La conformité HDS conditionne l’hébergement de toute donnée de santé numérique en France, sous peine de sanctions CNIL. Beaucoup de cabinets découvrent le sujet au moment de changer de logiciel métier, sans budget prévu pour ça. Le coût réel dépasse rarement le seul prix affiché par l’hébergeur : audits, contrats de sous-traitance et temps interne s’ajoutent à la facture.
En bref
La conformité HDS coûte, pour un cabinet qui passe par un logiciel métier mutualisé déjà certifié, entre 50 et 300 euros par mois selon le volume de données et les options de sauvegarde. Un hébergement HDS dédié, hors mutualisation, démarre plutôt autour de 300 à 800 euros mensuels, audits et contrats de sous-traitance compris.
Le vrai risque budgétaire ne vient pas de l’hébergement lui-même mais des coûts cachés : mise à jour des contrats RGPD, formation de l’équipe, et vérification que le prestataire couvre bien les deux volets du référentiel HDS, hébergement physique et gestion active des données.
Ce que la certification HDS impose à un cabinet
La conformité HDS découle de l’article L. 1111-8 du code de la santé publique, qui impose une certification à toute structure hébergeant des données de santé à caractère personnel pour le compte d’un tiers. Un cabinet qui utilise un logiciel métier en ligne ne cherche pas cette certification lui-même : c’est son éditeur ou son hébergeur qui doit la détenir. Le référentiel, piloté par l’Agence du Numérique en Santé en lien avec la CNIL et le COFRAC, s’appuie sur la norme ISO 27001 et couvre deux volets distincts, l’hébergement physique de l’infrastructure et la gestion active des données, exploitation, sauvegarde, administration comprises.
Ce découpage en deux certificats change la donne pour un cabinet. Un prestataire peut être certifié pour l’infrastructure sans l’être pour la gestion active. Vérifier le périmètre exact du certificat, avant de signer, évite de se retrouver avec un hébergeur partiellement conforme.
Les postes de coût réels d’une mise en conformité
Chiffrer la conformité HDS demande de budgéter au moins quatre postes distincts, au-delà du seul prix affiché par l’hébergeur.
| Poste | Fourchette indicative | Fréquence |
|---|---|---|
| Hébergement HDS mutualisé (logiciel métier déjà certifié) | 50 à 300 €/mois | Mensuel |
| Hébergement HDS dédié | 300 à 800 €/mois | Mensuel |
| Contrat de sous-traitance RGPD et audit juridique | 500 à 2 000 € | Ponctuel |
| Formation et procédures internes (accès, sauvegardes, incidents) | 1 à 3 jours de temps équipe | Ponctuel puis annuel |
Ces montants varient selon le volume de dossiers patients, le nombre d’utilisateurs et le niveau de service attendu, notamment le délai de reprise après incident. Un cabinet de deux à trois praticiens reste en général dans la fourchette basse s’il passe par un logiciel métier mutualisé plutôt que par un hébergement dédié, ce qui ramène la conformité HDS à une ligne budgétaire prévisible.
Ce que les devis d’hébergeurs HDS omettent souvent
Le devis initial d’un hébergeur ne couvre pas tout le périmètre réel de la conformité HDS. Il mentionne rarement le coût de sortie. Récupérer l’intégralité des dossiers patients en cas de changement de prestataire a un prix, parfois négocié à la marge par l’hébergeur en place. Le contrat doit préciser le format d’export et le délai de restitution avant toute signature.
Deuxième angle mort : la répartition des responsabilités en cas d’incident. Le RGPD impose une notification sous 72 heures à la CNIL en cas de violation de données. Le contrat avec l’hébergeur doit fixer qui alerte qui, et dans quel délai interne, pour tenir ce délai réglementaire.
Troisième poste souvent oublié : la mise à jour des mentions légales et de la documentation destinée aux patients. Elle relève du cabinet, pas de l’hébergeur, et demande un temps de rédaction rarement chiffré en amont.
Logiciel métier déjà certifié HDS ou hébergement séparé
La majorité des cabinets n’ont pas à choisir un hébergeur HDS en direct. Le logiciel métier utilisé au quotidien, dossier patient, agenda, facturation, embarque déjà cette obligation via son propre hébergement certifié. Le budget se limite alors à l’abonnement au logiciel, généralement affiché toutes options comprises, ce qui simplifie la conformité HDS pour la majorité des cabinets.
Un hébergement séparé se justifie surtout pour les structures qui gèrent plusieurs outils métier non certifiés chacun, ou qui hébergent en interne des données issues de plusieurs logiciels. Cette configuration reste rare pour un cabinet de taille courante et alourdit nettement la facture, entre gestion technique interne et contrats multiples.
Le cabinet gagne à vérifier ce point avant de signer avec un éditeur logiciel : demander explicitement le certificat HDS et son périmètre, infrastructure, gestion active, ou les deux, évite une mauvaise surprise en cours de contrat.
La méthode pour cadrer le budget avant de signer
Cadrer le budget de conformité HDS avant la signature évite les renégociations en cours de contrat. Quatre vérifications suffisent pour la majorité des cabinets.
- Demander le certificat HDS du logiciel métier ou de l’hébergeur, avec son périmètre exact et sa date de validité.
- Chiffrer le coût de sortie : format d’export des dossiers patients, délai de restitution, frais éventuels.
- Vérifier le contrat de sous-traitance RGPD et la procédure de notification en cas de violation de données, avec des délais internes compatibles avec les 72 heures imposées par le règlement européen.
- Prévoir le temps de formation interne sur les procédures d’accès, de sauvegarde et de gestion des incidents, généralement sous-estimé dans le devis initial.
Ce que coûte la non-conformité
Ignorer la conformité HDS expose à des sanctions CNIL pouvant atteindre 4 % du chiffre d’affaires mondial ou 20 millions d’euros, le montant le plus élevé étant retenu, en cas de manquement grave au RGPD. Pour un cabinet, l’exposition réelle tient surtout à la perte de confiance des patients et au temps de gestion de crise qui suit un incident.
Le risque contractuel pèse aussi sur l’éditeur du logiciel métier si son hébergement n’est pas certifié dans le périmètre requis. Un cabinet reste responsable du choix de son prestataire, même quand la faute technique vient de ce dernier. Vérifier le certificat en amont reste la protection la plus directe.
Note terrain Lead4you
Dans les diagnostics techniques que nous menons pour des cabinets, l’erreur la plus fréquente ne porte pas sur l’existence du certificat HDS mais sur son périmètre exact. Un cabinet vérifie que son prestataire est « certifié HDS » sans distinguer le volet infrastructure du volet gestion active des données. Or c’est ce second volet, moins mis en avant dans la communication commerciale des hébergeurs, qui couvre l’administration courante et les sauvegardes, le point qui déclenche justement la majorité des litiges en cas d’incident.
Checklist rapide
- Certificat HDS demandé, avec périmètre précisé (infrastructure et/ou gestion active)
- Date de validité et prochain audit de surveillance vérifiés
- Coût de sortie et délai de restitution des données chiffrés dans le contrat
- Procédure de notification CNIL sous 72 heures formalisée avec le prestataire
- Temps de formation interne budgété, pas seulement l’abonnement logiciel
Demander un diagnostic technique
À lire ensuite
Sources et repères utiles
FAQ
Qu’est-ce que la certification HDS ?
La certification HDS atteste qu’un prestataire respecte le référentiel piloté par l’Agence du Numérique en Santé, adossé à la norme ISO 27001. Elle couvre deux volets, l’hébergement physique et la gestion active des données, et se renouvelle tous les trois ans avec un audit de surveillance annuel.
Un cabinet doit-il obtenir lui-même la certification HDS ?
Non. C’est l’éditeur du logiciel métier ou l’hébergeur qui doit détenir le certificat, pas le cabinet qui utilise l’outil. Le cabinet reste responsable de vérifier que son prestataire est bien couvert pour le type de données qu’il héberge.
Combien coûte la conformité HDS pour un cabinet ?
Pour un cabinet qui passe par un logiciel métier mutualisé déjà certifié, le coût de la conformité HDS reste intégré à l’abonnement, entre 50 et 300 euros par mois selon le volume. Un hébergement dédié démarre plutôt autour de 300 à 800 euros mensuels, contrats et audits compris.
Que risque un cabinet en cas de non-conformité ?
L’hébergement non conforme expose le prestataire à des sanctions CNIL, et le cabinet à un risque contractuel et de réputation en cas d’incident. La CNIL peut sanctionner les manquements graves au RGPD jusqu’à 4 % du chiffre d’affaires mondial ou 20 millions d’euros.
Un logiciel SaaS pour cabinet de santé est-il automatiquement conforme HDS ?
Pas systématiquement. Le certificat doit couvrir le périmètre exact des services fournis, infrastructure et gestion active des données. Demander le certificat et vérifier sa portée reste la seule façon fiable de confirmer la conformité avant de signer.
Quelle est la durée de validité d’un certificat HDS ?
Le certificat HDS est délivré pour trois ans, avec un audit de surveillance réalisé chaque année par l’organisme certificateur accrédité par le COFRAC. Une non-conformité relevée lors de cet audit peut entraîner une suspension si elle n’est pas corrigée.