Secrecy Care Blog
Find the latest news from Secrecy Care, new products, events, and articles from our experts here.
Find the latest news from Secrecy Care, new products, events, and articles from our experts here.
Toute donnée de santé confiée à un prestataire extérieur doit être hébergée dans un environnement certifié HDS (Hébergeur de Données de Santé). Pour un établissement, un cabinet ou un éditeur qui travaille avec le secteur de la santé, comprendre cette obligation n'est pas une option : c'est un prérequis pour choisir un prestataire, répondre à un audit ou tout simplement protéger ses patients.
La certification HDS est une obligation légale, prévue par l'article L1111-8 du Code de la santé publique, qui s'impose à toute personne physique ou morale hébergeant des données de santé à caractère personnel pour le compte d'un tiers, que ce soit sur support numérique ou papier. Un établissement de santé qui héberge lui-même ses propres données, en tant que responsable de traitement, n'est en revanche pas soumis à cette obligation. La certification est délivrée par des organismes accrédités, à l'issue d'un audit portant sur un référentiel publié par l'Agence du Numérique en Santé (ANS), aligné depuis 2024 sur la norme ISO 27001:2022. Elle donne lieu à deux certificats distincts : un certificat ISO 27001 et un certificat HDS. Pour un établissement, choisir un hébergeur certifié HDS n'est donc pas un simple gage de sérieux commercial : c'est une condition de conformité légale, qui doit être vérifiée contractuellement avant toute signature.
L'article L1111-8 du Code de la santé publique vise « toute personne physique ou morale qui héberge des données de santé à caractère personnel recueillies à l'occasion d'activités de prévention, de diagnostic, de soins ou de suivi médico-social pour le compte de personnes physiques ou morales à l'origine de la production ou du recueil de ces données ou pour le compte du patient lui-même ». Concrètement, cela couvre trois grandes catégories d'activités : l'hébergement physique ou virtuel de données de santé, l'administration et l'exploitation d'un système d'information contenant ces données, et la réalisation de sauvegardes pour le compte d'un établissement ou d'un professionnel de santé.
Un point souvent mal compris : les établissements de santé, cliniques, laboratoires ou professionnels de santé qui hébergent leurs propres données, en tant que responsables du traitement, ne sont pas eux-mêmes soumis à l'obligation de certification. En revanche, dès qu'ils confient tout ou partie de cet hébergement à un prestataire externe (cloud, infogérance, sauvegarde, archivage), ce prestataire doit être certifié HDS. C'est pourquoi la quasi-totalité des établissements sont concernés indirectement : par le choix de leurs prestataires plutôt que par leur propre statut.
Le référentiel de certification HDS, publié par l'ANS, structure les exigences autour de plusieurs activités : l'hébergement physique de l'infrastructure, l'infogérance, l'administration et l'exploitation du système d'information, la sauvegarde des données, et la mise à disposition d'un service d'archivage électronique. La version 2.0 du référentiel, publiée en avril 2024, a renforcé les exigences de souveraineté des données, notamment sur la localisation géographique de l'hébergement et la transparence vis-à-vis des clients quant aux sous-traitants impliqués.
Concrètement, un hébergeur certifié HDS doit être en mesure de démontrer, preuves d'audit à l'appui, la maîtrise de ses accès (attribution et revue annuelle des droits nominatifs), la traçabilité des interventions sur les systèmes contenant les données de santé, un niveau de sécurité physique et logique aligné sur ISO 27001:2022, ainsi qu'un processus documenté de gestion des sauvegardes et de continuité d'activité.
Prenons le cas d'une clinique qui souhaite déployer un nouveau logiciel de gestion des dossiers patients, proposé en mode SaaS par un éditeur tiers. Avant de signer, la clinique doit vérifier que l'éditeur héberge lui-même les données chez un hébergeur certifié HDS, ou qu'il l'est lui-même s'il héberge en interne. Il ne suffit pas que l'éditeur affirme être « conforme RGPD » : la certification HDS est une exigence distincte et cumulative. La clinique doit demander une copie du certificat HDS en cours de validité, vérifier son périmètre exact (certains hébergeurs ne sont certifiés que pour l'hébergement physique, et pas pour l'infogérance ou l'administration du système), et s'assurer que le contrat mentionne explicitement les garanties associées à cette certification.
L'obligation de certification HDS repose sur l'article L1111-8 du Code de la santé publique, complété par le décret du 26 février 2018, qui a créé les articles R1111-8-8 à R1111-11 du même code. Ce cadre réglementaire s'articule avec le RGPD, sans s'y substituer : la certification HDS porte sur les garanties de sécurité et de disponibilité de l'hébergement, tandis que le RGPD encadre plus largement l'ensemble du traitement des données personnelles, y compris la base légale, les droits des patients et l'analyse d'impact.
Le certificat de conformité est délivré par des organismes de certification accrédités par le Comité français d'accréditation (COFRAC) ou par l'instance nationale d'accréditation d'un autre État membre de l'Union européenne. Les conditions de délivrance sont fixées par décret en Conseil d'État, pris après avis de la CNIL et des conseils nationaux de l'ordre des professions de santé (source : article L1111-8 du Code de la santé publique, Légifrance).
Le référentiel HDS continue d'évoluer : une nouvelle version, la v2.1, est attendue à l'automne 2026 pour clarifier notamment son articulation avec la qualification SecNumCloud de l'ANSSI, de plus en plus exigée pour l'hébergement des données sensibles des établissements publics de santé. Cette convergence progressive entre exigences sectorielles (HDS) et exigences de sécurité nationale (SecNumCloud) va probablement renforcer, dans les années qui viennent, le niveau d'exigence attendu des hébergeurs, en particulier sur la souveraineté et la localisation des données.
Sur le plan technique, cette évolution accompagne une tendance de fond vers des architectures où la donnée reste chiffrée de bout en bout, y compris vis-à-vis de l'hébergeur lui-même. Un hébergement certifié HDS reste indispensable sur le plan réglementaire, mais il ne dispense pas de renforcer, en complément, la protection de la donnée elle-même par un chiffrement que même le prestataire ne peut lever.
Message clé : la certification HDS n'est pas une option commerciale, c'est une condition légale à vérifier avant toute signature avec un prestataire hébergeant des données de santé.
Pour un établissement, le réflexe le plus utile reste simple : ne jamais confier de données de santé à un tiers sans avoir vérifié, noir sur blanc, le périmètre exact et la validité de son certificat HDS.
Un cabinet médical individuel est-il soumis à la certification HDS ? Non, un professionnel de santé qui héberge ses propres données en tant que responsable de traitement n'est pas soumis à l'obligation de certification ; en revanche, s'il confie l'hébergement à un prestataire externe, ce prestataire doit être certifié.
Combien de temps est valable un certificat HDS ? La durée de validité et les modalités de renouvellement sont fixées par le processus de certification encadré par le décret de 2018 ; il convient de toujours vérifier la date d'expiration indiquée sur le certificat remis par le prestataire.
La certification HDS remplace-t-elle la conformité RGPD ? Non, ce sont deux exigences cumulatives : la certification HDS porte sur les garanties de sécurité de l'hébergement, tandis que le RGPD encadre l'ensemble du traitement des données personnelles.
Que couvre exactement un certificat HDS ? Cela dépend du périmètre audité : hébergement physique, infogérance, administration du système d'information et sauvegarde peuvent être certifiés séparément ou conjointement ; le certificat doit préciser ce périmètre.
Qui délivre la certification HDS ? Des organismes de certification accrédités par le COFRAC en France, ou par l'instance nationale d'accréditation équivalente d'un autre État membre de l'Union européenne.
Que se passe-t-il si mon hébergeur n'est pas certifié HDS ? L'établissement qui confie des données de santé à un hébergeur non certifié est en infraction avec l'article L1111-8 du Code de la santé publique, indépendamment de la responsabilité propre de l'hébergeur.
La certification HDS garantit-elle qu'aucune cyberattaque n'est possible ? Non, elle atteste d'un niveau de maîtrise des risques audité par un organisme indépendant, mais aucune certification ne peut garantir une absence totale d'incident ; elle réduit le risque, elle ne l'annule pas.
La certification HDS, prévue par l'article L1111-8 du Code de la santé publique, s'impose à tout prestataire hébergeant des données de santé pour le compte d'un établissement ou d'un professionnel de santé. Elle est délivrée par des organismes accrédités, sur la base d'un référentiel publié par l'ANS et aligné sur ISO 27001:2022, et couvre l'hébergement, l'infogérance, l'administration du système d'information et la sauvegarde. Vérifier le périmètre exact et la validité du certificat d'un prestataire est une étape obligatoire avant toute signature.
Avant de signer avec un nouveau prestataire hébergeant des données de santé pour votre établissement : demandez une copie du certificat HDS en cours de validité, vérifiez son périmètre exact (hébergement, infogérance, administration, sauvegarde), et assurez-vous que les sous-traitants éventuels de votre prestataire sont couverts par le même niveau d'exigence contractuelle.
« La certification HDS n'est pas un argument commercial, c'est une condition légale de choix du prestataire. » « Un hébergeur certifié pour le stockage physique n'est pas nécessairement certifié pour l'administration du système : le périmètre du certificat se lit en détail. » « La certification réduit le risque, elle ne le supprime pas : elle se complète par le chiffrement de la donnée elle-même. »
Choisir un hébergeur certifié HDS, c'est un peu comme confier ses clés à un coffre-fort : la certification garantit que le coffre a été inspecté par un expert indépendant, qu'il résiste aux tentatives d'effraction connues, et que seules les personnes autorisées peuvent y accéder. Mais tout comme un coffre-fort ne garantit rien si vous laissez la combinaison sur un post-it, la certification HDS ne dispense pas de bonnes pratiques complémentaires, comme le chiffrement des données elles-mêmes.
Pour une équipe IT ou un DPO en charge de la sélection d'un hébergeur, l'analyse ne doit pas se limiter à la présence d'un certificat HDS, mais porter sur son périmètre précis au regard du référentiel de l'ANS : hébergement physique de l'infrastructure, infogérance, administration et exploitation du système d'information contenant les données de santé, et service de sauvegarde ou d'archivage électronique sont des activités qui peuvent être certifiées indépendamment les unes des autres. La version 2.0 du référentiel (avril 2024), alignée sur ISO 27001:2022, a introduit des exigences renforcées de souveraineté (localisation et transparence sur les sous-traitants), à vérifier explicitement dans la documentation contractuelle fournie par l'hébergeur. Une attention particulière doit être portée à la chaîne de sous-traitance : un hébergeur certifié peut lui-même recourir à des sous-traitants pour l'infrastructure cloud sous-jacente, et ces sous-traitants doivent être couverts par des garanties équivalentes, faute de quoi la certification du prestataire de premier rang ne suffit pas à sécuriser l'ensemble de la chaîne.