HDS : ce que la certification couvre, et ce qu'elle ne couvre pas

La certification HDS (hébergeur de données de santé) est obligatoire pour toute organisation qui héberge des données de santé à caractère personnel pour le compte de tiers, sur le fondement de l'article L.1111-8 du code de la santé publique. Elle atteste que l'hébergement respecte un socle d'exigences de sécurité, rien de plus : elle ne couvre pas le logiciel qui traite vos données, et elle ne garantit pas leur souveraineté.

Ces deux angles morts font la différence entre lire un certificat et comprendre ce qu'il protège. Voici ce qu'il recouvre exactement, et ce qu'il laisse ouvert.

L'obligation tient dans quatre mots : "pour le compte de tiers"

L'article L.1111-8 vise les données de santé recueillies à l'occasion d'activités de prévention, de diagnostic, de soins ou de suivi social et médico-social. Celui qui les héberge pour le compte d'un tiers - un établissement, un professionnel, ou le patient lui-même - doit détenir un certificat de conformité, délivré par un organisme accrédité. La loi ajoute deux garde-fous : l'hébergeur ne peut rien faire des données au-delà du service d'hébergement, et il les restitue intégralement en fin de contrat.

Le miroir de cette clause compte autant qu'elle : héberger ses propres données n'entre pas dans le périmètre. L'Agence du Numérique en Santé le dit sans détour :

"Les établissements de santé qui gèrent leur propre Système d'Information de santé n'ont pas la nécessité d'être certifié HDS." (FAQ de l'ANS)

Une clinique qui fait tourner son SI sur ses propres serveurs reste soumise au RGPD et aux référentiels de sécurité du secteur, mais la certification HDS ne la concerne pas. L'auto-hébergement échappe au dispositif par construction, pas par oubli.

Six activités, deux certificats : lisez le périmètre

Un certificat HDS n'existe pas "en général". Le référentiel découpe l'hébergement en six activités :

1. sites physiques (locaux, datacenters) ;
2. infrastructure matérielle ;
3. infrastructure virtuelle ;
4. plateforme d'hébergement d'applications ;
5. administration et exploitation du système d'information de santé ;
6. sauvegarde externalisée.

Elles se répartissent en deux profils : le certificat "hébergeur d'infrastructure physique" couvre les activités 1 et 2, le certificat "hébergeur infogéreur" les activités 3 à 6. Un même acteur peut ne détenir qu'une partie des activités d'un profil.

Conséquence pratique : "être HDS" ne veut rien dire tant que vous n'avez pas lu quelles activités le certificat couvre. Le cas le plus courant : un éditeur exploite votre application sur l'infrastructure certifiée d'un grand cloud. Le certificat du cloud couvre les machines, pas l'exploitation. Si l'éditeur administre le système qui porte vos données de santé, c'est l'activité 5, et elle exige son propre certificat. Celui d'un sous-traitant ne remonte pas la chaîne.

La v2 : ce que l'arrêté du 26 avril 2024 a changé

Le référentiel a été révisé par l'arrêté du 26 avril 2024, et l'ensemble du marché certifié opère sous cette version 2 depuis mai 2026. Deux changements concernent directement les clients :

• l'hébergement physique des données doit se situer dans l'Espace économique européen ;
• l'hébergeur doit être transparent sur son exposition au droit extra-européen : vous devez savoir si un droit non européen peut atteindre vos données via sa structure ou ses sous-traitants.

Plus de 400 hébergeurs figurent sur la liste officielle publiée par l'ANS. C'est elle qui fait foi.

Ce que la certification ne couvre pas

La couche applicative. HDS certifie l'hébergement : les sites, l'infrastructure, l'exploitation, la sauvegarde. Elle ne dit rien du logiciel qui tourne au-dessus - sa gestion des droits d'accès, ses flux sortants, la qualité de son code. Un outil qui envoie chaque requête vers une API d'IA située hors de ce périmètre peut parfaitement tourner sur un hébergement certifié : le certificat ne couvre pas ce flux.

La souveraineté. C'est la confusion la plus coûteuse. Des hyperscalers américains détiennent la certification HDS : héberger dans l'EEE ne soustrait pas un fournisseur aux lois extraterritoriales de son État d'origine. La v2 a traité le sujet par la transparence, pas par l'immunité : l'hébergeur déclare son exposition, il n'a pas à la supprimer. L'exigence d'immunité a été renvoyée au débat européen sur le futur schéma cloud EUCS, toujours pas tranché. Un certificat HDS vous dit que l'hébergement est sécurisé ; il ne vous dit pas qui peut, en droit, exiger l'accès à vos données.

Les trois questions à poser avant de signer

Pour un cabinet, une clinique ou un groupe qui évalue un logiciel ou une IA en santé, la lecture du certificat se résume à trois questions :

1. Qui héberge ? Le nom de l'hébergeur, son certificat, les activités couvertes.
2. Qui exploite ? Si l'éditeur administre votre instance, il lui faut son propre certificat infogéreur (activité 5) : celui de son hébergeur ne suffit pas.
3. Où tourne l'inférence ? Pour un outil d'IA : vers quel modèle partent les requêtes, hébergé où, sous quelle juridiction ? Un hébergement certifié en France protège peu si chaque question posée à l'IA sort du périmètre.

Ces trois questions décrivent aussi notre architecture. Vos agents tournent sur votre propre instance : hébergée dans vos murs, auquel cas l'obligation HDS ne s'applique même pas, ou hébergée et exploitée sur l'infrastructure certifiée HDS de l'un de nos partenaires régionaux. Le détail pour les structures de santé est sur notre page dédiée.

Questions fréquentes

Quelle est la différence entre ISO 27001 et HDS ?

ISO 27001 est la norme internationale de management de la sécurité de l'information : générique, volontaire, applicable à tout secteur. HDS est une certification sectorielle exigée par la loi française pour héberger des données de santé pour le compte de tiers. Le référentiel HDS s'appuie sur ISO 27001 et y ajoute des exigences propres au secteur : localisation dans l'EEE, transparence sur le droit extra-européen, encadrement contractuel. L'une est le socle, l'autre l'obligation légale.

Qui doit être certifié HDS ?

Toute personne physique ou morale qui héberge, exploite ou sauvegarde des données de santé pour le compte de tiers : hébergeurs d'infrastructure, infogéreurs, éditeurs qui administrent le système portant les données. Le certificat précise les activités couvertes ; vérifiez qu'elles correspondent au service réellement rendu.

Quelles sont les conditions d'hébergement des données de santé ?

Un contrat d'hébergement conforme à l'article L.1111-8, un certificat couvrant les activités concernées, un hébergement physique dans l'EEE, l'information du client sur l'exposition au droit extra-européen, l'interdiction d'utiliser les données au-delà du service, et leur restitution complète en fin de contrat.

Un cabinet médical doit-il être certifié HDS ?

Non. L'obligation pèse sur celui qui héberge pour le compte de tiers : c'est l'affaire de l'éditeur de votre dossier patient et de son hébergeur, pas la vôtre. Si le cabinet héberge lui-même ses données sur ses serveurs, personne n'a besoin du certificat : le cabinet reste responsable de leur sécurité au titre du RGPD, mais le périmètre HDS ne s'applique pas.