L'hébergement HDS expliqué aux pédicures-podologues

Ce que dit la loi

L'article L. 1111-8 du code de la santé publique pose une règle simple : celui qui héberge des données de santé à caractère personnel pour le compte d'un tiers doit détenir un certificat de conformité. Le régime de certification a été fixé par le décret n° 2018-137 du 26 février 2018 ; il a remplacé l'ancien agrément ministériel.

Deux précisions comptent pour un cabinet.

La première : l'obligation de détenir le certificat pèse sur l'hébergeur, pas sur vous. Mais le texte définit l'hébergement comme celui réalisé pour le compte de la personne à l'origine des données — c'est-à-dire vous, dès l'instant où vos dossiers ne sont plus sur le seul disque dur du cabinet. Vous restez responsable de traitement, et il vous revient à ce titre de vous assurer que le prestataire à qui vous les confiez est bien certifié.

La seconde : le certificat porte sur le support numérique. La conservation de données de santé sur support papier relève d'un agrément distinct, délivré par le ministère chargé de la culture. Une armoire fermée à clé et un hébergement HDS ne répondent pas à la même exigence.

Ce que la certification vérifie réellement

La certification s'appuie sur un référentiel d'exigences piloté par l'Agence du Numérique en Santé. Elle est délivrée non pas par l'État, mais par un organisme certificateur accrédité — en France, par le Cofrac. La liste de ces organismes est publique.

Trois éléments méritent d'être retenus :

• le certificat est délivré pour une durée de trois ans ;
• un audit de surveillance est réalisé chaque année pendant cette période ;
• il existe deux périmètres de certificat : l'hébergement d'infrastructure physique d'une part, l'hébergement d'infrastructure virtuelle et l'infogérance d'autre part.

Ce dernier point explique une confusion fréquente. Un éditeur de logiciel peut s'appuyer sur un hébergeur certifié sans être lui-même certifié : ce sont deux périmètres différents, et la question « qui est certifié, et pour quoi ? » appelle une réponse précise, que vous êtes en droit d'exiger.

Ce que la certification ne dit pas

Un certificat HDS atteste une conformité à un référentiel. Il ne répond pas, à lui seul, à trois questions que vous avez pourtant intérêt à poser.

Il ne dispense pas du RGPD. Les données de santé restent des données sensibles ; vous demeurez responsable de traitement, l'éditeur et l'hébergeur sont sous-traitants, et un contrat doit l'écrire. La CNIL publie sur ce point des repères destinés aux professionnels de santé libéraux.

Il ne dit rien du lieu où se trouvent les serveurs. La certification est une exigence de conformité, pas une exigence de territoire. Si l'hébergement en France compte pour vous, c'est au contrat de le stipuler, pas au certificat de le prouver.

Il ne dit rien de la réversibilité. Pouvoir récupérer l'intégralité de vos dossiers, dans un format exploitable, le jour où vous changez de logiciel, relève des clauses du contrat — pas du référentiel.

Pourquoi cela vous concerne particulièrement

Le pédicure-podologue est un professionnel de santé, tenu au secret professionnel et à un code de déontologie inscrit au code de la santé publique. Ce n'est pas une considération abstraite : le contenu d'un dossier de podologie — diagnostic podologique, antécédents, photographies, comptes rendus, gradation du risque podologique chez un patient diabétique — est constitué de données de santé au sens plein.

La question n'est donc pas de savoir si votre logiciel manipule des données de santé : il en manipule, par construction. La seule question ouverte est de savoir où elles sont conservées, par qui, et sous quel certificat.

Les trois questions à poser à votre éditeur

Elles tiennent en trois lignes, et les réponses doivent être écrites.

1. Qui est l'hébergeur, nommément ?

« Nos données sont hébergées en France » n'est pas une réponse. Le nom de la société hébergeuse, lui, est vérifiable — et permet de retrouver son certificat.

2. Quel est le périmètre du certificat, et jusqu'à quand est-il valable ?

Un certificat a une portée — infrastructure physique, infogérance — et une date de fin. Les deux figurent sur le document ; il suffit de le demander.

3. Que se passe-t-il le jour où vous partez ?

Format d'export, délai de restitution, durée de conservation après résiliation, suppression effective : ces points relèvent du contrat. C'est le moment de les lire, pas le jour du départ.

Comment OMNEON se situe

OMNEON est un logiciel de gestion de cabinet destiné aux pédicures-podologues. Les données sont hébergées en France, sur une infrastructure certifiée HDS opérée par Clever Cloud.

Le détail — périmètre, chiffrement, sauvegardes, droits d'accès — est décrit sur la page Hébergement des données de santé (HDS), et le volet RGPD sur la page Sécurité et RGPD.