En 2026, le choix d’un prestataire français pour l’hébergement des données de santé ne relève pas d’un simple confort contractuel, mais d’un vrai sujet de souveraineté des données. Les établissements, les éditeurs de logiciels et les structures de soins doivent composer avec la certification HDS, le RGPD, la localisation européenne et les exigences de sécurité des données.
Dans la pratique, l’erreur la plus fréquente consiste à croire qu’un stockage sécurisé suffit, alors que la protection des données exige aussi un périmètre certifié, une confidentialité contractuelle et un respect de la législation française parfaitement documenté. Cette lecture demande des repères concrets, des vérifications simples et un regard précis sur les engagements du prestataire français concerné.
A retenir :
- Certification HDS vérifiée, périmètre exact maîtrisé
- Localisation EEE, exposition juridique mieux contenue
- Contrat réversible, sortie des données sécurisée
- RGPD et santé, obligations cumulées sans confusion
- Prestataire français, contrôle renforcé et traçabilité accrue
Comprendre pourquoi le prestataire français change la lecture du risque
Le passage à un prestataire français ne garantit pas tout, mais il simplifie souvent la gouvernance des données de santé. Selon la CNIL, la sécurité se juge autant sur les mesures techniques que sur l’organisation et les responsabilités.
Le cadre légal qui structure l’hébergement des données
Cette base juridique éclaire ensuite la manière dont un prestataire français opère ses services. Selon le Code de la santé publique, l’hébergement pour le compte d’un tiers impose une certification HDS délivrée par un organisme accrédité.
La logique est simple à comprendre lorsqu’un hôpital externalise son système d’information. Le sous-traitant doit prouver qu’il protège les données de santé, qu’il respecte la confidentialité et qu’il assume des obligations claires de sécurité des données.
À retenir : l’exigence HDS ne remplace pas le RGPD, elle s’y ajoute. Un contrat sérieux relie donc finalité, sécurité, réversibilité et contrôle des accès, sans laisser de zone grise.
Le point sensible tient souvent à la qualification de l’activité. Un hébergeur qui ne couvre que l’infrastructure physique n’assume pas forcément l’infogérance, et cette différence change tout au moment d’un audit.
Dans plusieurs dossiers, un client pensait avoir coché la case de conformité parce que le data center se trouvait en France. Or, la vraie question portait sur le périmètre certifié, les sous-traitants et les accès distants depuis l’extérieur de l’Union.
Le lecteur gagne donc à regarder la chaîne complète, du serveur jusqu’au contrat. Ce premier niveau d’analyse prépare la question suivante, celle de la souveraineté concrète et des preuves à exiger.
Le choix d’un prestataire français et la souveraineté des données
Ce point devient encore plus net lorsque l’on parle de souveraineté des données. Selon l’évolution du référentiel HDS v2, les données de santé doivent être physiquement hébergées dans l’Espace économique européen.
Cette exigence ne supprime pas les risques liés aux législations extra-européennes. Un prestataire peut stocker en Europe et rester exposé à des obligations d’accès imposées depuis un pays tiers, ce qui oblige à lire le contrat avec beaucoup de vigilance.
À retenir : la localisation géographique ne suffit jamais à elle seule. Il faut vérifier les accès à distance, les sous-traitants, les sauvegardes externalisées et les mesures qui protègent réellement le stockage sécurisé.
Dans un projet de télémédecine, une responsable conformité racontait avoir découvert tardivement qu’un support technique opérait hors EEE. Le dossier paraissait propre sur le papier, mais la chaîne de service affaiblissait la protection des données.
| Point de contrôle | Ce qu’il faut vérifier | Risque évité | Décision utile |
|---|---|---|---|
| Certification HDS | Validité et périmètre couverts | Hébergement non autorisé | Demander le certificat complet |
| Localisation | Hébergement physique dans l’EEE | Exposition juridique élargie | Exiger une preuve écrite |
| Accès distants | Interventions depuis pays tiers | Atteinte à la souveraineté | Faire préciser les mesures |
| Réversibilité | Coûts, délais, restitution | Dépendance au prestataire | Chiffrer la sortie |
Cette grille de lecture aide aussi les petites structures, souvent moins armées qu’un grand groupe. Une clinique ou une startup de santé gagne du temps en demandant d’emblée la preuve de localisation et la liste des activités certifiées.
Le bénéfice n’est pas seulement juridique, il est opérationnel. Quand le prestataire français est bien choisi, l’audit devient plus lisible et la souveraineté des données cesse d’être un slogan pour devenir un critère mesurable.
Mesurer la conformité RGPD dans l’hébergement des données de santé
Après la question de souveraineté vient celle, plus large, de la conformité RGPD. Selon la CNIL, l’hébergeur agit le plus souvent comme sous-traitant et doit respecter des instructions documentées.
Les obligations contractuelles qui verrouillent la chaîne
Cette exigence se traduit directement dans le contrat de prestation. Le responsable de traitement doit y retrouver les clauses de sécurité, la durée, le sort des données et l’encadrement des sous-traitants ultérieurs.
À retenir : sans contrat solide, la certification HDS perd une grande partie de sa portée pratique. Le texte contractuel doit aussi prévoir la réversibilité, les modalités de restitution et la destruction contrôlée des données.
Un service informatique que j’ai accompagné avait reçu un contrat court, presque générique, sans détail sur les sauvegardes ni sur les délais de sortie. Le problème n’était pas théorique : le client voulait pouvoir migrer sans interruption de soins.
La sécurité des données passe alors par des exigences vérifiables, pas par des promesses commerciales. Chiffrement, journalisation, gestion des habilitations et contrôle des accès doivent figurer noir sur blanc.
Selon le RGPD, la notification des violations de données reste à la charge du responsable de traitement. Autrement dit, l’hébergeur sécurisé ne décharge jamais totalement l’établissement de santé de ses propres obligations.
Ce point explique pourquoi la confusion entre conformité technique et conformité juridique reste si dangereuse. Un bon hébergement des données soutient la gouvernance, mais ne la remplace pas.
Les tableaux de bord utiles pour piloter la sécurité
La mise en conformité devient plus fluide quand les équipes suivent quelques indicateurs simples. Un tableau de bord compact permet de voir rapidement si le prestataire français tient ses engagements et si la protection des données reste cohérente.
À retenir : les données sensibles appellent des preuves, pas seulement des assurances verbales. Les équipes DSI, juridiques et métiers doivent lire les mêmes éléments et parler le même langage.
| Indicateur | Objectif | Responsable | Preuve attendue |
|---|---|---|---|
| Validité HDS | Prestataire certifié | Achats | Certificat à jour |
| Contrat RGPD | Base juridique claire | Juriste | Clauses Art. 28 |
| Accès privilégiés | Accès limités et tracés | DSI | Journalisation |
| Réversibilité | Sortie sans rupture | Direction | Plan de migration |
Un établissement qui suit ces repères détecte plus vite les écarts de stockage sécurisé. Cette vigilance prépare le dernier angle, celui des incidents, des sanctions et des retours d’expérience qui rendent les règles très concrètes.
Anticiper les incidents et sécuriser la confidentialité au quotidien
Quand un incident survient, la différence entre un bon et un mauvais dossier apparaît immédiatement. Selon la CNIL, une violation peut entraîner des obligations de notification, des investigations internes et, parfois, une sanction.
Les retours d’expérience qui montrent la réalité du terrain
Cette réalité se voit dès qu’un éditeur découvre un accès anormal à son environnement. Dans un retour d’expérience, une équipe a dû geler ses déploiements le temps de vérifier les journaux, ce qui a révélé l’intérêt d’une traçabilité fiable.
« Nous pensions avoir un hébergement robuste, mais la revue des accès a montré des comptes trop ouverts. »
Marc D.
Un autre cas a concerné une structure de soins qui croyait son prestataire couvert sur l’ensemble du service. L’audit a montré un certificat trop partiel, et la correction a exigé une renégociation rapide.
« Le jour où nous avons demandé la preuve exacte du périmètre HDS, nous avons compris qu’un détail contractuel changeait tout. »
Sophie L.
À retenir : la confidentialité se protège dans les gestes quotidiens autant que dans les audits. Les accès minimums, les habilitations révisées et les sauvegardes testées forment une base très concrète.
Ces exemples rappellent qu’un stockage sécurisé ne vaut que s’il reste exploitable sous pression. Le responsable de traitement doit pouvoir relancer un service, retrouver ses preuves et documenter ses choix.
Les enseignements pratiques pour garder la maîtrise
Les incidents les plus coûteux commencent souvent par une vérification manquée. Selon les retours publiés par la CNIL, les défaillances de sous-traitance et de sécurité se traduisent rarement par un seul défaut isolé.
« Nous avons compris que la conformité ne tenait pas à une case cochée, mais à une discipline continue. »
Claire M.
Un avis d’expert revient souvent dans les audits de santé numérique. Les équipes qui révisent chaque trimestre leurs contrats, leurs accès et leurs procédures évitent mieux les ruptures de service.
« Le bon niveau de sécurité des données repose sur trois piliers : preuve, contrôle et réversibilité. »
Julien P.
À retenir : la souveraineté des données ne tient pas à une promesse marketing, mais à une chaîne de preuves cohérente. Quand le prestataire français, le contrat et les pratiques internes avancent ensemble, le respect de la législation française devient enfin tangible.
Source : CNIL, « Délibération SAN-2022-009 », CNIL, 2022 ; Code de la santé publique, article L.1111-8 ; CNIL, « Le RGPD et les données de santé », CNIL.