L'essentiel
- Tout prestataire qui stocke des données de santé pour votre compte doit être certifié HDS (article L1111-8 du code de la santé publique).
- Vos dossiers de psychologue sont concernés : l'article vise les données recueillies lors d'activités de prévention, de diagnostic ou de soins, et ne se limite pas aux professionnels de santé.
- Depuis le 26 septembre 2026, le code de la santé publique impose le stockage des données dans l'Union européenne ou l'Espace économique européen (article R1111-9-1) ; le référentiel HDS v2 l'exigeait déjà.
- Avant de choisir un logiciel : demandez le certificat et son périmètre.
Qui doit être certifié ?
L'article L1111-8 du code de la santé publique vise toute personne qui héberge des données de santé recueillies à l'occasion d'activités de prévention, de diagnostic, de soins ou de suivi social et médico-social, pour le compte de la personne qui les a produites ou recueillies. Sur support numérique, cet hébergeur doit être titulaire d'un certificat de conformité : c'est la certification HDS.
L'obligation de certification pèse sur l'hébergeur : l'éditeur du logiciel ou le fournisseur cloud. Mais c'est à vous, praticien, de choisir un prestataire conforme.
Votre situation
| Où sont vos dossiers ? | Ce qui s'applique |
|---|---|
| Logiciel en ligne, application synchronisée, stockage cloud | Le prestataire héberge pour votre compte : il doit être certifié HDS, et lié à vous par un contrat de sous-traitance (article 28 du RGPD). |
| Uniquement sur votre ordinateur, sans synchronisation | Pas d'hébergement pour le compte d'un tiers, donc pas de certification requise. Les obligations de sécurité du RGPD restent entières : chiffrement du disque, mots de passe, sauvegardes chiffrées. |
| Sauvegarde sur un service en ligne | La sauvegarde est un hébergement : le service doit être certifié HDS pour l'offre utilisée. |
| Envoi par e-mail classique | La CNIL demande de chiffrer les données avant tout envoi par une messagerie électronique standard. |
HDS v2 et décret de 2026 : ce qui a changé
Le référentiel de certification a été refondu par un arrêté du 26 avril 2024. Depuis novembre 2024, les nouvelles certifications suivent cette version, et les hébergeurs déjà certifiés avaient jusqu'en mai 2026 pour s'y conformer. Il exige que les données soient stockées physiquement dans l'Espace économique européen, et que l'hébergeur informe ses clients des risques d'accès depuis un pays tiers.
Le décret n° 2026-209 du 24 mars 2026 a inscrit cette règle dans le code de la santé publique : depuis le 26 septembre 2026, l'article R1111-9-1 impose le stockage des données de santé hébergées dans l'Union européenne ou l'Espace économique européen. Le même décret complète les clauses obligatoires du contrat d'hébergement et inclut expressément l'archivage électronique dans le champ de la certification.
Google Drive, Dropbox, messagerie classique : attention
Certains grands fournisseurs disposent d'une certification HDS, mais pour des offres professionnelles précises, avec un contrat adapté. Les offres grand public ne sont pas certifiées à notre connaissance. Stocker ses dossiers dans un dossier partagé ou les envoyer en pièce jointe non chiffrée expose le praticien au regard du RGPD (obligation de sécurité).
Côté sanctions, l'article L1115-1 du code de la santé publique punit de trois ans d'emprisonnement et de 45 000 € d'amende le fait d'héberger des données de santé sans certification : il vise l'hébergeur. Le praticien, lui, reste responsable au titre du RGPD.
Les questions à poser à un éditeur de logiciel
- Êtes-vous certifié HDS, ou votre hébergeur l'est-il ? Demandez le nom de l'hébergeur et le certificat.
- Quel est le périmètre du certificat ? Il doit couvrir l'hébergement de vos données, sauvegardes comprises.
- Où sont stockées les données ? En France ou dans l'Espace économique européen.
- Qui d'autre traite les données ? En particulier les services d'IA (transcription, rédaction) : où, avec quelle durée de conservation, avec ou sans entraînement de modèles.
- Me fournissez-vous un contrat de sous-traitance (article 28) ?
- Puis-je exporter l'intégralité de mes dossiers, dans un format lisible, à tout moment ?
Annota : hébergé HDS en France, dès le premier dossier
Les dossiers Annota sont hébergés chez Clever Cloud, hébergeur certifié HDS, en France. La mise en forme par l'IA passe par Mistral AI, sans conservation des contenus ni entraînement sur vos données. Vous signez un contrat de sous-traitance dès la création du compte.
- Hébergement certifié HDS en France (Clever Cloud)
- IA européenne (Mistral AI), sans conservation des contenus ni entraînement sur vos données
- Contrat de sous-traitance (art. 28 RGPD) et note d'information patient fournis
Sans carte bancaire. Ensuite 29 € TTC par mois ou 319 € par an, sans engagement.
Sources
- Code de la santé publique — hébergement des données de santé, articles R1111-9 à R1111-11 (Légifrance)
- Code de la santé publique, article R1111-9-1 (stockage dans l'UE/EEE, en vigueur au 26 septembre 2026) — Légifrance
- Décret n° 2026-209 du 24 mars 2026 relatif à l'hébergement de données de santé — Légifrance
- Arrêté du 26 avril 2024 modifiant l'arrêté portant approbation du référentiel de certification HDS — Légifrance
- Code de la santé publique, article L1115-1 (sanctions) — Légifrance
- Agence du numérique en santé — Certification HDS
- CNIL — Référentiel « cabinets médicaux et paramédicaux » (délibération n° 2020-081)
Nos autres guides
Information générale, pas un conseil juridique. Ce guide résume l'état des textes à la date de mise à jour, à partir des sources citées. Les règles évoluent : vérifiez les textes en vigueur et, pour votre situation particulière, rapprochez-vous d'un conseil (avocat, expert-comptable, organisation professionnelle).