Quand un radiologue archive votre IRM ou votre scanner, les fichiers DICOM contiennent bien plus que des images : nom, date de naissance, identifiant patient, diagnostic suspecté. Mesurer le niveau réel de protection de ces données suppose d’examiner trois couches distinctes, le cadre juridique (RGPD), l’infrastructure technique (hébergement certifié HDS) et les évolutions réglementaires qui entreront en vigueur fin 2026.
Hébergement certifié HDS et PACS cloud : où sont stockées vos images médicales
Les concurrents se concentrent sur les obligations générales du RGPD pour les radiologues. Ils passent à côté d’un point structurant : le lieu physique où transitent et dorment vos clichés d’imagerie.
Un cabinet de radiologie utilise deux systèmes principaux. Le RIS (Radiology Information System) gère l’administratif : identité, rendez-vous, comptes rendus. Le PACS (Picture Archiving and Communication System) stocke les images elles-mêmes, souvent volumineuses. Historiquement hébergés sur site, ces systèmes migrent de plus en plus vers des solutions cloud.
Or, tout hébergeur de données de santé en France doit détenir la certification HDS (Hébergeur de Données de Santé), encadrée par l’article L.1111-8 du Code de la santé publique. Cette certification vérifie la sécurité physique des centres de données, le chiffrement, la traçabilité des accès et la gestion des incidents.
Le problème, jusqu’à récemment, tenait à la localisation. Un hébergeur certifié HDS pouvait techniquement stocker des données sur des serveurs situés hors de l’Union européenne, ou les rendre accessibles depuis un pays tiers soumis à des lois de surveillance extraterritoriales.
Décret 2026-209 sur la souveraineté des données de santé : ce qui change pour l’imagerie
Le décret n° 2026-209 du 24 mars 2026, pris en application de la loi SREN, modifie le Code de la santé publique sur un point précis : le stockage des données de santé, y compris les examens d’imagerie, doit désormais être réalisé exclusivement sur le territoire d’un État membre de l’UE ou de l’EEE.
Les transferts ou accès distants depuis des pays tiers restent possibles, mais uniquement aux conditions strictes du RGPD (décision d’adéquation de la Commission européenne ou garanties appropriées documentées). Le décret impose aussi une transparence renforcée dans les contrats d’hébergement.
Concrètement, l’hébergeur doit détailler dans le contrat :
- Les consultations à distance depuis des pays tiers, y compris pour la maintenance ou le support technique
- Les législations extra-européennes susceptibles d’imposer une communication de données (type FISA 702 ou CLOUD Act américain)
- Les mesures d’atténuation mises en place et les risques résiduels acceptés
Les dispositions structurantes sur la localisation et la transparence contractuelle n’entreront en vigueur qu’à partir de fin septembre 2026. Pendant cette phase transitoire, une partie des PACS et des plateformes cloud d’imagerie peuvent encore fonctionner selon les anciennes règles.
RGPD et imagerie médicale : comparatif des protections avant et après le décret
| Critère | Avant décret 2026-209 | Après septembre 2026 |
|---|---|---|
| Localisation du stockage | Pas de restriction géographique explicite dans le Code de la santé publique (seul le référentiel HDS posait des exigences) | Stockage obligatoire dans l’UE ou l’EEE, inscrit dans le Code de la santé publique |
| Accès distant depuis un pays tiers | Possible sous conditions RGPD générales | Possible uniquement avec décision d’adéquation ou garanties appropriées documentées |
| Transparence contractuelle | Variable selon les hébergeurs | Obligation de détailler dans le contrat : accès tiers, législations applicables, mesures d’atténuation |
| Certification HDS | Obligatoire (Art. L.1111-8 CSP) | Toujours obligatoire, complétée par les exigences du référentiel HDS v2 |
L’écart principal se situe sur la localisation. Avant le décret, un cabinet de radiologie pouvait, en toute légalité, confier ses images à un prestataire cloud certifié HDS dont les serveurs se trouvaient aux États-Unis. Après septembre 2026, ce scénario devient non conforme sauf transfert encadré.
Limites concrètes de la protection : ce que le RGPD ne couvre pas dans un parcours d’imagerie
Le RGPD et la certification HDS protègent le stockage et le traitement des données. En revanche, plusieurs maillons du parcours d’un examen d’imagerie restent des zones de fragilité.
Le transfert d’images entre établissements, par exemple, passe parfois par des supports non chiffrés (CD-ROM remis au patient, clé USB). Ces supports échappent mécaniquement au périmètre HDS une fois sortis du système d’information du cabinet.
L’utilisation croissante d’outils d’intelligence artificielle pour l’aide au diagnostic en radiologie soulève une autre question. Quand un algorithme analyse un scanner thoracique, les données peuvent transiter vers un serveur distant pour le calcul. Le référentiel HDS ne couvre pas nativement tous les traitements IA appliqués aux images médicales, notamment lorsque le fournisseur de l’algorithme n’est pas lui-même certifié HDS.
Les droits du patient prévus par le RGPD (accès, rectification, effacement) s’appliquent aussi aux images médicales. Un patient peut demander la suppression de ses clichés d’un PACS. En pratique, la durée de conservation légale des dossiers médicaux (fixée par le Code de la santé publique) prime souvent sur le droit à l’effacement, ce qui crée une tension entre droit à l’oubli numérique et obligation de conservation médicale.
Vérifier la conformité de son cabinet d’imagerie : les points à contrôler
Pour un patient ou un professionnel de santé qui souhaite évaluer la protection effective de ses données d’imagerie, quelques vérifications concrètes permettent de distinguer un niveau de conformité réel d’un simple affichage réglementaire :
- L’hébergeur du PACS est-il certifié HDS, et cette certification est-elle vérifiable sur le site de l’organisme certificateur ?
- Le contrat d’hébergement précise-t-il la localisation géographique des serveurs et les conditions d’accès depuis des pays tiers ?
- Les transferts d’images entre le cabinet, l’hôpital et le patient passent-ils par un canal chiffré, ou par un support physique non sécurisé ?
- Les outils d’IA utilisés pour l’aide au diagnostic sont-ils eux-mêmes hébergés chez un prestataire certifié HDS ?
La réponse à ces questions dessine le niveau réel de protection, au-delà de la simple mention « conforme RGPD » affichée en salle d’attente.
Le décret de mars 2026, avec son entrée en vigueur progressive, constitue le premier texte à inscrire dans la loi une exigence de localisation européenne pour les données de santé. Pour l’imagerie médicale, dont les fichiers sont parmi les plus volumineux et les plus sensibles du système de soins, la conformité réelle dépendra de la capacité des hébergeurs à migrer leurs infrastructures avant fin septembre 2026.
