Hébergement HDS d'un site web : commencez par les données reçues
Un site de clinique n'a pas automatiquement besoin d'un hébergement HDS. Une présentation de l'équipe, des actes et des horaires ne suffit pas à déclencher cette obligation. En revanche, un formulaire médical, des photos de suivi ou un espace patient appellent une analyse du contexte de collecte et des prestataires qui les hébergent. Le choix dépend du parcours réel des données, pas du nom commercial de l'hébergement.
Pour choisir un hébergeur web certifié HDS, partez d'une question concrète : où vont les informations après un clic sur « Envoyer » ? Le serveur du site, la messagerie du secrétariat et une sauvegarde peuvent recevoir des copies différentes. Notre guide RGPD des données patients complète cette démarche sur les usages et les droits des personnes.
Quand l'hébergement HDS est-il obligatoire en France ?
L'article L1111-8 du Code de la santé publique vise les données de santé personnelles recueillies lors de la prévention, du diagnostic, des soins ou du suivi social et médico-social. Il encadre leur hébergement effectué pour le compte de leur producteur ou collecteur, ou du patient lui-même. Son paragraphe II prévoit un certificat de conformité pour l'hébergement numérique entrant dans ce champ.
Il faut donc examiner ensemble la donnée, son contexte de collecte et la prestation confiée. Dire que toute donnée de santé impose HDS, quelle que soit la situation, serait trop large. Inversement, présenter un outil comme « simple formulaire » ne suffit pas à exclure l'obligation.
Selon la définition des données de santé de la CNIL, la qualification peut résulter de la nature de l'information, de son croisement avec d'autres éléments ou de son usage médical. Une photographie quelconque n'est donc pas automatiquement une donnée de santé ; un cliché identifiable utilisé pour un suivi clinique appelle cette qualification. Le périmètre d'un dossier patient en médecine esthétique mérite ainsi une analyse différente de celui d'une page publique de présentation.
Vitrine, formulaire, photos : quel hébergement examiner ?
Ce tableau aide à préparer votre décision. Il décrit des situations types à confronter aux fonctionnalités et contrats réellement utilisés par votre cabinet.
| Situation | Question à trancher | Action pratique |
|---|---|---|
| Vitrine informative | Présente-t-elle uniquement des contenus publics, sans données individuelles de patients ? | Ne pas déduire une obligation HDS du seul caractère médical du site. Examiner séparément les outils ajoutés. |
| Formulaire ou rendez-vous | Le motif, la spécialité ou les informations demandées révèlent-ils une prise en charge ? Où sont-ils conservés ? | Qualifier le contexte médical et cartographier formulaire, messagerie et logiciel destinataire avant de choisir l'hébergement. |
| Photos ou documents patients | Les fichiers permettent-ils d'identifier une personne et servent-ils à une activité clinique ? | Prévoir un circuit patient adapté ; vérifier stockage, accès, sauvegardes et éventuelles copies. |
| Prestataire externe | Qui héberge, administre et sauvegarde les données entrant dans le champ légal ? | Identifier chaque acteur et vérifier les activités couvertes par ses certificats et son contrat. |
Un lien vers un outil de rendez-vous peut laisser le site vitrine séparé du service patient. Un formulaire intégré peut, au contraire, créer des copies dans le site. Vérifiez le comportement réel avec des données fictives : ni le design ni la présence d'un cadenas HTTPS ne donnent cette réponse.
Comment vérifier le certificat et le périmètre de l'hébergeur ?
Consultez la liste des hébergeurs certifiés publiée par l'ANS, puis demandez le certificat complet. La liste distingue les entités, les activités couvertes et la version du référentiel. Un logo dans une brochure reste insuffisant pour vérifier votre configuration.
- Entité exacte : rapprochez la raison sociale du certificat de celle qui fournit le service, en explicitant les sous-traitants.
- Validité : contrôlez les dates et la version applicable ; conservez une copie datée dans votre dossier fournisseur.
- Services concernés : demandez quels produits, environnements et sites sont inclus, avec leurs éventuelles exclusions.
- Activités couvertes : identifiez qui assure l'infrastructure, l'administration, l'exploitation et les sauvegardes.
La présentation de la certification HDS par l'ANS distingue notamment infrastructure physique et infogérance. Le certificat du centre de données ne prouve donc pas, à lui seul, que toutes les prestations réalisées au-dessus sont couvertes. Demandez à l'agence et à l'éditeur d'expliquer cette répartition par écrit.
Passer du devis à un circuit vérifiable
Avant de déplacer votre site, dessinez un parcours complet : saisie, transmission, consultation par l'équipe, rangement dans le dossier, sauvegarde et suppression des copies devenues inutiles. Incluez les extensions du site, les notifications, les outils de suivi d'erreurs et les accès de maintenance.
- Réduisez la collecte publique. Retirez les pièces jointes et champs médicaux sans utilité à ce stade ; orientez les échanges cliniques vers le circuit prévu.
- Documentez les destinations. Pour les photographies de suivi, demandez notamment si une copie reste sur l'appareil, dans une galerie ou dans une messagerie.
- Clarifiez les responsabilités. Faites préciser les accès, les lieux de stockage et d'administration, les sous-traitants, les alertes d'incident et la restauration.
- Testez avec un dossier fictif. Retrouvez les fichiers à chaque étape, contrôlez les autorisations puis demandez un export exploitable.
- Préparez la sortie. Définissez le format de restitution, l'accompagnement nécessaire et le traitement des copies restantes.
Si vous utilisez une connexion entre le logiciel et d'autres outils, ajoutez chaque destination au schéma. Une intégration ne transmet pas automatiquement les garanties du service de départ au service d'arrivée. Faites également chiffrer séparément hébergement, administration, sauvegardes, assistance et réversibilité pour comparer des devis au même périmètre.
Ce que le choix de l'hébergement ne règle pas seul
Un hébergement adapté ne décide pas qui peut consulter une photo, pourquoi vous la collectez ni combien de temps vous la gardez. Préparez ces règles avec votre référent protection des données. Une autorisation de publication d'image relève également d'une décision distincte du stockage clinique.
Pour évaluer l'offre de serveur privé Nextmotion, demandez le périmètre proposé et les justificatifs de la chaîne d'hébergement. La formule « infrastructure conçue pour répondre aux exigences HDS » ne constitue pas un certificat. La démonstration du produit et la vérification documentaire remplissent deux fonctions complémentaires.
Questions fréquentes sur l'hébergement HDS d'un site web
Un site vitrine de médecin doit-il être hébergé HDS ?
Pas du seul fait qu'il présente une activité médicale. Il faut examiner les données effectivement hébergées, leur contexte de collecte et les prestataires concernés. Les formulaires et espaces patients se vérifient séparément.
Un formulaire sans champ médical écarte-t-il le sujet HDS ?
Non, pas automatiquement. Le contexte d'un rendez-vous ou le croisement des informations peut révéler une information de santé. Vérifiez le parcours complet, y compris les messages libres et les copies transmises.
Le certificat du fournisseur cloud suffit-il ?
Il faut aussi vérifier que les services utilisés et les activités réellement confiées sont couverts. Demandez la répartition écrite entre hébergeur, agence, éditeur et prestataires de sauvegarde ou d'administration.
Quels documents demander avant de signer ?
Demandez le certificat valide et son périmètre, la liste des acteurs, le contrat, les modalités d'accès, de sauvegarde et de restitution. Ajoutez un schéma du parcours des données correspondant à votre configuration.
Examinez votre parcours patient en démonstration
Préparez un exemple fictif : une demande reçue sur le site, une photo puis son rangement dans le dossier. Demandez une démonstration Nextmotion pour examiner ce parcours, les modules utiles et les éléments d'hébergement à vérifier pour votre cabinet.
