Hébergement HDS orthophoniste : obligations et coûts
Hébergement HDS en orthophonie : êtes-vous en conformité ? Obligations légales, certification, coûts et checklist pour choisir un logiciel conforme.
Choisir un logiciel médical en cloud, c'est confier vos comptes rendus de bilan orthophonique, vos anamnèses, vos courriers aux médecins prescripteurs à un tiers. Une question surgit : ce prestataire respecte-t-il les exigences légales françaises en matière d'hébergement de données de santé ? L'hébergement HDS orthophoniste n'est pas une option technique réservée aux éditeurs de logiciels, c'est une obligation qui engage directement votre responsabilité professionnelle. Cet article répond à trois questions concrètes : est-ce obligatoire pour vous ? comment vérifier la conformité de votre outil ? et qu'est-ce que cela coûte réellement ?
Si la conformité technique du HDS vous intéresse, l'éthique des outils numériques en orthophonie est tout aussi structurante : les deux sujets forment les deux faces d'une même pièce, celle de la protection des données patients. Par ailleurs, l'automatisation en orthophonie s'appuie nécessairement sur un cadre d'hébergement sécurisé pour être crédible.
Le HDS en orthophonie : pourquoi c'est votre affaire, pas seulement celle de votre éditeur
L'article L.1111-8 du Code de la santé publique impose à tout tiers qui conserve des données de santé à caractère personnel pour le compte d'autrui de détenir une certification HDS. Ce texte s'adresse aux hébergeurs, pas directement aux professionnels de santé. Pourtant, vous êtes concernée au premier chef : en tant qu'orthophoniste, vous êtes responsable de choisir un prestataire conforme. C'est là que le dispositif devient contraignant pour vous.
La CNIL peut sanctionner un professionnel de santé qui a confié ses données patients à un prestataire non certifié, y compris en cas d'ignorance de cette non-conformité. Le code de déontologie de la Fédération Nationale des Orthophonistes vous impose de garantir la confidentialité des informations recueillies : l'hébergement HDS est le cadre technique qui matérialise cette obligation déontologique.
La certification HDS est un label réglementaire délivré par un organisme accrédité (COFRAC), sous le contrôle de l'Agence du Numérique en Santé. Elle garantit qu'un hébergeur respecte des normes strictes de sécurité résumées par l'acronyme DICA : Disponibilité, Intégrité, Confidentialité et Auditabilité. Le fondement juridique date du décret n° 2018-137 du 26 février 2018, qui a remplacé l'ancien agrément ministériel par un système de certification plus robuste, adossé à un audit indépendant.
Si vous conservez vos dossiers patients uniquement sur votre ordinateur de cabinet, sans synchronisation vers un serveur distant, l'obligation HDS ne s'applique pas à votre configuration. En revanche, les obligations RGPD restent entières : chiffrement du disque, mot de passe robuste, sauvegarde sécurisée.
Ce que le HDS protège concrètement : vos bilans, vos comptes rendus, vos dossiers patients
Le périmètre HDS couvre toute donnée de santé à caractère personnel recueillie lors d'activités de prévention, de diagnostic, de soins ou de suivi médico-social, dès lors qu'elle permet d'identifier un patient. Dans votre cabinet, cela inclut :
- Les comptes rendus de bilan orthophonique (CRBO) transmis au médecin prescripteur.
- Les bilans de langage oral (BETL, EVALO), de langage écrit (ODEDYS), de déglutition ou vocaux.
- Les notes de séance consignant l'évolution du patient.
- Les ordonnances que vous rédigez ou transmettez.
- Les courriers aux médecins, aux enseignants, aux structures de soin pluridisciplinaires.
- Les anamnèses, antécédents familiaux, historique de prise en charge.
Même un simple fichier Word contenant un nom de patient associé à un diagnostic, stocké sur un serveur externe, déclenche l'obligation HDS. Ce point est souvent négligé : la sensibilité d'une donnée de santé ne dépend pas de sa longueur, mais de sa capacité à identifier un individu et à révéler une information médicale.
Un fichier Excel listant vos patients avec leur pathologie, synchronisé sur un service cloud généraliste (Dropbox, Google Drive sans compte professionnel certifié), constitue une violation de l'article L.1111-8. La CNIL qualifie ce type de configuration de « faille de sécurité grave ».
Et les fichiers stockés en local sur votre ordinateur ? Si ces documents restent sur votre machine sans synchronisation vers un cloud, l'obligation HDS ne s'applique pas à l'hébergeur, puisqu'il n'y a pas d'hébergeur tiers. En revanche, les obligations RGPD s'appliquent intégralement : chiffrement du disque, protection par mot de passe, sauvegarde sécurisée, destruction sécurisée des supports en fin de vie.
Les deux types de certification HDS : ce que votre logiciel doit couvrir
La certification HDS ne forme pas un bloc unique. Elle se décline en six activités, regroupées en deux familles de certificat. Un prestataire n'est certifié que pour les activités qu'il exerce effectivement, ce qui explique qu'un hébergement HDS recouvre des réalités variables d'un acteur à l'autre.
| Type de certificat | Ce que ça couvre concrètement pour votre cabinet |
|---|---|
| Hébergeur d'infrastructure physique | Il gère les datacenters (les « murs et les machines ») : locaux sécurisés, serveurs, équipements réseau, climatisation, alimentation électrique redondante. Activités 1 et 2 du référentiel. |
| Hébergeur infogéreur | Il gère la couche logicielle, l'exploitation du système d'information, les sauvegardes de vos données patients. C'est là que vivent réellement vos CRBO. Activités 3 à 6 du référentiel : infrastructure virtuelle, plateforme d'hébergement applicatif, administration et exploitation, sauvegarde externalisée. |
Le piège à éviter : un hébergeur peut être certifié uniquement sur les activités 1 et 2 (les murs et les serveurs physiques) sans couvrir la couche logicielle où se trouvent réellement vos données patients. Pour un logiciel cloud SaaS en orthophonie, l'éditeur ou son sous-traitant doit impérativement détenir une certification couvrant au minimum les activités 3 à 6.
Demandez à votre éditeur : « Sur quelles activités votre hébergeur est-il certifié HDS ? » La réponse attendue pour une solution cloud complète est : « Activités 3, 4, 5 et 6 ». Une réponse évasive (« Oui, nous sommes HDS ») est un signal d'alerte.
La plupart des hébergeurs de données de santé du cloud cumulent plusieurs activités, parfois les six, pour offrir une solution complète. C'est le cas des acteurs français spécialisés en santé, qui gèrent à la fois les datacenters, la virtualisation, l'exploitation et les sauvegardes.
HDS, RGPD et Ségur : les trois cadres à ne pas confondre
On confond souvent ces trois exigences. Elles se cumulent plus qu'elles ne se remplacent. Voici un tableau de synthèse pour clarifier :
| Cadre | Ce qu'il protège | Ce que ça change pour vous en cabinet |
|---|---|---|
| RGPD | Tout traitement de données personnelles (santé ou non), définit les droits des patients (accès, rectification, portabilité), impose la tenue d'un registre de traitement. | Vous devez informer vos patients du traitement de leurs données, tenir un registre (simplifié pour les libérales), garantir la sécurité des fichiers même en local. |
| HDS orthophonie | La conservation des données de santé à caractère personnel par un tiers hébergeur. | Vous devez vérifier que votre logiciel cloud s'appuie sur un hébergeur certifié HDS. Si vous travaillez 100 % en local, cette obligation ne s'applique pas à vous. |
| Ségur du numérique | L'interopérabilité et le partage sécurisé : INS (Identité Nationale de Santé), DMP (Dossier Médical Partagé), MSSanté (messagerie sécurisée). | Pour bénéficier du financement Ségur (versé par l'Assurance Maladie), votre logiciel doit être référencé Ségur, ce qui impose qu'il repose sur un hébergement HDS. |
Le référentiel HDS version 2.0, approuvé par arrêté en 2024, introduit une exigence de souveraineté : les données de santé doivent être hébergées physiquement dans l'Espace économique européen (EEE). Tout transfert hors de cette zone doit être rendu public par l'hébergeur. La deadline de conformité est fixée au 16 mai 2026 : à partir de cette date, les prestataires non conformes à la version 2.0 ne pourront plus exercer légalement. Si votre logiciel actuel repose sur un hébergeur non conforme à cette version, vous travaillez avec un prestataire hors norme.
Un logiciel référencé Ségur n'est pas automatiquement conforme RGPD. Le Ségur exige le HDS comme prérequis, mais ne valide pas le respect des autres obligations RGPD (information des patients, contrats de sous-traitance, analyse d'impact). Les trois cadres restent distincts.
Combien coûte un hébergement HDS pour une orthophoniste libérale ?
Clarification d'emblée : vous ne payez pas directement pour un hébergement HDS orthophoniste. Vous payez un abonnement à un logiciel médical, et c'est cet abonnement qui inclut (ou non) un hébergement HDS. Le coût de la conformité est intégré dans le tarif mensuel du SaaS.
Selon les données publiques du marché (tarifs MedicalCloud, 2025), les offres pour professionnels de santé libéraux vont de 15 à 80 euros TTC par mois selon le volume de stockage et les fonctionnalités proposées. Une solution entrée de gamme (10 Go de cloud, serveur muturisé, support par email) démarre à 15 euros TTC mensuel. Une offre premium (300 Go, serveur dédié, support téléphonique) atteint 80 euros TTC mensuel. Pour une orthophoniste libérale en début d'activité, une offre intermédiaire (40 à 50 euros TTC mensuel) couvre les besoins courants : 50 à 100 Go de stockage, sauvegarde quotidienne, accès multi-sites.
Le coût de la non-conformité peut être bien supérieur à un abonnement conforme. La CNIL peut prononcer des sanctions financières, et votre responsabilité civile professionnelle peut être engagée en cas de fuite de données patients. Un sinistre couvert par votre RCP peut entraîner une augmentation de cotisation ou une exclusion de garantie.
Pour une solution SaaS spécialisée orthophonie, le coût HDS est en général inclus dans l'abonnement, à condition de vérifier que l'éditeur est bien certifié ou s'appuie sur un hébergeur certifié. Cette vérification est simple et gratuite : elle prend trois minutes.
Checklist : comment vérifier en 3 étapes que votre logiciel est conforme HDS
Voici la procédure à suivre pour contrôler la conformité de votre outil actuel ou d'un logiciel que vous envisagez d'adopter.
Étape 1 : Chercher la mention HDS sur le site de l'éditeur
Rendez-vous sur le site web de votre logiciel. Consultez les pages « Sécurité », « Confidentialité », « Conditions générales d'utilisation » ou « Politique de protection des données ». Cherchez la mention « hébergement HDS » et le nom de l'hébergeur sous-jacent. Si cette information n'apparaît nulle part, contactez le support client par email et posez la question directement : « Quel est le nom de votre hébergeur HDS ? ».
Étape 2 : Vérifier la présence dans la liste officielle de l'ANS
L'Agence du Numérique en Santé publie la liste officielle des hébergeurs certifiés sur esante.gouv.fr/offres-services/hds/liste-des-hebergeurs-certifies. Recherchez le nom de l'hébergeur communiqué par votre éditeur. Si vous ne le trouvez pas, la conformité n'est pas garantie.
Étape 3 : Confirmer les activités certifiées
Sur la fiche de l'hébergeur dans la liste ANS, vérifiez sur quelles activités il est certifié. Pour une solution cloud SaaS en orthophonie, l'hébergeur doit couvrir au minimum les activités 3 à 6 : infrastructure virtuelle, plateforme d'hébergement applicatif, administration et exploitation, sauvegarde externalisée. Si l'hébergeur n'est certifié que sur les activités 1 et 2 (infrastructure physique), il ne couvre pas la couche logicielle où résident vos données.
Question bonus : les données sont-elles hébergées dans l'EEE ?
Demandez à l'éditeur si les données sont hébergées physiquement dans l'Espace économique européen. Depuis la version 2.0 du référentiel, cette localisation est obligatoire. Un hébergement aux États-Unis ou en Asie, même certifié HDS sous l'ancienne version, ne sera plus conforme après le 16 mai 2026.
Si votre éditeur ne peut pas répondre à ces trois questions en moins de 24 heures, considérez que la conformité n'est pas garantie. Un prestataire sérieux dispose de ces informations en permanence et les communique sans difficulté.
Vérifiez notre conformité HDS en toute transparence.
Ortho.ia s'appuie sur un hébergement HDS certifié par un acteur français spécialisé en données de santé. Découvrez notre politique de sécurité, nos engagements RGPD et la localisation de vos données.
Voir notre certification HDS →En résumé
L'hébergement HDS orthophoniste est une obligation légale qui engage votre responsabilité professionnelle dès que vous confiez vos données patients à un logiciel cloud. Vous n'êtes pas l'hébergeur, mais vous êtes responsable de choisir un prestataire conforme. La vérification est simple : demander le nom de l'hébergeur, vérifier sa présence sur la liste officielle de l'ANS, confirmer les activités certifiées. Le coût de la conformité est intégré dans l'abonnement de votre logiciel, entre 15 et 80 euros TTC par mois selon les fonctionnalités.
Choisir un outil certifié HDS, c'est honorer l'obligation déontologique de confidentialité envers vos patients. C'est aussi sécuriser votre activité professionnelle face aux risques de sanction CNIL ou d'engagement de responsabilité civile. La conformité n'est pas un luxe technique réservé aux structures hospitalières, c'est un prérequis pour toute orthophoniste libérale qui travaille en cloud.
FAQ : vos questions sur le HDS en orthophonie
L'hébergement HDS est-il vraiment obligatoire pour mon logiciel ?
Oui, dès lors que votre logiciel stocke vos données patients sur un serveur distant géré par l'éditeur ou un prestataire tiers. L'article L.1111-8 du Code de la santé publique impose cette certification à tout hébergeur qui conserve des données de santé à caractère personnel pour le compte d'un tiers. Si vous conservez tout en local sur votre propre ordinateur sans synchronisation cloud, l'obligation de certification HDS ne s'applique pas à l'hébergeur, puisqu'il n'y a pas d'hébergeur. En revanche, les obligations RGPD restent entières : chiffrement du disque, protection par mot de passe, sauvegarde sécurisée.
Quelle est l'obligation d'hébergement HDS ?
L'article L.1111-8 du Code de la santé publique impose à tout prestataire qui héberge des données de santé à caractère personnel pour le compte d'un tiers de détenir une certification HDS délivrée par un organisme accrédité. Cette certification couvre six activités réparties en deux familles : hébergeur d'infrastructure physique (activités 1 et 2) et hébergeur infogéreur (activités 3 à 6). La certification est valable trois ans, avec un audit de surveillance annuel et un audit complet de renouvellement à l'échéance.
Quel est le tarif d'un hébergement HDS ?
Une orthophoniste libérale ne souscrit pas directement à un hébergement HDS : elle paie un abonnement logiciel qui l'inclut. Les offres du marché pour professionnels de santé libéraux varient de 15 à 80 euros TTC par mois selon le volume de stockage (de 10 Go à 300 Go), le type de serveur (mutualisé ou dédié) et le niveau de support (email, téléphone, assistance à distance). Le coût de la conformité est donc intégré dans l'abonnement à la solution choisie. Une offre intermédiaire (40 à 50 euros TTC mensuel) couvre les besoins courants d'un cabinet libéral.
HDS et CNIL : quel lien ?
La CNIL et le HDS sont complémentaires. Le RGPD, piloté par la CNIL, encadre l'ensemble des traitements de données personnelles : information des patients, tenue d'un registre de traitement, respect des droits (accès, rectification, portabilité). Le HDS encadre spécifiquement la conservation des données de santé par un tiers hébergeur. En cas de violation de données (fuite, piratage, perte), la CNIL peut sanctionner le responsable de traitement, c'est-à-dire la praticienne elle-même, si elle a confié ses données à un prestataire non conforme. L'ignorance de la non-conformité ne constitue pas une circonstance atténuante.
C'est quoi la certification HDS ?
La certification HDS est un label réglementaire français qui garantit qu'un hébergeur respecte des exigences strictes de sécurité pour la conservation de données de santé : Disponibilité, Intégrité, Confidentialité et Auditabilité (acronyme DICA). Elle est délivrée après audit par un organisme certificateur accrédité par le COFRAC, sous le contrôle de l'Agence du Numérique en Santé. La certification est valable trois ans, avec un audit de surveillance annuel. La version 2.0 du référentiel, en vigueur depuis 2024, impose que les données soient hébergées physiquement dans l'Espace économique européen. Tout transfert hors de cette zone doit être rendu public par l'hébergeur.
Cet article est rédigé à titre informatif et ne constitue pas un conseil juridique. Les obligations réglementaires en matière de protection des données de santé peuvent évoluer. Pour toute situation spécifique, consultez un juriste spécialisé en droit de la santé numérique ou rapprochez-vous de votre ordre professionnel.