Mis à jour le 9 octobre 2026
- Les données de santé sont des données sensibles : le prestataire informatique agit en sous-traitant et doit offrir un niveau de sécurité adapté au risque.
- Si le prestataire héberge des données de santé, la CNIL recommande de choisir un hébergeur certifié HDS, dont la liste est publiée par l’Agence du numérique en santé.
- Un contrat écrit doit fixer les obligations de sécurité et la répartition des responsabilités, y compris pour les sous-traitants du prestataire.
- Les sauvegardes, la gestion des accès et le chiffrement doivent être discutés avant la signature, pas après un incident.
- L’expérience du secteur, la réactivité et la proximité sont des critères utiles, mais ils ne remplacent pas ces garanties de sécurité.
Pour choisir un prestataire informatique en milieu médical, vérifiez d’abord sa capacité à protéger les données de santé de vos patients, puis son expérience du secteur, la clarté de son contrat et la fiabilité de ses sauvegardes. Le prix et la proximité comptent, mais ils viennent après la sécurité.
Que vous exerciez en cabinet, en maison de santé ou en centre de soins, vous restez responsable des données de vos patients même lorsque vous confiez une partie de votre système à un tiers. Cet article s’appuie sur les recommandations de la CNIL pour vous aider à poser les bonnes questions avant de signer.
Pourquoi le choix du prestataire est-il si important pour des données de santé ?
Selon la CNIL, le RGPD s’applique à toutes les données de vos patients, qu’elles soient sur papier ou sur support numérique, et la collecte doit se limiter à ce qui est strictement nécessaire aux soins. Les professionnels de santé libéraux doivent mettre en place des mesures techniques et organisationnelles pour protéger la confidentialité et l’intégrité de ces données.
Lorsqu’un prestataire traite des données pour votre compte, par exemple pour les héberger ou pour assurer la maintenance de vos outils, la CNIL le qualifie de sous-traitant. Il doit garantir un niveau de sécurité adapté au risque, et vous devez vérifier ces garanties avant de contractualiser. Un choix uniquement fondé sur le tarif ou sur la disponibilité expose donc à des risques qui relèvent de vos propres obligations.
Quelle expérience du secteur médical faut-il attendre d’un prestataire ?
Un prestataire familier du secteur comprend mieux vos contraintes : continuité d’activité, confidentialité du dossier patient, outils métiers, postes partagés entre plusieurs professionnels. Demandez-lui des références de structures comparables à la vôtre, et vérifiez qu’il sait expliquer sa méthode en cas d’incident.
Posez des questions concrètes : comment gère-t-il les accès des différents utilisateurs ? Quelle organisation prévoit-il pour une panne qui bloque l’activité ? Comment documente-t-il ses interventions ? Sa capacité à répondre précisément est un meilleur indicateur que la présentation commerciale.
Pour information, le site d’un prestataire spécialisé dans l’informatique de cabinets médicaux, cité dans l’article d’origine : sur ce site.
Ce lien est donné à titre documentaire. Il ne constitue ni une recommandation ni une évaluation de ce prestataire ; appliquez-lui les mêmes critères de vérification qu’à n’importe quel autre.
Que doit garantir le prestataire sur la sécurité des données ?
La CNIL cite plusieurs mesures de base pour les professionnels de santé :
- une authentification forte, avec la carte professionnelle de santé et un mot de passe personnel ;
- un chiffrement robuste dès que les données transitent par Internet ;
- un accès limité aux personnes qui en ont besoin pour leur fonction, par exemple un secrétariat qui ne voit que les données administratives ;
- l’application du Guide sécurité de la CNIL pour identifier les autres mesures utiles.
Demandez au prestataire comment il met en œuvre ces mesures sur votre installation, et qui, chez lui, peut accéder à vos données. Si vous utilisez des services en ligne, la CNIL rappelle aussi que l’usage du service de gestion de clés du fournisseur permet à celui-ci d’accéder aux données : le chiffrement côté serveur seul ne garantit donc pas la confidentialité vis-à-vis du prestataire.
Faut-il exiger un hébergeur certifié HDS ?
La CNIL recommande, pour les données de santé hébergées dans le cloud, de recourir à un prestataire certifié « hébergeur de données de santé » (HDS), en référence à l’article L1111-8 du Code de la santé publique. L’Agence du numérique en santé publie la liste des hébergeurs certifiés. La CNIL précise que la certification a progressivement remplacé l’ancien agrément depuis 2018, certains hébergeurs conservant toutefois un agrément encore valide.
En pratique, demandez à votre prestataire s’il héberge lui-même vos données ou s’il fait appel à un tiers, puis demandez le justificatif de certification de l’hébergeur concerné et vérifiez-le dans la liste officielle. La CNIL suggère par ailleurs, pour des données particulièrement sensibles, d’envisager un prestataire qualifié SecNumCloud.
Toute migration vers le cloud doit être précédée d’un tri : la CNIL recommande de déterminer au préalable quelles données sont trop sensibles pour être traitées dans un service en ligne.
Que doit contenir le contrat avec le prestataire ?
La CNIL demande de conclure un contrat avec tout prestataire qui traite des données pour votre compte. Pour un hébergement ou un service en nuage, elle conseille d’y inscrire :
- les obligations de sécurité et la répartition des responsabilités entre le prestataire et vous ;
- la vérification du niveau de sécurité du prestataire et de ses propres sous-traitants ;
- le refus de toute clause autorisant le prestataire à accéder à vos données ou à vos systèmes sans votre autorisation ;
- des audits réguliers de la sécurité du prestataire.
Un devis détaillé aide à comparer des offres équivalentes : il doit préciser ce qui est inclus (assistance, délais d’intervention, maintenance préventive, supervision, sauvegardes, mises à jour, déplacements). Une offre moins chère qui n’inclut ni sauvegarde fiable ni délai d’intervention clair n’est pas comparable à une offre plus complète.
Comment vérifier les sauvegardes et la continuité de service ?
La CNIL recommande, pour les services en nuage, de conserver les sauvegardes dans des lieux géographiquement distincts des centres de données qui hébergent les données d’origine, et non dans le même centre. Ce principe s’applique aussi à une installation locale : une sauvegarde stockée au même endroit que les postes ne protège pas d’un sinistre sur place.
Avant de signer, demandez au prestataire :
- où sont stockées les sauvegardes et qui y a accès ;
- comment et à quelle fréquence il vérifie qu’elles sont restaurables ;
- quelle procédure de reprise d’activité est prévue après une panne ou une attaque ;
- comment vous serez informé en cas d’incident touchant les données de vos patients.
Quant à la proximité géographique, elle peut faciliter une intervention sur site, mais elle n’est pas, en elle-même, une garantie de sécurité. Elle compte surtout si votre activité supporte mal une interruption.
Questions fréquentes
Un cabinet médical doit-il déclarer ses fichiers à la CNIL ?
Selon la CNIL, aucune formalité préalable n’est exigée des professionnels de santé libéraux pour la gestion de leurs patients, mais ils doivent tenir un registre interne des traitements et pouvoir le présenter lors d’un contrôle. Les patients doivent par ailleurs être informés, par exemple par une affiche en salle d’attente.
Un professionnel de santé libéral doit-il désigner un délégué à la protection des données ?
D’après la CNIL, un délégué à la protection des données et une analyse d’impact ne sont pas obligatoires pour un exercice individuel. Ils peuvent le devenir si les données de santé sont traitées à grande échelle, par exemple dans un centre de santé ou pour des dossiers partagés.
Qu’est-ce qu’un hébergeur certifié HDS ?
Il s’agit d’un hébergeur de données de santé certifié au titre de l’article L1111-8 du Code de la santé publique. La CNIL recommande d’y recourir pour les données de santé hébergées dans le cloud et indique que l’Agence du numérique en santé publie la liste des hébergeurs certifiés.
Combien de temps conserver les dossiers patients ?
La CNIL cite, à titre d’exemple pour les médecins, une conservation de vingt ans après la dernière consultation, en se référant aux préconisations de l’Ordre des médecins. Les durées varient selon les professions : vérifiez celles qui s’appliquent à votre exercice auprès de votre ordre professionnel.
Peut-on refuser qu’un prestataire accède à distance à nos données ?
La CNIL recommande de ne pas signer un contrat qui autorise le prestataire à accéder aux données ou aux systèmes, pour des raisons de sécurité ou légales, sans votre autorisation. Il est donc légitime de demander que les accès soient encadrés et tracés dans le contrat.
Faut-il privilégier un prestataire proche de son cabinet ?
La proximité peut faciliter les interventions sur place, mais ce n’est pas un critère de sécurité en soi. Vérifiez d’abord l’expérience du secteur, la certification de l’hébergement, le contrat et les sauvegardes, puis comparez les délais d’intervention annoncés.
Pour aller plus loin
- Naturopathe en ligne ou en cabinet : avantages, limites, vigilance
- Choisir un centre de soins de bien-être : critères à vérifier
- Consultation en naturopathie : déroulement et précautions
- Tendances naturopathiques 2026 : ce que disent les sources
Sources
- CNIL : RGPD et professionnels de santé libéraux, ce que vous devez savoir — obligations du RGPD, accès limités, registre interne, sous-traitants et contrat, absence de formalité préalable
- CNIL : Professionnels de santé, quelles mesures de sécurité devez-vous prendre ? — authentification, chiffrement, sous-traitance, Guide sécurité
- CNIL : Sécurité, cloud, informatique en nuage — hébergeur certifié HDS, clauses du contrat, clés de chiffrement, sauvegardes hors site, audits
Information éducative ; elle ne remplace pas l’avis d’un professionnel de santé.