Hébergement de données de santé et helpdesk

Le test en trois questions

1. Qui recueille la donnée, et dans quel cadre ? Prévention, diagnostic, soins, suivi social et médico-social : c'est le contexte visé par le texte. Selon notre lecture, une boutique qui reçoit une ordonnance d'un client n'est pas dans la même situation qu'un établissement : faites-le confirmer.
2. Qui l'héberge, pour le compte de qui ? Le texte vise l'hébergement pour le compte d'un autre. L'article R.1111-9 y range notamment l'administration et l'exploitation du système d'information contenant les données : un éditeur SaaS peut donc se poser la question. Le projet de référentiel v2.1 vise qui fournit tout ou partie d'un service d'hébergement en qualité de sous-traitant au sens de l'article 28 du RGPD. Le même projet borne l'administration et l'exploitation : un hébergeur n'est tenu d'être certifié pour cette activité que s'il l'exerce seule. Deux points à soumettre à votre DPO, ce texte n'étant qu'un projet. Exception lue : se voir confier des données pour une courte période, aux fins de saisie, de mise en forme, de matérialisation ou de dématérialisation (R.1111-8-8).
3. Ces données doivent-elles être dans le ticket ? Si vous pouvez les faire passer ailleurs, votre problème se réduit fortement.

Ce qu'il faut demander

Le certificat lui-même, et non une mention sur un site. Son périmètre : lesquelles des six activités de l'article R.1111-9 il couvre, quel hébergeur, et si le helpdesk en fait partie, ou seulement l'infrastructure. L'article R.1111-11 prévoit que le contrat indique ce périmètre et les dates de délivrance et de renouvellement : c'est une preuve à réclamer. Vérifiez le référentiel attesté : selon l'Agence du numérique en santé, v2 depuis le 16 mai 2026. Une v2.1 tenant compte du décret 2026-209 existe en projet, sans date d'arrêté dans le document lu : relevez la version inscrite sur le certificat. La sous-traitance : une certification de l'hébergeur ne couvre pas forcément l'application de l'éditeur. Si l'éditeur s'appuie sur un hébergeur certifié, l'article R.1111-11 II prévoit que votre contrat reprenne les clauses de son contrat avec cet hébergeur : demandez-les. Cela ne tranche pas si l'éditeur doit lui-même être certifié.

Depuis le 26 septembre 2026, l'article R.1111-9-1 impose un stockage exclusivement dans l'UE ou l'EEE. Un transfert hors de ces pays, accès à distance compris, suppose une décision d'adéquation, ou des garanties appropriées, à condition que les personnes disposent de droits opposables et de voies de droit effectives. Sans décision, le contrat mentionne cette absence et décrit les garanties. L'article R.1111-11 demande aussi à l'hébergeur de publier une cartographie des transferts et des accès distants : demandez-la. Nous n'avons lu dans le décret aucune disposition transitoire pour les contrats en cours : si votre contrat est antérieur, posez la question.

Dans le cas d'easiware, l'éditeur déclare sur sa page sécurité des environnements HDS et ISO 27001 via son hébergeur Free Pro, alors que sa page d'accueil le dit « certifiée HDS ». Cela mérite d'être lu sur le certificat, pas sur la page. Gorgias annonce HIPAA et SOC 2 : ce sont d'autres cadres, ils ne valent pas certification HDS. Pour Zendesk, Intercom, Freshworks, HubSpot, Crisp et Zoho, nous n'avons pas recherché de certificat dans les pages lues : ce n'est pas une preuve d'absence.

Notre avis

Avant de chercher un outil certifié, regardez si vous pouvez éviter que ces données arrivent dans le support : un formulaire distinct, un espace patient séparé, une consigne claire. Le helpdesk reçoit alors des demandes pratiques, et votre périmètre rétrécit. Si ce n'est pas possible, le certificat devient votre premier filtre, avant les fonctions et le prix. Dans le doute, ne tranchez pas seul : votre DPO doit lire ces articles.