La fiche 10 du guide pratique de la CNIL pour les SPST rappelle que le dossier médical en santé au travail, lorsqu’il est hébergé par un tiers, doit l’être chez un hébergeur certifié pour les données de santé, conformément à l’article L. 1111-8 du code de la santé publique.
Le cadre de cette certification évolue. L’Agence du Numérique en Santé a annoncé le 15 juillet 2026 un référentiel HDS v2.1, attendu en octobre 2026. Il imposera aux hébergeurs de déclarer s’ils sont soumis à des législations de pays tiers et d’inscrire cette information dans les contrats. La CNIL a par ailleurs rendu le 21 juillet un avis sur le référentiel d’accréditation des organismes certificateurs HDS.
Ce qui change
Le référentiel de certification HDS v2, fixé par l’arrêté du 16 mai 2024, reste applicable. La version 2.1 ajoute une exigence de transparence : l’hébergeur devra dire par écrit s’il relève d’une législation extra-européenne susceptible de permettre à une autorité étrangère d’accéder aux données.
Cette information intéresse directement le RGPD. Un accès par une autorité d’un pays tiers constitue un transfert hors de l’Union européenne, encadré par le chapitre V du RGPD. Le contrat de sous-traitance au sens de l’article 28 doit par ailleurs décrire les garanties offertes et l’information du responsable de traitement.
Le service, responsable de traitement, doit connaître la situation de ses hébergeurs pour évaluer le risque et en tenir compte dans son analyse d’impact. La v2.1 lui donnera une base écrite pour cette évaluation.
Ce que cela implique pour un SPST
- Poser la question dès maintenant à l’éditeur et à l’hébergeur du dossier médical, sans attendre la publication du référentiel : l’hébergeur ou l’un de ses sous-traitants ultérieurs relève-t-il d’une législation de pays tiers ?
- Étendre la question aux autres outils qui hébergent des données de santé : messagerie, sauvegardes, portail adhérents, outil de téléconsultation.
- Consigner les réponses au registre des sous-traitants, avec la localisation des données et des accès de support.
- Prévoir la mise à jour des contrats lorsque la v2.1 sera publiée, pour y intégrer la déclaration de l’hébergeur.
- Reprendre l’information dans l’analyse d’impact du dossier médical, au titre du risque d’accès par une autorité étrangère.
La question vaut aussi pour les accès de maintenance. Un support technique assuré depuis un pays tiers donne accès aux données, même si les serveurs restent en France.
Une réponse évasive de l’hébergeur constitue déjà un élément d’appréciation. Le service peut demander une réponse écrite et datée, et conserver la trace de sa demande.
Comment le traiter dans DPO SUITE
- Dans le registre des sous-traitants, ouvrez la fiche de l’hébergeur et de l’éditeur du dossier médical, complétez la localisation cloud et la liste des sous-traitants ultérieurs.
- Envoyez-leur un questionnaire d’audit des sous-traitants portant sur la soumission à des législations de pays tiers, la localisation des données et les accès de support.
- Faites de même pour les autres sous-traitants qui hébergent des données de santé, puis rattachez-les aux traitements concernés.
- Ouvrez l’AIPD du dossier médical et ajoutez ou réévaluez le scénario d’accès aux données par une autorité étrangère.
- Créez une tâche datée pour la mise à jour des contrats à la publication du référentiel v2.1.
- Demandez à ALIX une proposition de localisation cloud pour chaque sous-traitant à partir des informations disponibles, puis validez-la après vérification auprès du prestataire.
Le registre se construit pas à pas, fiche par fiche : tester la création de votre registre.
Repères
- Code de la santé publique, article L. 1111-8
- Référentiel de certification HDS v2 (arrêté du 16 mai 2024) et annonce du référentiel v2.1 (ANS, 15 juillet 2026)
- Avis de la CNIL du 21 juillet 2026 sur le référentiel d’accréditation des organismes certificateurs HDS
- Règlement (UE) 2016/679 (RGPD), article 28 et chapitre V
- Guide CNIL SPST, fiche 10
