Hébergement HDS : données de santé en France

Si vous utilisez un logiciel de gestion de cabinet, une plateforme de téléconsultation ou tout outil numérique qui stocke des informations sur vos patients, vous avez peut-être entendu parler de la certification HDS. Mais que signifie-t-elle vraiment ? Est-elle obligatoire pour les thérapeutes ? Et comment savoir si votre outil est conforme ? Ce guide répond à toutes ces questions.

Qu'est-ce que la certification HDS ?

HDS signifie Hébergeur de Données de Santé. Il s'agit d'une certification française créée par la loi, qui encadre les conditions dans lesquelles des données de santé à caractère personnel peuvent être hébergées, stockées et traitées.

La certification HDS est délivrée par un organisme accrédité (COFRAC) après un audit rigoureux. Elle atteste que l'hébergeur :

• Dispose de mesures de sécurité physique et logique élevées
• Met en place des procédures de sauvegarde et de restauration des données
• Respecte les obligations de confidentialité et de traçabilité
• Opère ses infrastructures depuis le territoire français ou européen

Quelles données sont concernées ?

Sont concernées toutes les données de santé à caractère personnel, c'est-à-dire toute information relative à la santé physique ou mentale d'une personne identifiable.

Concrètement, pour un thérapeute, cela inclut :

• Les notes de séance
• Les diagnostics ou bilans
• Les antécédents médicaux partagés par le patient
• Les données collectées lors d'un suivi (symptômes, traitements, évolutions)
• Les communications relatives à la santé du patient (emails, messagerie sécurisée)

En revanche, un simple nom et numéro de téléphone dans un agenda - sans association à des données de santé - ne tombe pas obligatoirement sous le régime HDS, bien que les bonnes pratiques RGPD restent applicables.

L'hébergement HDS est-il obligatoire pour les thérapeutes ?

Oui, dès lors que vous stockez ou traitez des données de santé à caractère personnel dans un environnement numérique. C'est l'article L. 1111-8 du Code de la santé publique qui le stipule.

Cette obligation s'applique aux professionnels de santé mais aussi, par extension, à tout praticien qui collecte et traite des informations de santé sur ses patients, y compris les thérapeutes non réglementés (naturopathes, sophrologues, hypnothérapeutes, ostéopathes, etc.) dès lors qu'ils utilisent un outil numérique pour stocker ces données.

En d'autres termes : si votre logiciel de cabinet stocke des notes de séance ou des informations médicales, l'hébergeur de ce logiciel doit être certifié HDS.

Attention : c'est la responsabilité du thérapeute de vérifier que son prestataire est bien certifié. En cas de contrôle ou de fuite de données, l'absence de certification HDS peut engager votre responsabilité.

Qui délivre la certification HDS ?

La certification HDS est délivrée par des organismes de certification accrédités par le COFRAC (Comité Français d'Accréditation), sur la base du référentiel défini par l'ANS (Agence du Numérique en Santé).

Deux niveaux de certification existent :

• Hébergeur d'infrastructure physique : pour les data centers qui hébergent physiquement les serveurs.
• Hébergeur d'infrastructure virtuelle, de plateforme ou d'applications de santé : pour les éditeurs de logiciels SaaS qui hébergent des applications traitant des données de santé.

Un éditeur de logiciel SaaS comme thera-agenda est certifié HDS au niveau "hébergeur d'applications de santé". Notre logiciel de gestion pour thérapeutes respecte ces exigences.

Comment vérifier si votre logiciel est certifié HDS ?

Plusieurs façons de le vérifier :

1. Consultez le site de l'ANS : l'Agence du Numérique en Santé publie et met à jour la liste des hébergeurs certifiés sur son site officiel (esante.gouv.fr).

2. Demandez directement à votre prestataire : tout éditeur sérieux doit être en mesure de vous fournir son attestation de certification HDS et son numéro de certificat.

3. Lisez les CGU et mentions légales : une solution certifiée HDS le mentionne explicitement dans sa documentation légale et sur sa page d'accueil.

Si votre prestataire actuel ne peut pas prouver sa certification HDS, c'est un signal d'alerte à prendre au sérieux.

HDS et RGPD : quelle différence ?

Ces deux réglementations sont complémentaires mais distinctes :

Un outil conforme HDS n'est pas automatiquement conforme RGPD, et vice versa. Pour les données de santé, les deux sont nécessaires.

Ce que la certification HDS garantit concrètement à votre patient

Quand votre logiciel de cabinet est hébergé sur une infrastructure certifiée HDS, votre patient bénéficie de :

• Données stockées en France ou dans l'UE
• Chiffrement des données au repos et en transit
• Accès contrôlé
• Traçabilité des accès
• Plan de continuité en cas d'incident

Découvrez toutes nos fonctionnalités sécurisées et nos tarifs.

HDS, une rassurance pour vous aussi

Au-delà de l'obligation légale, la certification HDS est un argument de confiance envers vos patients. Dans le secteur de la santé et du bien-être, la question de la confidentialité est centrale. Pouvoir dire à un patient "vos données sont hébergées sur une infrastructure certifiée HDS, en France" renforce votre crédibilité professionnelle.

C'est d'ailleurs l'un des critères de différenciation à vérifier en priorité lors du choix de votre logiciel de gestion de cabinet.

Logiciel HDS pour thérapeute : ce qu'il faut vérifier avant de signer

Tous les éditeurs de logiciels ne sont pas égaux face à la certification HDS. Certains affichent la mention "conformité RGPD" sur leur site sans détenir la moindre certification HDS - ce sont deux choses distinctes, comme expliqué plus haut. Avant de vous engager avec un logiciel de gestion de cabinet, posez ces questions concrètes :

• L'éditeur est-il lui-même certifié HDS, ou sous-traite-t-il l'hébergement à un tiers certifié ? Dans le second cas, la chaîne de responsabilité est plus complexe à vérifier.
• Où sont physiquement hébergées vos données ? France, Union Européenne, ou ailleurs ? Un hébergement hors UE soulève des questions supplémentaires de conformité au RGPD (transferts de données hors EEE).
• Depuis quand la certification est-elle valide ? Une certification récente peut signifier que le logiciel a longtemps opéré sans elle. Demandez la date de première obtention.
• Que se passe-t-il en cas de fuite de données ? L'éditeur est-il tenu de vous notifier ? Sous quel délai ? Qui notifie la CNIL ?

Ces questions semblent techniques, mais elles font partie de votre responsabilité en tant que responsable de traitement de données de santé. Si un éditeur hésite ou esquive, c'est révélateur.

Les risques concrets d'un hébergement non certifié HDS

Choisir un logiciel non certifié HDS pour gérer vos dossiers patients n'est pas une simple irrégularité administrative. Les conséquences peuvent être sérieuses :

Sur le plan légal, l'article L. 1111-8 du Code de la santé publique prévoit des sanctions pénales pour les praticiens qui confient des données de santé à un hébergeur non agréé. La responsabilité peut être engagée même si vous n'êtes pas l'auteur de la faille.

Sur le plan pratique, en cas de fuite de données patients - que ce soit suite à une cyberattaque, une négligence de l'hébergeur ou une erreur de configuration - vous êtes exposé à des plaintes de vos patients et à des procédures CNIL. Les sanctions financières de la CNIL peuvent atteindre 20 millions d'euros ou 4 % du chiffre d'affaires annuel mondial pour les manquements graves au RGPD.

Sur le plan de la réputation, une fuite de données dans un cabinet thérapeutique est particulièrement dommageable. Les informations partagées en séance - difficultés personnelles, santé mentale, antécédents - sont d'une sensibilité extrême. La confiance de vos patients est votre principal actif professionnel.

Cas pratiques : quand la certification HDS s'applique-t-elle ?

Pour clarifier les situations concrètes, voici quelques exemples :

Vous utilisez Google Drive pour stocker vos notes de séance. Google Drive n'est pas certifié HDS. Si ces notes contiennent des informations de santé identifiables, vous n'êtes pas en conformité, même si vous avez activé le chiffrement de votre compte Google.

Vous utilisez un agenda en ligne grand public (Calendly, Google Agenda) sans notes médicales. Si vous n'y stockez que des noms et des créneaux, sans données de santé associées, la certification HDS n'est pas strictement requise. Le RGPD reste applicable, mais l'obligation HDS ne se déclenche que sur les données de santé.

Vous utilisez un logiciel de cabinet qui stocke vos notes de séance, l'historique des séances et les données de paiement. Là, la certification HDS est obligatoire pour l'hébergeur de ce logiciel. Vérifiez la documentation de votre éditeur.

Vous proposez des téléconsultations via un outil vidéo externe. Si cet outil n'enregistre pas les séances et ne stocke pas de données de santé, la certification HDS n'est pas exigée pour la visioconférence elle-même. Mais si votre plateforme relie la vidéo à un dossier patient, l'ensemble du système doit être conforme.

HDS et téléconsultation pour thérapeutes : un point spécifique

La téléconsultation soulève une question particulière sur la certification HDS : à partir du moment où vous menez des séances vidéo et que celles-ci sont liées à un dossier patient numérique, les données échangées et stockées sont des données de santé. L'infrastructure qui les héberge doit donc être certifiée.

C'est l'un des angles morts fréquents chez les thérapeutes qui ont mis en place des séances en ligne à la hâte, notamment après 2020. Zoom, Teams ou Google Meet ne sont pas des solutions certifiées HDS. Ils peuvent convenir pour des réunions professionnelles internes, mais ils ne sont pas adaptés pour des consultations thérapeutiques au sens de la réglementation française sur les données de santé.

Pour les thérapeutes qui souhaitent proposer des séances à distance dans un cadre légal solide, l'idéal est d'utiliser une solution intégrée à leur logiciel de gestion de cabinet - dont l'hébergeur est certifié HDS - plutôt qu'un outil vidéo grand public.

Questions fréquentes sur la certification HDS

Un naturopathe ou un coach de vie est-il vraiment concerné par la certification HDS ? Oui, dès lors qu'il stocke des informations relatives à la santé de ses clients dans un outil numérique. La certification HDS ne s'applique pas uniquement aux médecins ou aux professions réglementées. Tout praticien qui traite des données de santé à caractère personnel est concerné.

Quelle est la durée de validité d'une certification HDS ? La certification HDS est valable trois ans, avec des audits de surveillance annuels. Un hébergeur doit renouveler sa certification régulièrement pour rester dans la liste des hébergeurs agréés publiée par l'ANS.

Puis-je héberger moi-même mes données sur mon propre serveur ? Techniquement oui, mais vous devrez alors obtenir vous-même la certification HDS en tant qu'hébergeur - ce qui implique un audit COFRAC, des procédures de sécurité avancées et des coûts significatifs. En pratique, déléguer l'hébergement à un éditeur de logiciel certifié est beaucoup plus réaliste pour un thérapeute indépendant.

Un logiciel "conforme RGPD" est-il suffisant ? Non. La conformité RGPD et la certification HDS sont deux exigences distinctes et complémentaires. Un logiciel peut être conforme RGPD sans être hébergé chez un hébergeur certifié HDS. Pour les données de santé, les deux sont nécessaires.

Comment signaler un éditeur qui prétend être HDS sans l'être ? Vous pouvez vérifier la liste officielle sur le site de l'ANS (esante.gouv.fr). Si un éditeur figure dans cette liste sans y avoir droit, vous pouvez signaler l'anomalie à l'ANS ou à la CNIL.

Récapitulatif

• La certification HDS est obligatoire pour tout hébergeur de données de santé en France
• Elle s'applique aux thérapeutes qui stockent des informations de santé dans un outil numérique
• Votre éditeur de logiciel doit être certifié - pas seulement "conforme RGPD"
• Vérifiez la certification sur le site de l'ANS ou demandez l'attestation à votre prestataire
• HDS et RGPD sont complémentaires : les deux sont nécessaires
• Un hébergement non certifié expose à des sanctions légales, des procédures CNIL et des risques réputationnels graves

Choisir un outil certifié HDS, c'est protéger vos patients, votre pratique, et votre responsabilité professionnelle. Consultez nos tarifs et commencez votre essai gratuit.