La fiche 10 du guide CNIL pour les SPST fixe les règles applicables au dossier médical en santé au travail, dont son hébergement. Lorsque le dossier est hébergé par un tiers, celui-ci doit être certifié hébergeur de données de santé (HDS), et le service doit connaître la localisation des données et les accès possibles.
La version 2.1 du référentiel de certification HDS n’était toujours pas approuvée par arrêté au 31 octobre 2026. L’Agence du numérique en santé a toutefois publié le 26 octobre la procédure de certification des hébergeurs, et le contenu attendu du référentiel est désormais connu.
Ce qui change
Le document publié par l’ANS après concertation porte encore la mention d’un arrêté à dater. L’agence a tenu deux webinaires, les 13 et 28 octobre, et publié la procédure de certification le 26 octobre. L’application était annoncée trois mois après la publication de l’arrêté, soit décembre 2026 ; cette échéance n’est plus garantie.
Plusieurs exigences du futur référentiel touchent directement la protection des données :
- l’accès à distance depuis un pays tiers est qualifié de transfert ;
- le stockage dans l’Espace économique européen doit être documenté ;
- chaque hébergeur publie une cartographie de ses transferts selon une rédaction imposée ;
- les tiers-archiveurs doivent être certifiés ;
- les contrats renforcent la notification des violations et exigent l’accord du client avant toute dégradation du service.
La qualification de l’accès distant comme transfert rejoint le chapitre V du RGPD. Un technicien qui administre un serveur situé en France depuis un pays hors de l’Union réalise un transfert, qui doit reposer sur une décision d’adéquation ou sur des garanties appropriées.
Ce que cela implique pour un SPST
Beaucoup de services savent où sont stockées leurs données, mais pas d’où elles sont administrées. Les éditeurs et hébergeurs font appel à des sous-traitants ultérieurs pour le support, la supervision ou la sécurité, parfois établis hors de l’Union.
- Le service doit obtenir de son hébergeur la cartographie des transferts, y compris les accès d’administration à distance.
- Il doit vérifier que chaque transfert identifié repose sur un fondement du chapitre V du RGPD et figure au registre.
- Les archives numérisées confiées à un tiers-archiveur devront être hébergées par un prestataire certifié.
- Les contrats d’hébergement devront être relus à la publication de l’arrêté, en particulier sur la notification des violations et la dégradation du service.
Les changements d’actionnaire d’un éditeur posent la même question. Plusieurs services ont demandé à un éditeur passé sous le contrôle d’un fonds établi aux États-Unis une réévaluation de la localisation des données et des accès d’administration ; les réponses seront comparées aux exigences du référentiel HDS 2.1.
Comment le traiter dans DPO SUITE
Ouvrez le registre des sous-traitants et complétez, pour l’hébergeur et l’éditeur du logiciel métier, la localisation cloud et la liste des sous-traitants ultérieurs. Distinguez la localisation du stockage et celle des accès d’administration. Lancez un audit par questionnaire qui demande la cartographie des transferts, le fondement de chacun et le statut de certification HDS de chaque intervenant.
Dans le registre des traitements, ouvrez la fiche du dossier médical en santé au travail et mettez à jour la rubrique des transferts hors Union, puis soumettez-la à validation. Dans le module infrastructure, vérifiez que les serveurs et composants indiquent leur hébergeur et leur localisation.
Créez une tâche de relecture des contrats d’hébergement à la publication de l’arrêté. Si un transfert sans fondement est identifié, créez une non-conformité et une action corrective. ALIX peut proposer une comparaison entre la cartographie reçue et les fiches du registre ; validez ou rejetez chaque proposition.
Tester la création de votre registre dans DPO SUITE.
Repères
- Articles 28 et 44 à 49 du RGPD
- Référentiel de certification HDS v2.1 (version post concertation, arrêté non publié) et procédure de certification publiée par l’ANS le 26 octobre 2026
- Articles L. 4624-8 et R. 4624-45-3 à R. 4624-45-9 du code du travail, legifrance.gouv.fr
- Guide CNIL SPST, fiche 10
