Un chirurgien-dentiste qui recueille les données de ses patients en est responsable au sens du RGPD, et ce, quelle que soit la taille de son cabinet. Son éditeur de logiciel intervient comme sous-traitant, l’hébergeur comme prestataire de l’éditeur. Si la chaîne compte trois maillons, un seul répond devant le patient. D’où l’importance de s’y intéresser (de près !)
Saviez-vous que le décret n° 2026-209 du 24 mars 2026 impose que les données de santé soient stockées exclusivement dans l’Union européenne ou l’Espace économique européen, et oblige les hébergeurs à publier la cartographie de leurs transferts hors de cette zone ? Ces deux obligations prennent effet fin septembre 2026. Voici les cinq questions à se poser.
Personne n’a jamais choisi un logiciel de gestion pour son hébergeur. Un cabinet choisit une solution, une ergonomie, un support, un prix. L’hébergeur arrive avec… et c’est pourtant lui qui détient physiquement les dossiers ! Ce hiatus entre le choix et la responsabilité fait tout le sujet. Le praticien qui recueille les données de ses patients devient le responsable de traitement, et cette qualité ne se sous-traite pas. Elle comporte des obligations propres et elle suppose aussi de savoir ce que font les prestataires auxquels le cabinet confie son fichier.
Pourquoi ces questions se posent aujourd’hui
Deux évolutions récentes ont modifié le cadre applicable.
Le décret n° 2026-209 du 24 mars 2026, publié au Journal officiel du 26 mars 2026, a été pris en application de l’article 32 de la loi du 21 mai 2024 visant à sécuriser et à réguler l’espace numérique. Il modifie les articles R. 1111-9 à R. 1111-11 du code de la santé publique [1][2]. Il pose un principe de territorialisation du stockage des données de santé dans l’Union européenne ou l’Espace économique européen, encadre les transferts vers un pays tiers et impose aux hébergeurs de publier et de tenir à jour la cartographie de leurs transferts, des accès distants et des risques d’accès non autorisés. L’article 3 du décret diffère l’entrée en vigueur de ces dispositions de six mois, soit fin septembre 2026.
La grille en cinq questions
1. Où mes données sont-elles stockées et est-ce écrit au contrat ?
La question porte sur la localisation physique du stockage et sur son caractère contractuel. Une localisation annoncée sur un site commercial n’engage personne quand une localisation portée au contrat oblige. L’article R. 1111-11 du code de la santé publique range l’indication des lieux d’hébergement parmi les clauses que le contrat doit contenir au minimum [4]. Une réponse utilisable nomme donc un pays, renvoie à un article du contrat et précise ce qui se passerait en cas de changement de site d’hébergement en cours de contrat.
2. Quel est le périmètre du certificat HDS, et quelles en sont les dates ?
La certification est une obligation légale. L’article L. 1111-8 du code de la santé publique impose un certificat de conformité à toute personne qui héberge des données de santé pour le compte d’un tiers, le régime de certification ayant remplacé celui de l’agrément par le décret du 26 février 2018 [5][6]. Le mot « HDS » employé seul ne renseigne sur rien. Un certificat couvre un périmètre d’activités déterminé, de la mise à disposition de locaux à l’infogérance et à la sauvegarde externalisée et il est délivré pour trois ans. Le contrat doit d’ailleurs mentionner ce périmètre ainsi que les dates de délivrance et de renouvellement [4]. Une réponse utilisable comporte ces trois éléments, et précise si l’éditeur est lui-même certifié ou s’il s’appuie sur un hébergeur qui l’est.
3. Qui accède à mes données, et depuis quel pays ?
C’est la question à laquelle la localisation seule ne répond pas. Le décret de mars 2026 range l’accès à distance dans le régime des transferts : à compter de fin septembre, une donnée stockée en France et consultée depuis un pays tiers par une équipe de support ou de maintenance relèvera de ce régime [1]. La même logique vaut pour le droit applicable à l’entité qui détient les données, distinct du lieu où se trouvent les serveurs. Une réponse utilisable indique la chaîne complète de sous-traitance, l’existence ou l’absence d’accès distants hors Espace économique européen, et l’adresse de la cartographie que l’hébergeur devra rendre publique et tenir à jour.
4. Comment récupérer mes données, dans quel format et à quel coût ?
La réversibilité est la seule des cinq questions qui ne protège pas le patient. Elle protège le cabinet, et elle se négocie à la signature. Une réponse utilisable détaille quatre points : le format de sortie, le délai de restitution, le périmètre exact des éléments restitués, notamment l’imagerie et les documents rattachés au dossier, et le coût éventuel de l’opération. Un export limité aux données administratives, sans imagerie ni pièces jointes, remplit rarement l’usage attendu. Un contrat d’hébergement se lit une fois et en général, le jour où l’on souhaite partir !
5. Sous quel délai serai-je prévenu en cas de violation de données ?
Le règlement général sur la protection des données impose au sous-traitant de notifier toute violation au responsable de traitement dans les meilleurs délais après en avoir pris connaissance. Il appartient ensuite au responsable de traitement, donc au praticien, de notifier la violation à l’autorité de contrôle dans les meilleurs délais et, si possible, 72 heures au plus tard, sauf lorsque la violation n’est pas susceptible d’engendrer un risque pour les droits et libertés des personnes. Lorsque le risque est élevé, les personnes concernées doivent également en être informées [7].
Le délai de 72 heures est donc à la charge du cabinet, et il ne commence pas avant que l’éditeur ait prévenu. Une réponse utilisable indique le délai d’alerte de l’éditeur, le canal utilisé, la personne du cabinet qui sera contactée, et le niveau d’assistance prévu au contrat pour établir la déclaration.
La grille, en une page
| Question | Ce qu’une réponse utilisable contient | Où la vérifier |
| Lieu de stockage | Un pays nommé, un article du contrat, la procédure en cas de changement de site | Contrat, clause « lieux d’hébergement » (R. 1111-11) |
| Certification HDS | Le périmètre du certificat, ses dates de délivrance et de renouvellement, l’identité du titulaire | Contrat et liste publique des hébergeurs certifiés |
| Accès et sous-traitance | La chaîne complète de sous-traitance, les accès distants hors EEE, l’adresse de la cartographie à publier | Cartographie de l’hébergeur, contrat |
| Réversibilité | Format, délai, périmètre restitué dont l’imagerie, coût | Contrat, clause de fin de relation |
| Violation de données | Délai d’alerte de l’éditeur, canal, interlocuteur au cabinet, assistance à la déclaration | Contrat de sous-traitance (RGPD, art. 28) |
Ce que la grille ne couvre pas
La conformité des prestataires ne vaut pas conformité du cabinet. Le praticien conserve des obligations propres : registre des traitements, information des patients, gestion des habilitations d’accès au sein de l’équipe, respect des durées de conservation, et notification en cas de violation. Aucune de ces obligations ne se délègue à un éditeur.
Un hébergement européen et certifié n’écarte ni les défaillances de sauvegarde, ni les intrusions passant par un poste de travail du cabinet. La territorialisation traite une catégorie de risque, celle de l’accès depuis un pays tiers.
Poser ces cinq questions ne sécurise aucune donnée. Elles documentent ce qu’un cabinet sait de ses propres traitements et c’est très exactement ce que l’on attend d’un responsable de traitement.
Ce qu’il faut retenir
- Le chirurgien-dentiste est responsable de traitement au sens du RGPD, quelle que soit la taille de sa structure. L’éditeur et l’hébergeur interviennent comme sous-traitants.
- À compter de fin septembre 2026, le stockage des données de santé devra être réalisé exclusivement dans l’Union européenne ou l’Espace économique européen, et les hébergeurs publieront la cartographie de leurs transferts hors de cette zone [1].
- La certification HDS découle de l’article L. 1111-8 du code de la santé publique. Ce qui compte est le périmètre du certificat et ses dates, mentions que le contrat doit comporter [4][5].
- Un accès distant depuis un pays tiers relèvera du régime des transferts, même lorsque les serveurs sont situés en France [1].
- La réversibilité se négocie à la signature : format, délai, périmètre restitué, coût.
- Le délai de soixante-douze heures de notification à l’autorité de contrôle pèse sur le cabinet, et court à compter du moment où il a connaissance de la violation [7].
FAQ
Où doivent être hébergées les données de santé d’un cabinet dentaire ?
Exclusivement sur le territoire d’un État membre de l’Union européenne ou d’un État partie à l’Espace économique européen. Ce principe de territorialisation du stockage résulte du décret n° 2026-209 du 24 mars 2026, dont les dispositions concernées entrent en vigueur six mois après la publication au Journal officiel du 26 mars 2026, soit fin septembre 2026. Les transferts vers un pays tiers, y compris sous forme d’accès à distance, resteront possibles dans les conditions prévues par le RGPD, avec des garanties décrites au contrat.
Un logiciel dentaire doit-il être certifié HDS ?
L’obligation de certification pèse sur celui qui héberge les données pour le compte d’un tiers, en application de l’article L. 1111-8 du code de la santé publique. Un éditeur n’a donc pas nécessairement à être certifié lui-même, dès lors que son hébergeur l’est sur les activités concernées et que la relation est encadrée contractuellement. Ce qu’un cabinet doit obtenir est le périmètre du certificat de l’hébergeur et ses dates de délivrance et de renouvellement.
Qui est responsable des données patients dans un cabinet dentaire ?
Le praticien, en qualité de responsable de traitement au sens du RGPD, quelle que soit la taille du cabinet. Cette qualité emporte des obligations qui ne se délèguent pas : registre des traitements, information des patients, gestion des habilitations d’accès, durées de conservation et notification des violations de données.
Quelles clauses le contrat doit-il contenir ?
L’article R. 1111-11 du code de la santé publique fixe un minimum : le périmètre du certificat de conformité et ses dates, la description des prestations garantissant la disponibilité, l’intégrité, la confidentialité et l’auditabilité des données, l’indication des lieux d’hébergement, et les mesures garantissant les droits des personnes concernées. Lorsque le cabinet contracte avec un prestataire qui recourt lui-même à un hébergeur certifié, son contrat reprend ces clauses.
Que faire en cas de violation de données dans un cabinet dentaire ?
Le sous-traitant notifie la violation au responsable de traitement dans les meilleurs délais. Le cabinet, responsable de traitement, notifie ensuite l’autorité de contrôle dans les meilleurs délais et si possible dans les soixante-douze heures, sauf lorsque la violation n’est pas susceptible d’engendrer un risque pour les droits et libertés des personnes. Si le risque est élevé, les patients concernés doivent également être informés.
Que vérifier avant de changer de logiciel dentaire ?
Les modalités de restitution des données : format de sortie, délai, périmètre exact des éléments restitués, en particulier l’imagerie et les documents rattachés au dossier, et coût éventuel de l’opération. Cette clause se négocie au moment de la signature, non au moment du départ.
Encadré : la checklist avant de signer
- Localisation : je sais dans quel pays mes données sont hébergées et cette information est inscrite au contrat.
- Certification : je connais le périmètre exact du certificat HDS (hébergeur ou éditeur) ainsi que ses dates de validité.
- Flux et sous-traitance : je sais qui accède à mes données (support, maintenance) et si des accès distants existent hors EEE.
- Droits et habilitations : les modalités de gestion des accès et la traçabilité des consultations sont clairement documentées.
- Réversibilité : le format de sortie (incluant l’imagerie), le délai de restitution et le coût d’export sont négociés et fixés au contrat.
- Continuité et incidents : les procédures de sauvegarde, le délai d’alerte en cas de violation et l’assistance à la déclaration CNIL sont formalisés.
Sources
- Décret n° 2026-209 du 24 mars 2026 portant modification de certaines dispositions du code de la santé publique relatives à l’hébergement de données de santé à caractère personnel, JO du 26 mars 2026. legifrance.gouv.fr
- Loi n° 2024-449 du 21 mai 2024 visant à sécuriser et à réguler l’espace numérique, article 32. legifrance.gouv.fr
- Arrêté du 26 avril 2024 modifiant l’arrêté du 11 juin 2018 portant approbation du référentiel d’accréditation des organismes de certification et du référentiel de certification pour l’hébergement de données de santé à caractère personnel, JO du 16 mai 2024. legifrance.gouv.fr
- Code de la santé publique, articles R. 1111-9 à R. 1111-11, dans leur rédaction issue du décret n° 2026-209. legifrance.gouv.fr
- Code de la santé publique, article L. 1111-8. legifrance.gouv.fr
- Décret n° 2018-137 du 26 février 2018 relatif à l’hébergement de données de santé à caractère personnel. legifrance.gouv.fr
- Règlement (UE) 2016/679 du 27 avril 2016, articles 28, 32, 33 et 34.
- Agence du numérique en santé, référentiel de certification HDS et liste des hébergeurs certifiés. esante.gouv.fr
