Héberger des données de santé ne s’improvise pas. La loi impose un cadre précis, la certification HDS, qui s’applique à tout prestataire technique traitant des données de santé à caractère personnel pour le compte de tiers. Mais connaître l’obligation ne suffit pas : tous les hébergeurs ne couvrent pas les mêmes périmètres, la sous-traitance crée des angles morts, et depuis mai 2024, une nouvelle version du référentiel est en vigueur. Tour d’horizon de ce qu’il faut vraiment vérifier.
En bref
- La certification HDS est obligatoire pour tout prestataire qui héberge des données de santé à caractère personnel pour le compte de tiers. Elle couvre 6 périmètres distincts, de l’infrastructure physique à la sauvegarde externalisée, et tous ne sont pas systématiquement couverts par les hébergeurs.
- Choisir un hébergeur de données de santé certifié HDS ne suffit pas : il faut vérifier quels périmètres sont réellement couverts, auditer la chaîne de sous-traitance, et s’assurer que la souveraineté des données est garantie.
- HDS V2 est en vigueur depuis mai 2024. Depuis le 16 mai 2026, les certificats V1 ne sont plus valables : un hébergeur qui n’est pas passé en V2 n’est plus certifié HDS.
Pourquoi les données de santé font l’objet d’une réglementation spécifique
Les données de santé ne ressemblent à aucune autre donnée. Elles touchent à l’intimité des personnes : leur état physique et mental, leurs antécédents, leurs traitements. En cas de fuite ou de compromission, les conséquences peuvent être lourdes : atteinte à la vie privée, discrimination à l’embauche ou à l’assurance, perte de confiance envers les structures de soins.
C’est pourquoi la France a mis en place un cadre réglementaire spécifique : la certification HDS (Hébergeur de Données de Santé). Elle s’impose à tous les prestataires techniques qui stockent ou traitent des données de santé pour le compte de tiers : structures de santé, éditeurs de logiciels médicaux, infogéreurs. Et elle va bien au-delà d’un simple label : entre les prestataires, les différences sont importantes, et les questions à poser avant de signer, nombreuses.
Télécharger le guide pratique gratuit
Ce guide vous explique concrètement ce que la loi impose, où se situent les risques réels et comment vérifier que votre chaîne d’hébergement est complète. Checklist de conformité en 12 points incluse.
Qu’est-ce que la certification HDS ?
La certification HDS a été créée et est supervisée par l’Agence du Numérique en Santé (ANS). Elle fixe les conditions dans lesquelles des données de santé à caractère personnel peuvent être hébergées par un prestataire externe.
Pour l’obtenir, un hébergeur doit se soumettre à un audit rigoureux mené par un organisme indépendant accrédité par le COFRAC. L’audit couvre la sécurité des infrastructures, la traçabilité des accès, la continuité de service, la gestion des incidents et la conformité au RGPD. La certification est valable 3 ans, avec des audits de surveillance annuels. Ce n’est donc pas une démarche ponctuelle : c’est un engagement permanent, qui engage l’ensemble de l’organisation et pas seulement les équipes techniques.
La certification HDS impose ISO 27001 comme socle obligatoire : tout hébergeur certifié HDS est nécessairement certifié ISO 27001. Mais l’inverse n’est pas vrai : ISO 27001 seule ne suffit pas pour héberger légalement des données de santé à caractère personnel en France.
Les 6 périmètres HDS : une distinction qui compte
C’est là où beaucoup sont pris en défaut. La certification HDS n’est pas un bloc monolithique. Elle se décline en 6 périmètres, correspondant aux différents maillons de la chaîne d’hébergement. Un prestataire peut être certifié sur un seul périmètre, sur plusieurs, ou sur l’ensemble.
| Périmètre | Ce qu’il couvre |
|---|---|
| 1. Locaux physiques | Sécurité des datacenters : accès contrôlés, protection incendie, alimentation de secours |
| 2. Infrastructure matérielle | Serveurs, équipements réseau, baies de stockage |
| 3. Infrastructure virtuelle | Hyperviseurs, machines virtuelles, conteneurs, environnements isolés |
| 4. Plateforme d’hébergement d’applications | Systèmes d’exploitation, bases de données, serveurs d’applications et middleware |
| 5. Administration et exploitation du SI | Supervision, maintenance, gestion des incidents au quotidien |
| 6. Sauvegarde externalisée | Copies de sécurité hébergées sur un site distinct, avec le même niveau d’exigence |
Pourquoi est-ce important ?
Un hébergeur certifié HDS sur les périmètres 1 et 2 uniquement (sites et infrastructure matérielle) ne peut pas légalement assurer l’hébergement de vos applications (périmètre 4), l’administration et l’exploitation de votre SI (périmètre 5) ou la sauvegarde externalisée (périmètre 6). Si votre contrat ne précise pas explicitement les périmètres couverts, vous ne savez pas ce que vous achetez.
Votre hébergeur couvre-t-il les 6 périmètres HDS ?
Nous analysons ensemble votre situation et vous disons exactement où vous en êtes.
Qui est concerné par l’obligation HDS ?
L’obligation s’applique à tous les prestataires qui hébergent des données de santé pour le compte de tiers :
- Les structures de santé qui externalisent leur infrastructure (hôpitaux, cliniques, EHPAD, laboratoires, centres de radiologie, cabinets médicaux)
- Les éditeurs de logiciels médicaux en SaaS qui hébergent des dossiers patients ou des applications traitant des données identifiables
- Les infogéreurs ou prestataires techniques opérant des systèmes d’information de santé
Pour les cliniques, éditeurs et laboratoires, nous proposons aussi l’infogérance HDS de leurs applications.
A NOTER : Une organisation qui héberge ses propres données de santé sur ses propres serveurs, sans faire appel à un tiers, n’est pas soumise à l’obligation de certification HDS. Elle reste néanmoins soumise au RGPD et aux recommandations de la CNIL en matière de sécurité des données de santé.
La chaîne de sous-traitance : l’angle mort le plus fréquent
Supposons que votre hébergeur principal soit certifié HDS. La question qui suit, et que peu posent, est : fait-il lui-même appel à des sous-traitants ? Ces sous-traitants interviennent-ils sur vos données de santé ? Sont-ils certifiés sur les bons périmètres ?
Le référentiel HDS impose des obligations sur la gestion de la sous-traitance, mais dans la pratique, les organisations ne demandent pas systématiquement la liste des prestataires de leurs prestataires, ni les preuves de certification correspondantes. C’est pourtant la responsabilité du donneur d’ordre, et elle doit être formalisée dans le contrat d’hébergement HDS : liste exhaustive des sous-traitants intervenant sur vos données, preuves de certification sur les périmètres pertinents, et clause imposant une information obligatoire en cas de changement.
Sans ces éléments, vous n’avez pas de visibilité réelle sur votre chaîne de conformité. Et en cas d’incident impliquant un sous-traitant non certifié, c’est votre responsabilité qui sera engagée, pas la sienne.
Souveraineté : la question qu’on oublie souvent de poser
La certification HDS garantit la sécurité de l’hébergement. Elle ne garantit pas la souveraineté des données.
Certains hyperscalers américains (AWS, Microsoft Azure, Google Cloud) ont obtenu la certification HDS pour certains de leurs services. Cela ne signifie pas pour autant que vos données de santé sont à l’abri de législations extraterritoriales comme le Cloud Act américain, qui peut contraindre ces entreprises à communiquer des données à des autorités américaines, même si elles sont physiquement stockées en France.
La CNIL, l’ANS et le Conseil d’État recommandent de privilégier des solutions souveraines : hébergement dans l’Espace Économique Européen, chez un opérateur non soumis à des lois extraterritoriales conflictuelles. C’est un critère qui prend tout son sens dans le secteur de la santé, où la sensibilité des données et les obligations réglementaires sont particulièrement élevées. C’est un critère à vérifier chez votre prestataire : choisir un hébergeur cloud français, dont les serveurs, l’exploitation et les équipes restent en France. »
HDS V2 : depuis le 16 mai 2026, seule la certification V2 est valable
Le référentiel HDS V2 a été publié par l’ANS en mai 2024. Depuis le 16 novembre 2024, tout nouvel hébergeur candidat devait viser directement la V2. Les prestataires déjà certifiés en V1 avaient jusqu’au 16 mai 2026 pour basculer : depuis cette date, les certificats V1 ne sont plus valables.
Concrètement, si votre hébergeur n’a pas obtenu sa certification V2, il n’est plus un hébergeur certifié HDS au sens de la loi. En lui confiant des données de santé, votre établissement ne respecte plus l’obligation de recourir à un prestataire certifié. Votre responsabilité peut alors être engagée en cas de contrôle ou d’incident.
La V2 apporte aussi de nouvelles exigences, que vous pouvez désormais réclamer à votre hébergeur :
- des données de santé stockées exclusivement dans l’Espace économique européen ;
- une information écrite, dans le contrat, sur tout accès aux données depuis un pays hors de l’Union européenne, avec les risques et les mesures de protection associés ;
- la publication sur son site d’une cartographie des transferts de données hors de l’EEE ;
- la liste de ses sous-traitants, en particulier ceux soumis à des lois extraterritoriales.
Que faire maintenant ?
Vérifiez le statut de votre prestataire sur espace-certification.esante.gouv.fr. S’il n’est pas certifié V2, demandez-lui une date de certification écrite, relisez votre contrat et préparez un plan de migration. SdV est certifié HDS V2 sur les 6 périmètres : demandez un diagnostic gratuit de votre hébergement actuel.
Pour suivre les transitions en cours, l’ANS a publié une page dédiée à cette échéance : Certification HDS : six mois pour être prêt.
SdV : un hébergeur certifié HDS, de l’infrastructure à l’exploitation
SdV est un hébergeur de données de santé indépendant français, fondé en 1985. Présent bien avant l’essor du cloud public, SdV a construit son modèle sur un principe simple : maîtriser l’ensemble de la chaîne, des datacenters jusqu’à l’exploitation quotidienne des infrastructures de ses clients.
Une double certification ISO 27001 et HDS, délivrée par l’AFNOR.
La norme ISO 27001 encadre la sécurité de l’ensemble du système d’information. La certification HDS vient compléter ce socle avec les exigences propres au secteur santé. Ensemble, elles constituent un cadre de confiance solide, audité et renouvelé régulièrement.
Des datacenters en France, opérés par SdV.
Pas de sous-traitance offshore, pas de dépendance vis-à-vis d’un hyperscaler américain. Les données restent sur le territoire français, dans des infrastructure cloud haute disponibilité que SdV conçoit, exploite et maintient.
Un accompagnement, pas seulement une ressource cloud.
Les équipes SdV assurent la supervision, la gestion des incidents, les mises à jour et la continuité de service, ce qui correspond aux périmètres les plus exigeants de la certification HDS : l’infogérance (périmètre 5) et la sauvegarde externalisée (périmètre 6).
Une relation unique et directe.
Traiter avec un hébergeur indépendant à taille humaine, c’est avoir un interlocuteur dédié qui vous connaît et qui connaît son environnement, sans passer par des tickets dans un portail mondial.
Passez à un hébergeur qui couvre toute la chaîne
SdV est certifié HDS sur les 6 périmètres : De l’infrastructure à la sauvegarde.
FAQ : vos questions sur l’hébergement HDS
Non. La certification HDS porte sur l’hébergement : la sécurité, la confidentialité, la traçabilité de l’infrastructure. La conformité RGPD de votre application reste de votre responsabilité : base légale du traitement, gestion des consentements, droits des personnes, politique de confidentialité, désignation d’un DPO si applicable. En choisissant un hébergeur certifié HDS, vous couvrez la partie infrastructure. Le reste dépend de votre organisation et de votre éditeur.
Techniquement oui, sous conditions. Certains services d’AWS et Azure sont certifiés HDS pour certains périmètres, mais pas tous. Il faut vérifier périmètre par périmètre. Et surtout, le Cloud Act américain peut exposer ces données à des demandes d’accès par des autorités américaines, indépendamment du lieu d’hébergement physique. Héberger chez un acteur européen non soumis à des lois extraterritoriales reste la réponse la plus robuste.
Oui, c’est l’objet du périmètre 6 du référentiel HDS. Il impose que les sauvegardes externalisées soient hébergées sur un site distinct, avec le même niveau de sécurité et de traçabilité que les données d’origine. Vérifiez que votre hébergeur est bien certifié sur ce périmètre si vous lui confiez vos sauvegardes : ce n’est pas automatiquement inclus dans une certification portant uniquement sur les périmètres 1 et 2.
La définition est plus large qu’on ne le croit généralement. Au sens du RGPD (article 4, paragraphe 15), une donnée de santé est toute donnée à caractère personnel relative à l’état de santé physique ou mentale d’une personne. Cela inclut les informations fournies par le patient lui-même (antécédents, traitements en cours), les données produites par les professionnels de santé (comptes rendus, ordonnances, résultats d’examens), les données d’imagerie médicale (radiographies, IRM, scanners), et les données inférées ou déduites (diagnostic établi à partir d’analyses croisées). Les sauvegardes de toutes ces données sont également concernées, au même titre que les données en production.
HDS V2 est le référentiel publié par l’ANS en mai 2024. Il est plus exigeant sur la cybersécurité, la gestion des sous-traitants et la localisation des données, qui doivent rester dans l’EEE. Depuis le 16 mai 2026, seuls les certificats V2 sont valables. Si votre prestataire n’est pas certifié V2, vérifiez son statut sur espace-certification.esante.gouv.fr et revoyez votre contrat sans attendre.
La certification HDS est délivrée par des organismes de certification accrédités par le COFRAC. Pour vérifier qu’un hébergeur est bien certifié, demandez son certificat en cours de validité et contrôlez deux points : la date d’expiration, et la liste exacte des périmètres couverts. Un certificat peut être valide mais ne porter que sur un ou deux périmètres, ce qui peut être insuffisant selon la nature de votre projet. L’ANS publie la liste officielle des hébergeurs certifiés HDS sur espace-certification.esante.gouv.fr.
