Hébergement site médical : conformité et obligations

Votre cabinet dispose enfin d’un site web — ou vous êtes en train d’en créer un. Mais avez-vous vérifié que l’infrastructure qui le porte répond bien aux obligations légales du secteur de la santé ? C’est la question centrale que pose l’accompagnement digital des professionnels de santé : un site visible mais non conforme peut coûter bien plus cher qu’un site absent. Ce guide hub rassemble les grandes obligations et renvoie vers chaque sujet en détail.

Qu’est-ce que l’hébergement de données de santé (HDS) ?

L’hébergement de données de santé est défini par l’article L.1111-8 du code de la santé publique. Toute personne qui héberge des données de santé à caractère personnel, pour le compte de professionnels ou d’établissements de santé, doit être titulaire d’une certification HDS délivrée par un organisme accrédité par le COFRAC. Cette certification couvre six activités allant de la mise à disposition d’infrastructure physique jusqu’à l’infogérance des systèmes. Un site qui intègre un module de prise de rendez-vous en ligne, un formulaire transmettant des informations médicales ou un espace patient tombe dans le périmètre HDS. Pour comprendre exactement quand la certification HDS devient obligatoire, consultez la page dédiée qui détaille les cas pratiques cabinet par cabinet. Un simple site vitrine sans traitement de donnée de santé à proprement parler peut, dans certains cas, échapper à l’obligation — mais la frontière est ténue et mérite analyse.

RGPD et site de santé : les fondamentaux

Le règlement général sur la protection des données (RGPD, règlement UE 2016/679) s’applique à toute structure qui collecte des données personnelles de résidents européens. Un formulaire de contact, un cookie de mesure d’audience ou un agenda en ligne suffisent à déclencher ses obligations. La structure de santé est alors « responsable de traitement » au sens de l’article 4 du RGPD : elle définit les finalités et les moyens du traitement. Elle doit tenir un registre de ses activités (article 30), nommer un délégué à la protection des données si elle traite des données sensibles à grande échelle (article 37), et mettre en place des mesures techniques et organisationnelles proportionnées (article 32). L’essentiel du RGPD pour un cabinet médical est détaillé dans la page sœur qui liste les dix points de contrôle prioritaires. Le non-respect du RGPD est sanctionné par la CNIL, qui peut prononcer des amendes allant jusqu’à 20 millions d’euros ou 4 % du chiffre d’affaires mondial annuel (article 83 du RGPD).

Ce qui est interdit ou inefficace en matière d’hébergement médical

Plusieurs pratiques courantes dans d’autres secteurs sont proscrites ou inefficaces dans le champ de la santé :

• Héberger chez un prestataire non certifié HDS : dès lors que le site traite des données de santé, recourir à un hébergeur classique (même réputé) viole l’article L.1111-8 du code de la santé publique. La solution : exiger le numéro de certification HDS avant tout contrat.
• Copier-coller des mentions légales génériques : les mentions légales d’un site e-commerce ne couvrent pas les obligations spécifiques à la santé (identité du responsable, RPPS, organisme d’appartenance, etc.). Des mentions légales adaptées à un site de santé doivent être rédigées site par site.
• Activer Google Analytics sans consentement : les cookies de mesure d’audience tiers nécessitent un recueil de consentement conforme à la délibération CNIL du 17 septembre 2020. Un bandeau « En continuant à naviguer… » ne suffit pas.
• Conserver les données du formulaire de contact indéfiniment : la durée de conservation doit être définie et documentée dans le registre de traitement. Au-delà de la durée utile, les données doivent être supprimées ou anonymisées.
• Sous-traiter sans contrat écrit : l’article 28 du RGPD impose un contrat de sous-traitance écrit avec tout prestataire qui traite des données pour votre compte (hébergeur, prestataire de prise de rendez-vous, agence web, etc.).

Sécurité technique : le socle minimal

Au-delà des certifications, un site de santé doit répondre à des exigences techniques de base. Le protocole HTTPS avec un certificat TLS valide est obligatoire depuis la délibération CNIL et constitue le prérequis à toute collecte de données. Les sauvegardes, la disponibilité et le chiffrement forment un triptyque inséparable : un site de santé doit être joignable, ses données doivent être sauvegardées régulièrement et chiffrées au repos comme en transit. Pour un établissement qui dépend d’une solution de prise de rendez-vous ou d’un espace patient, la disponibilité du service (SLA) doit figurer dans le contrat avec l’hébergeur. Les cookies et traceurs sur un site médical doivent faire l’objet d’un audit régulier, car l’intégration d’un nouveau widget peut faire apparaître de nouveaux traceurs sans que le responsable en soit averti.

Sous-traitants et partage de responsabilité

Un site de santé repose rarement sur un seul acteur : hébergeur, agence web, solution de prise de rendez-vous, outil d’emailing, plateforme d’analytics… Chacun peut être qualifié de sous-traitant au sens du RGPD, avec des obligations contractuelles précises. La structure de santé, en tant que responsable de traitement, reste responsable de bout en bout : elle doit s’assurer que chaque prestataire offre des garanties suffisantes et signer un contrat de traitement de données (DPA) avec chacun. Le formulaire de contact est souvent l’angle mort de cette chaîne : les données saisies transitent parfois par des services tiers non identifiés. Côté déontologie, l’article L.1111-8-1 impose que toute solution numérique de santé respecte les référentiels d’interopérabilité et de sécurité publiés par l’ANS. Les règles déontologiques de communication s’appliquent également au choix et à la présentation des outils numériques proposés aux patients.

Ce qu’il faut faire concrètement

Pour être en conformité, démarrez par un audit de votre hébergement actuel : votre prestataire est-il certifié HDS ? Disposez-vous d’un contrat de sous-traitance signé ? Vos mentions légales sont-elles à jour ? Avez-vous un registre de traitements ? Évaluez ensuite la nature des données traitées : un simple formulaire « Nom / Email / Message » sans case santé ne déclenche pas HDS, mais oblige tout de même au RGPD. La prise de rendez-vous en ligne, elle, implique presque toujours des données de santé. Pour un référencement conforme et efficace, la conformité de l’hébergement est aussi un signal de sérieux apprécié dans le secteur ; retrouvez nos conseils sur le référencement local d’un professionnel de santé.

Questions fréquentes

Mon site vitrine doit-il être hébergé chez un hébergeur HDS ?

Pas nécessairement. Si votre site ne collecte aucune donnée de santé (pas de prise de rendez-vous en ligne, pas de formulaire transmettant des informations médicales, pas d’espace patient), l’obligation HDS ne s’applique pas. En revanche, dès qu’un module de rendez-vous ou un formulaire santé est intégré, un hébergeur certifié HDS est obligatoire.

Qu’arrive-t-il si je choisis un hébergeur non certifié HDS ?

Vous vous exposez à des sanctions sur plusieurs fronts : mise en cause devant votre conseil de l’ordre pour manquement aux obligations de confidentialité des données patients, et potentiellement une amende de la CNIL au titre du RGPD si des données de santé sont en cause. La responsabilité civile peut également être engagée en cas de fuite de données.

Le RGPD s’applique-t-il à un cabinet de moins de 250 salariés ?

Oui. La taille de la structure n’est pas un critère d’exemption au RGPD. En revanche, les structures de moins de 250 personnes ne sont pas obligées de tenir un registre complet pour tous leurs traitements — mais elles doivent documenter les traitements réguliers, les traitements de données sensibles (dont la santé) et ceux pouvant présenter un risque. Un cabinet médical est donc concerné.

Sources

• Article L.1111-8 du code de la santé publique — hébergement des données de santé.
• Règlement (UE) 2016/679 du Parlement européen et du Conseil (RGPD), notamment articles 4, 28, 30, 32, 37 et 83.
• Délibération CNIL n° 2020-091 du 17 septembre 2020 relative aux cookies et autres traceurs.
• Référentiel de certification HDS, ANS (Agence du Numérique en Santé), version en vigueur.

Article informatif. Il ne constitue pas un conseil juridique : en cas de doute, rapprochez-vous de votre conseil de l’ordre.