Cybersécurité en cabinet médical : obligations HDS et protection des données de santé en 2026

Le 10 novembre 2025, l’éditeur Weda a suspendu l’accès à son logiciel après la détection d’une activité suspecte. Plus de 23 000 soignants se sont retrouvés sans dossier patient informatisé, et des cabinets ont travaillé sur papier pendant près d’une semaine, selon Caducee.net. Quelques mois plus tard, un reportage de France 2 révélait que le logiciel MLM de Cegedim avait été touché par une fuite qui pourrait concerner, selon la ministre de la Santé, environ 15 millions de personnes. Dans les deux cas, la cible n’était pas le cabinet lui-même, mais le fournisseur de son logiciel.

Pour un médecin, un chirurgien-dentiste, un kinésithérapeute ou une maison de santé, la question n’est donc plus seulement « mon ordinateur est-il protégé ? », mais « à qui ai-je confié les données de mes patients, et ai-je vérifié ses garanties ? ». La réponse repose sur trois ensembles de règles : la certification HDS (hébergeur de données de santé) de l’hébergeur, le RGPD et le secret professionnel, et les mesures de sécurité attendues d’un responsable de traitement. Cet article fait le point sur chacun, avec les textes et les chiffres les plus récents : référentiel HDS version 2 applicable depuis le 16 mai 2026, décret du 24 mars 2026, état de la transposition de NIS2. Il se termine par un plan d’action réaliste pour un cabinet sans service informatique. Les informations sont à jour au 24 octobre 2026.

L’essentiel à retenir

• Un cabinet médical n’a pas à être certifié HDS lorsqu’il conserve lui-même ses dossiers. La certification s’impose à l’hébergeur qui conserve des données de santé pour son compte : éditeur de logiciel en ligne, sauvegarde externalisée. Le cabinet doit vérifier ce certificat et signer un contrat.
• Depuis le 16 mai 2026, seule la version 2.0 du référentiel HDS fait foi. Le décret du 24 mars 2026 impose le stockage dans l’Union européenne ou l’Espace économique européen et la transparence sur les risques d’accès par des États tiers.
• Le cabinet reste responsable de traitement au sens du RGPD : sécurité, encadrement des sous-traitants, information des patients, notification des violations sous 72 heures.
• Les sanctions touchent aussi les petites structures : la CNIL a sanctionné deux médecins libéraux, à 3 000 et 6 000 euros, pour des images médicales accessibles sur internet.
• Les attaques visent de plus en plus les éditeurs et les comptes utilisateurs (Weda, Cegedim). Sauvegardes déconnectées, double authentification et mots de passe uniques restent les premières défenses.
• La certification HDS n’est pas une garantie de souveraineté : seule la qualification SecNumCloud de l’ANSSI traite l’immunité aux lois extra-européennes. D’où cinq questions à poser à votre éditeur.

Pourquoi les données de santé d’un cabinet médical attirent les cybercriminels ?

Un dossier patient réunit en un seul endroit des informations qu’aucune autre base de données ne regroupe : identité, coordonnées, numéro de sécurité sociale, antécédents, traitements, parfois des notes personnelles du praticien. Contrairement à un mot de passe, une donnée de santé ne se change pas : une fois divulguée, elle peut servir au chantage, à l’usurpation d’identité ou à de l’hameçonnage très ciblé. Cette valeur durable explique l’intérêt des attaquants pour le secteur, y compris pour ses petites structures.

Les chiffres officiels les plus récents confirment une pression élevée :

• ANSSI, Panorama de la cybermenace 2025 (présenté le 11 mars 2026). L’agence a traité 1 366 incidents confirmés. Quatre secteurs en concentrent 76 % : l’éducation et la recherche (34 %), les ministères et les collectivités territoriales (24 %), la santé (10 %) et les télécommunications (9 %). Ces chiffres reflètent les signalements reçus par l’ANSSI et ne sont pas nécessairement représentatifs de l’ensemble des événements. Les rançongiciels ont diminué sans disparaître (128 compromissions recensées), les PME, TPE et ETI restant les plus touchées, et la part des établissements de santé parmi les victimes de rançongiciels (8 %) est de nouveau en hausse. L’ANSSI estime par ailleurs que l’IA générative est un potentiel accélérateur des capacités offensives, son usage par les attaquants dépendant de leurs objectifs et surtout de leur niveau de maturité.
• CERT Santé, observatoire 2025. 764 incidents de sécurité déclarés (749 en 2024, 581 en 2023) par 606 structures. Les incidents liés aux rançongiciels reculent de 30 %, mais la messagerie représente 50 % des vecteurs identifiés. Parmi les structures déclarantes, 76 % estiment que l’incident a touché des données, et il s’agit de données de santé dans 54 % des cas.

Une précision s’impose : l’observatoire du CERT Santé repose sur les déclarations d’établissements de santé (61 % des incidents) et d’établissements médico-sociaux. Il ne mesure pas directement les cabinets libéraux, et Caducee.net signale une possible sous-déclaration. On peut en retenir que les vecteurs dominants, messagerie, comptes utilisateurs et accès à distance, sont aussi ceux auxquels un cabinet est exposé. Le titre de l’analyse de Caducee.net résume l’édition 2025 : les rançongiciels reculent, les comptes compromis progressent. Pour replacer ce contexte dans l’ensemble des menaces qui visent les petites structures, voir notre analyse Pourquoi les PME sont les cibles préférées des hackers et notre guide sur le ransomware en PME.

Cegedim, Weda : quand c’est l’éditeur du logiciel de cabinet qui est attaqué

Weda, novembre 2025. L’éditeur (groupe Vidal) a suspendu l’accès à sa plateforme le 10 novembre 2025 après avoir détecté une activité suspecte. Plus de 23 000 professionnels, sur les 85 000 utilisateurs revendiqués par l’éditeur, ont été touchés. Un accès dégradé, limité à la consultation des dossiers, n’est revenu que le 14 novembre, et la facturation était encore manuelle le 17 novembre. La cause n’a pas été confirmée : des observateurs évoquent des identifiants volés par des logiciels espions et l’absence de double authentification, sans que rien ne soit établi. Weda indique avoir alerté la CNIL et l’ANSSI et déposé plainte. Selon son courriel du 12 novembre, les premières analyses « auraient pu permettre une extraction partielle de données », mais aucune exfiltration massive n’était avérée au 17 novembre (Caducee.net).

Cegedim, logiciel MLM, 2026. Cegedim Santé indique avoir identifié fin 2025 un comportement anormal de requêtes sur des comptes de médecins. Sur les 3 800 médecins utilisateurs du logiciel MLM, 1 500 sont concernés. Les médecins ont été contactés début janvier 2026, selon l’éditeur ; le public n’a été informé que le 26 février, après un reportage du 20 heures de France 2. Les chiffres ont varié : la ministre de la Santé a évoqué environ 15 millions de personnes potentiellement concernées, dont environ 164 000 avec des données sensibles, sans qu’il s’agisse nécessairement de données de santé. Cegedim affirme que les dossiers médicaux structurés sont restés intègres : les données concernées sont avant tout administratives (identité, coordonnées), avec un champ de commentaire en texte libre qui a pu contenir des informations sensibles pour un nombre très limité de patients, selon l’éditeur. Le parquet de Paris a ouvert une enquête, et la ministre a demandé à l’éditeur de rendre compte des causes techniques et des mesures correctives (Caducee.net).

Ce que ces deux affaires changent pour un cabinet :

• Vous restez responsable de traitement, même quand l’incident vient de l’éditeur. Dans le cas de Weda, Caducee.net rappelle que le responsable de traitement, souvent le cabinet, doit notifier la CNIL sous 72 heures en cas de risque pour les personnes, l’éditeur, sous-traitant, l’aidant à documenter et à corriger.
• La continuité d’activité se prépare avant la panne. Une semaine sans logiciel exige un agenda consultable hors ligne, une procédure papier et un export récent des données utiles.
• Le choix de l’éditeur est un acte de cybersécurité. Demandez-lui dans quel délai il vous informe d’un incident : dans l’affaire Cegedim, l’écart entre l’information des médecins (janvier) et celle du public (fin février) a fait débat.

Ces situations relèvent du risque fournisseur, que notre article sur les attaques par supply chain décrit en détail, et notre guide sur la gestion des risques tiers propose une méthode pour auditer ses prestataires. Pour choisir un partenaire informatique, voir aussi comment choisir un prestataire de confiance.

La certification HDS : définition, base légale et sanctions

En France, l’article L. 1111-8 du Code de la santé publique impose la certification HDS à toute personne qui héberge des données de santé à caractère personnel recueillies à l’occasion d’activités de prévention, de diagnostic, de soins ou de suivi social et médico-social, pour le compte des responsables de traitement ou du patient. L’Agence du numérique en santé (ANS) précise, dans sa FAQ sur le champ d’application, que ces conditions sont cumulatives.

La certification HDS est délivrée par un organisme de certification accrédité par le COFRAC, après audit. Le référentiel s’appuie sur la norme ISO 27001 et y ajoute des exigences propres à la santé. Il couvre six activités, de la mise à disposition de sites physiques et d’infrastructures à l’administration du système d’information et à la sauvegarde externalisée. L’ANS publie la liste des hébergeurs certifiés.

Héberger des données de santé sans certificat est puni, selon l’analyse de Squire Patton Boggs, de trois ans d’emprisonnement et de 45 000 euros d’amende pour une personne physique, et de 225 000 euros pour une personne morale (article L. 1115-1 du Code de la santé publique). Le point essentiel pour un cabinet : l’obligation pèse sur l’hébergeur, pas sur le médecin. L’hébergeur peut être un grand cloud, un hébergeur spécialisé ou, le plus souvent pour un cabinet, l’éditeur de son logiciel en ligne ou le sous-traitant de celui-ci.

Votre cabinet doit-il être certifié HDS ? Les cas concrets

La réponse courte : non, si vous conservez vous-même vos dossiers, car vous n’hébergez pas des données pour le compte d’un tiers. Oui, en revanche, pour tout prestataire qui les conserve à votre place. Le tableau ci-dessous applique ce principe aux situations les plus courantes.

Le Conseil national de l’Ordre des médecins rappelle que, lorsque les données sont hébergées chez un hébergeur certifié, celui-ci doit garantir un niveau de sécurité adapté au risque, et que le médecin doit le vérifier et conclure un contrat conforme à l’article L. 1111-8. L’Ordre propose d’ailleurs un contrat type, comme le précise sa page Protéger les données de santé. Concrètement, exigez trois documents de votre éditeur : la copie du certificat HDS (version, périmètre, date de validité), le contrat d’hébergement et la liste de ses sous-traitants certifiés. Selon l’analyse de Squire Patton Boggs, l’hébergeur doit fournir ces certificats à ses clients, et le contrat doit prévoir les modalités de restitution des données (réversibilité).

HDS version 2 et décret du 24 mars 2026 : ce qui change en 2026

Le référentiel HDS 2.0, publié en 2024, s’applique aux nouvelles certifications depuis novembre 2024. Les hébergeurs certifiés en version 1.1 avaient jusqu’au 16 mai 2026 pour migrer, d’après Squire Patton Boggs (analyse du 18 mai 2026). Selon Schellman, les certificats délivrés en version 1.1 ne sont plus valides après cette date. Pour votre cabinet, la vérification est simple : le certificat de l’hébergeur de votre logiciel doit porter sur la version 2.0.

Le volet souveraineté vient du décret n° 2026-209 du 24 mars 2026, publié au Journal officiel du 26 mars 2026, qui met en œuvre l’article 32 de la loi du 21 mai 2024 visant à sécuriser et réguler l’espace numérique (loi SREN). D’après les analyses juridiques publiées sur le texte (base juridique de l’AP-HP, Digital Policy Alert), le décret prévoit que :

• le stockage des données de santé se fait sur le territoire d’un État membre de l’Union européenne ou de l’Espace économique européen ;
• les transferts vers un pays tiers, accès à distance compris, restent possibles s’ils respectent le RGPD, par une décision d’adéquation de la Commission européenne ou par des garanties appropriées ;
• l’hébergeur informe ses clients, actuels ou potentiels, des mesures prises face aux risques de transfert ou d’accès non autorisé par des États tiers ;
• le contenu minimal du contrat d’hébergement est alourdi.

Le décret est entré en vigueur le 27 mars 2026, à l’exception de deux dispositions de son article 1er applicables six mois plus tard, soit fin septembre 2026. Selon Squire Patton Boggs, le contrat doit désormais lister les réglementations non européennes susceptibles d’imposer un accès aux données, et l’hébergeur doit publier une cartographie de ses transferts hors de l’EEE. Schellman indique qu’une version 2.1 du référentiel, destinée à intégrer ces évolutions, était attendue vers août ou septembre 2026 (estimation) : vérifiez son statut sur le site de l’ANS.

Pour un cabinet, la question à poser à son éditeur est donc devenue plus précise : où mes données sont-elles stockées, qui peut y accéder depuis l’extérieur de l’Europe, et sous quel droit ? La section sur la souveraineté, plus bas, donne la liste complète des questions.

RGPD et secret professionnel : les obligations du cabinet médical

Les données de santé relèvent des catégories particulières de données de l’article 9 du RGPD. Le cabinet, qui décide des finalités et des moyens du traitement, est responsable de traitement. La CNIL résume ses obligations dans sa page RGPD et professionnels de santé libéraux, dans le guide pratique CNIL et Ordre des médecins et dans son référentiel du 28 juillet 2020 sur la gestion des cabinets médicaux et paramédicaux, qui n’est pas contraignant mais fixe un cadre de référence.

• Registre des traitements. Il se tient en interne et n’est pas transmis à la CNIL ; il doit pouvoir être présenté en cas de contrôle.
• Information des patients. Elle peut prendre la forme d’une affiche en salle d’attente. Le recueil du consentement n’est pas requis pour la collecte et la conservation de ces données de soins.
• DPO et analyse d’impact (AIPD). Un professionnel qui exerce à titre individuel n’est pas tenu de désigner un délégué à la protection des données. En revanche, le traitement de données de santé à grande échelle (réseau, maison de santé, dossiers partagés) impose un DPO et une analyse d’impact pour les traitements concernés.
• Sécurité. Le cabinet doit mettre en place des mesures techniques et organisationnelles appropriées. La CNIL cite la carte de professionnel de santé, un mot de passe personnel et un chiffrement fort en cas d’usage d’internet. Elle propose aussi un guide de la sécurité des données personnelles.
• Sous-traitants. Tout prestataire qui traite des données pour votre compte (éditeur, hébergeur, maintenance) doit vous garantir un niveau de sécurité adapté, et un contrat doit l’encadrer.
• Violation de données. Une violation susceptible d’engendrer un risque pour les personnes est notifiée à la CNIL dans les 72 heures, et communiquée aux patients lorsque le risque est élevé (articles 33 et 34 du RGPD).
• Conservation. L’Ordre des médecins recommande de conserver les dossiers médicaux vingt ans après la dernière consultation.

Deux précisions de datation : la page de la CNIL sur les libéraux porte la date du 1er juin 2018, et le guide commun avec l’Ordre date de 2018 également. Les principes restent ceux du RGPD, mais consultez les versions en vigueur sur cnil.fr avant de vous y référer pour une décision.

Secret professionnel et responsabilité pénale. Le secret médical s’impose à tous les professionnels intervenant dans le système de santé ; sa violation est punie d’un an d’emprisonnement et de 15 000 euros d’amende (article 226-13 du Code pénal). Le fait de traiter des données personnelles sans mettre en œuvre les mesures de sécurité prescrites est, lui, puni de cinq ans d’emprisonnement et de 300 000 euros d’amende (article 226-17), comme le rappelle la page de la CNIL sur les sanctions pénales. Côté RGPD, l’article 83 prévoit des amendes administratives pouvant aller jusqu’à 10 millions d’euros ou 2 % du chiffre d’affaires mondial pour les manquements aux obligations de sécurité et de notification, et jusqu’à 20 millions d’euros ou 4 % pour les manquements aux principes de base, dont le traitement des données sensibles. Ce sont des plafonds théoriques : la CNIL adapte ses amendes à la taille et à la situation de l’organisme, comme le montre la section suivante.

Pour une vue d’ensemble de ces obligations en entreprise, voir notre guide RGPD et cybersécurité : les obligations des PME en 2026 et notre article sur la responsabilité du dirigeant en cas de cyberattaque.

Ce que la CNIL a sanctionné : deux médecins libéraux et un éditeur de logiciels

Deux médecins libéraux, décembre 2020. La CNIL a infligé des amendes de 3 000 et 6 000 euros à deux médecins libéraux dont l’identité n’a pas été publiée. Lors d’un contrôle en ligne en septembre 2019, elle avait constaté que des milliers d’images médicales hébergées sur leurs serveurs étaient librement accessibles sur internet. Les causes relevées : une box mal paramétrée avec des ports ouverts, un logiciel d’imagerie dont la fonction serveur était activée et mal configurée, un disque dur amovible connecté en permanence avec les images en clair, et des fichiers non systématiquement chiffrés. Deux manquements ont été retenus : l’obligation de sécurité (article 32 du RGPD) et l’absence de notification de la violation à la CNIL (article 33). La CNIL a rappelé qu’il faut chiffrer les postes nomades et les supports mobiles (Caducee.net).

Dedalus Biologie, avril 2022. Cet éditeur de logiciels pour laboratoires, sous-traitant de ses clients, a été condamné à 1,5 million d’euros d’amende après la fuite des données d’environ 500 000 personnes, dont 1 700 militaires. La CNIL a relevé six manquements, parmi lesquels l’absence de procédure pour les migrations de données, l’absence de chiffrement des données stockées sur le serveur concerné, des comptes utilisateurs partagés entre plusieurs salariés et l’absence de supervision des alertes de sécurité. Les conditions générales de vente, qui tenaient lieu de contrat avec les laboratoires, n’intégraient pas les clauses que le RGPD rend obligatoires (Le Monde Informatique, Orrick).

Trois leçons à retenir pour un cabinet :

1. Une erreur de configuration suffit. Dans le premier cas, ce sont des ports ouverts sur une box et un logiciel d’imagerie mal paramétré qui ont exposé des milliers d’images, pas une attaque sophistiquée.
2. Ne pas notifier aggrave la situation. Le manquement à l’article 33 a été sanctionné en plus du défaut de sécurité.
3. Le contrat avec le sous-traitant compte. Les conditions générales de l’éditeur n’intégraient pas les clauses que le RGPD impose, et la CNIL l’a retenu contre lui. Un cabinet qui confie des données à un prestataire doit lui aussi s’assurer qu’un contrat conforme existe.

NIS2 : un cabinet médical est-il concerné ?

La directive européenne NIS2 range la santé parmi les secteurs hautement critiques (hôpitaux, laboratoires, fabricants de dispositifs médicaux notamment). Elle s’applique en principe aux entités de taille moyenne ou grande, à partir de 50 salariés ; les structures de moins de 50 salariés sont en général hors champ, sauf désignation par l’État, comme l’explique notre guide de mise en conformité NIS2 pour PME. Un médecin installé seul ou un petit cabinet n’est donc, en règle générale, pas visé. Une clinique, un centre de santé employant du personnel salarié, un laboratoire d’analyses ou un groupe de radiologie peuvent l’être, selon leur taille.

Où en est la transposition française ? Au 24 octobre 2026, le projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité, qui transpose NIS2, n’est pas adopté. La directive devait être transposée au 17 octobre 2024. La Commission européenne a saisi la Cour de justice de l’Union européenne contre la France, l’Irlande, l’Espagne et les Pays-Bas, selon Solutions Numériques (9 juillet 2026). Le Sénat a adopté le texte le 12 mars 2025 et la commission spéciale de l’Assemblée nationale a arrêté sa version en septembre 2025. Le relevé de conclusions du 6 octobre 2026 a retiré le projet de l’ordre du jour des 7 et 9 octobre, sans nouvelle date, selon Leto.

Tant que la loi n’est pas adoptée, ces obligations ne s’imposent pas aux entreprises françaises par la loi. NIS2 reste néanmoins un excellent référentiel : les mesures de son article 21 (gestion des risques, continuité et sauvegardes, sécurité de la chaîne d’approvisionnement, gestion des vulnérabilités, contrôle d’accès, authentification multifacteur, gestion des incidents) recoupent ce que l’ANS et la CNIL recommandent à un cabinet. Pour suivre le calendrier, consultez notre pilier sur les nouvelles obligations réglementaires de cybersécurité 2026 et notre article de présentation de NIS2 pour les PME.

Dix mesures de cybersécurité pour un cabinet médical

Ces mesures reprennent l’esprit du mémento de sécurité informatique de l’ANS pour les professionnels de santé en exercice libéral (version 2.0 de novembre 2021, qui contient aussi des questionnaires à utiliser avec les prestataires et une fiche réflexe en cas d’attaque), complété par les recommandations de la CNIL, de l’assureur MACSF et par les incidents décrits plus haut. Elles sont classées par ordre de priorité décroissante.

Quelques points pour passer du tableau à la pratique. Pour les sauvegardes, notre article sur la règle 3-2-1 détaille la méthode. Pour l’authentification, voir notre guide sur la MFA en PME et notre comparatif des gestionnaires de mots de passe. Pour les mises à jour et le réseau, consultez le patch management et la sécurisation du réseau Wi-Fi. Pour le chiffrement, notre guide du chiffrement au repos et en transit.

La messagerie mérite une attention particulière, puisqu’elle représente la moitié des vecteurs identifiés par le CERT Santé. La messagerie sécurisée de santé (MSSanté) fonctionne en circuit fermé : une adresse MSSanté ne peut pas écrire vers une messagerie grand public comme Gmail ou Hotmail. Les médecins peuvent ouvrir gratuitement une adresse Mailiz, proposée par les Ordres, avec leur carte CPS. L’Ordre des médecins recommande ce canal pour échanger avec d’autres professionnels de santé ; avec une messagerie standard, il demande de vérifier qu’elle est sécurisée et de chiffrer les pièces jointes. Côté hameçonnage, voir nos articles sur la détection du phishing et le quishing, ainsi que notre guide pour former ses employés. Pour l’authentification e-CPS, l’Ordre des pharmaciens rappelle les bonnes pratiques à respecter pour éviter la fraude.

IA au cabinet : ChatGPT, scribes de consultation et données de santé

L’intelligence artificielle entre au cabinet par deux portes : l’initiative individuelle (un praticien ou une secrétaire qui colle un compte rendu dans un chatbot pour le reformuler) et les outils spécialisés (scribes qui transcrivent la consultation, assistants de rédaction). Elle peut aussi servir les attaquants : l’ANSSI estime que l’IA générative est un potentiel accélérateur de leurs capacités offensives, tout en précisant que son usage dépend de leurs objectifs et surtout de leur niveau de maturité. Nos articles sur le clonage vocal par IA et le quishing décrivent des techniques déjà utilisées contre les petites structures.

Côté règles, la HAS et la CNIL ont mis en consultation, du 5 mars au 16 avril 2026, un projet de guide pour accompagner le bon usage des systèmes d’IA en contexte de soins, destiné aux établissements de santé comme aux professionnels libéraux. Il comprend dix fiches sur les étapes de déploiement et d’utilisation d’un système d’IA, et deux fiches génériques sur la gouvernance et sur l’IA générative. La version finale est annoncée sans date : le document reste provisoire.

En attendant, voici quatre réflexes de bon sens. Ce sont nos recommandations, pas des obligations tirées de ce projet de guide :

1. Aucune donnée identifiante de patient dans un chatbot grand public. Les conditions d’un service grand public ne sont pas celles d’un hébergeur HDS lié par contrat. Notre pilier sur ChatGPT et l’IA générative en entreprise détaille les risques.
2. Pour un scribe ou un assistant spécialisé, exigez les garanties d’un logiciel de cabinet : hébergement HDS version 2.0, contrat de sous-traitance RGPD, localisation des données et des accès, et réponse écrite sur la réutilisation éventuelle des données pour entraîner des modèles.
3. Relisez et validez tout texte généré avant qu’il n’entre au dossier : le praticien reste responsable de son contenu.
4. Écrivez une règle d’usage pour l’équipe. Le générateur de charte IA de SIAC Media permet d’en rédiger une première version, et notre guide sur la charte IA en PME explique comment l’adapter.

Pour comprendre pourquoi les usages non déclarés posent problème, voir notre pilier sur le Shadow AI en entreprise. Faire tourner un modèle en local, sur un poste du cabinet, peut limiter l’envoi de textes à un tiers (voir comment exploiter un LLM local sans fuite de données), mais cela ne dispense pas de sécuriser le poste et de respecter le RGPD. Pour l’ensemble du sujet, notre pilier IA en cybersécurité PME : panorama complet des technologies 2026 situe les usages défensifs et offensifs de l’IA.

Souveraineté : l’HDS protège-t-il du CLOUD Act ?

Le CLOUD Act américain de 2018 permet aux autorités américaines d’exiger d’un fournisseur soumis à leur droit la communication de données qu’il contrôle, y compris lorsqu’elles sont hébergées hors des États-Unis. Pour des données de santé, l’enjeu est évidemment sensible. La certification HDS version 2 répond en partie à cette inquiétude (hébergement dans l’EEE, information sur les accès depuis des pays tiers), mais elle ne vise pas à écarter les hébergeurs soumis à un droit non européen. AWS indique ainsi, sur sa page de conformité HDS, avoir obtenu la certification HDSv2 le 21 avril 2026 pour les six activités du référentiel, avec une infrastructure physique cantonnée à des régions de l’EEE. La certification HDS atteste donc de la sécurité et de la localisation, pas de l’immunité face aux lois extra-européennes.

Cette immunité relève d’une autre qualification : SecNumCloud, délivrée par l’ANSSI. Le référentiel SecNumCloud version 3.2 du 8 mars 2022 exige notamment que le capital social et les droits de vote du prestataire ne soient pas détenus, directement ou indirectement, à plus de 24 % individuellement et plus de 39 % collectivement par des entités dont le siège se trouve hors de l’Union européenne. Des hébergeurs européens cumulent les deux labels : Cloud Temple affiche, sur sa page de conformité, une certification HDS version 2 et la qualification SecNumCloud 3.2. À notre connaissance, aucun texte n’impose SecNumCloud à un cabinet libéral : c’est un critère de choix, pas une obligation.

Pour concrétiser ce critère sans compétence technique, posez ces cinq questions à votre éditeur de logiciel avant de signer ou de renouveler :

1. Quel hébergeur stocke mes données, et pouvez-vous me fournir son certificat HDS version 2.0 avec son périmètre et sa date de validité ?
2. Où sont stockées et sauvegardées les données, et des administrateurs situés hors de l’Espace économique européen peuvent-ils y accéder à distance ?
3. Votre société ou votre hébergeur est-il soumis à une législation d’un pays tiers (capital, maison mère, sous-traitants) ? Quelles réglementations pourraient imposer un accès aux données, et quelles mesures sont prévues ?
4. Comment récupérer mes données si je change de logiciel : format, délai, coût ?
5. En cas d’incident, dans quel délai m’informez-vous, et quelle aide apportez-vous pour la notification à la CNIL et l’information des patients ?

Un hébergeur européen n’est pas automatiquement meilleur : vérifiez aussi ses certificats, son historique d’incidents et la réversibilité de son offre. Ces critères s’inscrivent dans la démarche de notre guide de la cybersécurité souveraine anti-CLOUD Act et dans notre pilier sur la sécurité cloud pour PME. Pour arbitrer entre un serveur sur place et un cloud de confiance, voir aussi serveur physique ou cloud souverain.

Que faire en cas de cyberattaque ou de fuite de données au cabinet ?

Agissez dans l’ordre, sans attendre de tout comprendre. Les fiches pratiques des professionnels de santé ne donnent pas exactement la même première consigne (déconnecter l’ordinateur du réseau, ne pas l’éteindre) : les deux sont compatibles, car on peut isoler une machine sans la redémarrer, ce qui préserve les traces utiles à l’analyse.

1. Isolez l’appareil touché. Débranchez-le du réseau et d’internet, sans l’éteindre ni le redémarrer.
2. Appelez votre assistance cyber (assureur ou prestataire informatique) avant toute démarche. La MACSF recommande ce réflexe même en cas de simple doute sur un courriel ou un fonctionnement inhabituel.
3. Prévenez l’éditeur de votre logiciel et demandez l’état de vos accès et de vos sauvegardes.
4. Passez en mode dégradé : agenda papier, ordonnances manuelles, et information des patients sur l’indisponibilité.
5. Évaluez la violation de données et notifiez la CNIL sous 72 heures s’il existe un risque pour les personnes, puis informez les patients si le risque est élevé. Ne pas notifier a été sanctionné en 2020.
6. Déposez plainte et signalez l’incident sur Cybermalveillance.gouv.fr. Conservez les preuves : messages, captures d’écran, journaux.
7. Vérifiez vos obligations de signalement sectorielles. Les établissements, organismes et services de santé doivent signaler sans délai les incidents graves de sécurité de leurs systèmes d’information (article L. 1111-8-2 du Code de la santé publique), via le portail de signalement des événements sanitaires indésirables. Si votre structure n’est pas un simple cabinet individuel, vérifiez auprès de votre ARS si elle est concernée.
8. Prévenez votre assureur et vérifiez les conditions de votre contrat avant de payer quoi que ce soit.

Pour la conduite détaillée d’un incident, consultez notre plan de réponse à incident, notre article sur les 24 premières heures après une cyberattaque et notre guide pilier Qui prévenir en cas de cyberattaque. Sur la question de la rançon, voir faut-il payer la rançon ?, et sur la couverture de votre contrat, notre pilier sur l’assurance cyber pour PME.

Plan d’action sur 90 jours pour un cabinet médical

Un cabinet n’a pas besoin d’un service informatique pour progresser vite. Voici un séquencement réaliste, à adapter à la taille de votre structure.

1. Jours 1 à 30 : voir clair. Listez où se trouvent les données de patients (logiciel, sauvegardes, messagerie, imagerie, téléphones, outils d’IA). Demandez à votre éditeur le certificat HDS version 2.0 et les réponses aux cinq questions de souveraineté. Activez la double authentification, passez à des mots de passe uniques et testez une restauration de sauvegarde.
2. Jours 31 à 60 : mettre en conformité. Vérifiez les contrats de sous-traitance, mettez à jour le registre des traitements et l’affichage d’information des patients, ouvrez une adresse MSSanté, supprimez les comptes partagés, appliquez les mises à jour en attente et contrôlez la configuration de la box et du Wi-Fi.
3. Jours 61 à 90 : tenir dans la durée. Formez toute l’équipe, rédigez une fiche réflexe et une règle d’usage de l’IA, simulez une panne du logiciel (une journée en mode papier) et faites réaliser un audit pour mesurer l’écart restant.

Pour formaliser ce travail, notre pilier politique de sécurité informatique PME propose un modèle de document, et notre modèle d’audit avec checklist PDF aide à mesurer l’écart. Pour estimer l’investissement, voir quel budget cybersécurité pour votre PME et les aides et subventions disponibles en 2026. Notre pilier sur la cyber-résilience prolonge la démarche.

Questions fréquentes sur la cybersécurité et l’HDS en cabinet médical

Mon cabinet médical doit-il être certifié HDS ?

Non, la certification HDS s’impose à l’hébergeur qui conserve des données de santé pour le compte d’un professionnel ou d’un patient, pas au cabinet qui conserve lui-même ses dossiers. Si vous utilisez un logiciel en ligne ou une sauvegarde externalisée, vérifiez que l’hébergeur concerné détient un certificat HDS version 2.0 et signez un contrat conforme à l’article L. 1111-8 du Code de la santé publique.

Mon logiciel de cabinet est en ligne : que dois-je vérifier ?

Demandez le certificat HDS de l’hébergeur (version 2.0, périmètre, date de validité), le contrat d’hébergement, la liste des sous-traitants, le lieu de stockage et d’administration des données, les modalités de récupération de vos données et le délai d’information en cas d’incident. La liste officielle des hébergeurs certifiés est publiée par l’ANS.

Peut-on envoyer des comptes rendus par une messagerie classique ?

L’Ordre des médecins recommande d’utiliser une messagerie sécurisée de santé pour échanger avec d’autres professionnels. Avec une messagerie standard, il demande de vérifier qu’elle est sécurisée et adaptée à un usage professionnel, et de chiffrer les pièces jointes. Les adresses MSSanté, comme Mailiz, ne peuvent pas écrire vers une messagerie grand public.

Un médecin libéral doit-il désigner un DPO ?

Selon la CNIL, un professionnel qui exerce à titre individuel n’est pas tenu de désigner un délégué à la protection des données. Le traitement de données de santé à grande échelle, par exemple dans un réseau ou une maison de santé avec dossiers partagés, impose un DPO interne ou externe et une analyse d’impact pour les traitements concernés.

Quelles sanctions un cabinet risque-t-il en cas de fuite de données ?

Les plafonds sont élevés (jusqu’à 10 millions d’euros ou 2 % du chiffre d’affaires pour les manquements à la sécurité et à la notification selon l’article 83 du RGPD, et jusqu’à cinq ans d’emprisonnement et 300 000 euros d’amende au titre de l’article 226-17 du Code pénal), mais la CNIL proportionne ses amendes. En 2020, deux médecins libéraux ont été sanctionnés à hauteur de 3 000 et 6 000 euros pour un défaut de sécurité et une absence de notification.

Peut-on utiliser ChatGPT pour rédiger des comptes rendus ?

Nous déconseillons de saisir toute donnée identifiante de patient dans un chatbot grand public. Pour un outil spécialisé qui conserve des contenus de consultation, exigez un hébergement HDS version 2.0, un contrat de sous-traitance et l’information du patient. La HAS et la CNIL ont soumis à consultation un projet de guide sur l’IA en contexte de soins, dont la version finale est attendue.

NIS2 s’applique-t-elle aux cabinets médicaux ?

En principe, NIS2 vise les entités de taille moyenne ou grande des secteurs concernés, dont la santé, à partir de 50 salariés. Un cabinet individuel ou une petite structure est en général hors champ. La loi française de transposition n’était pas adoptée au 24 octobre 2026 : son examen à l’Assemblée nationale a été retiré de l’ordre du jour début octobre.

Qu’apporte la version 2 du référentiel HDS ?

La version 2.0 renforce les exigences de souveraineté : stockage dans l’Union européenne ou l’Espace économique européen, information des clients sur les risques d’accès par des États tiers, contrat d’hébergement plus complet et réversibilité. Elle est seule valable depuis le 16 mai 2026, date de fin de la période de transition pour les certificats en version 1.1.

Conclusion

La cybersécurité d’un cabinet médical ne se résume plus à un antivirus et à une sauvegarde. Les affaires Weda et Cegedim montrent que le risque passe aussi par l’éditeur du logiciel, et que le médecin reste responsable de traitement même lorsque l’incident vient de son fournisseur. La certification HDS, désormais en version 2.0 et complétée par le décret du 24 mars 2026, encadre l’hébergeur : elle ne dispense pas le cabinet de la vérifier, de contractualiser et de poser les bonnes questions sur la localisation des données et le droit applicable.

La bonne séquence consiste à vérifier d’abord vos prestataires (certificat HDS version 2.0, contrat, réversibilité), à sécuriser ensuite les accès (mots de passe uniques, double authentification, sauvegardes déconnectées), puis à former l’équipe et à préparer la panne. Cette démarche s’inscrit dans votre stratégie globale, présentée dans notre guide complet de la cybersécurité PME 2026 et notre panorama des technologies IA en cybersécurité. Pour mesurer rapidement où se situent vos priorités, l’audit cybersécurité PME de SIAC Media est le point de départ le plus simple.