite deux erreurs coûteuses : acheter une offre trop riche sans l’exploiter, ou économiser sur un droit indispensable au poste partagé, à la sécurité ou au serveur. Les licences Microsoft neuves ou de seconde main légitimes peuvent participer à une architecture sûre et économiquement cohérente. Elles restent toutefois une pièce du système, jamais un certificat de conformité.