Lacantabilité

Les données d'un cabinet d'analyse sont-elles des données de santé ?

Écrit par Florian Mousseau, éditeur de Lacantabilité. Mis à jour le 30 juillet 2026.

La question paraît théorique. Elle décide en réalité de deux choses très concrètes : le régime juridique qui s'applique à votre sauvegarde, et ce que vous êtes en droit d'exiger d'un outil à qui vous confieriez vos dossiers.

Oui, et le RGPD le dit sans détour

L'article 9 du RGPD range les « données concernant la santé » parmi les catégories particulières de données à caractère personnel, dont le traitement est en principe interdit sauf exception, la première étant le consentement explicite, une autre étant la nécessité aux fins de la médecine préventive, du diagnostic ou de la prise en charge.

Le fait qu'une personne consulte un praticien, et plus encore qu'elle soit engagée dans une analyse, est une donnée de cette nature. Il n'est pas nécessaire qu'un contenu clinique soit consigné : le rendez-vous suffit. Une liste de séances est déjà un traitement de données de santé, et le secret professionnel s'ajoute au règlement, il ne le remplace pas.

La pseudonymisation ne fait donc pas sortir du RGPD. Le considérant 26 du règlement est explicite, des données pseudonymisées restent des données personnelles. Elle réduit considérablement le risque, ce qui est la bonne raison de la pratiquer, mais elle ne dispense de rien.

Qui doit être certifié HDS

C'est le second effet, et le moins connu. L'article L. 1111-8 du code de la santé publique soumet à certification toute personne qui héberge des données de santé à caractère personnel recueillies à l'occasion d'activités de prévention, de diagnostic, de soins ou de suivi social et médico-social, pour le compte des personnes à l'origine de leur production ou de leur recueil, ou pour le compte du patient lui-même. C'est la certification dite HDS, délivrée par des organismes accrédités.

Deux lectures en découlent, et elles vont dans des directions opposées.

Pour vous : conserver vous-même les dossiers de vos propres analysants ne fait pas de vous un hébergeur. Le régime vise l'hébergement pour le compte d'autrui. Un professionnel qui garde ses données chez lui n'entre pas dans son champ. Vos obligations sont celles du responsable de traitement et celles du secret, ce qui est déjà beaucoup, mais la certification n'en fait pas partie.

Pour un service en ligne qui conserverait vos dossiers sur ses serveurs : il héberge des données de santé pour votre compte, et il entre dans le champ. C'est une question légitime à lui poser, et la réponse s'appuie sur un certificat, pas sur une déclaration.

La question ne se pose pas là où rien n'est hébergé

Il existe une troisième situation, et c'est celle sur laquelle Lacantabilité est construite : lorsque le logiciel s'exécute sur votre appareil et que rien ne parvient à l'éditeur, il n'y a pas d'hébergement, donc pas d'hébergeur, donc pas de certification à produire. L'obligation n'est pas contournée, elle est sans objet.

Cela se vérifie. Un logiciel qui n'émet aucune requête sortante ne peut rien transmettre. Vous restez seul responsable de traitement, ce qui est la contrepartie, et la seule position tenable pour qui est tenu au secret.

Cette note décrit l'état des textes à la date indiquée et cite ses sources. Elle n'est ni un conseil fiscal ni un conseil juridique. Elle ne connaît pas votre situation, et c'est votre situation qui décide. Pour une décision qui vous engage, consultez un professionnel du chiffre ou du droit, ou les ressources de la CNIL et de BOFiP.

Sources