Souveraineté des données de santé : HDS et RGPD

Héberger des données de santé pour le compte d'un tiers sans certification HDS est une infraction pénale en France depuis 2018. La version 2 du référentiel, publiée au Journal officiel le 16 mai 2024, impose en outre la localisation des données dans l'Espace économique européen et la transparence sur les accès depuis un pays hors Union européenne. Elle ne comporte pas, à ce stade, d'exigence d'immunité aux lois extraterritoriales.

En bref

• •L'hébergement de données de santé pour le compte de tiers sans certification HDS est une infraction pénale (article L. 1111-8 du code de la santé publique).
• •La certification est délivrée par des organismes accrédités par le COFRAC, sur un référentiel piloté par l'Agence du Numérique en Santé et adossé à la norme ISO/CEI 27001. Elle vaut trois ans, sous audit annuel.
• •Le référentiel HDS v2, publié au Journal officiel le 16 mai 2024, ajoute la localisation des données dans l'Espace économique européen et la transparence sur les accès extra-européens. Les hébergeurs certifiés sous l'ancien référentiel avaient jusqu'à mai 2026 pour s'y conformer.
• •HDS certifie l'hébergeur, pas le logiciel : c'est une condition nécessaire, pas suffisante.
• •La liste des hébergeurs certifiés est publique et consultable avant toute signature, sur le site de l'Agence du Numérique en Santé.

Je ne suis pas juriste, et j'édite un outil hébergé en France : cette page n'est donc ni un avis juridique ni une position neutre. C'est une synthèse informative des textes publiés, écrite pour qu'un praticien puisse vérifier lui-même, y compris ce que nous ne garantissons pas. Une note de consultation en santé mentale contient ce qu'un patient n'a parfois confié à personne d'autre, et cela justifie de regarder le sujet de près plutôt que de faire confiance sur parole.

Héberger des données de santé sans certification est une infraction pénale

C'est le point de départ, et il est plus net que ne le laisse penser la prudence des discours commerciaux.

L'article L. 1111-8 du code de la santé publique encadre l'hébergement de données de santé à caractère personnel recueillies à l'occasion d'activités de prévention, de diagnostic, de soins ou de suivi social et médico-social, pour le compte de tiers. Depuis 2018, cette activité suppose une certification, et l'exercer sans elle constitue une infraction pénale. Le même article astreint les hébergeurs et les personnes placées sous leur autorité au secret professionnel, sous les peines de l'article 226-13 du code pénal, leur interdit d'utiliser les données à d'autres fins que l'hébergement, et leur impose de les restituer en fin de contrat sans en conserver de copie.

Pour un cabinet, la conséquence pratique est simple : vous n'avez pas à obtenir la certification, votre prestataire si. Un éditeur qui stocke vos transcriptions ou vos notes doit pouvoir nommer son hébergeur et sa certification. La liste des hébergeurs certifiés est publiée par l'Agence du Numérique en Santé, et elle se consulte avant de signer, pas après.

À retenir. La certification se vérifie dans un registre public. Une réponse du type « nos serveurs sont sécurisés » ou « nos données sont dans le cloud » n'est pas une réponse, c'est une absence de réponse.

La certification HDS v2 impose la localisation en Europe et la transparence sur les accès extra-européens

Le référentiel a évolué, et cette évolution porte précisément sur la souveraineté. Elle mérite d'être connue, parce qu'elle change ce qu'on peut exiger d'un prestataire.

La nouvelle version des référentiels de certification et d'accréditation HDS a été publiée au Journal officiel le 16 mai 2024, par un arrêté du 26 avril 2024 modifiant l'arrêté du 11 juin 2018. Les nouveaux candidats à la certification sont évalués sur cette base depuis le 16 novembre 2024, et les hébergeurs certifiés sous le référentiel précédent avaient jusqu'à mai 2026 pour s'y conformer. Selon la présentation qu'en fait l'Agence du Numérique en Santé, la révision renforce les exigences de souveraineté des données, avec une localisation dans l'Espace économique européen, et exige une transparence accrue sur les accès distants depuis un pays situé hors de l'Union européenne.

La mécanique de la certification, elle, n'a pas changé. Elle est délivrée par des organismes accrédités par le COFRAC, sur un référentiel piloté par l'Agence du Numérique en Santé et adossé à la norme ISO/CEI 27001. Elle est valable trois ans, sous réserve d'un audit annuel de surveillance. Elle est aussi délivrée par activité : un hébergeur peut être certifié pour le stockage sans l'être pour l'infogérance, ce qui rend utile de regarder le périmètre du certificat et pas seulement son existence.

La certification porte sur l'hébergeur, pas sur le logiciel

C'est la confusion la plus répandue, et celle qui coûte le plus cher à un praticien qui croit avoir vérifié.

HDS certifie une infrastructure et les processus d'un hébergeur : sécurité physique des centres de données, gestion des accès, journalisation, continuité d'activité, réversibilité. Elle ne certifie ni la conception d'un logiciel, ni la qualité de ses traitements, ni la manière dont son éditeur cloisonne les données entre praticiens. Un éditeur peut donc s'appuyer sur un hébergeur certifié et se comporter par ailleurs de façon discutable, par exemple en réutilisant les contenus ou en laissant ses équipes accéder aux notes en clair.

Ce que l'éditeur ajoute par-dessus l'hébergement relève de sa propre responsabilité, et se vérifie séparément : chiffrement des contenus, cloisonnement par praticien, minimisation, masquage des identifiants avant tout traitement automatique, contrat de sous-traitance conforme à l'article 28 du RGPD. Ces obligations, du côté du cabinet, sont détaillées dans les cinq obligations RGPD à tenir, et la question de savoir qui, dans cette chaîne, est astreint au secret professionnel est traitée dans ce que le secret professionnel autorise et interdit.

La localisation des serveurs ne détermine pas à elle seule le droit applicable

Voici le point où le sujet mérite d'être exposé loyalement, sans militantisme et sans minimisation.

Le CLOUD Act, loi fédérale américaine adoptée en 2018, permet à des autorités des États-Unis de requérir auprès d'un fournisseur soumis au droit américain des données qu'il détient ou contrôle, y compris lorsqu'elles sont stockées hors du territoire américain. Le point de rattachement tient au lieu du serveur et, tout autant, au droit auquel est soumise l'entreprise qui l'exploite.

Ce point n'est plus une hypothèse de juriste depuis qu'il a été posé sous serment. Interrogé par la commission d'enquête du Sénat sur la commande publique le 10 juin 2025, sur le fait de savoir s'il pouvait garantir que des données de citoyens français ne seraient jamais transmises à des autorités américaines sans l'accord des autorités françaises, Anton Carniaux, directeur des affaires publiques et juridiques de Microsoft France, a répondu : « Non, je ne peux pas le garantir, mais, encore une fois, cela ne s'est encore jamais produit. » Le même jour, devant la même commission, Agnès Buzyn, ancienne ministre des Solidarités et de la Santé, est revenue sur le choix d'hébergement retenu à la création du Health Data Hub : « C'était Microsoft ou rien […] On ne m'a donné aucun choix. »

Ces deux déclarations disent la même chose sous deux angles. La première établit que la garantie juridique n'existe pas, y compris de l'aveu du fournisseur. La seconde rappelle que le choix d'un hébergeur se joue souvent en amont, sur ce qui est disponible au moment de décider.

Ce texte entre en tension avec le RGPD. Dans leur réponse conjointe adressée au Parlement européen en 2019, le Comité européen de la protection des données et le Contrôleur européen de la protection des données ont examiné cette question et rappelé le mécanisme de l'article 48 du RGPD, selon lequel une décision d'une autorité d'un pays tiers exigeant le transfert de données ne peut être reconnue et exécutoire qu'en s'appuyant sur un accord international, tel qu'un traité d'entraide judiciaire.

Il faut être mesuré. Cela ne signifie pas qu'un fournisseur non européen consulte les données de santé qu'il héberge, ni que ces procédures soient fréquentes. Pour un cabinet de santé mentale, la question qui compte est celle de la prévisibilité juridique davantage que celle de la probabilité : un praticien ne peut pas promettre à son patient une confidentialité qui dépendrait, en dernier ressort, d'un arbitrage entre deux droits nationaux sur lequel ni lui ni le patient n'a de prise.

HDS ne veut pas dire immunité aux lois extraterritoriales

C'est la nuance que je vois le moins souvent écrite, y compris par des acteurs qui en tireraient un argument, et c'est probablement l'information la plus utile de cette page.

Le référentiel SecNumCloud, publié par l'Agence nationale de la sécurité des systèmes d'information, porte des exigences juridiques et capitalistiques destinées à rendre inopérantes les injonctions d'autorités non européennes. Le référentiel HDS ne porte pas les mêmes exigences. Les analyses sectorielles publiées à la sortie de la version 2 relèvent qu'il n'aligne pas, à ce stade, ses exigences sur celles de SecNumCloud en matière d'immunité extraterritoriale, ce point devant être réexaminé à la lumière des travaux européens en cours. Nous n'avons pas vérifié cette lecture dans le texte du référentiel lui-même, et nous la donnons donc pour ce qu'elle est.

La conséquence pratique est double. D'un côté, exiger un hébergement certifié HDS reste la bonne question à poser, parce que c'est l'obligation légale et parce que la version 2 impose la localisation européenne. De l'autre, présenter la certification HDS comme une garantie d'immunité aux législations étrangères serait inexact, et un éditeur qui le laisse entendre vend une protection qu'il ne fournit pas.

Trois cadres répondent à trois questions différentes, et un seul est obligatoire pour l'hébergement

Version texte de l'infographie ci-dessus.

Analyse Pllume, août 2026. Statut des lignes : le caractère obligatoire du RGPD et de la certification HDS, ainsi que la localisation dans l'Espace économique européen, sont vérifiés à la source. La ligne relative à l'immunité extraterritoriale du référentiel HDS est rapportée d'après des analyses sectorielles, non vérifiée dans le texte du référentiel.

Sept questions pour vérifier un outil sans être juriste

Aucune de ces questions ne suppose de compétence juridique, et toutes appellent une réponse écrite.

1. •Où sont hébergées les données, et chez quel hébergeur nommé ? La réponse doit citer un pays et une entité, vérifiables dans la liste publique de l'Agence du Numérique en Santé.
2. •Quel est le périmètre du certificat HDS de cet hébergeur ? La certification est délivrée par activité. Vérifier qu'elle couvre bien ce que l'éditeur en fait.
3. •À quel droit l'éditeur et ses prestataires sont-ils soumis ? Une entité de droit européen offre une meilleure prévisibilité. Si un maillon relève d'un droit extra-européen, demander lequel et pourquoi.
4. •Les traitements automatiques restent-ils dans le périmètre certifié ? C'est la question spécifique aux outils d'IA, et celle où l'on trouve le plus souvent une sortie de périmètre discrète.
5. •Les données sont-elles chiffrées et minimisées avant traitement ? Chiffrement en transit et au repos, masquage des identifiants avant tout envoi à un modèle.
6. •Qui accède aux données, et les accès sont-ils tracés ? Le cloisonnement entre praticiens et la journalisation sont des marqueurs vérifiables.
7. •La liste des sous-traitants est-elle publique, et puis-je partir avec mes données ? La réversibilité et la transparence de la chaîne se demandent avant la signature, pas après.

Pour comparer les acteurs du marché sur ces critères, notre comparatif des scribes IA en santé mentale place la conformité comme premier filtre.

Ce que nous faisons, et ce que nous ne revendiquons pas

Nous avons construit Pllume après avoir vu une professionnelle de la santé mentale de mon entourage renoncer aux outils disponibles, faute d'obtenir par écrit où partaient les contenus de ses séances. La question de l'hébergement n'est donc pas arrivée après coup dans la conception : elle en a été le point de départ, et elle a coûté cher en choix techniques.

Concrètement, tout le périmètre clinique reste en France chez un hébergeur certifié HDS, y compris les traitements automatiques : le modèle de transcription vocale et le modèle de génération de texte tournent dans ce périmètre, et la donnée clinique n'en sort pas. Les identifiants directs sont masqués côté navigateur avant tout envoi à un modèle. Nos sous-traitants sont publiés sur notre page dédiée, et la page hébergement des données de santé en France détaille le cadre.

Ce que nous ne revendiquons pas, il faut l'écrire aussi clairement. Nous nous appuyons sur une certification HDS ; nous ne revendiquons pas de qualification SecNumCloud, et personne ne devrait déduire de la première qu'elle apporte les garanties de la seconde. Le masquage des identifiants réduit l'exposition sans la supprimer : dans un récit clinique, le contexte peut rester identifiant sans qu'aucun nom propre n'apparaisse. Enfin, notre chaîne de sous-traitance est publiée, ce qui la rend vérifiable, pas auditée par un tiers indépendant, ce qui serait autre chose.

Il reste une limite structurelle que je ne sais pas lever. Un praticien ne peut pas auditer chaque trimestre la chaîne complète de ses prestataires, et la transparence publique en est un substitut utile, pas un équivalent. La seule chose que nous puissions faire est de rendre la vérification possible et de ne pas surinterpréter ce qu'une certification garantit.

Questions fréquentes

La certification HDS est-elle obligatoire pour mon cabinet ?

Non, elle pèse sur l'activité d'hébergement. Vous n'avez pas à l'obtenir vous-même ; en revanche, vous devez vous assurer que tout prestataire stockant des données cliniques de vos patients s'appuie sur un hébergeur certifié HDS, dont la certification est vérifiable dans la liste publique de l'Agence du Numérique en Santé.

Un hébergement en Europe suffit-il à garantir la souveraineté des données ?

La localisation est nécessaire, elle n'est pas suffisante à elle seule. Le droit applicable dépend aussi de l'entité qui exploite le service. Une entreprise soumise au CLOUD Act peut se voir demander des données qu'elle contrôle même stockées en Europe, question examinée par les autorités européennes de protection des données.

Quelle différence entre HDS, RGPD et ISO 27001 ?

Le RGPD encadre la licéité du traitement et les droits des personnes. La certification HDS autorise l'hébergement de données de santé en France et impose la localisation dans l'Espace économique européen. La norme ISO/CEI 27001 est un standard international de management de la sécurité, sur lequel le référentiel HDS s'appuie.

La certification HDS protège-t-elle du CLOUD Act ?

Elle impose la localisation des données dans l'Espace économique européen et la transparence sur les accès extra-européens. Selon des analyses sectorielles publiées à la sortie du référentiel version 2, elle ne reprend pas les exigences d'immunité aux lois extraterritoriales du référentiel SecNumCloud, point annoncé comme devant être réexaminé.

Comment vérifier qu'un logiciel est bien hébergé en HDS ?

Demandez par écrit le nom de l'hébergeur et le périmètre de son certificat, puis vérifiez cette entrée dans la liste des hébergeurs certifiés publiée par l'Agence du Numérique en Santé. Une réponse qui ne nomme ni le pays ni l'hébergeur ne permet aucune vérification.

Mes données peuvent-elles servir à entraîner des modèles ?

C'est une question à poser systématiquement, et la réponse doit figurer dans la documentation contractuelle. L'article L. 1111-8 du code de la santé publique interdit à l'hébergeur d'utiliser les données à d'autres fins que l'hébergement, mais cette interdiction vise l'hébergeur, pas les autres maillons de la chaîne.

Sources et références

Statut de vérification : les textes législatifs et réglementaires cités, la date de publication du référentiel HDS v2 au Journal officiel et la liste publique des hébergeurs certifiés sont vérifiés à leur source officielle. La comparaison avec le référentiel SecNumCloud sur l'immunité extraterritoriale est rapportée d'après des analyses sectorielles publiées à la sortie du référentiel, et n'a pas été vérifiée dans le texte du référentiel HDS lui-même.

• •Article L. 1111-8 du code de la santé publique, hébergement des données de santé, Légifrance
• •Arrêté du 26 avril 2024 modifiant l'arrêté du 11 juin 2018, référentiels d'accréditation et de certification HDS, Légifrance
• •Agence du Numérique en Santé, publication au Journal officiel du référentiel de certification HDS et souveraineté des données
• •Agence du Numérique en Santé, liste des hébergeurs certifiés HDS
• •Agence du Numérique en Santé, liste des organismes de certification HDS
• •Comité européen de la protection des données et Contrôleur européen de la protection des données, évaluation juridique initiale de l'incidence du CLOUD Act américain sur l'Union européenne
• •Sénat, commission d'enquête sur la commande publique, compte rendu de l'audition du 10 juin 2025 (auditions sous serment d'Anton Carniaux, Microsoft France, et d'Agnès Buzyn ; réponse d'Anton Carniaux relue dans le compte rendu officiel et citée dans sa phrase entière. Statut : vérifié à la source)
• •Public Sénat, hébergement des données de santé, déclaration d'Agnès Buzyn sous serment, 10 juin 2025 (verbatim porté par le titre de l'article, page ouverte et titre relu le 9 août 2026. Statut : vérifié à la source)
• •Règlement (UE) 2016/679 (RGPD), texte consolidé, EUR-Lex
• •ANSSI, enjeux technologiques du cloud et qualification SecNumCloud
• •ANSSI, foire aux questions sur la qualification SecNumCloud
• •CNIL, le RGPD appliqué au secteur de la santé

Sources consultées le 8 août 2026. Pour toute question relative à vos données, notre contact RGPD est contact@pllume.com.

Si vous voulez éprouver ces réponses sur vos propres consultations plutôt que sur une page, vous pouvez demander un accès.