Hébergement des données de santé : ce qui a changé en 2026

Le nouveau référentiel en bref

L'hébergement des données de santé numériques pour le compte d'un tiers est encadré par l'article L1111-8 du Code de la santé publique. Les hébergeurs concernés doivent être certifiés HDS.

Le référentiel de certification a été révisé. Selon l'analyse du cabinet d'avocats CMS Francis Lefebvre :

• le nouveau référentiel a été publié au Journal officiel le 16 mai 2024 ;
• il impose que l'hébergement physique des données de santé soit situé dans l'Espace économique européen (Union européenne, Norvège, Islande et Liechtenstein) ;
• les hébergeurs déjà certifiés avaient jusqu'au 16 mai 2026 pour obtenir une certification conforme à ce nouveau référentiel.

Ce que cela change pour un cabinet

Un cabinet travaille avec plusieurs prestataires qui peuvent manipuler des données de patients : logiciel métier, agenda en ligne, messagerie, secrétariat externalisé. Chacun peut s'appuyer sur un hébergeur.

C'est donc le bon moment pour faire le point, prestataire par prestataire : où sont stockées les données, chez quel hébergeur, et avec quelle certification.

Les questions à poser à vos prestataires

• Quelles données de mes patients conservez-vous ? Un télésecrétariat peut, selon son organisation, ne conserver que le strict nécessaire.
• Où sont-elles hébergées, et chez qui ? Demandez le nom de l'hébergeur et sa certification.
• Pendant combien de temps ?
• Quel contrat proposez-vous ? Les données de santé sont des données sensibles, et la CNIL rappelle qu'un contrat écrit est obligatoire entre le responsable du traitement et son sous-traitant.
• Qui, chez vous, a accès aux informations ?

Et pour le télésecrétariat ?

Un télésecrétariat travaille souvent dans les outils du cabinet, par exemple son agenda en ligne, plutôt que dans ses propres bases. Dans ce cas, les données restent hébergées par l'éditeur de l'outil. Ce point se vérifie au cas par cas, avant le démarrage.

Chez Syrel Médical, les modalités de traitement des informations sont définies avec chaque professionnel, dans le cadre contractuel de la prestation. Posez-nous ces questions lors de votre demande de devis.

Un point d'attention

Cet article donne des repères généraux et ne constitue pas un avis juridique. Pour une situation précise, référez-vous à la documentation de l'Agence du numérique en santé ou à un professionnel du droit.

Questions fréquentes

Qu'est-ce que la certification HDS ?

C'est la certification exigée, en France, des prestataires qui hébergent des données de santé à caractère personnel sur support numérique pour le compte d'un tiers. Elle est prévue par l'article L1111-8 du Code de la santé publique.

Mon cabinet doit-il être certifié HDS ?

La certification concerne les hébergeurs, c'est-à-dire les prestataires qui stockent les données pour le compte d'autrui. En cas de doute sur votre situation, l'Agence du numérique en santé publie une documentation détaillée.

Quelles questions poser à un télésecrétariat ?

Quelles données il conserve, où et chez quel hébergeur, combien de temps, et quel contrat il propose. Le RGPD impose un contrat écrit entre le cabinet et son sous-traitant.