Aller au contenu principal
Quel logiciel RGPD

Votre logiciel patient est hébergé : que vérifier ?

Pour qui : Votre cabinet ou votre établissement utilise un logiciel patient en ligne, une prise de rendez-vous, une télémédecine ou une sauvegarde externe. Vous lisez « hébergement certifié » dans une plaquette et vous voulez savoir si cela couvre votre service.

Pour le logiciel de dossiers patients ou le stockage numérique externalisé visé ici, demandez une certification HDS V2.0 couvrant les activités concernées. Selon l’ANS, la période transitoire a pris fin le 16 mai 2026. Vérifiez que le certificat couvre l’entité avec laquelle vous signez et le service utilisé.

Faites-le prestataire par prestataire. Si la preuve manque après une demande écrite, préparez la suite. Ce conseil porte sur l’hébergement numérique concerné, sans conclure sur les archives matérielles ou les autres situations qui exigent une étude distincte.

Notre avis

Demandez à l’éditeur le certificat, sans vous contenter d’une mention commerciale. Vérifiez trois choses : qui est certifié, pour quel service, jusqu’à quelle date. Commencez par le logiciel patient, puis faites de même pour chaque prestataire qui stocke des données de patients.

Pourquoi

  • L’ANS indique que la transition s’est terminée le 16 mai 2026 et que les acteurs concernés doivent être certifiés HDS V2.0 pour poursuivre l’hébergement pour le compte de tiers.
  • La CNIL cite des cas concrets : éditeur, prise de rendez-vous, télémédecine, sauvegarde, permanence téléphonique. Le sujet dépasse donc votre seul logiciel principal.
  • Dans son projet de recommandation, elle invite à vérifier que le périmètre d’un certificat de sécurité correspond au service visé. À notre avis, la même vérification vaut pour l’hébergement : un hébergeur certifié ne prouve pas à lui seul que votre service est couvert.
  • Ce contrôle prend peu de temps par rapport au travail d’un changement de logiciel fait dans l’urgence.

Ce qui change le choix

Si vos données restent sur un poste ou un serveur chez vous, sans prestataire qui les stocke, le passage lu ne s’applique pas tel quel : vos questions portent sur la sécurité locale, la maintenance et les sauvegardes. Un logiciel de gouvernance RGPD se traite à part, voir plus bas.

L’ordre à suivre

  1. Listez tous les prestataires qui stockent des données de patients.
  2. Demandez à chacun le certificat et son périmètre.
  3. Rapprochez ce certificat de la liste officielle et du contrat.
  4. Sans preuve claire, posez la question par écrit et préparez un changement si elle reste sans réponse.

Quatre questions à poser par écrit

Le tableau est notre méthode, construite à partir du référentiel et du projet de recommandation de la CNIL. Rapprochez ensuite la réponse de la liste des hébergeurs certifiés que publie l’Agence du numérique en santé, selon la CNIL. Nous n’avons pas pu ouvrir cette liste : faites ce contrôle vous-même.

La demande à envoyer à chaque prestataire
QuestionRéponse à obtenirSignal à creuser
Qui détient le certificat ?Le nom de la société certifiée et son lien avec votre contrat.Le certificat vise un sous-traitant que le contrat ne nomme pas.
Pour quel service et quelle activité ?Le périmètre écrit du certificat, et le service que vous utilisez.La plaquette parle d’« infrastructure certifiée » sans préciser votre application, ou seule une norme générale est citée.
Jusqu’à quelle date ?La date de validité et la prochaine échéance.Un document sans date ou périmé.
Que dit le contrat ?L’hébergement certifié et le contrat de sous-traitance exigé par l’article 28 du RGPD.Aucune mention dans le contrat, ou un changement d’hébergeur possible sans information.

Quels prestataires entrent dans le contrôle

Le référentiel des cabinets vise le logiciel de dossiers patients accessible à distance, en général chez l’éditeur, une plateforme de prise de rendez-vous ou une plateforme de télémédecine, ainsi que le stockage confié à un prestataire de sauvegarde ou de permanence téléphonique. Pour un établissement, le projet de recommandation de la CNIL sur le dossier patient vise tout tiers chargé de l’hébergement sur support électronique, et demande à l’établissement de s’assurer que le service dispose des certificats nécessaires.

De plus, le prestataire doit tenir un registre de sous-traitant. Le référentiel le rappelle : ce registre est le sien, sans remplacer le vôtre.

Agrément, certification et référentiel de 2024

L’ANS fixe la fin de transition au 16 mai 2026, sans prolongation annoncée. Pour l’hébergement numérique pour le compte de tiers concerné, elle demande ensuite HDS V2.0 : ne retenez donc pas un ancien agrément comme alternative à cette certification.

Demandez la version du certificat et les activités qu’il couvre. Une présentation commerciale ou le certificat général d’un groupe ne prouve pas à lui seul que votre service est couvert. La page G_NIUS de l’ANS du 27 avril 2026 confirme le recours à la certification pour l’hébergement externalisé qu’elle décrit. Le projet CNIL de 2025 reste un projet et n’est pas notre preuve du calendrier actuel.

Et votre logiciel de registre ?

Un registre décrit des catégories de données, sans contenir les dossiers de patients. À notre avis, il n’héberge donc pas par lui-même de données de santé au sens de cette page. La question se pose autrement si vous y enregistrez des demandes de droits ou des violations avec des informations sur un patient. Demandez alors à l’éditeur où ces données sont hébergées et ne mettez dans l’outil que le nécessaire. Nous n’en tirons aucune conclusion générale.

Limites de cette page

L’article L. 1111-8, le référentiel complet et la liste officielle des hébergeurs n’ont pas été relus ici. Le calendrier de transition vient des pages ANS consultées le 5 novembre 2026 ; il ne prouve pas la certification d’un prestataire précis. Notre conclusion est limitée au logiciel ou stockage numérique externalisé visé, sans avis sur les archives matérielles et autres cas particuliers. Avant une rupture de contrat, faites lire le dossier par votre délégué ou un conseil.

Prochaine action

Envoyez aujourd’hui les quatre questions à l’éditeur de votre logiciel patient, en demandant le certificat. Rapprochez sa réponse de la liste de l’Agence du numérique en santé, puis répétez pour la prise de rendez-vous et la sauvegarde.

Preuves et sources

Lu le 5 novembre 2026 : le référentiel CNIL des cabinets médicaux et paramédicaux, sa page cloud du 14 mars 2024 et son projet de recommandation de 2025 ; la page ANS sur la transition HDS V2.0 et la fiche G_NIUS du 27 avril 2026. Le référentiel complet et la liste des prestataires certifiés n’ont pas été relus.

Chaque élément ci-dessous dit s’il s’agit d’un fait lu dans une source, d’une déclaration d’éditeur, de notre calcul, de notre méthode ou de notre avis. Aucun outil n’a été testé. Notre méthode