Hébergement des données de santé : ce que le sigle HDS prouve et ne prouve pas

Un prestataire peut afficher HDS, être réellement certifié et pourtant laisser votre sauvegarde, votre support ou la fonction que vous utilisez hors du périmètre : le contrôle commence là où le logo s’arrête.

Pour un cabinet d’ostéopathie, la bonne question n’est donc pas seulement « mon logiciel est-il HDS ? ». Il faut d’abord déterminer si les données et l’opération entrent dans le champ légal de l’hébergement de données de santé, puis identifier la personne morale qui réalise chaque activité technique. Enfin, le certificat, le contrat, les sous-traitants et le service effectivement activé doivent raconter la même histoire.

Ce guide explique ce que la certification HDS prouve au 29 août 2026, ce qu’elle ne prouve pas et comment contrôler un fournisseur sans devenir spécialiste de l’infrastructure. Il fournit une méthode en quatre questions, douze vérifications et un plan d’action sur trente jours. Le résultat attendu n’est pas une confiance abstraite : c’est un dossier de preuves que le cabinet peut relire avant de signer, pendant le contrat et au moment de quitter le service.

Périmètre au 29 août 2026 : le référentiel HDS version 2.0 est la référence courante après la fin de sa période de transition, le 16 mai 2026. L’article R.1111-9-1 du Code de la santé publique doit entrer en vigueur le 26 septembre 2026 et l’ANS annonce une version 2.1 pour octobre 2026 : ces deux évolutions sont encore futures à la date de cet article. Pour un ostéopathe exerçant exclusivement l’ostéopathie, l’applicabilité ne se déduit pas de son seul titre professionnel. En cas de doute sur le contexte de recueil, la qualité des acteurs ou le montage contractuel, faites valider l’analyse par un juriste ou un DPO compétent.

En bref : HDS prouve un périmètre certifié, pas une conformité totale

Une certification HDS apporte une assurance évaluée par un organisme certificateur sur une entité, des sites, une période et des activités définies. Elle s’appuie sur ISO 27001 et sur des exigences propres à l’hébergement de données de santé. Elle aide notamment à apprécier l’organisation de la sécurité, la disponibilité, l’intégrité, la confidentialité et l’auditabilité du service couvert.

Elle ne certifie pas automatiquement le logiciel dans son ensemble. Elle ne décide pas si votre collecte est licite, si vos champs sont nécessaires, si vos habilitations sont bien réglées, si votre durée de conservation est justifiée ou si une fonction d’intelligence artificielle est pertinente. Elle ne remplace ni le contrat de sous-traitance exigé par le RGPD, ni un test de sauvegarde, ni la vérification des accès de support.

• À vérifier d’abord : données concernées, contexte de recueil, hébergement pour compte de tiers et activité technique.
• À lire sur le certificat : entité juridique, version, dates, sites et activités couvertes.
• À relier au contrat : service souscrit, chaîne de sous-traitance, lieux, transferts, support, sauvegarde et réversibilité.
• À contrôler au cabinet : finalités, bases juridiques, information, habilitations, durées, incidents et paramétrages.

Décider si l’opération entre dans le champ HDS avant de demander un logo

L’article L.1111-8 du Code de la santé publique encadre l’hébergement de données de santé à caractère personnel recueillies à l’occasion d’activités de prévention, de diagnostic, de soins ou de suivi social et médico-social, lorsqu’il est réalisé pour le compte de la personne à l’origine de leur production ou de leur recueil, ou pour le compte du patient. Pour l’hébergement numérique relevant de ce régime, le prestataire doit disposer du certificat requis. Le texte organise également le contrat et la restitution des données en fin de prestation (Légifrance — article L.1111-8 du Code de la santé publique).

Cette définition oblige à raisonner sur l’opération réelle. Un nom et un numéro de téléphone dans un agenda ne sont pas analysés comme des observations sur l’état physique d’une personne. Une donnée de santé ne devient pas hors champ parce qu’elle se trouve dans une pièce jointe plutôt que dans le champ principal du logiciel. Et la présence d’un prestataire certifié dans la chaîne ne suffit pas si l’activité utilisée n’est pas couverte par son certificat.

Poser quatre questions cumulatives

La méthode la plus robuste consiste à documenter quatre réponses dans l’ordre. Une réponse incertaine ne doit pas être transformée en « non » par commodité : elle devient un point à faire valider.

1. Quelles données sont réellement hébergées ? Décrivez les champs, fichiers, images, notes, journaux et sauvegardes, y compris les données révélées indirectement par un motif ou une correspondance.
2. Dans quel contexte ont-elles été recueillies ? Reliez la collecte à l’activité précise et au parcours de la personne, sans déduire la réponse du seul nom commercial du cabinet.
3. Qui héberge pour le compte de qui ? Distinguez le cabinet, l’éditeur, l’hébergeur d’infrastructure, le prestataire de sauvegarde et tout sous-traitant ultérieur.
4. Quelle activité technique est réalisée ? Serveurs physiques, infrastructure, plateforme, administration ou sauvegarde ne correspondent pas au même périmètre de certificat.

L’article R.1111-8-8 précise le champ, l’exception liée à une opération de courte durée limitée à la saisie ou à la mise en forme, et l’obligation pour le responsable qui recourt à un tiers de s’assurer que celui-ci détient le certificat nécessaire. Une synchronisation éphémère et un stockage durable ne doivent donc pas être assimilés sans examiner la réalité technique (Légifrance — article R.1111-8-8).

Ne pas réduire l’analyse à l’étiquette « donnée de santé »

La nature de la donnée est essentielle, mais elle ne clôt pas l’analyse HDS. Il faut aussi examiner le contexte prévu par le Code et la relation pour compte de tiers. À l’inverse, une base qualifiée d’« agenda » peut contenir un motif libre, des commentaires ou des documents qui révèlent l’état de santé. L’inventaire doit porter sur le contenu réel et les flux, pas uniquement sur les noms des modules.

Un exercice utile consiste à suivre un dossier test : création du rendez-vous, saisie d’une note, ajout d’une pièce jointe, envoi d’un rappel, sauvegarde, intervention du support et export. Pour chaque étape, notez le système, le prestataire, le lieu et la durée. Cette cartographie évite de limiter la vérification à la base principale alors que des copies existent dans les journaux, les sauvegardes ou les outils d’assistance.

Pour l’ostéopathe exclusif, documenter plutôt qu’automatiser la conclusion

Le statut d’ostéopathe ne répond pas à lui seul aux quatre questions. Les conditions du régime HDS doivent être appréciées dans le cas concret : activité exercée, circonstances du recueil, type de données, responsable à l’origine du recueil et prestations confiées. Un cabinet peut retenir HDS comme exigence de sécurité ou de marché même lorsqu’une qualification juridique reste à préciser, mais il doit distinguer ce choix prudent d’une affirmation universelle sur l’obligation légale.

Conservez une courte note : faits examinés, sources, conclusion, responsable de validation et événement déclencheur d’une nouvelle analyse. L’arrivée d’un professionnel de santé, une nouvelle finalité, un échange avec un établissement, une fonction de télésuivi ou un changement de sous-traitant peuvent modifier les faits. Cette note sera plus utile qu’une phrase commerciale copiée dans un dossier fournisseur.

Ce que la certification HDS prouve réellement

Une entité, une période et un dispositif audité

Le certificat est attribué à une personne morale identifiée, pour un périmètre et une durée. Selon l’ANS, la certification est délivrée pour trois ans et fait l’objet d’un audit de surveillance annuel. Le dispositif associe le référentiel HDS aux exigences applicables d’ISO 27001 ; la certification ne repose donc pas sur une simple déclaration du prestataire (ANS — certification des hébergeurs de données de santé).

Cette assurance reste datée. Une copie ancienne, une raison sociale proche ou le certificat de la maison mère ne suffit pas. Il faut comparer le nom légal et, si possible, l’identifiant de l’entité avec le contrat ou les mentions légales. Vérifiez ensuite la date de validité, le statut dans la liste officielle et l’organisme certificateur. Si le fournisseur vient de fusionner ou de transférer son contrat à une autre société, demandez une preuve de continuité du périmètre.

Six activités à faire correspondre au service utilisé

L’article R.1111-9, dans sa version en vigueur depuis le 27 mars 2026, distingue six activités. Elles ne sont pas une note croissante de qualité : elles décrivent des fonctions différentes. Un fournisseur peut être certifié pour une partie seulement, à condition que la chaîne complète mobilisée par le service soit couverte par les entités appropriées (Légifrance — article R.1111-9).

Activité HDS	Question pratique pour le cabinet
1 — Mise à disposition et maintien en condition opérationnelle des sites physiques	Qui exploite les bâtiments et environnements où se trouve l’infrastructure matérielle ?
2 — Mise à disposition et maintien en condition opérationnelle de l’infrastructure matérielle	Qui fournit et maintient les serveurs, réseaux et équipements physiques ?
3 — Mise à disposition et maintien en condition opérationnelle de l’infrastructure virtuelle	Qui exploite les ressources virtuelles sur lesquelles le service fonctionne ?
4 — Mise à disposition et maintien en condition opérationnelle de la plateforme d’hébergement d’applications	Qui fournit les composants techniques nécessaires à l’exécution de l’application ?
5 — Administration et exploitation du système d’information contenant les données de santé	Qui peut administrer les systèmes, déployer, superviser ou intervenir sur les données ?
6 — Sauvegarde des données de santé	Qui réalise, conserve, restaure et supprime les sauvegardes ?

Le rapprochement doit être concret. Si un éditeur couvre l’activité 5 mais confie l’infrastructure à un cloud certifié pour les activités 1 à 4, demandez comment les deux certificats et les contrats s’enchaînent. Si la sauvegarde est effectuée par un autre service, vérifiez l’activité 6 séparément. Une fonctionnalité de support qui extrait une base vers un outil tiers ouvre encore une autre branche.

La version 2.0 est la référence courante au 29 août 2026

La période de transition vers HDS v2.0 a pris fin le 16 mai 2026. L’ANS indique qu’après cette date les hébergeurs concernés doivent être certifiés selon la version 2. Le cabinet doit donc vérifier la version mentionnée dans la liste officielle et sur le certificat, plutôt que conserver une ancienne preuve sans date (ANS — publication du référentiel HDS v2).

Le référentiel v2 renforce notamment la transparence, les exigences de souveraineté et la représentation des garanties. Mais une version correcte n’élargit pas magiquement les activités ni les sites certifiés. Les trois vérifications — version, périmètre et correspondance avec le service — sont cumulatives.

Ce que HDS ne prouve pas : les frontières à garder visibles

HDS n’est pas nécessairement la certification de tout le produit

Le langage commercial parle souvent d’un « logiciel HDS ». Juridiquement et opérationnellement, il est plus précis de demander qui est certifié, pour quelles activités, sur quels sites et pour quelle architecture. L’éditeur peut exploiter certaines couches et s’appuyer sur un ou plusieurs hébergeurs pour les autres. Un certificat de l’infrastructure ne couvre pas automatiquement le code de l’application, son ergonomie, ses règles métier ou toutes ses options.

Une fonction nouvellement ajoutée peut aussi sortir du chemin documenté : transcription, visioconférence, envoi de SMS, analyse statistique, intelligence artificielle ou outil de support. Demandez un schéma de flux à jour et faites confirmer par écrit que chaque module souscrit suit le périmètre annoncé. Si le fournisseur ne peut pas relier la fonction au certificat, le logo général de la page d’accueil n’apporte pas la preuve manquante.

HDS ne vaut pas conformité RGPD globale

Le RGPD dans sa version officielle publiée sur EUR-Lex exige notamment une finalité déterminée, une base juridique, une condition particulière pour les données de santé, une information adaptée, des durées, l’exercice des droits, une sécurité proportionnée et un encadrement des sous-traitants. HDS contribue à l’appréciation de garanties d’hébergement ; il ne décide pas ces choix à la place du cabinet.

Un service couvert par une chaîne HDS peut être mal paramétré : comptes partagés, accès trop larges, authentification multifacteur désactivée, exports non supprimés ou champs libres excessifs. Inversement, une bonne politique interne ne corrige pas un hébergeur non couvert lorsque le certificat est requis. Le contrôle RGPD en trente points et la lecture HDS sont complémentaires.

HDS ne promet ni absence d’incident ni sécurité absolue

Une certification atteste un système de management et des exigences contrôlées dans un périmètre. Elle ne garantit pas qu’aucune vulnérabilité, erreur humaine, panne ou compromission ne surviendra. Le cabinet doit encore demander les délais de notification, les canaux d’escalade, la journalisation disponible, les objectifs de restauration et les résultats de ses propres tests.

La sécurité utile se vérifie en situation : que voit un remplaçant ? Peut-on révoquer son compte le jour de son départ ? Une sauvegarde peut-elle être restaurée avec ses pièces jointes ? Le cabinet reçoit-il l’information nécessaire pour qualifier une violation ? Le guide sur les sauvegardes et la restauration aide à transformer ces promesses en tests.

HDS ne valide ni la pertinence clinique ni une intelligence artificielle

Le certificat ne mesure pas l’exactitude d’un compte rendu, la pertinence d’une recommandation, les biais d’un algorithme ou l’adéquation d’un formulaire à la pratique. Une option d’IA peut ajouter de nouveaux destinataires, transferts, durées, finalités ou apprentissages. Elle doit être analysée comme un traitement et un flux propres, même si l’application principale s’appuie sur un hébergement certifié.

Avant d’activer une fonction, demandez si les données quittent l’environnement principal, si elles servent à améliorer un modèle, qui peut les consulter, où elles sont traitées, combien de temps elles sont conservées et comment l’effacement est propagé. L’absence de réponse précise est un risque à résoudre, pas une lacune que le sigle HDS comble.

Lire un certificat HDS en douze contrôles opérationnels

Créez une fiche fournisseur et joignez-y le certificat, la représentation des garanties, le contrat, la liste des sous-traitants et le schéma de flux. Datez chaque vérification. Les douze contrôles suivants doivent produire soit une preuve, soit une question attribuée à un responsable avec une échéance.

Contrôles 1 à 4 — identité, version, validité et service

• Contrôle 1 — Comparer l’entité juridique. Le nom du titulaire du certificat doit correspondre à l’entité qui exécute l’activité ou apparaître clairement dans la chaîne contractuelle. Relevez la dénomination exacte, le pays et l’identifiant disponible.
• Contrôle 2 — Vérifier la version du référentiel. Au 29 août 2026, recherchez HDS v2.0. Archivez la preuve datée et prévoyez une nouvelle vérification lors de la publication annoncée de v2.1.
• Contrôle 3 — Lire les dates et le statut. Notez délivrance, expiration, dernier statut connu et organisme certificateur. Un document expiré ou suspendu ne doit pas rester votre preuve courante.
• Contrôle 4 — Nommer le service exact. Écrivez l’offre, l’option et l’environnement utilisés. Demandez confirmation lorsqu’un certificat couvre seulement certaines gammes, régions ou architectures.

La liste officielle des hébergeurs certifiés publiée par l’ANS permet de contrôler la dénomination, les activités, la version et les documents associés. Elle est un point de départ, pas un substitut à la lecture du certificat ni au rapprochement avec votre contrat.

Contrôles 5 à 8 — activités, sites, chaîne et garanties

• Contrôle 5 — Reporter les activités couvertes. Listez les numéros 1 à 6 présents sur chaque certificat et associez-les à un composant réel : centre de données, infrastructure, plateforme, administration ou sauvegarde.
• Contrôle 6 — Vérifier les sites et régions. Comparez les implantations ou périmètres indiqués avec la région réellement configurée pour votre compte. Une option choisie par défaut peut différer de l’offre présentée.
• Contrôle 7 — Reconstituer les sous-traitants successifs. Identifiez l’éditeur, le cloud, le prestataire d’infogérance, la sauvegarde, le support et les outils qui reçoivent des copies. Reliez chacun à son rôle et à son certificat lorsqu’il est requis.
• Contrôle 8 — Lire la représentation des garanties. Cherchez les accès depuis des pays tiers, les législations applicables, les catégories de destinataires et les mesures annoncées. Conservez la version lue.

Le référentiel HDS v2.0 impose une présentation plus transparente du périmètre et des garanties. Cela aide le client à questionner le montage, mais ne transforme pas une mention générale en preuve pour son compte. Si le support suit plusieurs modèles selon le niveau d’abonnement, faites préciser celui qui s’applique à votre contrat.

Contrôles 9 à 12 — transferts, contrat, sortie et revue

• Contrôle 9 — Cartographier stockage, accès et transferts. Distinguez emplacement principal, sauvegarde, journaux, support distant et transferts. Demandez les pays et les mécanismes juridiques, pas seulement « hébergé en Europe ».
• Contrôle 10 — Aligner le contrat. Vérifiez objet, durée, instructions, sécurité, confidentialité, sous-traitants ultérieurs, assistance, incidents, audits, suppression et restitution. Les annexes doivent correspondre à l’architecture annoncée.
• Contrôle 11 — Tester l’export et la fin de contrat. Réalisez un export avec pièces jointes, vérifiez le format, le délai, le coût, l’aide à la migration et le sort des sauvegardes. Exigez une procédure de restitution sans conservation indue.
• Contrôle 12 — Programmer les revues. Recontrôlez au renouvellement, lors d’un changement de version, de sous-traitant, de région, de module ou d’entité. Ajoutez une revue datée après le 26 septembre 2026 et après la publication effective de HDS v2.1.

Une fiche terminée contient les liens, les documents datés et le nom de la personne qui a comparé les preuves. « Vu sur le site du fournisseur » n’est pas suffisant : une page peut évoluer et son affirmation peut viser une offre différente. Archivez les documents autorisés et notez au minimum l’URL, la date, la version et votre conclusion.

Cartographier toute la chaîne : logiciel, infrastructure, sauvegarde et support

Le patient et le praticien voient une seule interface, mais la donnée peut traverser plusieurs services. L’application s’exécute sur une plateforme, utilise une base, crée des sauvegardes, envoie des messages, alimente des journaux et ouvre parfois un accès temporaire au support. La preuve HDS doit être reliée aux activités concernées dans cette chaîne, pas à la seule marque visible.

Composant à tracer	Preuve et question à obtenir
Application et base active	Entité exploitante, service exact, région, activités HDS mobilisées et rôles RGPD.
Infrastructure et plateforme	Certificats des entités, sites, activités 1 à 4 et articulation avec l’éditeur.
Administration	Entité chargée de l’activité 5, personnels autorisés, pays d’accès, traçabilité et procédure d’urgence.
Sauvegarde et restauration	Entité chargée de l’activité 6, lieux, chiffrement, rétention, isolation, test et suppression en sortie.
Support et ticketing	Données copiées dans les tickets, pièces jointes, prestataires, pays, accès ponctuels et durée.
SMS, courriel et visioconférence	Contenu transmis, métadonnées, fournisseurs, instructions, sous-traitants et paramètres de minimisation.

Exemple : l’éditeur s’appuie sur un cloud certifié

Supposons que l’éditeur administre l’application tandis qu’un cloud fournit les sites, le matériel, l’infrastructure virtuelle et la plateforme. Le certificat du cloud peut couvrir les activités 1 à 4 ; l’éditeur doit alors démontrer comment son activité d’administration est couverte. La sauvegarde peut être réalisée par l’un d’eux ou par un troisième acteur. Il faut relier les activités, les contrats et les données réelles, sans exiger artificiellement que chaque entité couvre les six activités.

Demandez un tableau de responsabilités : qui exploite, qui administre, qui restaure, qui gère les clés, qui reçoit une alerte et qui notifie le cabinet. Comparez-le au guide de choix d’un logiciel de cabinet, notamment pour la sécurité, les usages, l’assistance et la réversibilité.

Exemple : le support demande un export de dossier

Un technicien peut demander une copie pour reproduire une anomalie. Cette copie peut quitter l’environnement principal, rejoindre un outil de ticketing ou être téléchargée sur un poste. La certification de l’infrastructure principale ne répond pas seule à ce scénario. Il faut savoir si l’extraction est nécessaire, comment elle est minimisée ou pseudonymisée, qui y accède, où elle est conservée et quand elle est supprimée.

Privilégiez un accès temporaire, nominatif et journalisé, ou un jeu de données synthétique lorsqu’il suffit. Interdisez les envois improvisés par messagerie. Le contrat et la procédure de support doivent encadrer le cas réel, y compris l’alerte en cas d’accès non autorisé.

Exemple : la sauvegarde est une offre séparée

Une base active peut être couverte alors que l’option de sauvegarde dépend d’une autre offre, d’une autre région ou d’un autre prestataire. Vérifiez l’activité 6, mais aussi les paramètres concrets : fréquence, rétention, chiffrement, séparation des accès, copies hors ligne ou isolées, délai de restauration et suppression. Une certification ne prouve pas que votre compte est effectivement sauvegardé ni que la restauration fonctionne.

Effectuez un test à intervalles définis et conservez le résultat. Le certificat répond à une partie de la confiance dans le tiers ; le test répond à votre capacité effective à reprendre l’activité.

Souveraineté et transferts en 2026 : dater chaque affirmation

HDS v2.0 renforce la transparence sans autoriser les raccourcis

Le référentiel v2.0 comprend des exigences sur la localisation, les transferts et l’exposition à des législations de pays tiers. La représentation des garanties doit donner une vue exploitable au client. Lisez-la avec la liste des sous-traitants et les options de région : une architecture peut stocker dans l’Espace économique européen tout en permettant certains accès depuis un autre pays.

La phrase « données hébergées en France » ne répond pas à tout. Interrogez stockage, réplication, sauvegarde, métadonnées, support, administration, télémétrie et sous-traitants. Distinguez ensuite la règle HDS applicable, les obligations RGPD sur les transferts et les engagements contractuels supplémentaires du fournisseur.

L’article R.1111-9-1 entre en vigueur le 26 septembre 2026

Le décret du 24 mars 2026 crée un article R.1111-9-1 dont l’entrée en vigueur est fixée au 26 septembre 2026. Au 29 août, il ne faut donc pas l’écrire au présent comme une obligation déjà applicable. Le texte à venir prévoit notamment le stockage des données de santé numériques dans l’Union européenne ou l’Espace économique européen et encadre les transferts ainsi que certains accès distants depuis des pays tiers, avec des garanties et informations contractuelles (Légifrance — article R.1111-9-1 à venir).

Le cabinet peut anticiper dès maintenant : demander les pays de stockage et d’accès, identifier les lois de pays tiers, vérifier les mesures et préparer un avenant si nécessaire. Mais son dossier doit séparer trois colonnes : exigence actuelle, exigence future datée et engagement volontaire du prestataire. Cette distinction empêche d’utiliser une règle future comme preuve trompeuse ou, à l’inverse, d’attendre sa date d’effet pour découvrir une chaîne non documentée.

HDS v2.1 est annoncée, pas encore publiée au jour de l’article

L’ANS annonce une publication de HDS v2.1 en octobre 2026 et présente des évolutions à anticiper sur les transferts et les lois de pays tiers. Sa page évoque une application trois mois après publication tout en indiquant décembre 2026. Ce calendrier prospectif comporte donc une tension qu’il ne faut ni corriger de sa propre initiative ni figer comme une date acquise. Il faudra relire le texte effectivement publié (ANS — évolutions HDS v2.1 à anticiper).

Programmez une veille en octobre, puis comparez le référentiel définitif, les délais de transition et les engagements de votre fournisseur. Une annonce n’annule pas un certificat v2.0 valide aujourd’hui ; une future version exigera toutefois de vérifier le plan de transition.

Articuler HDS, RGPD et contrat sans mélanger les preuves

Qualifier les rôles avant de relire les clauses

Le cabinet détermine généralement les finalités essentielles de ses traitements et agit comme responsable de traitement. L’éditeur ou l’hébergeur peut être sous-traitant lorsqu’il traite les données sur instructions, mais le rôle dépend des faits. Un fournisseur qui réutilise certaines données pour ses propres finalités peut avoir une qualification différente sur cette opération. Écrivez les rôles par flux, pas seulement par entreprise.

La CNIL rappelle que le responsable doit choisir des sous-traitants présentant des garanties suffisantes, connaître les mesures de sécurité et encadrer la prestation. Le certificat HDS est une pièce importante lorsque le régime l’exige, mais il n’efface pas cette responsabilité (CNIL — gérer la sous-traitance).

Faire correspondre le contrat de l’article 28 à la chaîne HDS

L’article 28 du RGPD prévoit un contrat précisant notamment l’objet, la durée, la nature, la finalité, les types de données, les catégories de personnes, les obligations du responsable et celles du sous-traitant. Il encadre les instructions, la confidentialité, la sécurité, les sous-traitants ultérieurs, l’assistance, le sort des données et l’audit. Vérifiez que l’annexe de sous-traitance cite les mêmes entités, pays et services que les preuves HDS.

Un droit général de changer de sous-traitant doit être accompagné d’une information et d’une possibilité d’objection selon les conditions convenues. Définissez un canal qui sera réellement lu. Demandez aussi le délai d’alerte en cas de violation : le cabinet doit pouvoir évaluer le risque et respecter ses propres obligations sans attendre un rapport final.

Conserver les contrôles qui restent à la charge du cabinet

Même avec un prestataire correctement certifié, le cabinet doit paramétrer les comptes, limiter les droits, activer les protections disponibles, informer les personnes, appliquer ses durées et maîtriser ses exports. Un mot de passe partagé ou une boîte de réception saturée peut rendre inopérant un dispositif de qualité situé en amont.

Reliez la fiche HDS aux preuves internes : registre, analyse juridique, matrice d’habilitation, test de restauration, journal d’incident et procédure de départ d’un utilisateur. Pour le détail des comptes, consultez le guide sur les habilitations et accès aux données. Pour la sortie du fournisseur, utilisez le guide sur l’export, la portabilité et la réversibilité.

Un plan de vérification HDS sur trente jours

Semaine 1 — figer le service et les flux réels

Commencez par relever l’offre, les modules activés, l’entité contractante et les catégories de données. Suivez un dossier test jusqu’à sa sauvegarde, son export et une demande de support. Demandez le schéma d’architecture, la liste des sous-traitants, les lieux, les certificats et la représentation des garanties. Ouvrez une ligne par question sans réponse.

À la fin de la semaine, le cabinet doit disposer d’une cartographie simple : composant, entité, rôle, activité HDS, pays, preuve et statut. Ne cherchez pas encore à obtenir une conclusion verte partout ; cherchez à rendre visibles les trous.

Semaine 2 — rapprocher certificats, liste ANS et contrat

Appliquez les douze contrôles. Comparez chaque titulaire à la liste ANS et au contrat, puis reportez activités, version, dates et sites. Lisez les garanties, les conditions de support et la chaîne de sauvegarde. Envoyez au fournisseur un questionnaire ciblé sur les divergences : une question factuelle obtient une meilleure réponse qu’une demande vague de « preuve de conformité ».

Exemples : « Quelle entité réalise l’administration du système contenant nos données et quel certificat couvre l’activité 5 ? » ; « L’option de sauvegarde de notre abonnement est-elle couverte par l’activité 6 et dans quelle région ? » ; « Quels accès de support depuis un pays hors EEE sont techniquement possibles ? ».

Semaines 3 et 4 — tester, décider et programmer la revue

Testez l’export et une restauration, vérifiez les comptes de support et simulez un incident. Relisez l’annexe RGPD, la réversibilité et la suppression. Classez chaque point : conforme à la preuve attendue, correction contractuelle, correction de paramétrage, décision juridique ou risque accepté avec justification.

Fixez ensuite les déclencheurs de revue : expiration du certificat, changement de sous-traitant, nouveau module, nouvelle région, incident, renouvellement, 26 septembre 2026 et publication effective de HDS v2.1. Une revue sans date ni propriétaire est une intention, pas un contrôle.

Échéance	Livrable minimum
Jour 3	Offre, modules, entité et données décrits
Jour 7	Chaîne technique et sous-traitants cartographiés
Jour 14	Douze contrôles documentés avec preuves ou questions
Jour 21	Contrat, transferts, support, sauvegarde et sortie rapprochés
Jour 30	Tests réalisés, décisions attribuées et prochaines revues datées

Quatre pièges qui transforment une vraie certification en fausse assurance

Piège 1 — s’arrêter au logo

Un logo ne donne ni le titulaire, ni la version, ni les dates, ni les activités. Il peut se rapporter à l’infrastructure et non au service complet. Remplacez la capture du logo par le certificat, la fiche ANS et une correspondance écrite avec l’offre utilisée.

Piège 2 — exiger les six activités de chaque acteur

Les activités décrivent des fonctions. Une chaîne peut être correcte si plusieurs entités certifiées couvrent les fonctions qu’elles réalisent. Exiger 1 à 6 de tous les acteurs peut exclure sans raison un montage cohérent ; accepter une seule activité pour toute la chaîne peut laisser un trou. Cartographiez avant de conclure.

Piège 3 — confondre stockage en Europe et absence de transfert

Les données principales peuvent rester dans l’EEE tandis qu’un support distant, un journal ou une télémétrie implique un autre accès. Demandez les pays de stockage et les pays d’accès, les sous-traitants et les mécanismes. Faites cette analyse avec le RGPD et les règles HDS datées.

Piège 4 — vérifier une fois puis oublier

Le fournisseur, le certificat et votre propre usage évoluent. Un nouveau module, une fusion, un changement de cloud ou une nouvelle sauvegarde peut rendre l’ancienne preuve incomplète. Abonnez la revue aux changements contractuels et techniques, pas seulement à une échéance annuelle.

Questions fréquentes sur HDS au cabinet d’ostéopathie

Un cabinet d’ostéopathie doit-il toujours choisir un hébergeur HDS ?

Il ne faut pas déduire une obligation universelle du seul titre d’ostéopathe. Analysez cumulativement la nature des données, le contexte de leur recueil, l’hébergement pour compte de tiers et les activités réalisées. Un cabinet peut aussi choisir une chaîne HDS comme exigence de sécurité ou d’organisation. Lorsque les faits ou la qualification sont incertains, documentez-les et demandez une validation spécialisée.

Que signifie vraiment « logiciel HDS » ?

C’est un raccourci commercial à préciser. Demandez quelle personne morale est certifiée, pour quelles activités, quels sites, quelle version et quelle offre. L’application peut reposer sur plusieurs entités. La preuve utile relie le service exact à l’ensemble des activités nécessaires.

La présence dans la liste ANS suffit-elle ?

Non. La liste officielle permet de vérifier une entité, une version et des activités, puis d’accéder aux documents disponibles. Il faut encore lire le certificat et les garanties, comparer les dates, les sites et le périmètre au contrat et à la configuration de votre compte.

Le prestataire doit-il être certifié pour les six activités ?

Pas nécessairement pour chacune de ses entités. Il doit être possible de démontrer que les activités effectivement réalisées dans la chaîne sont couvertes par les entités appropriées. Une activité inutile au service n’a pas à être ajoutée pour embellir le certificat ; une sauvegarde réellement fournie ne doit pas être oubliée.

HDS signifie-t-il que le cabinet est conforme au RGPD ?

Non. HDS porte sur un périmètre d’hébergement certifié. Le cabinet reste responsable de ses finalités, bases juridiques, informations, droits, durées, habilitations, paramétrages et décisions. Le contrat de l’article 28 et les contrôles internes restent nécessaires.

HDS interdit-il tout accès depuis un pays tiers ?

Il ne faut pas formuler une interdiction absolue sans lire la version applicable, le montage et les garanties. HDS v2.0 améliore la transparence ; l’article R.1111-9-1 qui doit entrer en vigueur le 26 septembre 2026 ajoute des règles sur stockage, transferts et accès distants. L’ANS annonce aussi v2.1. Vérifiez les faits et datez la règle utilisée.

Quels documents conserver dans le dossier fournisseur ?

Conservez le contrat et son annexe RGPD, les certificats, la représentation des garanties, la liste des sous-traitants, le schéma de flux, les réponses écrites, le test d’export, le test de restauration, les décisions de risque et le calendrier de revue. Pour chaque pièce, notez version, date, source et service concerné.

Limites et mise à jour : une lecture datée au 29 août 2026

Ce guide fournit une méthode de contrôle, pas un avis juridique sur une architecture particulière. Les contrats, certificats et fonctionnalités doivent être lus dans leur version applicable. La prochaine revue éditoriale est prévue au 31 octobre 2026 afin de vérifier l’entrée en vigueur de l’article R.1111-9-1, la publication annoncée de HDS v2.1 et les éventuelles modalités de transition.

Si vous utilisez ce guide après cette date, commencez par consulter l’ANS, Légifrance et les documents du fournisseur. Ne remplacez pas une date future annoncée par une date supposée et ne conservez pas la formule « version courante » sans la revalider.

Sources officielles pour refaire le contrôle

• Légifrance — article L.1111-8 du Code de la santé publique : régime de l’hébergement, contrat et restitution.
• Légifrance — article R.1111-8-8 : champ, tiers et vérification du certificat.
• Légifrance — article R.1111-9 : six activités d’hébergement numérique.
• ANS — référentiels de la procédure de certification : HDS v2.0, audit et articulation avec ISO 27001.
• ANS — liste des hébergeurs certifiés : entités, activités, version et garanties.
• CNIL — sécurité et sous-traitance : garanties, contrat et responsabilités.
• EUR-Lex — règlement (UE) 2016/679 : principes, bases, données sensibles et obligations de l’article 28.

La prochaine action : obtenir une chaîne de preuves, pas une promesse

Prenez votre fournisseur principal et remplissez les quatre questions de champ, puis les douze contrôles. Si une sauvegarde, un accès de support ou une entité ne trouve pas sa place, vous avez identifié la prochaine question utile. Demandez une réponse écrite, corrigez le contrat ou le paramétrage et datez la revue.

HDS devient réellement utile lorsque le cabinet sait précisément ce qui est certifié et garde visibles les obligations qui restent à sa charge. Poursuivez avec la checklist RGPD du cabinet, le contrôle des habilitations, la procédure de réaction à un incident de données et la sécurisation de la communication par SMS et courriel. L’ensemble forme une chaîne cohérente : qualification, contrat, configuration, test et preuve.