La règle en une phrase
Dès qu'un cabinet stocke des données de santé de ses patients chez un prestataire externe (éditeur de logiciel en mode hébergé, cloud, sauvegarde en ligne), ce prestataire doit être certifié hébergeur de données de santé, dit HDS. C'est une obligation posée par l'article L.1111-8 du code de la santé publique. Le praticien reste responsable de traitement au sens du RGPD, mais il doit choisir un hébergeur certifié et le prévoir dans son contrat.
Ce que recouvre la certification HDS
La certification HDS atteste qu'un hébergeur garantit la confidentialité, l'intégrité et la disponibilité des données de santé qu'il conserve pour le compte d'un professionnel ou d'un établissement. Elle a progressivement remplacé l'ancien agrément depuis 2018. C'est l'Agence du numérique en santé (ANS) qui pilote le dispositif et publie la liste des hébergeurs certifiés. L'audit et la délivrance du certificat passent par un organisme accrédité. Cette liste est publique et consultable gratuitement, ce qui vous permet de contrôler par vous-même le statut d'un prestataire.
Le référentiel couvre six activités, du site physique jusqu'à la sauvegarde des données, en passant par l'infrastructure matérielle et virtuelle, la plateforme applicative et l'administration du système. Un hébergeur peut être certifié pour tout ou partie de ces activités. C'est pourquoi il ne suffit pas de lire « HDS » sur une plaquette : il faut regarder le périmètre exact du certificat.
Quand c'est obligatoire pour votre cabinet
L'obligation se déclenche à l'externalisation. Si vous confiez la conservation des dossiers à un tiers qui les héberge sur ses serveurs, ce tiers doit être certifié HDS. Cela vise la plupart des situations courantes : logiciel médical en mode SaaS, dossier patient dans le cloud, service de prise de rendez-vous qui stocke des motifs de consultation, solution de télétransmission, sauvegarde externalisée, messagerie de santé.
À l'inverse, si vous conservez les données uniquement sur un poste ou un serveur installé dans vos murs, sans prestataire d'hébergement, la certification HDS ne s'applique pas à vous directement. Vous restez toutefois tenu aux obligations de sécurité du RGPD (chiffrement, sauvegardes, contrôle des accès). Dans les faits, dès qu'un outil « fonctionne en ligne », posez la question de l'hébergement.
Comment vérifier que votre logiciel et vos outils sont conformes
Quatre vérifications concrètes, à faire éditeur par éditeur.
1. Demandez le certificat HDS et son périmètre. Un éditeur conforme le fournit sans difficulté, avec le nom de l'hébergeur, les activités couvertes et la date de validité. 2. Recoupez avec la liste officielle des hébergeurs certifiés publiée par l'ANS. Si l'hébergeur réel de vos données n'y figure pas, ou si l'éditeur reste vague sur qui héberge quoi, c'est un signal. 3. Vérifiez la localisation des données. Le référentiel impose désormais un hébergement dans l'Espace économique européen. Une donnée stockée ou administrée hors de cette zone pose un problème de conformité. 4. Exigez un contrat de sous-traitance conforme à l'article 28 du RGPD, avec les engagements de sécurité, la localisation, la réversibilité et la conduite à tenir en cas de violation de données.
Gardez une trace écrite de ces éléments. En cas de contrôle, la CNIL attend d'un professionnel de santé qu'il puisse démontrer sa conformité à tout moment.
Pourquoi les IA grand public ne sont pas conformes
C'est le point qui piège beaucoup de cabinets depuis l'arrivée des assistants conversationnels. Coller le compte rendu d'un patient, un courrier ou une liste de rendez-vous dans un outil d'IA grand public, c'est transmettre des données de santé à un prestataire qui, dans sa version publique, n'est pas certifié HDS, héberge souvent hors de l'Espace économique européen et peut réutiliser vos saisies pour entraîner ses modèles. Aucun contrat de sous-traitance de santé n'est signé, et vous perdez la maîtrise de la donnée.
Cela ne veut pas dire renoncer à l'IA. Cela veut dire l'encadrer : travailler sur des données anonymisées quand c'est possible, utiliser des offres professionnelles adossées à un hébergement conforme et à un contrat, et écrire une règle interne claire sur ce que l'équipe a le droit de saisir. La HAS et la CNIL ont d'ailleurs publié en février 2026 un guide sur le bon usage des systèmes d'intelligence artificielle en contexte de soins, qui rappelle ces réflexes.
Ce que le nouveau référentiel de 2024 a changé
Une version révisée du référentiel a été publiée au Journal officiel le 16 mai 2024 et sert de référence pour les évaluations à compter du 16 novembre 2024. Les hébergeurs déjà certifiés disposent d'une période de mise en conformité de vingt-quatre mois, soit jusqu'au 16 mai 2026. D'ici là, vos prestataires basculent vers cette version.
Les changements utiles à connaître côté cabinet : l'hébergement des données de santé dans l'Espace économique européen est explicitement exigé, les obligations contractuelles de l'hébergeur sont clarifiées et les garanties sur les transferts de données hors Union européenne sont renforcées. Concrètement, vous avez de meilleurs arguments pour exiger de la transparence de vos éditeurs.
Sécuriser sa pratique et former l'équipe
L'hébergement HDS n'est qu'une brique. Autour, il faut des accès nominatifs, des mots de passe robustes, des sauvegardes testées et une équipe qui sait ce qu'elle peut faire ou non avec un outil en ligne. C'est là que la formation joue, parce que la plupart des incidents viennent d'un usage, pas d'une faille technique.
Pour structurer tout cela, notre formation RGPD et données de santé traite l'hébergement, la sous-traitance et les bons réflexes au quotidien. Vous pouvez aussi partir de notre checklist RGPD pour cabinet médical pour un premier état des lieux, et cadrer l'usage de l'IA avec notre article sur l'AI Act et le RGPD en centre médical.
Côté budget, une formation suivie auprès d'un organisme certifié Qualiopi peut être prise en charge via votre OPCO, en tout ou partie selon votre situation. Un reste à charge est fréquent et la prise en charge n'est pas systématiquement totale. Les détails et les cofinancements possibles sont expliqués sur notre page financement OPCO.
Questions fréquentes
- Qu'est-ce que la certification HDS ?
- La certification HDS (hébergeur de données de santé) atteste qu'un prestataire garantit la sécurité et la confidentialité des données de santé qu'il conserve pour un professionnel. Elle est prévue par l'article L.1111-8 du code de la santé publique, pilotée par l'Agence du numérique en santé, et a remplacé l'ancien agrément depuis 2018.
- Mon cabinet doit-il être certifié HDS ?
- Le cabinet lui-même n'est pas « certifié HDS ». L'obligation pèse sur le prestataire qui héberge vos données à l'extérieur : logiciel en ligne, cloud, sauvegarde externalisée. Si vous externalisez la conservation des dossiers, ce prestataire doit être certifié. Si tout reste sur un serveur interne, la certification ne s'applique pas, mais vos obligations RGPD demeurent.
- Comment savoir si mon logiciel médical est hébergé en HDS ?
- Demandez à votre éditeur son certificat HDS, avec le périmètre et le nom de l'hébergeur, puis recoupez avec la liste officielle publiée par l'Agence du numérique en santé. Vérifiez aussi que les données restent dans l'Espace économique européen et qu'un contrat de sous-traitance conforme au RGPD encadre la prestation.
- Puis-je utiliser une IA grand public avec des données patients ?
- Dans leur version publique, ces outils ne sont pas certifiés HDS, hébergent souvent hors de l'Espace économique européen et peuvent réutiliser vos saisies. Y coller des données patients n'est pas conforme. Privilégiez des données anonymisées, une offre professionnelle adossée à un hébergement conforme et une règle interne claire pour l'équipe.
- Quelle différence entre HDS et RGPD ?
- Le RGPD fixe le cadre général de protection des données personnelles. La certification HDS est une exigence spécifique au secteur de la santé qui s'ajoute au RGPD : elle porte sur l'hébergeur qui conserve les données. Un hébergeur HDS ne dispense pas de respecter le RGPD, et l'un ne remplace pas l'autre.