Hébergement de données de santé (HDS) : qui est concerné ?
En bref
En France, le code de la santé publique impose qu'une personne qui héberge, sur support numérique, des données de santé à caractère personnel recueillies lors d'activités de prévention, de diagnostic, de soins ou de suivi social et médico-social, pour le compte d'un tiers ou du patient, soit certifiée hébergeur de données de santé (HDS). La certification est délivrée par un organisme certificateur accrédité.
Vous développez une application qui manipule des informations médicales, ou vous confiez des dossiers patients à un prestataire ? La question de l'hébergement de données de santé (HDS) se pose. Cet article présente les principes du dispositif. Il ne remplace pas l'analyse d'un juriste, car chaque situation dépend de la nature des données et du rôle de chacun.
Qu'est-ce qu'une donnée de santé ?
Le RGPD définit les données concernant la santé comme les données relatives à la santé physique ou mentale d'une personne, y compris la prestation de services de soins, qui révèlent des informations sur son état de santé. Ce sont des données dites sensibles : leur traitement est en principe interdit, sauf dans les cas prévus par le règlement.
Exemples : un compte rendu de consultation, une ordonnance, un résultat d'analyse, un dossier de suivi médico-social.
Qui doit recourir à un hébergeur certifié HDS ?
L'article L. 1111-8 du code de la santé publique encadre cet hébergement. L'obligation s'applique lorsque trois conditions sont réunies.
- Il s'agit de données de santé à caractère personnel, c'est-à-dire liées à une personne identifiable.
- Ces données ont été recueillies lors d'activités de prévention, de diagnostic, de soins ou de suivi social et médico-social.
- Elles sont hébergées pour le compte d'un tiers : le professionnel, l'établissement ou l'organisme à l'origine du recueil, ou le patient lui-même.
| Situation | Certification HDS de l'hébergeur |
|---|---|
| Logiciel de dossier patient en ligne, hébergé par l'éditeur ou son prestataire | Requise en principe |
| Plateforme de téléconsultation conservant des comptes rendus | Requise en principe |
| Établissement qui héberge lui-même ses données sur ses propres serveurs | Non requise en principe, le RGPD s'applique |
| Application de bien-être sans lien avec un parcours de soins | À analyser au cas par cas |
Que couvre la certification HDS ?
Le référentiel de certification, publié par l'Agence du numérique en santé, distingue deux types de certificats.
- Hébergeur d'infrastructure physique : mise à disposition et maintien en condition opérationnelle des locaux et de l'environnement qui accueillent les serveurs.
- Hébergeur infogéreur : infrastructure matérielle, infrastructure virtuelle, plateforme d'hébergement d'applications, administration et exploitation du système d'information, sauvegarde externalisée.
Un prestataire peut être certifié pour certaines activités seulement. C'est la raison pour laquelle le périmètre du certificat compte autant que son existence.
Comment se déroule la certification ?
La certification est délivrée par un organisme certificateur accrédité. Le référentiel s'appuie sur les exigences d'un système de management de la sécurité de l'information, complétées par des exigences propres à la santé. L'hébergeur est audité, puis fait l'objet d'audits de suivi pendant la durée de validité du certificat.
Que vérifier avant de choisir un hébergeur ?
- Le certificat HDS est-il en cours de validité ?
- Couvre-t-il les activités dont vous avez besoin, et les sites où seront réellement stockées les données ?
- Quels sous-traitants interviennent, et sont-ils eux-mêmes certifiés pour leur part ?
- Le contrat comporte-t-il les clauses exigées par la réglementation, par exemple sur la sécurité, la localisation, la réversibilité et la sous-traitance ?
- Comment les données vous seront-elles restituées en fin de contrat ?
La certification HDS suffit-elle ?
Non. Elle concerne l'hébergeur, pas l'application ni l'organisation qui l'utilise. Le responsable du traitement reste soumis au RGPD : registre des traitements, information des personnes, analyse d'impact lorsqu'elle est requise, gestion des droits d'accès. Le code de l'application, l'authentification des utilisateurs et la journalisation des consultations doivent aussi être pensés pour des données sensibles.
En résumé
- L'obligation HDS vise l'hébergement de données de santé pour le compte d'un tiers.
- Le certificat porte sur des activités précises : vérifiez son périmètre.
- La certification de l'hébergeur ne dispense ni du RGPD ni de la sécurité applicative.
- En cas de doute sur votre situation, faites-la qualifier par un juriste ou votre délégué à la protection des données.
Si votre projet d'application manipule des données de santé, NexSecure vous aide à cadrer ces exigences dès la conception : développement web sur mesure.
Questions fréquentes
Qui délivre la certification HDS ?
Un organisme certificateur accrédité, sur la base d'un référentiel publié par l'Agence du numérique en santé.
Un cabinet médical doit-il être certifié HDS ?
Pas s'il héberge lui-même ses données. En revanche, s'il confie leur hébergement à un prestataire, celui-ci doit en principe être certifié pour les activités concernées.
Un hébergeur situé en France est-il automatiquement HDS ?
Non. La certification HDS est une démarche distincte, obtenue après audit, et elle ne couvre que les activités mentionnées sur le certificat.
La certification HDS remplace-t-elle la conformité au RGPD ?
Non. Le RGPD continue de s'appliquer au responsable du traitement, qui doit notamment tenir son registre et sécuriser l'accès aux données.
Sources
Service lié
Articles liés
Rédigé par l'équipe NexSecure. Responsable de la publication : Yohann Toumine. Dernière mise à jour le 11 septembre 2026.
Une question sur votre situation ? Parler de votre projet