HDS : hébergement des données de santé, ce que la loi impose aux orthopédistes

1. Qu'est-ce que l'hébergement de données de santé ?

C'est le fait de stocker les données de vos patients sur un système extérieur à votre poste de travail : serveur distant, cloud ou sauvegarde en ligne. Ces données sont considérées comme particulièrement sensibles.

1.1 Qu'appelle-t-on une donnée de santé ?

Les données de santé sont des données à caractère personnel qui révèlent des informations relatives à l'état de santé d'une personne physique. Au sens du règlement européen RGPD, elles constituent une catégorie particulière de données bénéficiant d'un niveau de protection renforcé.

Dans le contexte d'un cabinet d'orthopédie, de podo-orthésie ou d'ortho-prothèse, ces données comprennent notamment :

• Les informations d'identité et de droits lues sur la carte Vitale du patient
• Les feuilles de soins électroniques (FSE) et les actes facturés
• Les informations médicales liées à la prescription ou à l'appareillage
• Toute donnée permettant d'inférer l'état de santé d'une personne identifiable

1.2 Pourquoi une réglementation spécifique ?

Les données de santé présentent un niveau de sensibilité particulièrement élevé : leur divulgation ou leur altération peut avoir des conséquences directes sur la vie des personnes concernées — discrimination, atteinte à la vie privée, risques assurantiels. C'est pourquoi le législateur français a instauré, au-delà du cadre général du RGPD, une réglementation sectorielle spécifique à l'hébergement de ces données.

L'idée centrale est simple : lorsqu'un professionnel de santé confie des données de santé de ses patients à un tiers — que ce soit un éditeur de logiciel, un prestataire de cloud ou un fournisseur de sauvegardes — ce tiers doit avoir démontré sa capacité à les protéger selon des exigences définies et auditées. C'est l'objet de la certification HDS.

2. Qu'est-ce que la certification HDS ?

C'est une certification obligatoire pour tout prestataire qui héberge des données de santé. Elle découle de l'article L. 1111-8 du Code de la santé publique et son référentiel est publié par l'ANS.

2.1 Que dit la loi exactement ?

Le fondement juridique de l'obligation est l'article L. 1111-8 du Code de la santé publique. Cet article dispose que toute personne qui héberge des données de santé à caractère personnel recueillies à l'occasion d'activités de prévention, de diagnostic, de soins ou de suivi médico-social, pour le compte de personnes physiques ou morales produisant ou utilisant ces données, doit être titulaire d'un agrément ou, depuis la réforme, d'une certification HDS délivrée par un organisme accrédité.

L'obligation porte sur l'hébergeur — c'est-à-dire le prestataire qui stocke effectivement les données — et non directement sur le professionnel de santé lui-même. En pratique, c'est l'éditeur du logiciel ou le fournisseur de cloud qui doit s'assurer que son infrastructure d'hébergement est certifiée.

2.2 Que couvre le certificat d'un hébergeur ?

La certification couvre six activités d'hébergement, définies à l'article R. 1111-9 du Code de la santé publique. Le certificat de chaque hébergeur précise celles qu'il est autorisé à exercer :

Bon à savoir : l'ancien référentiel regroupait ces activités en deux certificats distincts (« hébergeur d'infrastructure physique » et « hébergeur infogéreur »). Le référentiel 2024 a supprimé cette distinction : le certificat liste désormais directement les activités couvertes. Plusieurs prestataires peuvent se répartir ces activités, à condition que l'ensemble de la chaîne d'hébergement soit couvert par la certification.

2.3 Qui délivre la certification HDS ?

La certification HDS est délivrée par des organismes de certification accrédités, sous l'égide de l'ANS — Agence du Numérique en Santé (anciennement ASIP Santé). L'ANS est l'autorité publique française chargée de définir les référentiels de sécurité et d'interopérabilité des systèmes d'information de santé.

C'est l'ANS qui publie et maintient le référentiel HDS — le document technique qui définit les exigences auxquelles un hébergeur doit satisfaire pour obtenir la certification. Ce référentiel a été profondément renouvelé en 2024 : un nouveau référentiel, approuvé par arrêté du 26 avril 2024, s'applique aux nouvelles certifications depuis le 16 novembre 2024, et les hébergeurs déjà certifiés avaient jusqu'au 16 mai 2026 pour s'y conformer. C'est donc aujourd'hui le seul référentiel en vigueur pour tous les hébergeurs certifiés. Le référentiel est librement accessible sur le site officiel de l'ANS.

Sa principale nouveauté est l'exigence de souveraineté des données : l'hébergeur doit garantir que les données de santé sont hébergées au sein de l'Espace économique européen et être transparent sur son éventuelle exposition à des législations non européennes permettant l'accès aux données. Concrètement, pour vous : un hébergeur certifié HDS aujourd'hui offre des garanties de sécurité et de souveraineté plus strictes qu'à l'origine de la certification en 2018.

La certification remplace depuis 2018 l'ancien régime d'agrément ministériel (délivré par le ministre chargé de la santé, après avis de la CNIL) des hébergeurs de données de santé. Ce passage d'un agrément administratif à une certification par des organismes accrédités vise à renforcer la rigueur des contrôles et à harmoniser les exigences avec les standards internationaux de sécurité.

3. Êtes-vous concerné en tant qu'orthopédiste ?

Vous l'êtes dès que les données de vos patients sortent de votre poste de travail. L'obligation pèse sur l'hébergeur, pas sur vous, mais c'est à vous de vérifier qu'il est bien certifié.

3.1 Qui est concerné ?

L'obligation HDS s'applique dès lors que des données de santé personnelles sont hébergées sur un système tiers — c'est-à-dire dès qu'elles quittent le poste de travail local du professionnel pour être stockées sur un serveur externe, dans le cloud, ou sauvegardées en ligne.

En pratique, un professionnel de santé — podo-orthésiste, orthopédiste-orthésiste ou ortho-prothésiste — est indirectement concerné dans les situations suivantes :

• Son logiciel de gestion stocke les données des patients sur un serveur distant (architecture SaaS ou client-serveur hébergé)
• L'éditeur propose une sauvegarde automatique en ligne des données du cabinet
• Les données sont synchronisées vers le cloud pour permettre un accès multi-postes ou la mobilité

En revanche, un professionnel qui héberge ses données uniquement sur son propre poste local, sans recours à aucun système tiers, n'est pas soumis à l'obligation HDS pour cet hébergement. Il doit néanmoins assurer la sécurité et la protection de ces données au titre du RGPD.

3.2 Que devez-vous faire concrètement ?

Pour un cabinet d'orthopédie utilisant un logiciel de gestion avec composant cloud ou sauvegarde en ligne, les obligations concrètes sont les suivantes :

• Vérifier que l'éditeur du logiciel s'appuie sur un hébergeur titulaire de la certification HDS
• Demander à l'éditeur une confirmation écrite de cette conformité si elle n'est pas affichée clairement
• Conserver cette information dans le cadre de la documentation RGPD du cabinet (registre des activités de traitement)

Les éditeurs de logiciels qui proposent du cloud ou de la sauvegarde en ligne pour des données de santé ont l'obligation d'utiliser un hébergeur certifié HDS. C'est leur responsabilité contractuelle et réglementaire vis-à-vis de leurs clients professionnels de santé.

3.3 Quelle différence avec le RGPD ?

La certification HDS et le RGPD sont deux cadres distincts mais complémentaires, qui s'appliquent tous deux aux données de santé.

• Le RGPD (Règlement général sur la protection des données) définit les principes généraux de traitement des données personnelles — finalité, minimisation, sécurité, droits des personnes — et s'applique à tout traitement, y compris local.
• La certification HDS, fondée sur l'article L. 1111-8 CSP, est une exigence sectorielle spécifique à la France, qui s'applique uniquement lorsque des données de santé sont hébergées par un tiers.

Ces deux obligations se cumulent : un hébergeur peut être certifié HDS sans que cela dispense pour autant le cabinet de ses propres obligations RGPD (contrats de sous-traitance, registre des traitements, information des patients, etc.).

4. Comment choisir un logiciel conforme ?

Demandez à l'éditeur où sont stockées vos données et si son hébergeur est certifié HDS, puis vérifiez le nom de cet hébergeur dans la liste officielle publiée par l'ANS.

4.1 Quelles questions poser à votre éditeur ?

Lorsque vous évaluez un logiciel de gestion pour votre cabinet d'orthopédie, voici les questions à poser sur le volet HDS :

• Les données de mes patients sont-elles hébergées sur un serveur externe ou dans le cloud ?
• Si oui, l'hébergeur est-il titulaire de la certification HDS au sens de l'article L. 1111-8 du Code de la santé publique ?
• Pouvez-vous me fournir une attestation ou une documentation confirmant cette certification ?
• La certification couvre-t-elle bien toutes les activités de l'hébergement proposé (infrastructure, exploitation, sauvegarde externalisée…) ?
• Les serveurs sont-ils localisés en France ou en Europe ?

Un éditeur sérieux doit être en mesure de répondre clairement à chacune de ces questions et de vous fournir les justificatifs correspondants.

4.2 Comment vérifier ces réponses ?

Vous pouvez vérifier qu'un hébergeur est bien certifié HDS en consultant la liste officielle publiée par l'ANS sur esante.gouv.fr. Un éditeur sérieux doit pouvoir vous indiquer le nom de son hébergeur et confirmer que celui-ci figure dans cette liste.

N'hésitez pas à demander une attestation écrite de conformité HDS à votre éditeur. Cette démarche est recommandée dans le cadre de votre documentation RGPD (registre des activités de traitement et contrats de sous-traitance).