Vous lancez une application de suivi patient, une plateforme de téléconsultation ou un logiciel pour cabinets ? Avant d'écrire la première ligne de code, une question doit être réglée : où et comment seront hébergées les données de santé ? En France, la réponse passe par la certification HDS. Voici l'essentiel à connaître, sans jargon.
En bref
- En France, toute personne qui héberge des données de santé pour le compte d'un tiers doit être certifiée HDS (article L.1111-8 du Code de la santé publique).
- La plupart des grands hébergeurs proposent des offres certifiées : le choix se fait sur le niveau de service, pas seulement sur le prix.
- La certification de l'hébergeur ne suffit pas : votre application doit aussi être sécurisée et conforme au RGPD.
Qu'est-ce qu'une donnée de santé ?
La notion est large. Selon le RGPD, ce sont les données relatives à la santé physique ou mentale d'une personne, y compris la prestation de soins, qui révèlent des informations sur son état de santé. Un résultat d'analyse en est une, évidemment ; mais un rendez-vous chez un oncologue, un traitement en cours ou une mesure de glycémie aussi.
| Exemple | Donnée de santé ? |
|---|---|
| Compte rendu de consultation, ordonnance | Oui |
| Résultats d'analyses, imagerie | Oui |
| Rendez-vous chez un spécialiste identifiable | Oui, le plus souvent |
| Mesures d'un objet connecté à visée médicale | Oui |
| Nombre de pas d'une application de bien-être | Selon l'usage qui en est fait |
| Adresse e-mail d'un patient seule | Non (donnée personnelle classique) |
Qui est concerné par l'obligation HDS ?
Doit être certifié HDS
- L'hébergeur qui stocke les données de santé pour le compte d'un professionnel, d'un établissement ou d'un éditeur
- L'éditeur SaaS qui héberge lui-même les données de ses clients soignants
- Le prestataire d'infogérance qui administre ces serveurs
Pas directement concerné
- Le professionnel de santé qui conserve ses propres données dans son cabinet
- L'établissement qui héberge en interne ses propres données
- (Les obligations RGPD et de sécurité s'appliquent toujours.)
Les deux grandes familles d'activités
| Niveau | Ce qu'il couvre | Exemple |
|---|---|---|
| Hébergeur d'infrastructure physique | Mise à disposition des locaux, de l'électricité, du matériel, du réseau | Datacenter certifié |
| Hébergeur infogéreur | Administration des systèmes, sauvegardes, exploitation des machines virtuelles et des bases | Offre cloud HDS « managée » |
Le référentiel HDS a été revu en 2024. La nouvelle version renforce notamment les exigences sur la localisation des données (hébergement dans l'Espace économique européen) et la transparence sur les éventuels accès depuis des pays tiers. Vérifiez que l'offre que vous choisissez est certifiée selon la version en vigueur.
Comment choisir un hébergeur HDS
- Vérifier le certificat
L'Agence du numérique en santé publie la liste des hébergeurs certifiés. Vérifiez le périmètre exact (quelles activités, quels services).
- Choisir le bon niveau de service
Infrastructure seule (vous administrez tout) ou offre infogérée (l'hébergeur gère systèmes et sauvegardes).
- Étudier le contrat
Engagements de disponibilité, sauvegardes, réversibilité (récupérer vos données), localisation, sous-traitants.
- Anticiper la croissance
Montée en charge, environnements de test séparés, plan de reprise d'activité.
- Prévoir le budget réel
Les offres HDS coûtent plus cher qu'un hébergement standard : intégrez-le dès le chiffrage du projet.
Ce que l'hébergeur ne fait pas à votre place
La certification HDS porte sur l'infrastructure et son exploitation. La sécurité de votre application reste votre responsabilité : une faille dans votre code expose les données, quel que soit l'hébergeur.
Votre part de responsabilité
- Chiffrement des données en transit (HTTPS) et au repos.
- Authentification forte des professionnels (double facteur).
- Gestion fine des droits : chacun n'accède qu'à ce dont il a besoin.
- Traçabilité des accès aux dossiers (qui a consulté quoi, et quand).
- Analyse d'impact (AIPD) avant la mise en production.
- Tests de sécurité réguliers et correction des failles.
- Procédure de notification en cas de violation de données (72 heures pour la CNIL).
Et hors de France ?
| Pays | Cadre principal | À retenir |
|---|---|---|
| France | RGPD + certification HDS | Obligation spécifique pour l'hébergement |
| Maroc | Loi 09-08, CNDP | Autorisation préalable de la CNDP pour certains traitements de données sensibles |
| Suisse | nLPD (depuis le 1er septembre 2023) | Données sensibles protégées, conditions pour les transferts à l'étranger |
17 mars 2026 · 3 min de lecture
26 août 2025 · 3 min de lecture
11 février 2025 · 3 min de lecture