HDS et RGPD infirmier : obligations IDEL

HDS et RGPD ne couvrent pas la même obligation

Le RGPD encadre tout traitement de données personnelles, sur support numérique comme sur papier. La certification HDS encadre, elle, l'hébergement de données de santé à caractère personnel réalisé pour le compte du patient ou du professionnel qui les a produites ou recueillies dans le cadre du soin. Un logiciel ne devient donc pas « conforme au RGPD » par la seule certification de son hébergeur.

L'article R. 4312-35 du code de la santé publique impose à l'infirmier de tenir un dossier avec les éléments pertinents et actualisés de la prise en charge, de le protéger contre toute indiscrétion et de prendre les mesures nécessaires lorsqu'il utilise l'informatique.

Quand la certification HDS doit être vérifiée

L'article L. 1111-8 du code de la santé publique vise la personne qui héberge ces données pour le compte de celui qui les produit ou les recueille, ou pour le patient lui-même. Cette prestation doit être contractualisée et entrer dans le cadre HDS. L'obligation porte sur l'activité d'hébergement concernée, pas sur un simple slogan apposé au logiciel.

Pour contrôler une solution, demandez et rapprochez quatre éléments :

le nom juridique de chaque hébergeur intervenant dans la chaîne ;
un certificat en cours de validité ;
les activités et les services effectivement couverts par son périmètre ;
la localisation des données, des sauvegardes et les éventuels transferts.

Depuis le 26 septembre 2026, l'article R. 1111-9-1 du code de la santé publique impose que le stockage couvert par l'activité HDS soit réalisé exclusivement dans l'Union européenne ou l'Espace économique européen. Un transfert vers un pays tiers — y compris un accès distant — reste possible seulement dans les conditions prévues par cet article. L'article R. 1111-11 impose au contrat de préciser les lieux, les accès, les transferts éventuels, les garanties et le périmètre du certificat.

L'Agence du Numérique en Santé publie la liste des hébergeurs certifiés et le référentiel HDS en vigueur. Vérifiez ces sources plutôt qu'une mention « serveurs sécurisés » ou « cloud français ». Un certificat HDS est délivré pour un périmètre et une durée donnés ; il ne garantit pas à lui seul toutes les pratiques de l'éditeur.

Le cabinet reste responsable de ses traitements

Pour le dossier de soins qu'il constitue, l'IDEL détermine les finalités et les données nécessaires : il est en principe responsable de traitement. L'éditeur qui traite ces données sur ses instructions agit comme sous-traitant. Le contrat doit notamment définir l'objet du traitement, sa durée, les mesures de sécurité, les sous-traitants ultérieurs, l'assistance pour les droits des patients et le sort des données à la fin du service.

La collecte doit rester limitée à la prise en charge, à sa traçabilité et aux obligations liées à l'activité. Les accès sont accordés selon le rôle de chacun : une personne qui organise les rendez-vous n'a pas, par principe, besoin de consulter tout le contenu clinique. La fiche de la CNIL pour les professionnels de santé libéraux détaille ces responsabilités.

Le soin ne repose généralement pas sur le consentement RGPD

Lorsque les données sont nécessaires au diagnostic ou à la prise en charge sanitaire ou sociale, la CNIL précise que le professionnel n'a pas à recueillir un consentement RGPD pour les collecter et les conserver. Cela ne dispense ni du consentement au soin lorsqu'il est requis, ni de l'information sur le traitement des données.

L'information doit présenter au patient, dans un langage accessible, les finalités, la base légale, les destinataires, la durée ou les critères de conservation, les transferts éventuels et les moyens d'exercer ses droits. La CNIL décrit le contenu de cette information. Une affiche peut compléter l'information, mais elle doit correspondre aux pratiques réelles du cabinet.

Le repère de vingt ans est une recommandation, pas une durée universelle

Le référentiel de la CNIL pour les cabinets médicaux et paramédicaux recommande de conserver les données de l'application pendant vingt ans à compter de la dernière prise en charge : cinq ans en base active, puis quinze ans en archive intermédiaire. Ce repère peut être adapté si le cabinet documente son analyse. En revanche, le double d'une FSE doit être conservé trois mois en application de l'article R. 161-47 du code de la sécurité sociale.

En dehors d'une durée imposée par un texte, chaque durée se détermine selon la finalité et les obligations applicables. La CNIL distingue les durées obligatoires de ses recommandations et permet de s'écarter de ces dernières si le choix est justifié. Le cabinet formalise donc ses durées, distingue base active et archivage intermédiaire, puis prévoit la suppression ou l'anonymisation à l'échéance.

Les droits du patient doivent être instruits au cas par cas

Le patient peut demander l'accès aux informations de santé formalisées qui le concernent. Ce droit est également encadré par l'article L. 1111-7 du code de la santé publique. Il peut aussi demander la rectification de données inexactes, la limitation d'un traitement ou, selon les conditions du RGPD, s'y opposer.

L'effacement et la portabilité ne sont pas automatiques. Une demande d'effacement peut se heurter à une obligation de conservation ou à la nécessité de constater, exercer ou défendre des droits. La portabilité ne concerne que certains traitements automatisés fondés sur le consentement ou le contrat. Le droit d'accès au dossier de soins ne dépend pas de la présence d'un bouton d'export « complet » dans le logiciel.

Les mesures minimales se vérifient dans le cabinet

un compte nominatif par professionnel, sans partage de mot de passe ;
des droits retirés dès la fin d'un remplacement ou d'une collaboration ;
un verrouillage de l'appareil et une authentification renforcée ;
des mises à jour, sauvegardes et procédures de restauration testées ;
un canal sécurisé pour transmettre des données de santé ;
une procédure documentée en cas de perte, d'erreur d'envoi ou de piratage.

Toute violation doit être documentée. Si elle présente un risque pour les droits et libertés, elle est notifiée à la CNIL dans les meilleurs délais et, si possible, dans les 72 heures. En cas de risque élevé, les personnes concernées sont aussi informées, sauf exception. La procédure de la CNIL permet d'évaluer et de notifier l'incident.

Ce que Swily documente et fournit réellement

La politique de confidentialité de Swily identifie Clever Cloud comme hébergeur des données de santé en France et renvoie à son certificat HDS. Clever Cloud figure dans la liste officielle de l'ANS pour les activités 1 à 6. Ce certificat établit le périmètre que Clever Cloud est autorisé à fournir ; il ne prouve pas, à lui seul, quelles activités Swily lui a effectivement confiées ni qui assure l'administration et l'exploitation relevant de l'activité 5. Ces éléments doivent figurer dans les clauses HDS du contrat. Swily n'est pas elle-même certifiée HDS et le recours à un hébergeur certifié ne rend pas le cabinet automatiquement conforme.

L'application prévoit des comptes distincts pour les membres du cabinet et permet d'activer une authentification à deux facteurs. Elle produit aussi un export PDF paramétrable du dossier patient pour les visites, constantes et plaies sélectionnées. Cet export aide à répondre à une demande d'accès ; il ne doit pas être présenté comme un export universel PDF/CSV de toutes les données ni comme une décision automatique sur l'effacement.

HDS et RGPD pour infirmier libéral : ce qu'il faut vérifier