Pourquoi l'hébergement des données n'est pas un détail technique
Un compte rendu de séance, un bilan psychomoteur, une synthèse MDPH : tous ces documents contiennent, par nature, des données de santé au sens du RGPD. Diagnostic, observations comportementales, informations sur le développement d'un enfant : dès qu'un document renseigne sur l'état de santé physique ou mental d'une personne, il relève d'une catégorie de données dites sensibles, soumise à des obligations renforcées.
Beaucoup de professionnels du médico-social découvrent cette réalité tardivement, souvent au moment où ils cherchent à digitaliser leur pratique. Les usages actuels (comptes rendus dans un traitement de texte stocké sur un ordinateur personnel, échanges par WhatsApp ou SMS avec les familles, fichiers partagés par email) ne sont, pour la plupart, pas conformes aux exigences applicables à ce type de données.
Ce que signifie concrètement "hébergeur de données de santé"
La certification HDS (Hébergeur de Données de Santé) est un agrément délivré par des organismes accrédités, qui impose des exigences précises à tout hébergeur traitant des données de santé à caractère personnel pour le compte de professionnels ou d'établissements de santé et médico-sociaux : sécurité physique des infrastructures, chiffrement des données au repos et en transit, traçabilité des accès, plan de continuité d'activité, réversibilité des données en cas de changement de prestataire.
Concrètement, cela veut dire qu'un logiciel qui stocke vos comptes rendus doit lui-même s'appuyer sur une infrastructure certifiée HDS. Ce n'est pas une case à cocher optionnelle, c'est une obligation réglementaire dès lors que l'outil héberge des données de santé pour votre compte. Un simple stockage cloud grand public, même chiffré, ne répond pas à ces exigences.
Ce que le RGPD impose en plus de la certification HDS
La certification HDS concerne l'infrastructure technique. Le RGPD, lui, encadre l'ensemble du traitement : base légale du traitement, durée de conservation limitée et justifiée, droit d'accès et de rectification pour les familles, information claire sur l'usage des données, et, point souvent négligé, un registre des sous-traitants à jour.
C'est un des angles morts fréquents chez les structures qui digitalisent rapidement leur suivi : elles obtiennent une certification HDS côté hébergement, mais laissent de côté la question des sous-traitants techniques (service de transcription, service d'envoi d'emails, service d'IA) qui, eux aussi, doivent apparaître dans le registre de traitement et respecter des garanties équivalentes. Cette exigence de traçabilité complète des sous-traitants s'inscrit dans la même logique de droit à l'information que celle posée par la loi du 2 janvier 2002, qui reste le socle juridique de la documentation dans le secteur médico-social.
Les questions à poser avant de confier vos données à un logiciel
Avant d'adopter un outil pour vos comptes rendus, quelques questions permettent de vérifier rapidement le sérieux de la démarche :
- L'hébergement est-il certifié HDS, et l'attestation est-elle disponible sur demande ?
- Les données sont-elles hébergées en France ou dans l'Union européenne ?
- Existe-t-il un registre des sous-traitants techniques (IA, transcription, email) ?
- Les données sont-elles chiffrées à la fois au repos et pendant les transferts ?
- Est-il possible de récupérer l'intégralité de vos données en cas de résiliation ?
- Qui, en interne chez l'éditeur, a accès aux comptes rendus, et dans quelles conditions ?
Un éditeur transparent doit pouvoir répondre à chacune de ces questions sans détour.
Les risques concrets en cas de non-conformité
En cas de manquement avéré, les sanctions prévues par le RGPD peuvent être significatives, mais le risque le plus immédiat pour un professionnel ou une structure reste souvent la perte de confiance des familles en cas de fuite ou de mauvaise gestion de données aussi sensibles que celles concernant un enfant. C'est un risque réputationnel et humain, avant d'être un risque financier, qui justifie de traiter la question de l'hébergement avec la même rigueur que le contenu des comptes rendus eux-mêmes.
Ce qu'Edunotia met en place
Ces exigences ne sont pas une contrainte annexe pour Edunotia : elles conditionnent l'architecture du produit depuis le départ. L'hébergement est certifié HDS, les données restent en France, et chaque sous-traitant technique impliqué dans la chaîne, de la transcription de la note vocale à la génération du compte rendu, est documenté et contractualisé selon les exigences RGPD applicables aux données de santé. Le détail de ces engagements est disponible sur notre page Sécurité & conformité.
Pour un professionnel libéral ou une structure qui envisage de digitaliser sa documentation, ce n'est pas un argument secondaire : c'est souvent la première question posée par une direction, un DPO ou un professionnel prudent, avant même de regarder les fonctionnalités.
Essai gratuit 14 jours, sans carte bancaire requise.