Site de cabinet médical : quand la certification HDS s'impose
Ou : la page « Nos horaires » n’a jamais eu besoin d’un certificat.
La réponse courte : en France, l’article L.1111-8 du code de la santé publique impose une certification à toute personne qui héberge des données de santé recueillies lors d’activités de prévention, de diagnostic, de soins ou de suivi médico-social, pour le compte du professionnel ou du patient. Le site vitrine d’un cabinet (horaires, adresse, présentation des praticiens) ne contient aucune donnée de santé : un hébergement ordinaire suffit. Dès que le site recueille et conserve des données de santé pour le compte du praticien, motif de consultation dans un formulaire, espace patient, dépôt de documents, l’hébergeur qui les stocke doit être certifié HDS (hébergeur de données de santé). Le guide de sécurité de la CNIL (PDF) le rappelle et renvoie à la liste des hébergeurs certifiés publiée par l’Agence du numérique en santé. C’est l’un des rares cas où le pays du serveur devient une obligation écrite pour l’hébergement européen d’un site.
Car le référentiel HDS révisé, publié au Journal officiel le 16 mai 2024, exige que l’hébergement physique des données de santé se fasse exclusivement dans l’Espace économique européen ; les hébergeurs déjà certifiés avaient jusqu’au 16 mai 2026 pour s’y conformer, selon le communiqué de l’Agence du numérique en santé. Le décret n° 2026-209 du 24 mars 2026 a inscrit cette localisation dans le code lui-même.
Hébergement HDS pour un site web : où passe la ligne
| Ce que fait le site | Données de santé hébergées ? | Hébergeur certifié HDS ? |
|---|---|---|
| Vitrine : horaires, adresse, spécialités, accès | non | non |
| Lien vers une plateforme de rendez-vous extérieure | sur la plateforme, pas sur votre site | la question se pose à la plateforme |
| Formulaire de contact libre, sans champ médical | possible, si le patient décrit ses symptômes | à éviter par la conception du formulaire |
| Formulaire de rendez-vous avec motif de consultation, stocké en base ou dans une boîte mail | oui | oui, pour l’hébergement de ces données |
| Espace patient, dépôt d’ordonnances ou de résultats, téléconsultation | oui | oui |
Lecture de l’article L.1111-8 et du référentiel HDS au 12 novembre 2026. Le tableau ne remplace pas l’avis du délégué à la protection des données du cabinet ; il trace la ligne que le texte dessine.
Le cas le plus fréquent est celui du formulaire. Un message « Je souhaite un rendez-vous pour une douleur au genou » enregistré dans la base du site ou dans la boîte mail de l’hébergeur est une donnée de santé conservée chez un tiers. La parade la plus simple tient dans la conception : un formulaire qui ne demande que le nom, le téléphone et un créneau, avec une mention invitant à ne pas décrire ses symptômes.
Aucune des trois offres mutualisées du tableau ne revendique la certification, qui se paie au prix d’une infrastructure professionnelle.
| Hébergeur, offre | Certification HDS | Ce qu’il en dit | Prix relevé |
|---|---|---|---|
| OVHcloud, Public Cloud, Hosted Private Cloud, Bare Metal | oui, en option | support Business ou Enterprise obligatoire, plus une annexe contractuelle santé | support Business : 10 % de la facture mensuelle, minimum 250 € HT par mois |
| OVHcloud, hébergement web Perso | non citée | absente de la page HDS d’OVHcloud | 2,99 € HT par mois la première année |
| o2switch, Grow. | non mentionnée | la politique de données laisse au client le soin de vérifier l’adéquation du service aux données de santé | 7,00 € HT par mois |
| Infomaniak, hébergement web | non | centres de données en Suisse, hors de l’EEE ; aucune certification HDS dans sa FAQ du 20 octobre 2026 | 5,75 € HT par mois |
Relevé du 12 novembre 2026 sur la page HDS d’OVHcloud, sa grille du support Business et les pages des autres hébergeurs.
Ce dernier point mérite d’être dit sans détour : un hébergeur suisse ne peut pas satisfaire l’exigence de stockage dans l’EEE pour des données hébergées en Suisse. L’hébergement web Infomaniak convient au site vitrine d’un cabinet ; il ne convient pas à son espace patient.
Hors de France, la règle change de nature. La certification HDS découle du code de la santé publique français. Un cabinet établi en Belgique applique le RGPD, dont l’article 9 interdit en principe le traitement des données concernant la santé, sauf exceptions comme le diagnostic ou les soins ; un cabinet suisse applique la nLPD, qui range les données sur la santé parmi les données sensibles. Aucun de ces deux textes n’impose de certification à l’hébergeur, mais tous deux exigent une sécurité adaptée à la sensibilité des données.
Le contrat d’un hébergeur certifié
Un hébergeur HDS doit informer son client, dans le contrat, des accès possibles depuis un pays tiers et des lois étrangères qui pourraient s’appliquer à lui ou à ses sous-traitants. Ces clauses s’ajoutent à l’accord de traitement ordinaire, dont les points clés sont comparés dans l’accord de traitement de l’hébergeur.
Les hébergeurs français, certifiés ou non
Une marque française n’est pas forcément certifiée, et un capital français ne garantit rien non plus. Offres, propriétaires et centres de données des principaux hébergeurs français sont réunis dans les offres des hébergeurs français.
En Suisse, des données sensibles sans certificat
La loi suisse n’impose pas de certification d’hébergeur, mais elle exige, pour les traitements de données sensibles à grande échelle, une journalisation conservée au moins un an et une analyse d’impact préalable. Le cadre est détaillé dans la loi suisse sur les données.