RGPD et données médicales : tout ce que votre cabinet doit savoir sur l’hébergement HDS
Par l’équipe IA Cabinet Médical · 2 mai 2026 · 12 min de lecture
Cet article est fourni à titre informatif et ne constitue pas un conseil juridique. Consultez votre délégué à la protection des données (DPO) ou un avocat spécialisé pour votre situation spécifique.
Les données de santé sont parmi les plus sensibles qui soient. Avant d’adopter tout outil numérique dans votre cabinet, il est essentiel de comprendre le cadre légal — RGPD, loi Informatique et Libertés, certification HDS. Tour d’horizon complet.
Les données de santé : une catégorie à part
Au sens du RGPD (Article 9), les données de santé constituent une catégorie particulière de données dont le traitement est en principe interdit, sauf exceptions. Concrètement, cela englobe :
- Les diagnostics et antécédents médicaux
- Les ordonnances et prescriptions
- Les résultats d’examens et analyses
- Les comptes rendus de consultation
- Les informations sur l’état de santé d’une personne
Pour un cabinet médical, le traitement de ces données est licite sur la base de l’Article 9(2)(h) du RGPD : « finalités de médecine préventive, de médecine du travail, de diagnostic médical, de prise en charge […] par un professionnel de santé ».
L’obligation d’hébergement HDS
L’Hébergeur de Données de Santé est une certification française créée par la loi du 4 mars 2002. Tout prestataire qui héberge des données de santé à caractère personnel pour le compte d’un professionnel de santé doit obtenir cette certification auprès de l’ANS (Agence du Numérique en Santé).
Concrètement, si votre cabinet utilise :
- Un logiciel de gestion de cabinet en SaaS
- Un standard téléphonique IA qui enregistre les appels
- Un outil de rappel de rendez-vous avec données patients
- Une messagerie sécurisée de santé
…le prestataire de ces services doit être certifié HDS ou héberger les données sur une infrastructure certifiée HDS.
La CNIL peut prononcer des sanctions allant jusqu’à 20 millions d’euros ou 4 % du chiffre d’affaires mondial pour les violations de données de santé. Plusieurs établissements de santé français ont déjà été sanctionnés ces dernières années.
Les 6 obligations RGPD clés pour votre cabinet
Obligatoire. Vous devez tenir à jour un registre listant tous vos traitements de données (patients, personnel, fournisseurs), leurs finalités, durées de conservation et destinataires.
Les patients doivent être informés du traitement de leurs données (mention légale dans la salle d’attente, sur le formulaire de prise de RDV, etc.).
Le dossier médical doit être conservé 20 ans à compter de la dernière consultation (ou jusqu’aux 28 ans du patient). Les données administratives : 5 ans après la fin de la relation.
Tout prestataire accédant aux données de vos patients (logiciel SaaS, standard IA, hébergeur) doit signer un contrat de sous-traitance conforme à l’Article 28 du RGPD.
Chiffrement des données au repos et en transit, authentification forte, habilitations limitées, journalisation des accès, sauvegardes régulières. Ces mesures sont attendues et leur absence peut aggraver les sanctions.
En cas de violation de données (piratage, perte, etc.), vous avez 72 heures pour notifier la CNIL et, si le risque est élevé, prévenir les patients concernés.
Comment nous garantissons votre conformité
Toutes les solutions que nous déployons respectent ce cadre strict :
Données hébergées exclusivement sur des infrastructures certifiées HDS en France
TLS 1.3 en transit, AES-256 au repos, clés gérées isolément pour chaque client
Data Processing Agreement conforme Art. 28 fourni à la signature de chaque contrat
Modèle de registre pré-rempli fourni et mis à jour à chaque évolution réglementaire
Vérifiez la conformité de votre cabinet
Notre audit gratuit inclut une vérification de conformité RGPD/HDS de vos outils actuels.
Demander l’audit conformité →