Un cabinet dentaire manipule quotidiennement des données de santé : dossiers patients, radiographies, plans de traitement, correspondances avec les laboratoires de prothèse. Depuis que ces informations ont quitté les armoires pour les logiciels de gestion et le cloud, une question revient chez les praticiens : mon cabinet doit-il être « certifié HDS » ?
La réponse est presque toujours non — mais elle mérite d’être comprise, parce que l’obligation existe bel et bien, et qu’elle pèse sur quelqu’un.
Ce qu’est réellement la certification HDS
HDS signifie « hébergeur de données de santé ». C’est une certification encadrée par le code de la santé publique, délivrée par un organisme certificateur accrédité par le COFRAC, à l’issue d’un audit documentaire puis d’un audit sur site. Elle est valable trois ans et s’accompagne d’audits de surveillance annuels.
Point essentiel : elle ne certifie pas un cabinet, ni même un logiciel. Elle certifie une activité d’hébergement de données de santé pour le compte d’autrui. Le référentiel distingue d’ailleurs deux catégories, selon que l’on héberge l’infrastructure physique ou que l’on assure l’infogérance.
Pourquoi votre cabinet n’est pas concerné
Un chirurgien-dentiste qui soigne ses patients et conserve leurs dossiers ne fait pas de l’hébergement pour le compte d’un tiers : il traite ses propres données, dans le cadre de son exercice. Il est soumis au secret médical et au RGPD, ce qui n’est pas rien — mais pas à la certification HDS.
Celle-ci concerne l’acteur situé en amont : le prestataire chez qui vos données sont physiquement stockées. Si vous utilisez un logiciel de gestion en ligne, c’est l’hébergeur de cet éditeur qui doit être certifié.
La bonne question à poser à votre éditeur
Plutôt que de vous demander si vous devez être certifié, demandez à votre fournisseur de logiciel :
- Où sont hébergées les données de mon cabinet, et chez quel prestataire ?
- Cet hébergeur est-il certifié HDS, et pour quelle catégorie ?
- Pouvez-vous me transmettre le certificat, avec sa date de validité ?
- Que prévoit le contrat en matière de réversibilité — c’est-à-dire de récupération de mes données si je change de solution ?
Un éditeur sérieux répond à ces quatre questions sans hésiter. Une réponse évasive sur l’hébergement est, en soi, une information.
Attention aux usages hors logiciel
Le sujet déborde souvent du logiciel métier. Les radiographies échangées par messagerie ordinaire, les photographies cliniques stockées sur un téléphone personnel, les fichiers déposés sur un service de partage grand public, le cabinet qui conserve ses sauvegardes sur un disque dur non chiffré : ce sont des pratiques courantes, et ce sont elles qui exposent le plus, bien avant la question de la certification.
Pour les échanges entre professionnels de santé, les messageries sécurisées prévues à cet effet existent précisément pour éviter ces contournements.
Et si vous développez votre propre outil ?
Certains cabinets et groupes dentaires font développer une application sur mesure — suivi post-opératoire, prise de rendez-vous, communication avec le patient. La question change alors de nature : il faut déterminer si le projet relève de l’hébergement au sens du référentiel, et dans quel cas s’appuyer sur un hébergeur déjà certifié plutôt que d’engager une démarche propre, longue et coûteuse.
Dans l’immense majorité des cas, la seconde option suffit : le certificat du fournisseur répond à l’obligation. Les étapes, les deux catégories de certificat et le déroulement des audits sont détaillés dans ce guide sur la manière d’obtenir la certification HDS, qui commence justement par aider à vérifier si l’on en a besoin.
À retenir
La certification HDS n’est pas une case à cocher pour votre cabinet. C’est une exigence qui pèse sur votre chaîne de sous-traitance, et votre rôle consiste à la vérifier — puis à documenter cette vérification. En cas de contrôle ou d’incident, c’est la trace de cette diligence qui comptera, autant que la conformité elle-même.