Données de santé et hébergement HDS : ce que doit savoir l'ostéopathe

20 juin 2026 · L'équipe Anamnéo

Les données de santé que vous collectez en consultation — antécédents, motifs, notes cliniques, traitements en cours — ne sont pas des données ordinaires. Elles relèvent d’une catégorie spéciale au sens du RGPD et d’un cadre réglementaire spécifique en France. Mal traitées, elles exposent le praticien à des sanctions et les patients à des risques réels. Voici ce que tout ostéopathe doit savoir.

Pourquoi les données de santé sont-elles si sensibles ?

Le RGPD (Règlement Général sur la Protection des Données) classe les données de santé dans la catégorie spéciale des données sensibles, aux côtés des données génétiques, biométriques ou relatives à l’orientation sexuelle. Leur traitement est en principe interdit sauf dérogations — dont celle qui s’applique aux professionnels de santé dans le cadre de leurs soins.

Concrètement, en tant qu’ostéopathe, vous êtes responsable de traitement dès que vous collectez des informations de santé sur vos patients (nom, motif, antécédents, notes de séance, etc.). Cette qualité vous impose des obligations précises.

Vos obligations RGPD en tant qu’ostéopathe

1. Informer vos patients

Vous devez informer vos patients de la façon dont leurs données sont collectées, pour quelle finalité, combien de temps elles sont conservées, et quels sont leurs droits (accès, rectification, suppression). Cette information peut figurer dans une politique de confidentialité affichée en cabinet ou envoyée avant la première consultation.

2. Tenir un registre des traitements

Toute structure collectant des données personnelles (y compris un cabinet libéral) doit tenir un registre des activités de traitement. Ce document liste les catégories de données collectées, les finalités, la durée de conservation et les mesures de sécurité.

3. Garantir la sécurité des données

Cela implique : mots de passe robustes, chiffrement des données, sauvegardes régulières, accès restreint aux seules personnes habilitées. En cabinet de groupe, cela signifie que les dossiers d’un praticien ne sont pas accessibles aux autres sans consentement explicite du patient.

4. Durée de conservation

Le Code de la santé publique impose une conservation des données médicales 20 ans après le dernier acte pour un adulte, et jusqu’aux 28 ans du patient pour un mineur. Ces durées s’appliquent aussi aux dossiers ostéopathiques.

L’hébergement certifié HDS : qu’est-ce que c’est ?

L’hébergement de données de santé (HDS) est une certification délivrée par l’ANS (Agence du Numérique en Santé) aux prestataires qui stockent, hébergent ou infogèrent des données de santé pour le compte de professionnels de santé.

Si vous utilisez un logiciel ou un outil numérique qui stocke des données patient (dossier en ligne, questionnaire pré-consultation, agenda avec notes médicales), cet outil doit obligatoirement être hébergé chez un prestataire HDS certifié.

Les grandes plateformes grand public (Google Drive, Dropbox, Notion, formulaires Google…) ne sont pas certifiées HDS et ne conviennent pas au stockage de données de santé patient.

Ce que cela implique pour vos outils numériques

Avant d’utiliser un outil numérique dans votre cabinet, posez ces questions :

• Où sont hébergées les données ? (En France ou en UE ?)
• L’hébergeur est-il certifié HDS ? (Demandez la référence de certification)
• Un DPA (accord de traitement des données) peut-il être signé ?
• Les données sont-elles chiffrées au repos et en transit ?
• Que se passe-t-il en cas de fin de contrat ? (Export des données, suppression garantie)

Si un éditeur ne peut pas répondre clairement à ces questions, c’est un signal d’alerte sérieux.

Les risques en cas de non-conformité

La CNIL peut prononcer des sanctions financières pouvant atteindre 20 millions d’euros ou 4 % du chiffre d’affaires annuel mondial pour les organisations. Pour un cabinet libéral, les sanctions restent généralement moindres, mais les mises en demeure et rappels à la conformité sont de plus en plus fréquents.

Au-delà du risque financier : la confiance du patient est en jeu. Un incident de sécurité (fuite de données, piratage) sur un cabinet médical ou paramédical fait des dégâts durables sur la réputation.

Anamnéo et la conformité HDS

Anamnéo a été conçu en intégrant ces contraintes dès l’origine. Les données patient sont hébergées sur une infrastructure certifiée HDS (certification #38436, valide jusqu’en 2028). Aucune donnée de santé ne transite via des services tiers non certifiés.

Pour les ostéopathes qui utilisent Anamnéo, la conformité réglementaire est intégrée d’office — pas besoin de vérifier séparément l’hébergeur.

En savoir plus sur Anamnéo pour les praticiens

En résumé : la checklist de conformité

• [ ] Politique de confidentialité communiquée aux patients
• [ ] Registre des activités de traitement tenu à jour
• [ ] Données stockées chez un hébergeur certifié HDS
• [ ] Accès aux données sécurisé (mot de passe fort, authentification)
• [ ] Durée de conservation respectant les obligations légales
• [ ] Procédure de réponse aux demandes d’accès ou de suppression des patients

En résumé : les données de santé collectées en cabinet ostéopathique sont soumises au RGPD et doivent être hébergées chez un prestataire certifié HDS. La conformité n’est pas optionnelle — mais elle peut être gérée simplement avec les bons outils.

Lire aussi : Logiciel pour ostéopathes : comment choisir · Questionnaire patient avant consultation