Choisir un logiciel RGPD pour la santé commence par une distinction : l’outil de pilotage de la conformité ne remplit pas nécessairement les mêmes fonctions que le logiciel métier contenant les dossiers patients. Le premier peut décrire des traitements, suivre des analyses d’impact et conserver des preuves. Le second participe directement à la prise en charge et peut héberger des données médicales. Les exigences doivent être établies à partir des usages réels, des données et des activités confiées à chaque prestataire.
L’appellation « santé » ne démontre ni une certification HDS couvrant votre service ni une conformité complète au RGPD. Il faut demander des pièces précises et vérifier leur périmètre. Ce guide propose une méthode de sélection pour un établissement, un cabinet ou un organisme médico-social : définir le besoin, qualifier l’hébergement, examiner la sécurité et organiser une démonstration qui prépare une décision d’achat documentée.
Délimiter les données qui entreront dans l’outil
Un registre de traitements peut décrire une catégorie « patients suivis en consultation » sans contenir les dossiers de ces patients. Une analyse d’impact peut représenter des flux et des mesures de sécurité sans recopier les résultats d’examens. Cette séparation réduit les données exposées et simplifie le périmètre de l’outil de conformité. Elle doit cependant être respectée dans les pièces jointes, les commentaires et les échanges avec l’assistance.
À l’inverse, une capture d’écran utilisée comme preuve peut faire entrer un nom et un diagnostic dans un espace prévu pour la seule documentation. Une fiche d’incident peut également contenir des informations médicales. Définissez donc ce qui est autorisé, ce qui doit être masqué et où conserver les éléments plus sensibles. La qualification d’une donnée de santé dépend de ce qu’elle révèle dans son contexte, pas seulement du nom du champ informatique.
Le guide de la protection des données médicales aide à cadrer ces questions. Pour la sélection, établissez ensuite un schéma simple comprenant les utilisateurs, les données saisies, les pièces jointes, les interfaces et les exports. Ce document permet au fournisseur de répondre sur un périmètre concret. Une réponse générale sur son infrastructure ne suffit pas si votre besoin inclut aussi des opérations d’administration ou de sauvegarde.
Identifier quand l’hébergement HDS s’applique
L’article L1111-8 du code de la santé publique vise l’hébergement de données personnelles de santé recueillies lors d’activités de prévention, de diagnostic, de soins ou de suivi social et médico-social, pour le compte de leur producteur ou collecteur, ou du patient. L’hébergement numérique relevant de ce cadre exige une certification. Ce champ ne se résume donc ni à toute donnée de l’article 9 RGPD ni à tout logiciel vendu à un professionnel de santé.
Décomposez la prestation entre les acteurs. L’infrastructure, la plateforme applicative, l’administration du système et les sauvegardes peuvent être assurées par des entreprises différentes. Le dossier consacré à la certification HDS aide à préparer cette lecture. Une certification détenue par un fournisseur d’infrastructure ne démontre pas, à elle seule, que toutes les activités réalisées par l’éditeur ou ses partenaires sont couvertes.
Demandez le certificat, son titulaire exact, les activités et services inclus, les dates et les éventuelles limites du périmètre. Comparez ces pièces au service effectivement proposé dans le contrat. Si le commercial mentionne une société du groupe différente de celle qui opère l’application, faites préciser l’articulation. La vérification doit permettre de relier chaque activité nécessaire à une preuve, sans présumer que toutes les entités d’un groupe partagent la même certification.
Distinguer les règles en vigueur des évolutions annoncées
L’ANS décrit une certification HDS fondée sur un audit documentaire et un audit sur site, avec un certificat de trois ans et une surveillance annuelle. Il s’agit d’un contrôle dans un périmètre déterminé. Cela ne garantit pas toutes les fonctions du logiciel, la pertinence clinique de ses résultats ou la conformité de chacun de vos traitements. Ces sujets demandent leurs propres vérifications.
La transition vers la version 2.0 devait être achevée au 16 mai 2026 pour les hébergeurs déjà certifiés. Cette échéance est passée. Au 27 septembre 2026, l’ANS annonce par ailleurs une version 2.1 prévue pour octobre 2026. Une annonce de prochaine révision ne constitue pas la preuve de sa publication ni celle de la conformité individuelle d’un fournisseur.
Un autre calendrier concerne les textes réglementaires. Depuis le 26 septembre 2026, l’article R1111-9-1 et les dispositions contractuelles de R1111-11 encadrent notamment le stockage dans l’Union ou l’EEE et les transferts, y compris les accès à distance depuis un pays tiers. Ces derniers nécessitent l’examen de l’adéquation ou des garanties appropriées et des droits effectifs, avec les précisions contractuelles prévues par le texte. Ne confondez pas la localisation du stockage et celle des intervenants.
Dans votre consultation, demandez donc une réponse datée sur les règles actuellement applicables, puis une description séparée des adaptations envisagées. Une promesse de migration future ne corrige pas une exigence déjà en vigueur. Conservez les documents remis et prévoyez leur réexamen si le fournisseur change de périmètre, de partenaire ou de lieu d’intervention. Cette organisation évite que l’achat repose sur un certificat ancien simplement reproduit dans une présentation commerciale.
Examiner la licéité avant les fonctions automatiques
Les données de santé relèvent des catégories particulières de l’article 9 RGPD. Leur traitement nécessite une base de l’article 6 et une condition autorisant le traitement au titre de l’article 9. Le consentement n’est pas la réponse universelle. Les soins peuvent notamment relever de l’article 9, paragraphe 2, point h), dans les conditions applicables, avec les exigences de secret professionnel. La finalité et le contexte doivent être qualifiés avant de configurer l’outil.
La CNIL distingue les formalités applicables aux traitements de santé. Un traitement de prise en charge, une recherche et un entrepôt destiné à des réutilisations ne suivent pas automatiquement le même parcours. Une bibliothèque de référentiels peut aider, mais elle ne décide pas à votre place si toutes les conditions d’un cadre sont respectées. Vérifiez aussi la version et le champ du document sélectionné.
En démonstration, demandez comment l’outil conserve le raisonnement et les pièces qui soutiennent la qualification. Une liste déroulante « santé » ne suffit pas. Il doit être possible, selon vos besoins, de distinguer les finalités, les acteurs et les décisions de réutilisation. Vous évaluez ici une capacité documentaire ; vous ne déléguez pas au logiciel la responsabilité de choisir un fondement juridique pour chaque service.
Ne pas rendre l’AIPD automatique pour tout cabinet
L’analyse d’impact est requise lorsque les conditions de l’article 35 et les règles applicables sont réunies, notamment pour certains traitements à grande échelle de données sensibles. Il faut examiner la nature, la portée, le contexte et les finalités du projet, ainsi que les listes de la CNIL. L’affirmation selon laquelle chaque logiciel de santé nécessiterait presque toujours une AIPD ne permet pas de prendre une décision correcte.
La liste des traitements dispensés d’AIPD couvre notamment, dans son périmètre, les données nécessaires à la prise en charge par un professionnel de santé exerçant à titre individuel. Cela ne dispense pas des autres obligations ni de réexaminer un nouveau traitement sortant de ce cadre. Un projet de mutualisation ou de recherche ne doit pas être assimilé sans analyse à la gestion habituelle du cabinet.
Lorsque l’AIPD est nécessaire, demandez comment les mesures, les avis et les décisions sont suivis. Le modèle d’analyse d’impact fournit une structure ; les critères de choix d’un outil AIPD aident à examiner les fonctions utiles. Un rapport exportable doit rester relié au traitement réellement exploité. Une évolution des accès, des destinataires ou des usages peut nécessiter de revoir l’analyse, même si le logiciel n’a pas changé de nom.
Comparer les solutions selon leur rôle
Une comparaison utile sépare les fonctions recherchées des preuves réglementaires. Le logiciel métier répond aux besoins des soignants et contient éventuellement des dossiers patients. L’outil de pilotage organise la documentation de conformité. Les composants d’hébergement assurent des activités techniques identifiées. Selon l’architecture, une même entreprise peut intervenir sur plusieurs niveaux, mais leurs périmètres doivent rester lisibles.
| Besoin | Preuve à demander | Limite à vérifier |
|---|---|---|
| Piloter le registre | Fiche, responsabilités et export utilisable | Qualité des informations saisies |
| Suivre les AIPD | Mesures, avis et historique de décision | Absence de qualification juridique automatique fiable |
| Héberger des données dans le champ HDS | Certificats et contrat correspondant au service | Activités réellement couvertes |
| Gérer les accès aux dossiers | Démonstration des profils et des traces | Paramétrage local et procédures d’urgence |
| Préparer la sortie | Restitution et traitement des copies | Interfaces, sauvegardes et dépendances |
Le panorama des logiciels de conformité peut servir à constituer une présélection générale. Pour la santé, soumettez chaque candidat au même dossier de besoins et exigez les mêmes pièces. Aucun classement non documenté ne remplace l’examen du service acheté. Une fonction annoncée sous forme d’option doit être identifiée dans le devis et dans le périmètre de la démonstration.
Faire examiner les accès par les équipes concernées
Associez le DPO, la sécurité, les responsables métier et les utilisateurs à l’évaluation. Une restriction d’accès mal conçue peut gêner la prise en charge ; un accès trop large expose inutilement les patients. Décrivez les situations ordinaires et les exceptions, puis vérifiez comment les habilitations sont accordées, revues et retirées. Les comptes d’administration et ceux des prestataires demandent une attention distincte.
La PGSSI-S présentée par l’ANS rassemble des référentiels, des documents opposables et des guides. Il faut identifier les textes et périmètres applicables au projet, sans présenter l’ensemble du corpus comme une obligation uniforme. Notre guide de la PGSSI-S aide à préparer cette lecture. Les exigences retenues doivent ensuite être traduites en éléments observables dans l’application et dans son exploitation.
Un scénario de démonstration peut faire intervenir un soignant, un agent administratif et un technicien de support sur des dossiers fictifs. Vérifiez ce que chacun voit, ce qui est enregistré et comment une intervention exceptionnelle est justifiée. Observez aussi le départ d’un utilisateur et le changement de service. Ces cas révèlent des limites que la seule lecture d’une liste de fonctions ne permet pas de repérer.
Évaluer les prestataires, les incidents et les copies
L’externalisation ne transfère pas toute la responsabilité du traitement. Lorsque le fournisseur agit comme sous-traitant, l’article 28 exige un contrat ou un autre acte juridique contraignant de l’Union ou d’un État membre, sous forme écrite, y compris électronique. L’encadrement doit correspondre aux opérations réelles. Examinez les instructions, l’assistance, la confidentialité, les sous-traitants ultérieurs et les possibilités de contrôle, avec une répartition intelligible des tâches.
La sanction Dedalus Biologie fournit un exemple historique utile, sans établir un classement des secteurs les plus sanctionnés. Le rapport annuel 2022 de la CNIL, publié en mai 2023, rapporte une décision du 15 avril 2022 infligeant 1,5 million d’euros, notamment pour des défauts de sécurité ayant conduit à une fuite de données médicales. La leçon d’achat porte sur les pratiques et les preuves, pas sur une certification supposée protéger de tout incident.
Demandez comment une alerte remonte, qui fournit les informations et comment les équipes poursuivent les soins en cas d’indisponibilité. Le fournisseur doit pouvoir expliquer la restauration et les vérifications effectuées, sans divulguer inutilement des détails sensibles. Les critères d’un outil de gestion des sous-traitants peuvent aider à organiser les engagements et leurs réexamens, indépendamment du choix final de plateforme.
Préparer la réversibilité et le budget
Pour l’hébergement relevant de L1111-8, le texte interdit à l’hébergeur d’utiliser les données à d’autres fins que sa prestation et prévoit leur restitution sans conservation de copie à la fin de l’hébergement. Cette règle spécifique ne doit pas être remplacée par une clause générique autorisant toute réutilisation ou conservation commerciale. Organisez les modalités techniques, la continuité et la preuve de restitution avant la résiliation.
Le dossier de sortie doit préciser les formats, les pièces jointes, les historiques nécessaires et les dépendances envers d’autres services. Faites essayer l’importation d’un échantillon fictif dans l’environnement de destination. Le coût de cette opération, l’accompagnement et les délais contractuels sont des éléments de comparaison. Ils ne se déduisent pas du prix de l’abonnement ni du volume indiqué sur une fiche commerciale.
Enfin, distinguez les exigences actuelles des projets réglementaires. Au 27 septembre 2026, l’ANSSI présente encore la transposition de NIS2 comme un processus en cours. Le cadrage de NIS2 pour la santé peut nourrir la préparation, mais ne justifie pas d’attribuer indistinctement de nouvelles obligations françaises déjà applicables à tous les cabinets. Maintenez une veille liée à votre statut et à vos activités.
Questions fréquentes
Tout outil de conformité utilisé par un hôpital doit-il être HDS ?
Il faut examiner les données, les activités d’hébergement et leur contexte. Un outil décrivant des traitements sans héberger de données patients ne se qualifie pas comme un dossier médical du seul fait de son acheteur. Dès que les usages ou pièces jointes changent, le périmètre doit être réexaminé. La sécurité et les obligations RGPD restent pertinentes dans tous les cas concernés.
Un hébergement européen suffit-il ?
Non lorsqu’une certification HDS est requise. Il faut vérifier le service certifié et les activités couvertes, puis les règles de stockage, d’accès et de transfert applicables. À l’inverse, on ne peut pas transformer les exigences propres à l’hébergement de santé en une interdiction générale de tout transfert pour chaque outil de conformité. La qualification du périmètre demeure la première étape.
Comment comparer les prix sans fourchette universelle ?
Demandez des devis construits sur les mêmes utilisateurs, entités, fonctions et volumes. Faites détailler la reprise, la formation, l’assistance, les interfaces et la sortie. Comparez ensuite ces montants aux preuves obtenues et aux tâches que votre équipe devra encore réaliser. Le budget pertinent correspond au service exploitable dans votre organisation, avec ses responsabilités clairement attribuées.