Un cabinet d'imagerie qui confie ses dossiers, ses comptes rendus ou ses images à un logiciel en ligne confie des données de santé à un hébergeur. Le droit français encadre ce choix de près, et il a changé en 2024, puis en 2026. Voici ce qu'il faut vérifier, document par document.
Ce que dit la loi
L'article L.1111-8 du code de la santé publique impose à quiconque héberge des données de santé pour le compte d'un tiers d'être certifié par un organisme accrédité, en France par le COFRAC. Depuis le 1er juillet 2025, le même article exige un stockage dans l'Union européenne ou l'Espace économique européen, et des clauses contractuelles sur les risques d'accès par des États tiers.
Le référentiel de certification en vigueur, dit HDS v2, a été publié au Journal officiel le 16 mai 2024 ; les hébergeurs déjà certifiés avaient jusqu'au 16 mai 2026 pour s'y conformer. Il impose un stockage exclusivement dans l'EEE, l'information du client sur les accès possibles depuis des pays tiers et la publication d'une cartographie des transferts. Un décret du 24 mars 2026 a complété les clauses obligatoires du contrat ; elles s'appliquent depuis fin septembre 2026.
Le certificat : son périmètre et ses dates
Un certificat HDS ne couvre pas forcément tout. Le code de la santé publique distingue six activités :
- la mise à disposition des sites physiques ;
- l'infrastructure matérielle ;
- l'infrastructure virtuelle ;
- la plateforme d'hébergement d'applications ;
- l'administration et l'exploitation du système d'information ;
- la sauvegarde.
Le périmètre du certificat doit couvrir les activités réellement exercées pour votre compte, y compris quand plusieurs prestataires interviennent. Demandez le certificat, lisez son périmètre et ses dates de validité, cherchez l'hébergeur dans la liste officielle de l'ANS sur esante.gouv.fr, et vérifiez sur cofrac.fr que l'organisme qui l'a certifié est accrédité.
Le contrat : ce qui doit y figurer
L'article R.1111-11 du code de la santé publique liste les clauses obligatoires du contrat d'hébergement. On y trouve notamment :
- le périmètre et les dates du certificat ;
- les lieux d'hébergement ;
- les conditions de recours à des sous-traitants ;
- l'encadrement des accès et des transferts ;
- des indicateurs de qualité de service ;
- l'interdiction d'utiliser les données à d'autres fins ;
- la restitution des données en fin de contrat, puis leur destruction ;
- le cas échéant, les lois de pays tiers auxquelles l'hébergeur est soumis.
La réversibilité, c'est-à-dire les délais et les coûts de restitution, fait l'objet d'une exigence propre du référentiel. Faites-la préciser par écrit : le jour où vous changez de logiciel, c'est elle qui décide si vos comptes rendus, conservés vingt ans, vous suivent.
Et le RGPD
L'hébergeur, et le plus souvent l'éditeur du logiciel, sont des sous-traitants au sens de l'article 28 du RGPD. Un contrat est obligatoire : ils ne traitent les données que sur instruction du cabinet, en garantissent la confidentialité et la sécurité, et ne font appel à un autre sous-traitant qu'avec son accord écrit. La CNIL le rappelle dans son référentiel pour les cabinets médicaux et paramédicaux.
Avant de signer
- le certificat HDS, son périmètre et ses dates ;
- la présence de l'hébergeur dans la liste officielle de l'ANS ;
- l'accréditation de l'organisme certificateur ;
- des lieux de stockage situés dans l'EEE ;
- la liste des sous-traitants et des accès possibles depuis des pays tiers ;
- la réversibilité : format, délai, coût ;
- le contrat de sous-traitance au sens du RGPD.
Chez Celia Lab
L'édition en ligne des logiciels Celia Lab est aujourd'hui une démonstration, sur des données fictives : la certification HDS est en cours, et aucune donnée de patient ne sera reçue avant son obtention. Installés sur site, les logiciels tournent sur le serveur du cabinet, qui garde la main sur l'hébergement. Les brouillons de compte rendu passent par un service d'IA extérieur, Anthropic, dont le traitement n'est pas cantonné à l'Europe. Dans les deux cas, le cabinet exporte à tout moment l'intégralité de ses données dans un format ouvert.
Information générale, pas un conseil juridique. Textes en vigueur au 3 octobre 2026 : articles L.1111-8, R.1111-9 et R.1111-11 du code de la santé publique (Légifrance) ; référentiel de certification HDS (ANS) ; décret n° 2026-209 du 24 mars 2026 ; référentiel CNIL pour les cabinets médicaux et paramédicaux (2020).