Hébergement certifié HDS pour psychologues et thérapeutes

Le site de My International Therapy, son tableau de bord pour thérapeutes et leurs données sont hébergés chez Amazon Web Services (AWS), dans la région Europe (Stockholm, Suède). Sur sa page publique, AWS indique détenir la certification HDS (hébergeur de données de santé, référentiel version 2) pour les six activités du référentiel, Stockholm figurant parmi les régions couvertes. La certification porte sur l’hébergeur, non sur My International Therapy.

Cette page s’adresse aux psychologues, psychothérapeutes et thérapeutes qui cherchent un hébergement certifié HDS pour les données de leurs patients, en France ou ailleurs en Europe. Elle explique ce qu’est la certification, à qui elle s’applique, ce que comprend l’hébergement de My International Therapy et comment vérifier un hébergeur par vous-même. Elle donne une information générale et ne remplace pas un avis juridique.

Ce qu’est la certification HDS

HDS signifie « hébergeur de données de santé ». L’article L.1111-8 du code de la santé publique encadre l’hébergement des données de santé à caractère personnel recueillies lors d’activités de prévention, de diagnostic, de soins ou de suivi social et médico-social, lorsqu’il est assuré pour le compte des personnes qui produisent ces données ou pour celui du patient. L’hébergeur de données sur support numérique doit détenir un certificat de conformité, délivré par un organisme de certification accrédité. Le référentiel de certification actuel, dit « version 2 », a été approuvé par l’arrêté du 26 avril 2024, publié au Journal officiel du 16 mai 2024. La procédure est présentée sur la page de l’Agence du numérique en santé (ANS).

Les six activités du référentiel

Le référentiel distingue six activités d’hébergement. Un hébergeur est certifié pour tout ou partie d’entre elles :

la mise à disposition et le maintien en condition opérationnelle des sites physiques ;
la mise à disposition et le maintien en condition opérationnelle de l’infrastructure matérielle ;
la mise à disposition et le maintien en condition opérationnelle de l’infrastructure virtuelle ;
la mise à disposition et le maintien en condition opérationnelle de la plateforme d’hébergement d’applications ;
l’administration et l’exploitation du système d’information qui contient les données de santé ;
la sauvegarde externalisée.

Ce que la certification ne couvre pas

La certification s’applique à l’hébergeur et à son périmètre. Elle ne certifie ni un logiciel, ni un cabinet, ni un thérapeute. Un éditeur de plateforme qui s’appuie sur un hébergeur certifié reste responsable de l’usage qu’il fait de cette infrastructure, et le thérapeute reste responsable des données de ses patients au regard du RGPD. AWS le rappelle de son côté : dans son modèle de responsabilité partagée, chaque client évalue ses propres obligations de conformité.

Un psychologue ou un psychothérapeute est-il concerné ?

L’article L.1111-8 ne cite aucune profession. Il vise la nature des données : celles recueillies à l’occasion de prévention, de diagnostic, de soins ou de suivi social et médico-social. Au sens du RGPD, les données concernant la santé comprennent les informations relatives à la santé physique ou mentale d’une personne (article 4, point 15) : le suivi d’une psychothérapie relève de la santé mentale et entre dans cette définition.

Le référentiel de la CNIL sur la gestion des cabinets médicaux et paramédicaux s’adresse aux professionnels de santé exerçant à titre libéral. Il prévoit que, lorsque le logiciel de gestion des dossiers patients est accessible à distance et hébergé par un prestataire, ce prestataire doit être un hébergeur agréé ou certifié au titre de l’article L.1111-8. Le référentiel de la CNIL ne nomme pas les psychologues ni les psychothérapeutes.

À notre connaissance, aucun texte officiel de l’ANS, de la CNIL ou d’un ordre professionnel ne tranche expressément la situation des psychologues et des psychothérapeutes. Pour votre situation précise, adressez-vous à l’ANS, à la CNIL ou à un juriste. Recourir à une plateforme dont l’hébergeur est certifié HDS permet, pour la part qui revient à l’hébergeur, de ne pas dépendre de cette question.

L’article L.1111-8 vise la personne qui héberge ces données pour le compte d’autrui. Si vous conservez vos notes uniquement sur votre propre matériel, vous ne confiez l’hébergement à personne ; le RGPD, lui, s’applique dans tous les cas.

Où sont hébergées les données avec My International Therapy

Amazon Web Services, région Europe (Stockholm)

Le site de My International Therapy, le tableau de bord des thérapeutes et leurs données sont hébergés chez Amazon Web Services, dans la région Europe (Stockholm), en Suède, donc dans l’Union européenne. Sur sa page publique consacrée à HDS, AWS indique détenir la certification HDS version 2 pour les six activités et range Stockholm parmi les régions de l’Espace économique européen éligibles à ces six activités. Elle précise que les activités 1, 2 et 6 (sites physiques, infrastructure matérielle, sauvegarde externalisée) exigent un stockage exclusivement dans cet espace. Les mentions légales du site indiquent l’entité contractante de l’hébergeur.

Ce que comprend l’hébergement

la base de données et les disques sont chiffrés au repos, et la base de données n’est pas accessible publiquement ;
le site et le tableau de bord sont servis en HTTPS ;
des sauvegardes automatiques sont réalisées chaque nuit et conservées sept jours ;
les actions d’administration du compte d’hébergement sont journalisées ;
les thérapeutes se connectent avec un mot de passe, et peuvent ajouter une clé de sécurité (WebAuthn) à titre facultatif.

Ce que fait le tableau de bord

Le tableau de bord réunit le profil public du thérapeute, l’agenda et les disponibilités, la réservation en ligne par le patient, la visioconférence avec un lien de séance signé et sans enregistrement, une fiche par patient avec des notes privées que le patient ne voit jamais, une messagerie, les paiements et les factures. Les patients disposent de leur propre espace pour réserver, suivre leurs rendez-vous et échanger avec leur thérapeute. Pour découvrir la plateforme, consultez le répertoire des thérapeutes ou rejoignez-nous en tant que thérapeute.

Ce que cette page ne dit pas

La certification HDS porte sur l’hébergeur. My International Therapy n’est pas présenté comme « certifié HDS ».
Certains services annexes, comme la visioconférence, le paiement en ligne ou l’envoi des e-mails de notification, reposent sur d’autres prestataires. Ils ne sont pas couverts par la certification de l’hébergeur et cette page ne décrit pas leur hébergement.
L’hébergement est situé en Suède, pas en France, et AWS appartient à un groupe américain. D’après la page publique d’AWS, le référentiel version 2 renforce les exigences de transparence sur les sous-traitants et sur l’exposition potentielle à des législations non européennes.

Comment vérifier un hébergeur certifié HDS

Que vous choisissiez My International Therapy ou un autre outil, la vérification prend quelques minutes.

Demandez à l’éditeur le nom exact de l’hébergeur, l’entité qui contracte avec vous et le lieu de stockage des données.
Cherchez cette entité dans la liste publique des hébergeurs certifiés de l’ANS. Contrôlez la version du référentiel (version 2.0), les activités couvertes et l’organisme certificateur. Si le nom du contrat n’y figure pas, demandez à l’éditeur quelle entité du groupe porte la certification.
Vérifiez que le contrat de sous-traitance prévu par l’article 28 du RGPD est signé, et demandez la liste des sous-traitants ultérieurs.
Une mention « conforme HDS » appliquée à un logiciel n’a de valeur que si l’hébergeur ou l’éditeur figure dans la liste de l’ANS.

HDS, RGPD et secret professionnel

La certification HDS et le RGPD sont deux régimes distincts. HDS encadre l’hébergeur. Le RGPD s’impose en plus au thérapeute, qui est responsable du traitement.

L’article 9 interdit en principe le traitement des données de santé. Il prévoit une exception pour la prise en charge sanitaire ou sociale lorsque le traitement est effectué par un professionnel soumis au secret professionnel (article 9, paragraphe 2, point h, et paragraphe 3).
L’article 28 impose un contrat écrit avec tout sous-traitant, par exemple l’hébergeur ou l’éditeur de la plateforme qui traite les données pour votre compte.
L’article 32 impose des mesures de sécurité adaptées au risque.
Le secret professionnel auquel vous êtes tenu reste le vôtre, quel que soit votre prestataire.

Et en dehors de la France ?

HDS est une certification du droit français. Dans les autres pays de l’Union européenne, le RGPD fixe le cadre commun, complété par des règles nationales :

Allemagne : le § 393 du livre V du code social (SGB V) encadre l’usage du cloud par les prestataires relevant du quatrième chapitre de ce code et par les caisses d’assurance maladie. Il exige une attestation C5 (de type 2 à partir du 1er juillet 2025 pour les systèmes existants).
Espagne : le RGPD et la loi organique 3/2018 s’appliquent ; un contrat de sous-traitance est nécessaire avec le fournisseur de la plateforme.
Italie : le RGPD et le code italien de protection des données s’appliquent ; en 2019, l’autorité (Garante) a précisé qu’un professionnel de santé soumis au secret professionnel n’a pas à recueillir le consentement du patient pour les traitements nécessaires aux soins demandés.
Portugal : le RGPD et la loi 58/2019 s’appliquent ; son article 29 prévoit que le traitement de données de santé soit effectué par un professionnel tenu au secret ou par une personne soumise à un devoir de confidentialité, avec des mesures de sécurité adaptées.

Cette page existe aussi en anglais, en allemand, en espagnol, en italien et en portugais, avec le cadre propre à chaque pays.

Questions fréquentes

Qu’est-ce que la certification HDS ?

C’est le certificat de conformité que doit détenir toute personne qui héberge, sur support numérique, des données de santé à caractère personnel recueillies lors d’activités de prévention, de diagnostic, de soins ou de suivi social et médico-social (article L.1111-8 du code de la santé publique). Il est délivré par un organisme de certification accrédité, sur la base d’un référentiel approuvé par arrêté.

Le logiciel que j’utilise doit-il être hébergé chez un hébergeur certifié HDS ?

Le référentiel de la CNIL pour les cabinets prévoit que, lorsque le logiciel de dossiers patients est accessible à distance et hébergé par un prestataire, celui-ci soit un hébergeur certifié au titre de l’article L.1111-8. Le certificat porte sur l’hébergeur, pas sur le logiciel. Ce référentiel ne nomme pas les psychologues ni les psychothérapeutes : pour votre cas, interrogez l’ANS, la CNIL ou un juriste.

Et si je garde mes notes sur mon propre ordinateur ?

L’article L.1111-8 vise celui qui héberge des données pour le compte d’autrui. Si vous n’en confiez l’hébergement à personne, il ne joue pas dans cette situation. Le RGPD et votre secret professionnel s’appliquent dans tous les cas, avec des mesures de sécurité adaptées.

Où sont hébergées les données de My International Therapy ?

Chez Amazon Web Services, dans la région Europe (Stockholm), en Suède. AWS indique sur sa page publique détenir la certification HDS version 2 pour les six activités, Stockholm figurant parmi les régions éligibles.

My International Therapy est-il certifié HDS ?

La certification HDS concerne l’hébergeur, Amazon Web Services, et non My International Therapy. La plateforme utilise cet hébergement et ne se présente pas comme certifiée HDS.

Comment vérifier qu’un hébergeur est certifié HDS ?

Cherchez-le dans la liste publique des hébergeurs certifiés de l’ANS (esante.gouv.fr), contrôlez la version du référentiel, les activités couvertes et l’organisme certificateur, et demandez à l’éditeur le nom exact de l’entité qui héberge.

La certification HDS remplace-t-elle le RGPD ?

Non. HDS encadre l’hébergeur. Le RGPD s’impose en plus au thérapeute, responsable du traitement : exception de l’article 9 pour les soins, contrat de sous-traitance (article 28), mesures de sécurité (article 32) et registre des traitements (article 30).

Existe-t-il une certification équivalente hors de France ?

HDS est propre au droit français. Dans les autres pays de l’Union européenne, le RGPD s’applique avec des règles nationales. En Allemagne, par exemple, le § 393 SGB V exige une attestation C5 pour certains usages du cloud dans la santé.

Sources officielles

Pour les thérapeutes

Vous êtes thérapeute et souhaitez en savoir plus sur la plateforme ? Consultez le répertoire des thérapeutes ou rejoignez My International Therapy.

Hébergement certifié HDS pour les psychologues et les thérapeutes