Hébergement HDS : c'est quoi et qui est concerné ?
Hébergement HDS c'est quoi ? Définition simple de la certification, qui est concerné parmi les praticiens libéraux et comment vérifier votre hébergeur.
L'hébergement HDS (Hébergement de Données de Santé) est une certification française obligatoire pour toute entreprise qui stocke ou héberge, pour le compte d'un professionnel de santé, des données de santé à caractère personnel. Concrètement, ce n'est pas vous, praticien libéral, qui devez être certifié : c'est le prestataire technique (l'éditeur de logiciel, le service cloud ou l'agenda en ligne) qui héberge les données de vos patients. Votre responsabilité consiste à choisir des outils dont l'hébergeur figure bien sur la liste officielle des hébergeurs certifiés tenue par l'Agence du Numérique en Santé (ANS). Dans cet article, vous verrez ce que recouvre exactement cette certification, dans quels cas concrets du quotidien elle s'applique (dossier patient, prise de rendez-vous, comptabilité) et comment vérifier en pratique que vous êtes en règle.
HDS, c'est quoi exactement ?
HDS signifie Hébergement de Données de Santé. C'est un cadre réglementaire français qui encadre le stockage des données de santé à caractère personnel lorsqu'elles sont confiées à un tiers hébergeur.
La certification HDS en une définition
La certification HDS est un label délivré à un hébergeur après un audit réalisé par un organisme accrédité. Elle atteste que l'hébergeur applique un niveau élevé de sécurité, de confidentialité et de disponibilité pour les données de santé qu'il stocke pour le compte de professionnels ou d'établissements de santé.
Elle porte sur des exigences très concrètes :
- la sécurisation physique des serveurs (accès contrôlé aux datacenters),
- la sauvegarde et la restauration des données en cas d'incident,
- la traçabilité des accès (qui a consulté quoi, et quand),
- la disponibilité du service et la continuité d'activité,
- des procédures en cas de fin de contrat pour récupérer ou détruire les données.
En résumé, la certification HDS ne garantit pas seulement que les données sont stockées quelque part : elle garantit qu'elles sont stockées dans des conditions auditées et vérifiées.
Qui délivre et contrôle la certification ?
La certification est encadrée en France par l'Agence du Numérique en Santé (ANS), qui publie et tient à jour la liste des hébergeurs certifiés. L'audit lui-même est réalisé par des organismes certificateurs accrédités. Un hébergeur ne peut pas simplement se déclarer conforme : il doit passer l'audit, obtenir le certificat, puis le renouveler régulièrement.
Cette liste publique est votre meilleur outil de vérification. Si un prestataire affirme héberger vos données de santé, son hébergeur (ou lui-même s'il héberge en propre) doit y apparaître.
Pourquoi cette certification existe
Les données de santé font partie des données les plus sensibles qui existent. Une pathologie, un traitement, un motif de consultation ou même un simple historique de rendez-vous chez un psychologue ou un podologue peuvent avoir des conséquences lourdes s'ils sont divulgués.
Le législateur a donc imposé un niveau d'exigence supérieur au stockage informatique classique. Là où un hébergeur généraliste peut se contenter de bonnes pratiques, un hébergeur de données de santé doit prouver, preuves à l'appui et audit à la clé, qu'il protège réellement ces informations.
Pour vous, praticien, cela change la donne : cela signifie qu'un simple espace de stockage grand public n'est pas conçu pour recevoir des dossiers patients. Nous y revenons plus bas avec des cas concrets.
Suis-je concerné en tant que praticien libéral ?
C'est la vraie question. La réponse tient en une phrase : oui, vous êtes concerné, mais pas de la façon que l'on imagine souvent.
Ce n'est pas vous qui devez être certifié
La certification HDS s'adresse aux hébergeurs, c'est-à-dire aux prestataires techniques qui stockent les données pour votre compte. En tant que podologue, psychologue ou ostéopathe en libéral, vous n'avez pas à obtenir vous-même une certification HDS pour votre cabinet.
En revanche, vous êtes responsable du choix de vos outils. Si vous utilisez un logiciel de gestion de cabinet, un agenda en ligne ou un service de prise de rendez-vous, les données de vos patients transitent et sont stockées quelque part. Ce "quelque part" doit être un hébergeur certifié HDS.
La logique à retenir
- Vous êtes responsable de traitement des données de vos patients.
- L'éditeur de votre logiciel est votre sous-traitant.
- L'hébergeur qui stocke les données doit être certifié HDS.
Autrement dit, l'obligation HDS ne pèse pas directement sur votre diplôme ou votre statut, mais elle vous concerne dès que vous confiez des données de santé à un outil numérique. Choisir un prestataire non conforme vous expose, vous, en tant que responsable de traitement.
Cas concrets du quotidien : suis-je concerné ou pas ?
La théorie est simple, mais le quotidien d'un cabinet mélange beaucoup d'outils. Voici les situations les plus fréquentes et ce qu'elles impliquent.
| Situation au cabinet | Données de santé concernées ? | Hébergement HDS attendu ? |
|---|---|---|
| Logiciel de dossier patient (antécédents, notes de séance) | Oui, clairement | Oui |
| Agenda en ligne avec motif de consultation | Oui (le motif est une donnée de santé) | Oui |
| Prise de rendez-vous en ligne pour vos patients | Oui, dès qu'un motif ou un historique médical apparaît | Oui |
| Comptabilité et facturation liées aux actes de soins | Souvent oui (données rattachées à un patient identifiable) | Oui pour la partie liée aux patients |
| Simple agenda avec nom et heure, sans aucune donnée médicale | Zone grise, prudence recommandée | Recommandé |
| Tableur de suivi stocké sur un cloud grand public | Oui si des données patients y figurent | Non conforme en l'état |
Quelques précisions utiles :
- Un motif de rendez-vous ("douleur plantaire", "suivi anxiété") est déjà une donnée de santé. Un agenda en ligne qui l'affiche entre dans le périmètre.
- Une note de séance, un compte rendu, un antécédent : ce sont des données de santé sans ambiguïté.
- La facturation seule (montant, date) est moins sensible, mais dès qu'elle est reliée à un patient identifiable et à un acte de soin, elle relève du même niveau de précaution.
Le réflexe simple : si l'outil manipule une information permettant de rattacher une personne à sa santé, partez du principe que l'hébergement doit être certifié HDS.
Comment vérifier qu'un hébergeur est certifié
Bonne nouvelle : la vérification est gratuite et accessible à tous.
Consulter la liste officielle de l'ANS
L'ANS publie la liste des hébergeurs certifiés HDS. Vous pouvez y rechercher le nom de l'hébergeur utilisé par votre prestataire. Deux cas de figure :
- L'éditeur de logiciel héberge lui-même : c'est son nom qui doit figurer sur la liste.
- L'éditeur s'appuie sur un hébergeur tiers (un grand acteur du cloud, par exemple) : c'est le nom de cet hébergeur qui doit apparaître, et l'éditeur doit pouvoir vous le préciser.
Les bonnes questions à poser à votre prestataire
Avant de signer ou de continuer avec un outil, demandez par écrit :
- "Où sont hébergées les données de mes patients ?"
- "Votre hébergeur est-il certifié HDS, et sous quel nom apparaît-il sur la liste de l'ANS ?"
- "Les données sont-elles hébergées en France ou dans l'Union européenne ?"
- "Un contrat de sous-traitance (au sens RGPD) est-il prévu ?"
Un prestataire sérieux répond à ces questions sans détour. Une réponse floue ou évasive est en soi un signal.
Chez Komper, par exemple, la gestion du dossier patient, de l'agenda et des rappels de rendez-vous s'appuie sur une infrastructure pensée pour ce niveau d'exigence, et nous documentons clairement où et comment les données sont stockées. C'est le type de transparence que vous devez attendre de n'importe quel outil, quel qu'il soit.
Ce que vous devez vérifier avant de choisir un logiciel
Voici une check-list concrète à garder sous la main au moment de comparer des solutions.
| À vérifier | Pourquoi c'est important |
|---|---|
| Hébergeur présent sur la liste ANS | C'est la preuve officielle de la certification HDS |
| Hébergement en France ou dans l'UE | Évite les transferts de données hors cadre européen |
| Contrat de sous-traitance RGPD | Encadre juridiquement le traitement de vos données |
| Politique de sauvegarde documentée | Protège votre cabinet en cas de panne ou d'attaque |
| Traçabilité des accès aux dossiers | Permet de savoir qui a consulté quoi |
| Procédure de récupération en fin de contrat | Vous garantit de partir avec vos données |
Cette check-list vous protège sur deux plans : la conformité réglementaire, et la sécurité réelle de votre activité. Un cabinet qui perd ses dossiers ou subit une fuite ne peut plus travailler sereinement. Pour aller plus loin sur ce point, notre article sur la sauvegarde des données de votre cabinet détaille les réflexes à adopter, et celui sur la violation de données au cabinet explique quoi faire si un incident survient.
HDS et RGPD : quelle différence ?
On confond souvent les deux, car ils vont ensemble.
- Le RGPD est le cadre européen général sur la protection des données personnelles. Il s'applique à toutes les données personnelles, santé ou non, et impose des principes (consentement, minimisation, sécurité, information des personnes).
- La certification HDS est un cadre français spécifique à l'hébergement des données de santé. Elle vient s'ajouter au RGPD, pour ce type de données précis.
En clair : respecter le RGPD est obligatoire pour tout traitement de données, et pour les données de santé confiées à un hébergeur, la certification HDS vient en complément. Les deux ne s'opposent pas, ils s'empilent.
Cette articulation vaut aussi pour les échanges entre professionnels. Envoyer un dossier ou un compte rendu par un canal non sécurisé pose un problème distinct mais lié. Nous l'abordons dans notre article sur la messagerie sécurisée de santé (MSSanté).
FAQ
Hébergement HDS, c'est quoi en une phrase ?
C'est une certification française obligatoire pour les hébergeurs qui stockent des données de santé pour le compte de professionnels de santé. Elle garantit un niveau élevé de sécurité, de traçabilité et de disponibilité, vérifié par un audit et supervisé par l'ANS.
La certification HDS est-elle obligatoire pour un praticien libéral ?
Vous n'avez pas à être certifié vous-même. En revanche, dès que vous confiez des données de patients à un logiciel, un cloud ou un agenda en ligne, l'hébergeur qui les stocke doit être certifié HDS. Votre obligation porte donc sur le choix d'outils conformes.
Comment savoir si mon hébergeur est certifié HDS ?
Consultez la liste officielle des hébergeurs certifiés publiée par l'ANS et recherchez le nom de votre hébergeur. Vous pouvez aussi demander directement à votre éditeur de logiciel le nom sous lequel son hébergeur figure sur cette liste. Une réponse claire et vérifiable est attendue.
Un agenda en ligne classique suffit-il pour mon cabinet ?
Cela dépend de ce qu'il contient. Dès qu'un motif de consultation ou un historique médical apparaît, il manipule des données de santé et doit reposer sur un hébergement HDS. Un agenda strictement limité au nom et à l'heure est une zone grise, mais la prudence recommande un outil déjà conforme.
Stocker des dossiers patients sur un cloud grand public est-il autorisé ?
Non, si ce cloud n'est pas certifié HDS et que les fichiers contiennent des données de santé. Les services de stockage grand public ne sont pas conçus pour ce niveau d'exigence, et vous exposeriez votre cabinet en tant que responsable de traitement.
Où trouver des informations officielles fiables ?
Les sources de référence sont l'ANS pour la liste des hébergeurs et le cadre HDS, la CNIL pour le RGPD et la protection des données, et votre ordre professionnel pour les règles déontologiques. En cas de doute juridique, un conseil spécialisé reste la voie la plus sûre.
En résumé
L'hébergement HDS n'est pas une contrainte administrative de plus : c'est la garantie que les données de vos patients sont stockées dans des conditions sérieuses et auditées. Vous n'avez pas à être certifié, mais vous êtes responsable du choix de vos outils. Le bon réflexe tient en trois gestes : identifier où sont stockées les données, vérifier l'hébergeur sur la liste de l'ANS, et exiger de la transparence de vos prestataires.
Komper regroupe l'agenda et les rappels de rendez-vous automatiques, le dossier patient, la facturation avec relances d'impayés, les demandes d'avis Google et un assistant IA qui rédige vos comptes rendus, le tout dans un cadre pensé pour la sécurité des données de santé. Si vous voulez centraliser la gestion de votre cabinet sans multiplier les outils, découvrez Komper et voyez comment il s'adapte à votre pratique.