DPO externe santé et hébergement HDS
ce que le certificat de votre prestataire ne couvre pas
Réponse rapide Un hébergeur certifié HDS ne rend pas un établissement conforme au RGPD. La certification de l'article L.1111-8 du code de la santé publique engage l'hébergeur sur ses seules activités listées au certificat. Le registre (art. 30), l'AIPD (art. 35.3.b), l'information des patients (art. 13-14), les habilitations internes et la notification sous 72 heures (art. 33) restent au responsable de traitement. |
Le certificat HDS de votre hébergeur est un document nominatif, daté et à périmètre limité. Vous pouvez le lire vous-même, et vous devez le faire : la conformité de votre établissement ne s'y trouve pas. Cette page donne les références pour trancher — article 9 du RGPD, article L.1111-8 du code de la santé publique, article 28, AIPD de l'article 35.3.b, circuits de signalement d'une violation.
Le cadre général de la fonction, ses missions et ses obligations sont détaillés dans le contenu complet de notre mission de DPO externalisé ; ici, seule la spécificité santé est traitée.
Au 7 septembre 2026, près d'une mission ponctuelle sur deux conduite par le cabinet porte sur le médical ou le médico-social. Depuis 2020, plus de 150 organismes ont été accompagnés jusqu'à la conformité. SILEXO n'héberge aucune donnée de ses clients : le cabinet contrôle la chaîne de sous-traitance de l'établissement, il n'en fait pas partie.
Les organisations santé concernées par la désignation d'un DPO (articles 37.1.a et 37.1.c)
La désignation s'impose par deux voies distinctes : l'article 37.1.a vise tout organisme public, l'article 37.1.c le traitement à grande échelle de données de l'article 9.
Les lignes directrices WP243 rev.01 du groupe de travail Article 29, endossées par le CEPD en 2018, citent le traitement des données de patients par un hôpital comme exemple de traitement à grande échelle, et excluent le praticien exerçant à titre individuel. Le critère se lit sur le nombre de personnes concernées, le volume, la durée et l'étendue géographique. Une maison de santé pluriprofessionnelle qui mutualise un logiciel patient franchit cette ligne ; l'article 37.2 autorise alors un DPO unique pour un groupement, à condition qu'il reste joignable de chaque entité. Pour les petites structures médico-sociales, l'arbitrage est détaillé dans notre comparatif DPO interne, externe ou mutualisé en PME, au regard de l'article 37.
| Profil | Gouvernance adaptée | Obligations déclenchées |
|---|---|---|
| Cabinet libéral, MSP, CPTS | DPO externe ou mutualisé par convention | Registre, information des patients, contrats art. 28 |
| EHPAD, médico-social | DPO externe (37.1.a si structure publique) | AIPD de la prise en charge, habilitations, violations |
| Laboratoire, éditeur e-santé | DPO externe, appui au RSSI | Art. 32, chaîne HDS, réponses RGPD aux appels d'offres |
| Établissement public de santé | DPO désigné (37.1.a), interne à temps partiel ou externe | AIPD, PGSSI-S, signalement d'incident grave |
Les obligations propres aux données de santé : article 9 du RGPD, exceptions et secret professionnel
Les données de santé sont interdites de traitement par défaut : seules les exceptions de l'article 9.2 lèvent la prohibition, et aucune ne dispense du secret professionnel.
- Article 9.1 : prohibition de principe du traitement des données concernant la santé.
- Article 9.2.h : médecine préventive, diagnostic, soins, gestion des services de santé.
- Article 9.2.i : motifs d'intérêt public dans le domaine de la santé publique.
- Article 9.3 et L.1110-4 CSP : traitement sous la responsabilité d'un professionnel soumis au secret.
La France ajoute une strate : la loi n° 78-17 du 6 janvier 1978 modifiée maintient un régime propre aux traitements de données de santé, avec des formalités préalables pour les recherches hors méthodologie de référence. Trois corpus se cumulent : RGPD, loi 78-17, code de la santé publique.
Conservation du dossier patient et délais d'accès : ce qu'imposent le code de la santé publique et le référentiel CNIL
L'article L.1111-7 du code de la santé publique ouvre à toute personne l'accès aux informations de santé la concernant. La durée de conservation du dossier patient en établissement relève de la partie réglementaire du code de la santé publique : relevez la version en vigueur sur Légifrance avant d'arrêter votre politique d'archivage, et documentez-la dans votre registre. Le référentiel CNIL relatif à la gestion des cabinets médicaux et paramédicaux donne les finalités admises et les durées applicables aux structures libérales.
Deux horloges coexistent : le droit d'accès RGPD (un mois, article 12.3) et l'accès au dossier médical, qui obéit à ses propres délais fixés par le code de la santé publique. Le délai le plus favorable au patient prime : traitez ces demandes dans le circuit dossier médical.
AIPD d'un traitement de santé à grande échelle : article 35.3.b et listes CNIL
L'analyse d'impact est obligatoire de plein droit pour les traitements de données de santé mis en œuvre par les établissements de santé ou médico-sociaux aux fins de prise en charge des personnes : la liste adoptée par la CNIL en 2018 en application de l'article 35.4 le prévoit expressément. L'article 35.3.b la rend par ailleurs obligatoire pour tout traitement à grande échelle de données de l'article 9. Une AIPD utile s'appuie sur le guide sécurité de la CNIL, sur les mesures d'hygiène informatique de l'ANSSI et sur un état des lieux préalable des traitements, des habilitations et des sous-traitants, décrit dans notre méthode de mise en conformité RGPD.
Hébergement HDS : ce que le responsable de traitement doit contrôler chez son prestataire
La certification HDS pèse sur l'hébergeur et sur ses seules activités certifiées ; elle ne déplace aucune obligation du responsable de traitement.
| Notion | Définition |
|---|---|
| Donnée de santé | Donnée relative à la santé physique ou mentale d'une personne, y compris la prestation de services de soins, qui révèle une information sur son état de santé (art. 4.15 du RGPD). |
| Hébergement pour compte de tiers | Conservation de données de santé recueillies à l'occasion d'activités de prévention, de diagnostic, de soins ou de suivi social et médico-social, pour le compte d'un tiers (art. L.1111-8 CSP). |
| Certification HDS | Certification délivrée par un organisme accrédité sur le référentiel de l'Agence du numérique en santé, adossé aux normes ISO/IEC 27001, 20000-1 et 27018, pour des activités d'hébergement limitativement listées. |
Vérifier soi-même un certificat HDS : activités, certificateur, validité
Cinq contrôles, dans l'ordre, sur le document que votre prestataire vous transmet :
- Les activités certifiées : relevez les intitulés exacts portés au certificat et comparez-les au référentiel HDS révisé en 2024 publié par l'Agence du numérique en santé.
- L'entité juridique : le certificat nomme une société ; vérifiez que c'est bien votre cocontractant, et non sa maison mère ou un de ses fournisseurs.
- L'organisme certificateur : identifiez celui qui est nommé au certificat et demandez-lui la référence de son accréditation pour le référentiel HDS.
- Les dates : date d'émission, date d'expiration, cycle d'audit de surveillance. Un certificat périmé ou hors cycle ne vaut rien.
- Le périmètre géographique : sites et centres de données listés, et correspondance avec la localisation réelle de vos données.
Si une activité que vous confiez effectivement — infogérance applicative, sauvegarde externalisée — ne figure pas au certificat, elle n'est pas couverte. La norme ISO/IEC 27701 fournit une grille d'audit complémentaire au-delà du seul HDS.
Grille de contrôle du contrat de sous-traitance avec l'éditeur et l'hébergeur
L'article 28.3 du RGPD énumère ce que votre contrat doit contenir. Passez chaque convention d'éditeur de logiciel métier et chaque contrat d'hébergement à cette grille.
| Clause exigible | Référence RGPD |
|---|---|
| Traitement sur seule instruction documentée du responsable | 28.3.a |
| Engagement de confidentialité des personnes autorisées | 28.3.b |
| Mesures de sécurité techniques et organisationnelles | 28.3.c renvoyant à l'art. 32 |
| Encadrement des sous-traitants ultérieurs et autorisation écrite | 28.3.d, 28.2 et 28.4 |
| Assistance à l'exercice des droits des personnes | 28.3.e renvoyant aux art. 12 à 22 |
| Assistance aux notifications de violation et aux AIPD | 28.3.f renvoyant aux art. 33 à 36 |
| Sort des données en fin de prestation : restitution ou effacement | 28.3.g |
| Mise à disposition des informations et droit d'audit | 28.3.h |
Violation de données de santé : deux canaux, deux horloges
Un rançongiciel sur un logiciel patient déclenche deux obligations distinctes et cumulatives : la notification à la CNIL (article 33 du RGPD) et le signalement d'incident grave de sécurité des systèmes d'information (article L.1111-8-2 du code de la santé publique).
| Canal | Fondement | Délai | Destinataire |
|---|---|---|---|
| Violation de données | Art. 33 du RGPD | 72 heures après prise de connaissance | CNIL |
| Information des personnes | Art. 34 du RGPD | Dans les meilleurs délais si risque élevé | Patients concernés |
| Incident grave de SSI | Art. L.1111-8-2 CSP | Sans délai | Portail de signalement, ARS, CERT Santé |
L'Observatoire des signalements de l'Agence du numérique en santé et le panorama de la cybermenace du CERT-FR documentent ces incidents. Les griefs récurrents des sanctions CNIL en santé se lisent dans les délibérations publiées : absence de chiffrement, authentification faible, sous-traitance non encadrée, AIPD manquante.
Les référentiels applicables aux traitements de santé : HDS, PGSSI-S, MR-001 à MR-008, entrepôts de données, guides de sécurité
Cinq corpus se superposent sur un système d'information de santé, chacun avec son émetteur et son objet propre.
| Référentiel | Émetteur | Objet exact |
|---|---|---|
| Référentiel HDS | Agence du numérique en santé | Certification de l'hébergement de données de santé pour compte de tiers ; version révisée en 2024 |
| PGSSI-S | Agence du numérique en santé | Identification, authentification et imputabilité des acteurs de santé ; articulée au programme CaRE |
| MR-001 à MR-008 | CNIL | Méthodologies de référence encadrant les recherches dans le domaine de la santé, impliquant ou non la personne humaine (MR-001, 003, 004), et l'accès aux données du PMSI et du SNDS (MR-005 à 008) ; MR-001 et MR-003 mises à jour en 2026 |
| Entrepôts de données de santé | CNIL | Constitution et exploitation d'un entrepôt à des fins de réutilisation |
| Guide sécurité et hygiène informatique | CNIL / ANSSI | Mesures de l'article 32 : habilitations, journalisation des accès au dossier patient, chiffrement, sauvegardes ; 42 mesures d'hygiène informatique de l'ANSSI |
L'engagement de conformité à une méthodologie de référence dispense de formalité auprès de la CNIL, à condition de respecter intégralement le référentiel ; hors MR, une autorisation reste nécessaire. Deux textes s'ajoutent à la veille : la directive NIS 2, qui classe la santé parmi les secteurs hautement critiques, et le règlement (UE) 2025/327 sur l'espace européen des données de santé.
Ce que fait un DPO externe en établissement de santé : livrables du mandat et volume de jours
Le mandat produit des livrables datés et un crédit-jours annuel : la médiane observée sur nos mandats s'établit à 7,5 jours par an, tous secteurs confondus, au 7 septembre 2026.
Le premier quartile s'établit à 4,75 jours et le troisième à 12,5 jours par an. Plus de neuf mandats sur dix sont engagés sur une base annuelle. L'unité de compte est explicite : 7 heures égale une journée, décomptée par tranches de 30 minutes. Aucun frais de mise en place n'est facturé ; les licences IZIRO sont refacturées séparément. La mission se pilote dans IZIRO : registre, violations, demandes de droits, veille.
Les livrables du mandat, en santé comme ailleurs :
- Audit : registre des traitements, registres des violations et des demandes de droits, rapport d'audit site web, rapport d'audit application ou logiciel métier, rapport d'analyse de l'obligation de désigner un DPO, rapport d'audit RGPD général incluant l'analyse des obligations d'AIPD, rapport sur le niveau de sécurité des données, plan d'action priorisé.
- Mise en conformité : charte informatique, procédures et guides, notice RGPD, propositions de politique de confidentialité, de politique cookies et de mentions légales.
- Suivi : rapport DPO annuel selon les huit axes d'évaluation de la CNIL, AIPD, réponses aux exercices de droits, notifications de violation.
Repères de méthode : un audit de site web compte pour un jour, l'audit d'une application de deux à cinq jours, une formation de 0,5 à 1 jour. La charge annuelle est détaillée dans notre analyse de combien de jours par an représente un mandat de DPO externe.
Ce qui fait varier le crédit-jours d'un mandat santé : éditeurs, criticité, multi-sites
En santé, ce n'est pas le mode de facturation qui change : c'est le nombre de jours qui est réévalué. Quatre variables le déterminent.
- Le nombre d'éditeurs et d'hébergeurs : chaque logiciel métier et chaque chaîne d'hébergement demande un contrôle de contrat article 28 et de périmètre certifié.
- La criticité des données : données de l'article 9, données génétiques, personnes vulnérables et mineurs multiplient les AIPD à conduire.
- L'état du point de départ : un établissement sans registre exploitable suppose des ateliers d'inventaire d'une à deux heures par chef de service.
- Le nombre de sites et d'instances : multi-sites, groupement, CME et comité qualité auxquels rendre compte allongent le suivi.
Le crédit-jours est arrêté après l'échange de qualification ; un devis complémentaire couvre tout ajout de périmètre en cours d'année. L'engagement par défaut porte sur un an, avec des durées de 24 ou 36 mois possibles.
Une mission conduite à distance, avec des jalons sur site prévus au devis
Les prestations sont réalisées majoritairement à distance : audits documentaires, entretiens avec le DIM et le RSSI, comités de suivi en visioconférence. Les déplacements portent sur les grands jalons — atelier de lancement, ateliers registre, restitution d'audit, bilan annuel —, sont inscrits au devis, et leur temps de trajet est imputé au crédit-jours, frais au réel. Le contrat fixe aussi des délais côté établissement : 10 jours ouvrés pour transmettre ou valider, 5 jours ouvrés pour répondre, avec des conséquences prévues sur le crédit-jours.
Le mandat est une obligation de moyens : la responsabilité de traitement reste à l'établissement, et le DPO n'est ni le RSSI ni le garant technique de la sécurité du système d'information. La responsabilité civile professionnelle du cabinet est assurée à hauteur de 8 M€.
Trois vérifications à mener dès cette semaine sur le certificat de votre prestataire :
- Les activités certifiées correspondent-elles à celles que vous lui confiez réellement ?
- La date d'expiration est-elle postérieure à aujourd'hui, et l'organisme certificateur bien identifié au certificat ?
- Le contrat couvre-t-il les huit points de l'article 28.3, dont l'assistance aux notifications de l'article 33 ?
Si l'une des trois réponses manque, le périmètre de votre conformité n'est pas établi. Un échange de qualification permet de le cadrer, ainsi que le volume de jours correspondant.
Page mise à jour le 12 septembre 2026.
Questions fréquentes sur le DPO externe en santé et l'hébergement HDS
L'article 37.6 autorise l'exercice des missions du DPO sur la base d'un contrat de service, y compris en établissement de santé ; un hébergeur certifié HDS ne dispense ni de l'AIPD, ni du registre, ni de la notification sous 72 heures.
Un établissement de santé peut-il nommer son DSI ou son médecin DIM comme DPO ?
Non sans risque : l'article 38.6 du RGPD interdit toute fonction qui conduit à déterminer les finalités et moyens des traitements. Un DSI, un RSSI, un médecin DIM ou un directeur qualité pilote lui-même des traitements de données patients : il s'auto-contrôlerait. La CNIL a déjà sanctionné ce conflit d'intérêts. La désignation externe neutralise le sujet, le DSI et le DIM restant les interlocuteurs techniques du DPO.
Comment un DPO externe travaille-t-il sur des données patients sans y accéder ?
Le DPO n'a pas besoin d'accéder aux dossiers patients : il audite les habilitations, les traces de connexion, les paramétrages et les contrats, pas les contenus médicaux. Les échanges portent sur des exports anonymisés, des captures de configuration et des entretiens avec le DIM, le RSSI et l'éditeur. Le pilotage du mandat (registre, violations, demandes de droits, veille) se conduit dans IZIRO, licences refacturées séparément.
Une violation sur un logiciel de santé doit-elle être signalée à la CNIL et à l'ARS ?
Oui, ce sont deux circuits distincts et cumulatifs. Le signalement d'incident de sécurité grave se fait sans délai sur le portail de signalement (article L.1111-8-2 du code de la santé publique), avec information de l'ARS et du CERT Santé. La notification à la CNIL suit sa propre logique de risque pour les personnes. Un même ransomware déclenche les deux : préparez une fiche de qualification unique pour éviter qu'un circuit soit oublié.
Quel délai s'applique à une demande d'accès au dossier patient : un mois ou huit jours ?
Les deux régimes coexistent. Le droit d'accès RGPD (article 12) court sur un mois prorogeable à trois. L'accès au dossier médical (article R.1111-1 du code de la santé publique) impose huit jours après un délai de réflexion de quarante-huit heures, porté à deux mois pour les informations de plus de cinq ans. Le délai le plus favorable au patient prime : traitez ces demandes dans le circuit dossier médical, pas dans le circuit RGPD générique.
Faut-il un DPO distinct pour une CPTS, une maison de santé et chaque professionnel qui la compose ?
Chaque responsable de traitement reste soumis à sa propre obligation, mais l'article 37.2 du RGPD autorise un DPO unique pour un groupe d'entités, sous réserve qu'il reste joignable de chacune. Pour une CPTS, une MSP ou un groupement, la désignation mutualisée est la voie la plus tenable : une cartographie commune, des registres distincts par structure, un point de contact unique. La convention de mutualisation doit répartir explicitement les jours entre entités.
Qu'est-ce qui fait varier le budget d'un mandat DPO externe dans le secteur santé ?
Quatre variables dominent : le nombre de logiciels métiers et de sous-traitants à contractualiser, l'existence ou non d'un registre exploitable au départ, le volume d'AIPD à conduire sur les traitements sensibles, et le rythme des instances (CME, comité qualité) auxquelles le DPO doit rendre compte. À titre de repère de marché, un DPO interne représente un poste de cadre confirmé à temps plein. La proposition chiffre un crédit-jours annuel après audit de cadrage.
Le DPO externe se déplace-t-il dans l'établissement, et à quel rythme ?
Les prestations sont conduites majoritairement à distance : audits documentaires, entretiens, comités de suivi en visioconférence. Les déplacements sur site portent sur les grands jalons — cadrage initial, restitution d'audit, présentation en instance, accompagnement d'un contrôle — et sont prévus au devis, le temps de trajet étant imputé au crédit-jours. Au 12 septembre 2026, plus de neuf mandats sur dix se pilotent ainsi sans perte de réactivité sur les incidents.
