HDS, hébergeur de données de santé : ce qu'un cabinet doit vérifier

Un hébergeur de données de santé (HDS) est un prestataire certifié pour conserver des données de santé pour le compte d'un professionnel, d'un établissement ou d'un patient. Dès qu'un agent vocal enregistre, transcrit ou résume les appels de votre cabinet sur les serveurs de son fournisseur, ces données relèvent de l'article L.1111-8 du code de la santé publique. Le fournisseur doit alors s'appuyer sur un hébergeur certifié, et vous devez pouvoir le vérifier.

Cet article explique ce que dit la loi, comment savoir si votre cas est concerné, et quelles preuves exiger avant de signer.

Ce que dit la loi

L'article L.1111-8 du code de la santé publique

L'article L.1111-8 du code de la santé publique vise toute personne qui héberge des données de santé recueillies lors d'activités de prévention, de diagnostic, de soins ou de suivi social et médico-social. L'obligation s'applique quand l'hébergement se fait pour le compte d'un tiers : le professionnel, l'établissement ou le patient. Le cabinet d'avocats Squire Patton Boggs le résume ainsi dans une note sur la certification HDS (consultée le 27 octobre 2026).

Le texte ne vise pas le praticien qui conserve ses propres données sur son propre matériel. Un kiné qui garde ses fiches sur l'ordinateur du cabinet n'est pas hébergeur. Il le devient pour son prestataire dès qu'il confie ces données à un service en ligne.

La certification, depuis 2018

La certification a remplacé l'ancien agrément ministériel à partir du 1er avril 2018, avec le décret du 26 février 2018. Les articles R.1111-8-8 à R.1111-11 du code fixent la procédure (Squire Patton Boggs, consulté le 27 octobre 2026). Un organisme certificateur accrédité audite l'hébergeur, et l'Agence du numérique en santé (ANS) publie la liste des hébergeurs certifiés.

Les six activités certifiées

L'article R.1111-9 découpe l'hébergement en six activités. Un certificat couvre une partie ou la totalité de la liste :

1. la mise à disposition et le maintien des sites physiques ;
2. l'infrastructure matérielle ;
3. l'infrastructure virtuelle ;
4. la plateforme d'hébergement d'applications ;
5. l'administration et l'exploitation du système d'information ;
6. la sauvegarde des données de santé, y compris l'archivage électronique.

Le guide de donneespersonnelles.fr sur l'hébergement HDS rappelle que le certificat doit couvrir les activités que le prestataire exerce pour vous (consulté le 27 octobre 2026).

Le référentiel 2024 et ce qui a changé en 2026

Le référentiel v2

Un arrêté du 26 avril 2024, publié au Journal officiel le 16 mai 2024, a approuvé la version 2 du référentiel de certification. Les hébergeurs déjà certifiés avaient jusqu'au 16 mai 2026 pour s'y conformer (CMS Francis Lefebvre, consulté le 27 octobre 2026).

L'ANS l'a confirmé dans son webinaire du 18 mars 2026 : après le 16 mai 2026, un certificat HDS valide atteste la conformité à la v2, et les certificats délivrés en v1.1 ne valent plus. Le même document indique qu'en février 2026, 64 % des hébergeurs de la liste étaient certifiés en v2.

Le stockage en Europe

Le référentiel v2 impose de stocker les données de santé exclusivement dans l'Espace économique européen. L'hébergeur doit aussi informer ses clients, dans le contrat, des risques liés à un accès depuis un pays tiers et publier une cartographie de ses transferts hors de l'EEE (CMS Francis Lefebvre).

Le décret n° 2026-209 du 24 mars 2026 a inscrit cette règle dans le code, à un nouvel article R.1111-9-1. L'ANS précise que, dans ce cadre, un accès à distance compte comme un transfert (webinaire ANS, consulté le 27 octobre 2026). Une version 2.1 du référentiel était en consultation au moment de ce webinaire : vérifiez la version en vigueur au jour de votre contrat.

Les sanctions

L'article L.1115-1 du code de la santé publique punit l'hébergement de données de santé sans certificat de trois ans d'emprisonnement et de 45 000 € d'amende, soit 225 000 € pour une personne morale (Squire Patton Boggs, consulté le 27 octobre 2026). Ces peines visent l'hébergeur. Le cabinet reste responsable de son choix de prestataire au titre du RGPD.

Votre agent vocal est-il concerné ?

Les données qu'un agent produit

Un agent vocal traite un appel en plusieurs étapes. La voix est transcrite en texte, un modèle de langage comprend la demande, puis la plateforme rédige un compte rendu. Selon le service, elle conserve aussi l'enregistrement audio, la transcription et l'historique des appels.

Dans un cabinet, ces contenus parlent de santé dès la première phrase : « J'ai mal au dos depuis ma chute », « C'est pour le suivi de ma grossesse ». Le nom du patient, son numéro et son motif suffisent à constituer une donnée de santé.

Trois situations

| Situation | Hébergement HDS | |---|---| | L'agent ne garde rien : pas d'enregistrement, pas de transcription, pas de compte rendu stocké | question à poser au fournisseur sur les traitements transitoires | | Le fournisseur stocke transcriptions ou comptes rendus pour votre cabinet | obligatoire pour ces données | | Vous exportez vous-même les comptes rendus sur votre propre poste | votre poste n'est pas concerné, la plateforme l'est si elle garde une copie |

La plupart des agents vocaux conservent au moins un compte rendu, puisque c'est ce que vous lisez entre deux patients. Votre cabinet se trouve donc presque toujours dans la deuxième ligne. Si vous avez un doute, posez la question par écrit au fournisseur et à votre délégué à la protection des données.

Les traitements en amont

La transcription et la compréhension passent par des sous-traitants : un service de reconnaissance vocale, un modèle de langage, une synthèse vocale. Demandez où chacun traite la voix, s'il conserve quelque chose, et dans quel pays. Notre article sur l'agent vocal IA et le RGPD détaille le contrat de sous-traitance à exiger.

Ce qu'il faut demander au fournisseur

Les huit questions

1. Quel hébergeur stocke les données de mon cabinet, et figure-t-il sur la liste de l'ANS ?
2. Quelles activités, parmi les six, son certificat couvre-t-il ?
3. Le certificat est-il délivré selon le référentiel v2, et jusqu'à quelle date est-il valide ?
4. Les données restent-elles stockées dans l'Espace économique européen, y compris les sauvegardes ?
5. Qui peut y accéder à distance, et depuis quels pays ?
6. Quels sous-traitants traitent la voix, et que conservent-ils ?
7. Quelle durée de conservation puis-je fixer, et comment se passe la suppression ?
8. Comment récupérer mes données si je change de prestataire ?

Les pièces à obtenir

Demandez une copie du certificat, avec son périmètre et sa date de fin. Comparez le nom de la société avec la liste des hébergeurs certifiés publiée par l'ANS. Exigez enfin un contrat qui reprend les mentions de l'article 28 du RGPD et la clause de réversibilité.

Notre liste des 12 questions à poser avant de signer avec un agent vocal complète ces points pour le reste du service.

Ce que fait OvyrIA pour l'hébergement de vos données

OvyrIA traite et stocke les données en France : serveur vocal à Paris, transcription Gladia à Paris, modèle de langage Mistral AI, synthèse vocale Microsoft Azure en région France Centre. Vous choisissez la durée de conservation, puis la plateforme supprime les données automatiquement. Pour un cabinet de santé, l'option HDS (hébergeur de données de santé certifié) coûte 55 € HT par mois, soit 143 € HT avec la formule Standardiste et l'offre OvyrIA Care. Demandez une démonstration.

Questions fréquentes

Un praticien libéral doit-il être lui-même certifié HDS ?

Non. La certification vise l'hébergeur qui conserve les données pour le compte d'autrui. Le praticien qui garde ses données sur son propre matériel n'est pas concerné. Il doit en revanche choisir un prestataire certifié dès qu'il confie ses données à un service en ligne.

Un serveur en France suffit-il ?

Non. La localisation en France ou en Europe ne remplace pas la certification. Le prestataire doit être certifié pour les activités qu'il exerce, et le stockage doit rester dans l'Espace économique européen.

Que faire si mon fournisseur était certifié en v1.1 ?

Depuis le 16 mai 2026, selon l'ANS, les certificats v1.1 ne sont plus valides. Demandez le certificat v2 et vérifiez la liste de l'ANS. Sans certificat valide, l'hébergement de vos données sort du cadre légal.

Le RGPD suffit-il à protéger les données de mon cabinet ?

Le RGPD s'applique toujours, et la certification HDS s'y ajoute pour les données de santé hébergées pour votre compte. Vous restez responsable du traitement. Tenez votre registre à jour et faites signer un contrat de sous-traitance à chaque prestataire.