Confier la gestion de vos appels à un prestataire externe soulève une question que beaucoup de pharmaciens ne posent pas assez tôt : ce prestataire est-il en règle avec la réglementation sur les données de santé ?
La réponse engage votre responsabilité juridique en tant que titulaire.
Pourquoi les appels téléphoniques sont concernés par le HDS
Le HDS — Hébergeur de Données de Santé — est une certification française encadrée par la loi, délivrée par des organismes accrédités. Elle garantit que les données de santé des patients sont traitées et stockées dans des conditions conformes aux exigences réglementaires françaises.
Depuis la loi Santé de 2016, tout acteur qui héberge, traite ou accède à des données de santé à caractère personnel doit être certifié HDS ou faire appel à un prestataire certifié.
Quand un patient appelle votre pharmacie, l'échange contient des données de santé : son nom, son traitement, son ordonnance, sa pathologie parfois. Si cet appel est traité par un prestataire externe, ce prestataire manipule des données de santé à caractère personnel.
La question n'est pas si la réglementation s'applique. Elle s'applique. La question est si votre prestataire y est conforme.
Ce que la chaîne de conformité doit couvrir
Un appel entrant en officine passe par plusieurs maillons techniques avant d'être traité. Voilà comment cette chaîne fonctionne, et où la certification HDS s'applique :
Le transit voix — l'acheminement de l'appel entre l'appelant et l'opérateur — est géré par des opérateurs télécom. Sans enregistrement ni transcription, il relève de la réglementation sur les communications électroniques, pas du HDS. Mais dès qu'une solution enregistre, transcrit ou analyse la voix — via une IA vocale notamment — la certification HDS devient obligatoire sur l'ensemble de la chaîne.
Le problème des solutions non certifiées
Le marché des solutions de gestion d'appels pour pharmacies est en croissance. Beaucoup de prestataires proposent des offres attractives — prix bas, fonctionnalités modernes, interfaces soignées.
Beaucoup ne sont pas certifiés HDS.
Certains hébergent leurs données sur des serveurs américains qui ne répondent pas aux exigences du droit français sur les données de santé. D'autres utilisent des outils de transcription ou d'intelligence artificielle dont la chaîne de conformité n'est pas documentée.
En tant que pharmacien titulaire, vous êtes responsable des données de santé de vos patients. Si votre prestataire téléphonique traite ces données sur une infrastructure non certifiée HDS, la responsabilité juridique remonte jusqu'à vous.
Les questions à poser à tout prestataire
Avant de signer avec une solution de gestion d'appels, posez systématiquement ces questions :
"Êtes-vous certifié HDS ?" La réponse doit être oui, avec la possibilité de vous fournir le certificat ou le numéro d'accréditation. La certification est publique et vérifiable sur le site de l'ANS (Agence du Numérique en Santé).
"Sur quelle infrastructure êtes-vous hébergés ?" Les infrastructures certifiées HDS en France incluent notamment Scalingo, OVHcloud, ou Outscale. Un hébergement sur AWS, Google Cloud ou Azure sans qualification HDS spécifique ne répond pas aux exigences françaises.
"Les données de mes patients sont-elles enregistrées ou transcrites ?" Si oui, où vont ces données ? Qui y a accès ? Combien de temps sont-elles conservées ?
"Avez-vous un DPA conforme au RGPD ?" Le Data Processing Agreement est un document contractuel obligatoire dès lors qu'un prestataire traite des données personnelles pour votre compte. Sans ce document, vous n'avez aucune garantie sur l'usage qui est fait des données de vos patients.
Un prestataire sérieux répond à ces questions sans hésitation et vous fournit les documents demandés.
Ce que ça implique pour les solutions IA
L'émergence des solutions d'intelligence artificielle dans la gestion d'appels pharmacies complexifie encore la question HDS.
Les modèles de langage les plus performants du marché sont développés et hébergés par des entreprises américaines. Leur utilisation dans un contexte de données de santé françaises pose des questions de conformité que peu de prestataires adressent clairement.
Ce n'est pas une raison de rejeter l'IA en bloc. C'est une raison d'exiger de la transparence sur la chaîne de conformité complète — de la prise d'appel jusqu'au stockage des données.
Ce que dit la loi, sans ambiguïté
La conformité HDS n'est pas un argument marketing. C'est une obligation légale issue de la loi Santé de 2016, renforcée par le RGPD entré en vigueur en 2018.
En pratique, si votre prestataire de gestion d'appels : - enregistre les conversations - transcrit les échanges - stocke des informations sur vos patients
…il doit être certifié HDS ou sous-traiter à un hébergeur certifié. Sans ça, vous prenez un risque juridique réel — et vos patients prennent un risque sur la confidentialité de leurs données de santé.
La vérification prend dix minutes. Elle vaut largement le temps investi.
