Hébergement des données de santé : vérifier le service derrière le sigle HDS

Vous choisissez un logiciel pour retrouver les notes et documents de vos patients. Le fournisseur met en avant un « hébergement HDS ». Cette mention porte sur une partie importante du service : la façon dont des données de santé sont hébergées. Pour la comprendre, il faut toutefois suivre les informations au-delà de l’écran du logiciel.

HDS signifie « hébergeur de données de santé ». La certification concerne des activités et des entités identifiées. Nous allons regarder ce qu’elle couvre, quand son cadre s’applique et quels justificatifs permettent au cabinet de vérifier la prestation. Le but est de relier une garantie annoncée à la protection des informations réellement confiées.

Partir des données et de l’activité d’hébergement

L’article L.1111-8 du Code de la santé publique vise des données de santé personnelles recueillies lors d’activités de prévention, de diagnostic, de soins ou de suivi social et médico-social, puis hébergées pour le compte de leur producteur, de leur collecteur ou du patient.

Une donnée de santé peut révéler l’état d’une personne identifiable. La définition expliquée par la CNIL, l’autorité française de protection des données, est large : des symptômes notés dans un suivi peuvent relever de cette catégorie, même si le document ne s’appelle pas « dossier médical ».

Pour un ostéopathe exclusif, il faut donc analyser les données recueillies et le contexte de l’activité. Le raisonnement ne consiste ni à lui attribuer automatiquement le statut d’un médecin ni à exclure toute l’ostéopathie du champ. L’activité d’hébergement et le contenu réel guident la vérification.

Le stockage assuré par le cabinet pour sa propre activité doit être distingué d’une prestation pour autrui. Les obligations de sécurité demeurent. L’article R.1111-8-8 prévoit aussi une exception limitée pour certains traitements de courte durée, comme la mise en forme ; elle ne dispense pas un hébergement durable ordinaire.

Identifier qui intervient derrière le logiciel

Demandez le certificat en cours, le nom juridique de son titulaire, ses dates et les activités couvertes. Les informations de l’Agence du numérique en santé aident à examiner ces éléments. Ils doivent correspondre au contrat de l’offre utilisée.

L’hébergement comprend plusieurs activités : sites et équipements, infrastructure virtuelle, plateforme d’applications, administration et exploitation, sauvegarde. Un intervenant peut n’en réaliser qu’une partie. Il doit couvrir les activités qu’il assure dans la prestation concernée.

Dans un exemple fictif, l’infrastructure est confiée à une entreprise certifiée, tandis que l’éditeur administre le système et qu’une troisième entreprise réalise les sauvegardes. Le premier certificat renseigne l’infrastructure ; il faut ensuite vérifier les autres interventions. Cette reconstitution évite d’attribuer à toute la chaîne une garantie qui n’a été démontrée que pour une partie.

Les pièces jointes, les copies de reprise et les exports font aussi partie du parcours. Un document téléchargé au cabinet n’est plus protégé uniquement par le dispositif du serveur. Le cabinet doit savoir où il le range et qui y accède.

Comprendre où les données sont stockées et accessibles

Depuis le 26 septembre 2026, l’article R.1111-9-1 exige que le stockage relevant de l’activité d’hébergement concernée soit situé dans l’Union européenne ou l’Espace économique européen, ou EEE. L’EEE comprend aussi l’Islande, le Liechtenstein et la Norvège.

Le lieu du serveur ne répond pas à toute la question. Un accès distant depuis un pays tiers peut constituer un transfert. Le texte prévoit des conditions fondées sur une décision d’adéquation ou, en son absence, des garanties appropriées selon le RGPD, avec les exigences associées. Un stockage européen n’établit donc pas l’absence de transferts.

Demandez au prestataire les lieux de stockage, les accès distants et les garanties utilisées. Les dispositions de l’article R.1111-11 précisent également les informations contractuelles, la sortie de la prestation et la reprise de clauses lorsque le prestataire utilise lui-même un hébergeur certifié.

Séparer une règle en vigueur d’un référentiel annoncé

Le cadre évolue, et les dates doivent être lues avec leur statut. Au 3 octobre 2026, l’ANS annonce le référentiel HDS 2.1 pour octobre, avec de nouvelles exigences trois mois après publication. Une annonce ne prouve pas que la version est déjà publiée ou exigible.

Cette échéance et l’entrée en vigueur du décret le 26 septembre sont deux événements différents. Lors d’une signature ou d’une révision de contrat, vérifiez la publication effective et la version du certificat. Conserver les pièces permet ensuite de comprendre quelles garanties ont été examinées.

Relier la certification à vos propres habitudes

Le cabinet reste chargé de ses comptes, de ses transmissions et de sa conservation. Une certification d’hébergement complète cette organisation ; elle ne rend pas tous les usages conformes et ne supprime pas toute possibilité d’incident.

Si le fournisseur, les activités ou la localisation changent, revoyez les justificatifs. Pour toute offre, y compris Geniosteo, une affirmation de certification doit être fondée sur des pièces vérifiées couvrant le service utilisé. Ce guide aide à conduire cette vérification ; il ne constitue pas une attestation de certification d’un produit.

Textes et pages ANS consultés le 3 octobre 2026. Le référentiel annoncé et les certificats doivent être revérifiés lorsqu’ils évoluent.