Tout logiciel qui traite des données de santé identifiantes de patients doit être hébergé selon un référentiel précis et par un hébergeur certifié. Le référentiel de certification a évolué (« HDS 2.0 »), avec une échéance de mise en conformité fixée au 16 mai 2026. Voici ce que cela signifie concrètement pour un praticien qui choisit ou renouvelle son logiciel métier.

Le cadre légal : L.1111-8 du Code de la santé publique

L’obligation d’hébergement certifié des données de santé à caractère personnel découle de l’article L.1111-8 du Code de la santé publique. Toute personne physique ou morale qui héberge, pour le compte de tiers, des données de santé recueillies à l’occasion d’activités de prévention, de diagnostic ou de soins doit être certifiée hébergeur de données de santé (HDS).

Cela vise tout logiciel de gestion de cabinet, de suivi patient ou de télésanté qui stocke des données de santé identifiantes.

Le référentiel HDS 2.0

Le référentiel de certification HDS a été révisé pour renforcer les exigences de sécurité, en cohérence avec l’évolution des menaces et des standards de cybersécurité (alignement renforcé avec ISO 27001, exigences accrues sur la gestion des incidents, la sécurité applicative et la traçabilité).

L’échéance du 16 mai 2026

Les hébergeurs certifiés sous l’ancien référentiel disposent d’une période de transition, avec une échéance fixée au 16 mai 2026. Passé cette date, seule une certification conforme au nouveau référentiel permet d’héberger légalement des données de santé pour le compte de tiers.

Ce que ça implique pour choisir un logiciel de santé

Un praticien qui évalue ou renouvelle un logiciel de suivi patient a trois points à vérifier :

1. L’hébergeur est-il certifié HDS ?

Le logiciel lui-même n’est pas certifié : c’est l’hébergeur des données qui l’est. Demandez explicitement l’identité de l’hébergeur et la validité de sa certification HDS (référentiel en vigueur, date d’échéance du certificat).

2. Où sont hébergées les données ?

La localisation des données en France, ou a minima dans l’Union européenne avec des garanties équivalentes, limite les risques de transfert vers des pays tiers et simplifie la conformité RGPD.

3. Le contrat prévoit-il les clauses de l’article 28 RGPD ?

Au-delà de la certification HDS, le contrat liant le praticien à l’éditeur du logiciel (agissant comme sous-traitant au sens RGPD) doit prévoir les clauses obligatoires de l’article 28 du RGPD : objet et durée du traitement, nature et finalité, obligations de sécurité, conditions de sous-traitance ultérieure, assistance en cas de violation de données, et sort des données en fin de contrat.

Positionnement NOALA

NOALA héberge ses données en France, chez un hébergeur certifié HDS. Le chiffrement des données sensibles au repos, la traçabilité des accès et le contrat de sous-traitance au sens de l’article 28 RGPD répondent aux trois points ci-dessus.

Le détail figure sur notre page à propos. Sur le volet consentement, voir notre article sur l’e-consentement chirurgical numérique.