Hébergement HDS et annotation : qui répond quand la donnée de santé sort du tunnel certifié ?
Travailler sur des données de santé impose un hébergement certifié HDS. Mais où s'arrête la responsabilité du client et où commence la vôtre quand vous annotez depuis votre poste ?
- L'hébergement HDS encadre le stockage des données de santé, mais le poste de travail de l'annotateur est souvent un angle mort.
- Télécharger un export local, faire une capture d'écran ou utiliser un outil cloud non certifié rompt la chaîne HDS et engage votre responsabilité.
- Le client (CHU, biotech) reste responsable de traitement, mais il peut se retourner contre vous comme sous-traitant en cas de manquement.
- Une RC Pro avec volet confidentialité et une couverture Cyber sont les deux filets indispensables face à un incident de données de santé.
Ce que la certification HDS encadre réellement (et ce qu'elle n'encadre pas)
La certification Hébergement de Données de Santé (HDS) est devenue le réflexe de tout projet d'IA médicale sérieux. CHU, biotechs, éditeurs de logiciels d'aide au diagnostic : tous exigent que les données de santé qu'ils confient soient stockées et traitées dans un environnement certifié. En tant qu'annotateur, vous entendez ce sigle à chaque contrat. Mais il existe un malentendu fréquent et dangereux.
La certification HDS, encadrée par l'article L.1111-8 du Code de la santé publique, porte sur l'hébergeur de la donnée : le prestataire qui assure le stockage, la mise à disposition, la sauvegarde. Elle ne certifie pas votre poste de travail, ni votre pratique quotidienne d'annotation. Autrement dit, le serveur sur lequel sont stockées les images IRM peut être parfaitement conforme HDS, tandis que la manière dont vous accédez à ces images peut faire voler en éclats toute la chaîne de conformité.
Cette distinction est capitale. Le donneur d'ordre achète une plateforme HDS pour se protéger. Mais si l'annotateur introduit une faille dans le maillon humain — celui qui n'est pas certifié — c'est sa responsabilité personnelle qui se trouve exposée.
Les gestes anodins qui rompent la chaîne HDS
Un annotateur de données médicales manipule des données ultra-sensibles plusieurs heures par jour. Certains gestes, en apparence anodins, font sortir la donnée de l'environnement certifié et déplacent la responsabilité vers vous :
- Le téléchargement d'un export local : extraire un lot d'images ou un fichier de comptes rendus sur votre disque dur pour « travailler plus vite hors ligne » place une copie de données de santé hors HDS.
- La capture d'écran : un screenshot d'une coupe scanner partagé sur une messagerie non chiffrée pour poser une question à un confrère est une fuite caractérisée.
- Les outils tiers non certifiés : coller un compte rendu dans un traducteur en ligne, un correcteur orthographique cloud ou un assistant IA grand public pour « gagner du temps » transmet de la donnée de santé à un tiers non autorisé.
- Le poste personnel partagé : annoter depuis un ordinateur familial, sans session dédiée ni chiffrement du disque, expose la donnée à toute personne du foyer.
Chacun de ces gestes peut sembler trivial. Juridiquement, chacun constitue un manquement potentiel au cadre de protection des données de santé, qui sont une catégorie particulière de données au sens de l'article 9 du RGPD.
Sous-traitant ou responsable conjoint : votre place dans la chaîne
Dans la quasi-totalité des cas, l'annotateur freelance ou la micro-structure d'annotation intervient comme sous-traitant au sens de l'article 28 du RGPD. Le responsable de traitement est le client : le CHU qui veut entraîner un modèle, la biotech qui développe un dispositif médical, l'éditeur d'IA santé.
Cette position de sous-traitant n'est pas une zone de confort. Elle impose des obligations propres :
- traiter les données uniquement sur instruction documentée du responsable de traitement ;
- garantir la confidentialité (le secret médical irrigue toute la mission) ;
- mettre en place des mesures de sécurité techniques et organisationnelles adaptées ;
- notifier le responsable de traitement de toute violation de données dans les meilleurs délais.
Le contrat de sous-traitance (DPA) signé avec votre client n'est pas une formalité administrative : c'est le document qui définit précisément l'étendue de votre responsabilité. Lisez la clause de responsabilité avant de signer.
En cas d'incident, le responsable de traitement notifie la CNIL et les personnes concernées. Mais s'il établit que la cause est un manquement de votre part à vos obligations de sous-traitant, il dispose d'un recours contre vous. C'est précisément ce scénario que la RC Pro et son volet atteinte à la confidentialité ont vocation à couvrir.
Le coût réel d'une fuite de données de santé pour un indépendant
Un incident impliquant des données de santé ne se solde pas par un simple courrier d'excuse. La donnée de santé étant une donnée sensible, le régime de sanction et le coût de remédiation sont parmi les plus lourds.
| Poste | Nature | Ordre de grandeur |
|---|---|---|
| Analyse forensique | Identifier l'étendue et l'origine de la fuite | Plusieurs milliers d'euros |
| Notification | Information CNIL et personnes concernées | Coûts internes + juridiques |
| Défense juridique | Si le client engage un recours | Honoraires d'avocat sur la durée |
| Indemnisation | Préjudice du client (projet IA retardé, perte de confiance) | Potentiellement très élevé |
| Réputation | Perte de contrats futurs sur un marché de niche | Difficilement chiffrable |
Pour un indépendant, l'addition de ces postes peut représenter plusieurs fois le chiffre d'affaires annuel. C'est la raison pour laquelle une simple RC Pro généraliste ne suffit pas : il faut une couverture pensée pour les données de santé, complétée par un volet Cyber qui prend en charge la gestion de crise technique (forensique, remédiation, accompagnement à la notification).
Construire une pratique d'annotation défendable
Face à un incident, la question décisive est toujours la même : pouvez-vous démontrer que vous avez agi en professionnel diligent ? Voici les réflexes qui rendent votre pratique défendable :
- Ne jamais sortir la donnée de la plateforme. Annotez exclusivement dans l'environnement HDS fourni par le client. Refusez les exports locaux, même « temporaires ».
- Sécuriser le poste. Disque chiffré, session dédiée, verrouillage automatique, antivirus à jour, réseau privé. Votre matériel informatique est le maillon physique de la chaîne.
- Documenter vos instructions. Conservez par écrit les guidelines et les consignes du client : elles prouvent que vous avez agi sur instruction.
- Proscrire les outils tiers. Aucun copier-coller de donnée de santé vers un service en ligne non validé par le client.
- Signaler immédiatement. Le moindre doute sur une fuite se signale sans délai au responsable de traitement. Le silence aggrave la responsabilité.
Cette discipline, combinée à une assurance adaptée, transforme un risque existentiel en risque maîtrisé. Pour comprendre l'ensemble des garanties pertinentes pour ce métier, consultez la fiche dédiée à l'annotateur de données médicales.
Questions fréquentes
Non. La certification HDS porte sur l'hébergeur des données, pas sur votre poste de travail ni sur votre pratique d'annotation. Si vous introduisez une faille — export local, outil tiers non certifié — vous engagez votre propre responsabilité, indépendamment de la conformité de la plateforme.
Dans la grande majorité des cas, l'annotateur freelance est sous-traitant au sens de l'article 28 du RGPD : il traite les données sur instruction du client, qui reste responsable de traitement. Cela ne vous exonère pas : vous avez des obligations propres de confidentialité, de sécurité et de notification.
Une capture d'écran extrait une copie de la donnée hors de l'environnement HDS. Partagée par une messagerie non chiffrée ou stockée localement, elle constitue une violation potentielle. La donnée de santé étant sensible au sens de l'article 9 du RGPD, le manquement est lourdement sanctionnable.
Elle est nécessaire mais rarement suffisante. Il faut une RC Pro intégrant un volet atteinte à la confidentialité et secret médical, complétée par une couverture Cyber qui prend en charge la gestion de crise technique : analyse forensique, remédiation et accompagnement à la notification CNIL.
Le DPA définit l'étendue de vos obligations et la clause de responsabilité peut soit la plafonner, soit l'élargir. Lisez-la attentivement avant de signer : certains contrats imposent une responsabilité illimitée en cas de manquement à la sécurité, ce qui rend l'assurance d'autant plus indispensable.
Souscrivez votre assurance pro en 2 minutes
Toutes nos protections pour votre activité de Annotateur de données médicales — attestation immédiate, sans engagement.
* Tarifs indicatifs « à partir de », selon votre profil, votre activité et les garanties choisies. · Voir la fiche Annotateur de données médicales →
Article rédigé et vérifié par l'équipe Insurio — Tutassûr, courtier en assurance immatriculé à l'ORIAS sous le n° 22001730. Information à caractère général ne se substituant pas aux conditions de votre contrat.