Un hébergeur de données de santé est un prestataire certifié pour assurer tout ou partie de l'hébergement numérique de données de santé à caractère personnel. Son intervention devient obligatoire dans les situations définies par le Code de la santé publique, notamment lorsque ces données sont hébergées pour le compte de l'organisme qui les a produites ou recueillies, ou pour le compte du patient.
Pour une clinique, un éditeur de logiciel médical ou une plateforme de télésuivi, la difficulté ne consiste pas seulement à trouver un fournisseur affichant un logo HDS. Il faut vérifier la version de sa certification, les activités réellement couvertes, la localisation des données, ses éventuelles dépendances à des prestataires tiers et les conditions de restitution des données. Une certification valide ne corrige pas un contrat imprécis ni une application insuffisamment sécurisée.
Qu'est-ce qu'un hébergeur de données de santé ?
L'article L.1111-8 du Code de la santé publique encadre l'hébergement de données de santé à caractère personnel recueillies à l'occasion d'activités de prévention, de diagnostic, de soins ou de suivi social et médico-social. Lorsqu'il est réalisé sur support numérique, cet hébergement doit être assuré dans les conditions prévues par la réglementation et par un hébergeur disposant de la certification correspondant aux activités exercées.
Une donnée de santé ne se limite pas à un diagnostic ou à un résultat d'analyse. La définition présentée par la CNIL couvre notamment les informations relatives à l'état de santé physique ou mentale d'une personne, ainsi que certaines données collectées lors de son inscription à un service de soins. Une information apparemment administrative peut donc devenir une donnée de santé lorsqu'elle révèle, directement ou par recoupement, une information sur l'état de santé d'une personne.
La certification HDS atteste qu'un organisme certificateur accrédité a contrôlé le système de management et les mesures mises en œuvre par l'hébergeur sur un périmètre déterminé. Elle contribue à réduire les risques de perte, d'altération, d'indisponibilité ou d'accès non autorisé. Elle ne signifie toutefois pas qu'aucun incident ne peut se produire et ne constitue pas, à elle seule, une conformité générale au RGPD.
Point essentiel : la certification porte sur un hébergeur, une version de référentiel et des activités précises. Elle ne doit jamais être interprétée comme une garantie globale couvrant automatiquement toute l'application et tous ses sous-traitants.
Quelle différence existe-t-il entre l'agrément et la certification HDS ?
L'agrément correspond à l'ancien dispositif. La certification HDS l'a progressivement remplacé à partir de 2018. Elle est délivrée par un organisme certificateur accrédité, après des audits documentaires et opérationnels, et non directement par le ministère chargé de la Santé.
Il faut donc demander un certificat en cours de validité et vérifier sa version. Depuis la fin de la période transitoire, le 16 mai 2026, les acteurs concernés doivent être certifiés selon la version 2.0 du référentiel pour poursuivre légalement leurs activités d'hébergement pour le compte de tiers. La liste officielle publiée par l'Agence du Numérique en Santé permet de contrôler la situation du prestataire et les activités couvertes.
Une version 2.1 du référentiel est annoncée pour octobre 2026. D'après le calendrier communiqué par l'Agence du Numérique en Santé, elle doit notamment renforcer la transparence sur les transferts de données et sur l'exposition éventuelle de l'hébergeur à des législations de pays situés hors de l'Union européenne. Cette évolution étant encore à venir à la date de mise à jour de cet article, elle doit être anticipée dans les contrats sans être présentée comme déjà applicable.
Qui doit utiliser un hébergeur certifié HDS ?
L'obligation ne dépend pas uniquement du secteur d'activité déclaré par l'entreprise. La question à poser est plus précise : l'organisation ou son prestataire héberge-t-il, pour le compte d'un tiers ou du patient, des données de santé recueillies dans le cadre prévu par le Code de la santé publique ?
Cette situation concerne notamment les établissements de santé qui externalisent leur infrastructure, les plateformes de téléconsultation, les solutions de suivi à distance et les éditeurs proposant un logiciel médical en mode SaaS. Elle peut également concerner un prestataire informatique qui sauvegarde, administre ou maintient une infrastructure contenant de telles données.
Un éditeur n'est pas nécessairement obligé de devenir lui-même hébergeur certifié. Il peut confier les activités entrant dans le champ HDS à un prestataire certifié. Il doit alors s'assurer que toute la chaîne technique est couverte. Choisir un fournisseur d'infrastructure certifié ne suffit pas nécessairement si l'éditeur, un infogéreur ou un autre sous-traitant réalise lui-même une activité d'administration ou de sauvegarde relevant du périmètre HDS.
Un hébergement sur les serveurs internes de l'entreprise exige-t-il la certification HDS ?
La certification vise l'hébergement réalisé pour le compte des personnes ou organismes désignés par le Code de la santé publique. Une organisation qui exploite exclusivement ses propres moyens techniques pour ses propres besoins ne se trouve donc pas automatiquement dans la même situation qu'un prestataire hébergeant les données d'un client.
Cette distinction doit néanmoins être examinée avec prudence. L'intervention d'une société d'infogérance, d'un fournisseur de sauvegarde distante, d'un opérateur cloud ou d'un technicien disposant d'un accès d'administration peut modifier l'analyse. Il faut cartographier les opérations réellement effectuées et pas seulement regarder à qui appartiennent les serveurs.
Une prise de rendez-vous médical constitue-t-elle une donnée de santé ?
Elle peut constituer une donnée de santé lorsque son contexte, la spécialité du professionnel consulté ou les informations associées permettent de déduire quelque chose sur l'état de santé de la personne. Il n'est donc pas prudent de considérer toutes les données de rendez-vous comme de simples informations administratives.
L'analyse doit porter sur le contenu effectivement collecté, la finalité du traitement et les déductions possibles. En cas de doute sur la qualification des données ou sur l'application de l'obligation HDS, le délégué à la protection des données ou un juriste spécialisé doit être consulté avant la mise en production.
Comment vérifier la certification d'un hébergeur ?
La mention « environnement HDS » sur une proposition commerciale ne suffit pas. Demandez le certificat complet et comparez-le à l'architecture réelle du service. Le nom de la société, les dates de validité, la version du référentiel et les activités certifiées doivent correspondre au prestataire qui exécutera effectivement la prestation.
La certification distingue deux grands métiers : l'hébergement d'infrastructure physique et l'hébergement infogéré. Selon les opérations réalisées, différentes activités peuvent être couvertes, de la mise à disposition des locaux et du matériel jusqu'à l'administration, l'exploitation ou la sauvegarde des données. Un certificat limité à l'infrastructure physique ne couvre pas automatiquement l'infogérance d'un serveur ou d'une application.
Avant de retenir un fournisseur, contrôlez au minimum les éléments suivants :
- la présence de l'entreprise dans la liste officielle des hébergeurs certifiés ;
- la version 2.0 du référentiel et la période de validité du certificat ;
- les activités incluses dans le périmètre de certification ;
- l'identité et le rôle des sous-traitants techniques ;
- les pays dans lesquels les données et leurs sauvegardes sont hébergées ;
- les accès d'administration réalisés depuis l'étranger ;
- les garanties présentées concernant les transferts et les législations de pays tiers.
Faut-il obligatoirement choisir un hébergement situé en France ?
La certification HDS n'impose pas, dans tous les cas, que chaque infrastructure soit physiquement située en France. Le référentiel HDS 2.0 renforce néanmoins les exigences relatives à la localisation des données dans l'Espace économique européen et à la transparence concernant les transferts hors de cet espace.
Un hébergement en France ou dans l'Union européenne facilite généralement la maîtrise juridique et opérationnelle, mais la localisation du centre de données ne règle pas tout. Il faut également identifier la nationalité des sociétés qui interviennent, les législations auxquelles elles sont soumises, les lieux depuis lesquels les administrateurs accèdent au système et les transferts réalisés par leurs sous-traitants.
Affirmer qu'un serveur situé en France protège automatiquement contre toute législation extraterritoriale serait inexact. Ce risque doit être étudié à partir de la structure juridique du fournisseur et des garanties contractuelles et techniques proposées. Pour un traitement particulièrement sensible, cette analyse peut nécessiter l'intervention du délégué à la protection des données et d'un juriste.
La certification HDS suffit-elle pour respecter le RGPD ?
Non. La certification HDS encadre l'hébergement de certaines données de santé, tandis que le RGPD porte sur l'ensemble du traitement de données personnelles. Le responsable du traitement doit toujours déterminer une base juridique, limiter les données collectées, informer les personnes, gérer les droits d'accès et fixer une durée de conservation adaptée.
Le contrat avec l'hébergeur doit également respecter les exigences applicables à la sous-traitance. La CNIL rappelle que le recours à un sous-traitant doit être encadré et que le responsable du traitement doit vérifier les garanties présentées. Il ne peut pas transférer l'ensemble de sa responsabilité au fournisseur par une simple clause contractuelle.
Quel budget et quelles clauses faut-il prévoir ?
Il n'existe pas de tarif réglementé pour l'hébergement HDS. Le prix varie selon le volume de données, la puissance nécessaire, le niveau de disponibilité, le nombre de sauvegardes, la durée de conservation, l'infogérance et les délais d'intervention prévus. Un montant générique annoncé sans description de l'architecture a donc peu de valeur.
Le coût mensuel de l'infrastructure ne représente qu'une partie du budget. Une migration peut nécessiter l'adaptation de l'application, le chiffrement de certains flux, la modification des procédures d'administration, des tests de restauration et une interruption planifiée. Il faut aussi prévoir le suivi contractuel et le contrôle régulier de la certification des prestataires.
| Poste à chiffrer | Ce que le devis doit préciser | Risque à anticiper |
|---|---|---|
| Infrastructure | Capacité, puissance, trafic, redondance et localisation | Dépassements facturés ou ressources insuffisantes |
| Sauvegardes | Fréquence, rétention, isolement et tests de restauration | Copies présentes mais impossibles à restaurer |
| Migration | Transfert, adaptation, tests et bascule en production | Travaux techniques non compris dans le forfait |
| Infogérance | Supervision, mises à jour, astreinte et interventions | Responsabilités mal réparties entre les prestataires |
| Réversibilité | Formats, délais, assistance et coût de restitution | Dépendance technique ou financière au fournisseur |
Quels engagements de service faut-il demander ?
Les engagements doivent correspondre aux conséquences réelles d'une panne. Le SLA, ou accord de niveau de service, doit préciser le taux de disponibilité, les horaires de support, le délai de prise en charge, l'objectif de rétablissement et les exclusions. Un taux élevé affiché sans méthode de calcul ni conséquence contractuelle reste peu utile.
Deux indicateurs doivent retenir votre attention. Le premier est la durée maximale d'interruption acceptable pour l'entreprise. Le second est la quantité de données qu'elle peut perdre entre deux sauvegardes. Ces objectifs doivent être cohérents avec l'architecture, les sauvegardes et les procédures de reprise proposées.
Que doit prévoir la clause de réversibilité ?
La clause de réversibilité doit expliquer comment les données seront restituées ou transférées à la fin du contrat. Elle doit préciser les formats fournis, le délai, le coût, l'assistance technique, le traitement des sauvegardes et la suppression des copies restantes après validation de la migration.
Cette clause est également importante en cas de suspension, de retrait ou de perte de la certification HDS. Le contrat doit déterminer les mesures prises pour maintenir la continuité du service et permettre le transfert vers un autre hébergeur. Les règles encadrant l'hébergement prévoient d'ailleurs que le contrat présente les prestations réalisées à la fin de l'hébergement et les modalités de réversibilité.
Le point clé pour décider : choisissez un hébergeur dont le certificat couvre exactement les prestations achetées, puis faites correspondre le contrat à votre architecture réelle. Le logo HDS ne remplace ni la vérification des sous-traitants, ni l'analyse RGPD, ni un plan de sortie exploitable.
La première étape consiste à cartographier les données, leurs flux et les intervenants qui peuvent y accéder. Vous pourrez ensuite comparer le périmètre technique avec les certificats des différents fournisseurs, chiffrer la migration et négocier les niveaux de service nécessaires. Si la qualification des données, le partage des responsabilités ou l'exposition à une législation étrangère reste incertain, un examen conjoint par votre responsable informatique, votre délégué à la protection des données et un juriste spécialisé est préférable avant la signature.
