« Mon hébergeur est bien connu, ça devrait suffire » : c’est l’une des erreurs les plus fréquentes que rencontrent les structures de santé qui font appel à une agence web. La notoriété d’un hébergeur généraliste ne vaut pas la certification HDS. Alors, dans quels cas précis la conformité de l’hébergement d’un site médical impose-t-elle de passer par un acteur certifié ?
Qu’est-ce que la certification HDS exactement ?
La certification HDS (Hébergeur de Données de Santé) a été créée par la loi de modernisation du système de santé du 26 janvier 2016, codifiée à l’article L.1111-8 du code de la santé publique. Elle remplace depuis 2018 l’ancien agrément HDS et s’applique à toute personne physique ou morale qui héberge des données de santé à caractère personnel « pour le compte de personnes physiques ou morales à l’origine de la production ou du recueil de ces données ». Le référentiel de certification est publié par l’Agence du Numérique en Santé (ANS). Il décrit six activités certifiables : la mise à disposition d’infrastructure physique, la mise à disposition d’infrastructure virtuelle, la mise à disposition d’une plateforme logicielle, l’administration et l’exploitation du système d’information de santé, la sauvegarde externalisée des données de santé, et l’infogérance du système d’information de santé. Un prestataire peut être certifié pour l’une ou plusieurs de ces activités. Vérifiez toujours quelles activités couvre exactement la certification de votre hébergeur, et assurez-vous qu’elles correspondent à votre usage. La liste des hébergeurs certifiés est consultable sur le site de l’ANS.
Les cas qui déclenchent l’obligation HDS pour un site de santé
Trois situations principales rendent la certification HDS obligatoire pour le site d’un cabinet ou d’une structure de santé. Premièrement, l’intégration d’un module de prise de rendez-vous en ligne : dès lors qu’un patient saisit son nom, sa date de naissance et le motif de sa consultation, il s’agit de données de santé. Deuxièmement, un espace patient sécurisé permettant de consulter des comptes rendus, des ordonnances ou des résultats d’examens. Troisièmement, tout formulaire de contact dans lequel le patient peut décrire son état de santé ou son motif de consultation. En revanche, un simple site vitrine présentant les horaires, l’équipe et les spécialités, sans aucun formulaire ni module interactif, ne collecte pas de donnée de santé et peut être hébergé chez un prestataire classique, à condition de rester strict sur ce périmètre.
Ce qui est interdit ou ne suffit pas
Plusieurs pratiques courantes ne répondent pas aux exigences légales :
- Se contenter d’un hébergeur « cloud » généraliste : des acteurs très connus proposent des niveaux de sécurité élevés, des certifications ISO 27001 ou SOC 2, mais aucune de ces certifications ne remplace la certification HDS française. L’article L.1111-8 est explicite : c’est la certification HDS et elle seule qui est requise.
- Croire que la responsabilité incombe uniquement à l’hébergeur : le professionnel ou l’établissement de santé reste responsable du respect de l’article L.1111-8. Choisir un hébergeur non certifié en connaissance de cause est une faute imputable à la structure.
Cas particulier : les solutions SaaS de prise de rendez-vous
De nombreuses structures utilisent des solutions de prise de rendez-vous en ligne proposées par des éditeurs tiers (plateformes spécialisées en santé). Dans ce cas, c’est l’éditeur de la solution qui est tenu d’être certifié HDS pour l’activité d’hébergement des données. La structure de santé doit néanmoins vérifier la certification avant de signer tout contrat. Si l’éditeur sous-traite lui-même l’hébergement, la chaîne de sous-traitance doit être entièrement couverte par la certification HDS. Ce point rejoint directement les enjeux du RGPD pour les cabinets médicaux, qui impose de signer un contrat de traitement de données avec chaque sous-traitant. En pratique, demandez systématiquement le certificat HDS à jour de votre prestataire de prise de rendez-vous et conservez-le dans votre registre de traitements.
Comment vérifier et choisir un hébergeur certifié HDS
La démarche est simple. Rendez-vous sur le site de l’ANS et consultez la liste publique des hébergeurs certifiés HDS. Vérifiez que l’activité certifiée correspond bien à votre usage (hébergement d’infrastructure physique ou virtuelle, selon votre contrat). Demandez ensuite au prestataire une copie de son certificat en cours de validité : un certificat expiré ou couvrant une activité différente ne vaut rien. Intégrez cette vérification à votre processus de sélection de prestataire, au même titre que les tarifs ou les garanties de disponibilité. Pour aller plus loin sur l’ensemble des implications techniques d’un module de prise de rendez-vous en ligne, consultez la page dédiée qui détaille les contrats de traitement et les flux de données concernés.
Questions fréquentes
Est-ce que tous les praticiens libéraux sont concernés par HDS ?
Tout professionnel de santé qui héberge des données de santé à caractère personnel pour le compte de patients est concerné, qu’il exerce en libéral ou en établissement. La taille du cabinet n’entre pas en ligne de compte. Un médecin généraliste seul avec un agenda en ligne est aussi concerné qu’une clinique.
Combien coûte la mise en conformité HDS ?
Le surcoût lié à un hébergeur certifié HDS par rapport à un hébergeur généraliste varie selon les prestataires et les volumes de données. Il est en général absorbé dans le budget global du site web. L’agence ou le développeur que vous mandatez doit intégrer cette contrainte dès le cahier des charges.
Que risque-t-on en cas de manquement à HDS ?
L’article L.1111-8 du code de la santé publique prévoit des sanctions pénales pouvant aller jusqu’à trois ans d’emprisonnement et 45 000 euros d’amende pour les personnes physiques. S’y ajoutent les sanctions ordinales et les risques de mise en cause civile en cas de violation de données.
Sources
- Article L.1111-8 du code de la santé publique — obligation d’hébergement certifié HDS.
- Loi n° 2016-41 du 26 janvier 2016 de modernisation du système de santé.
- Référentiel de certification HDS, ANS, version en vigueur publiée sur esante.gouv.fr.
- Règlement (UE) 2016/679 (RGPD), article 28 — sous-traitant.
Digital-Sante.fr vérifie votre infrastructure et vous oriente vers des prestataires conformes. Demander un devis.
Article informatif. Il ne constitue pas un conseil juridique : en cas de doute, rapprochez-vous de votre conseil de l’ordre.