Hébergement de données de santé (HDS) : ce qu’il faut vérifier

Quand l’hébergement certifié HDS est-il obligatoire ?

Le Code de la santé publique (art. L1111-8) (nouvel onglet) vise toute personne qui héberge des données de santé recueillies à l’occasion d’activités de prévention, de diagnostic, de soins ou de suivi, pour le compte de celui qui les a recueillies ou du patient lui-même. Sur support numérique, cet hébergeur doit être titulaire d’un certificat de conformité, délivré par un organisme de certification accrédité.

Trois conséquences pratiques :

• Le critère, c’est le « pour le compte de ». Si un prestataire stocke vos dossiers sur ses serveurs, il héberge pour vous. Un logiciel en ligne, une sauvegarde en ligne ou un espace de stockage partagé sont concernés.
• Une prise en charge de courte durée n’est pas un hébergement. Le texte exclut le simple traitement de saisie, de mise en forme ou de dématérialisation des données (CSP, art. R1111-8-8 (nouvel onglet)).
• La vérification vous incombe. Le responsable du traitement qui confie l’hébergement à un tiers « s’assure » que ce tiers est titulaire du certificat (même article).

Le texte ajoute que l’hébergement se fait après que le patient en a été dûment informé, sauf opposition pour un motif légitime. Mentionnez donc votre hébergeur dans l’information remise aux patients (voir notre guide sur le RGPD au cabinet).

Les dossiers d’un ostéopathe sont-ils concernés ?

L’article L1111-8 ne dresse pas de liste de professions : il vise les données recueillies à l’occasion d’activités de soins. Nous n’avons trouvé aucun texte qui exclut les ostéopathes. Le code des impôts parle d’ailleurs des « soins » dispensés par les ostéopathes (CGI, art. 261-4-1° (nouvel onglet)), et le référentiel de la CNIL des cabinets médicaux et paramédicaux (nouvel onglet) demande un hébergeur certifié dès que le logiciel des dossiers est hébergé par un prestataire. La lecture prudente est donc simple : si vos dossiers sont hébergés par un prestataire, exigez un hébergeur certifié.

Que couvre la certification HDS ?

La certification ne porte pas sur un logiciel en tant que tel : elle porte sur un hébergeur et sur les activités qu’il exerce. Le Code de la santé publique (art. R1111-9) (nouvel onglet) en distingue six :

1. 01la mise à disposition et le maintien en condition opérationnelle des sites physiques (le centre de données) ;
2. 02la mise à disposition et le maintien en condition opérationnelle de l’infrastructure matérielle ;
3. 03la mise à disposition et le maintien en condition opérationnelle de l’infrastructure virtuelle ;
4. 04la mise à disposition et le maintien en condition opérationnelle de la plateforme d’hébergement d’applications ;
5. 05l’administration et l’exploitation du système d’information contenant les données de santé ;
6. 06la sauvegarde des données de santé, archivage électronique compris.

Un éditeur peut être certifié pour certaines activités (par exemple la 5) et s’appuyer, pour les autres, sur un hébergeur d’infrastructure certifié : les textes prévoient ce montage (R1111-11, II). Ce qui compte : que chaque activité soit couverte par un certificat valide, et que l’éditeur vous dise lequel.

Le certificat est délivré par un organisme accrédité par le Comité français d’accréditation (ou un équivalent européen), selon un référentiel approuvé par arrêté (CSP, art. R1111-10). Sa version 2, publiée au Journal officiel le 16 mai 2024, impose l’hébergement dans l’Espace économique européen ; les hébergeurs déjà certifiés avaient jusqu’au 16 mai 2026 pour s’y conformer (Agence du numérique en santé (nouvel onglet)).

Qu’est-ce qui change avec le décret du 24 mars 2026 ?

Le décret n° 2026-209 (nouvel onglet), publié le 26 mars 2026, renforce trois points, en vigueur depuis le 26 septembre 2026 :

• Stockage dans l’Union européenne ou l’EEE uniquement (nouvel article R1111-9-1).
• Accès depuis un pays tiers = transfert. Un transfert, y compris un simple accès à distance (par exemple une équipe de support hors d’Europe), n’est possible qu’avec une décision d’adéquation de la Commission européenne ou les garanties de l’article 46 du RGPD ; à défaut de décision d’adéquation, le contrat d’hébergement le dit.
• Transparence. Le contrat liste les lois extra-européennes qui pourraient imposer un accès aux données (ou indique qu’il n’y en a pas), et l’hébergeur publie une cartographie à jour des transferts et des risques d’accès non autorisé.

Que doit contenir le contrat d’hébergement ?

L’article R1111-11 du CSP fixe une liste de clauses obligatoires. Parmi elles : le périmètre du certificat et ses dates de délivrance et de renouvellement, la localisation de l’hébergement, les niveaux de service, les prestataires techniques externes, la réversibilité, la restitution des données en fin de contrat puis leur destruction sans copie, et l’interdiction d’utiliser les données à d’autres fins.

Point clé pour un logiciel en ligne : quand l’éditeur passe lui-même par un hébergeur certifié, votre contrat avec l’éditeur reprend ces clauses telles qu’elles figurent dans son contrat avec l’hébergeur (R1111-11, II). Si vos conditions générales n’en disent rien, demandez-les.

Et si vous gardez vos dossiers au cabinet ?

Des dossiers conservés seulement sur l’ordinateur du cabinet ne sont pas hébergés « pour le compte » d’un tiers : la certification ne s’applique pas. Vous restez en revanche soumis au RGPD et à son obligation de sécurité. Dès que vous ajoutez une sauvegarde en ligne, un accès à distance par un prestataire ou une synchronisation vers un service en nuage, la question de l’hébergeur certifié revient. Pensez aussi à la durée de conservation des dossiers : un poste unique sans sauvegarde résiste mal à vingt ans.