Sécurité & données

Hébergement HDS : six activités à vérifier avant de signer

8 novembre 2026 Maël Kerbrat 7 min de lecture

Un hébergement HDS doit être choisi pour son périmètre certifié, pas seulement pour son logo. Pour externaliser des données de santé à caractère personnel, il faut vérifier que les activités confiées au prestataire sont couvertes, que son certificat est valide et que le contrat correspond au service utilisé. La certification ne rend pas, à elle seule, toute votre application conforme.

Table des matières

Ce que la certification HDS garantit, et ce qu’elle ne remplace pas

HDS signifie hébergeur de données de santé. La certification encadre l’hébergement de données de santé à caractère personnel dans un environnement répondant à des exigences spécifiques de sécurité. Elle concerne notamment la protection des infrastructures, leur exploitation et la sauvegarde, selon les activités inscrites sur le certificat.

Testez vos connaissances sur l’hébergement HDS

Six questions pour vérifier votre compréhension de la certification HDS.

Question 1 sur 6 Score : 0 / 6

Le dispositif s’inscrit dans le Code de la santé publique et dans le cadre du décret 2018-137 du 26 février 2018. La certification est délivrée par un organisme indépendant accrédité, sur la base d’un référentiel intégrant des exigences issues de normes ISO et des exigences propres à l’hébergement de données de santé.

HDS et RGPD répondent à des obligations complémentaires

Le RGPD encadre les traitements de données personnelles : finalités, base légale, information des personnes, droits, sécurité et relations avec les sous-traitants. HDS porte sur les conditions d’hébergement concernées par la certification. Choisir un hébergeur certifié ne dispense donc pas de limiter les accès, de définir les durées de conservation ou de documenter les traitements.

De même, la certification n’est pas une promesse d’absence d’incident. Elle apporte un cadre de confiance vérifiable, mais votre organisation doit conserver une gouvernance des accès, des procédures de gestion des incidents et une répartition claire des responsabilités avec ses prestataires.

Déterminer si votre projet relève de l’hébergement HDS

La question ne dépend pas uniquement de votre métier. Elle tient à la nature des données, aux circonstances de leur collecte et au rôle de chaque intervenant. Le recours à un hébergeur certifié concerne notamment l’hébergement pour le compte de tiers de données de santé personnelles recueillies à l’occasion d’activités de prévention, de diagnostic, de soins ou de suivi social et médico-social, dans les conditions prévues par la réglementation.

Comprendre la certification HDS pour les professionnels de santé : Découvrez ce qu’est la certification HDS et pourquoi elle est indispensable pour héberger des données de santé.

Les établissements de santé, professionnels libéraux, laboratoires, pharmacies, centres d’imagerie et structures médico-sociales peuvent ainsi être concernés lorsqu’ils externalisent leur hébergement. Les éditeurs de logiciels, plateformes SaaS et entreprises de santé numérique doivent également examiner la chaîne de prestations qu’ils proposent.

Partir des flux de données plutôt que du nom du logiciel

Une application de prise de rendez-vous, un dossier patient et un outil de télésuivi ne manipulent pas nécessairement les mêmes informations. Avant de choisir une offre, décrivez les données collectées, leur provenance, leurs destinataires et les opérations réalisées. Stocker, consulter, administrer et sauvegarder sont des opérations distinctes : une cartographie permet de savoir qui fait quoi.

Par exemple, un cabinet utilisant un logiciel en ligne doit interroger l’éditeur sur l’hébergement, mais aussi sur l’exploitation et les sauvegardes. Un établissement qui conserve son infrastructure en interne tout en externalisant les copies de secours doit examiner cette prestation séparément. En cas de doute sur le champ légal, faites valider l’analyse par votre délégué à la protection des données ou votre conseil juridique.

Les six activités HDS : repérer les maillons nécessaires

Le référentiel distingue six activités. Elles ne constituent pas six notes de qualité allant de la moins bonne à la meilleure : elles décrivent des fonctions différentes. Le bon périmètre est celui qui couvre les opérations réellement assurées par chaque prestataire.

Activité	Ce qu’elle couvre	Point à clarifier
1. Sites physiques	Mise à disposition et maintien en condition opérationnelle des sites hébergeant l’infrastructure matérielle.	Quels centres de données sont inclus ?
2. Infrastructure matérielle	Mise à disposition et maintien en condition opérationnelle de l’infrastructure matérielle du système d’information.	Qui prend en charge les équipements ?
3. Plateforme applicative	Mise à disposition et maintien en condition opérationnelle de la plateforme d’hébergement d’applications.	Quels composants de plateforme sont gérés ?
4. Infrastructure virtuelle	Mise à disposition et maintien en condition opérationnelle de l’infrastructure virtuelle.	Quel environnement virtuel est couvert ?
5. Administration et exploitation	Administration et exploitation du système d’information contenant les données de santé.	Qui administre les systèmes et avec quels accès ?
6. Sauvegarde	Sauvegarde des données de santé.	Qui réalise les copies et les restaurations ?

Une architecture se lit comme une succession de strates : bâtiment, matériel, virtualisation, plateforme, exploitation et sauvegarde. Le point fragile peut se situer à la jonction entre deux couches. Une infrastructure certifiée ne prouve pas, à elle seule, que l’administration réalisée par un autre intervenant entre dans un périmètre certifié. Pour chaque passage de relais, identifiez le responsable, le contrat applicable et la preuve de couverture.

Vérifier un hébergeur sans se fier à sa seule page commerciale

Le point de départ est la liste officielle des hébergeurs certifiés publiée par l’Agence du Numérique en Santé. Elle permet de rechercher une entreprise et d’examiner les activités couvertes, la version du référentiel et les informations relatives au certificat. Vérifiez la dénomination juridique : une marque commerciale et l’entité titulaire ne sont pas toujours identiques.

Demandez ensuite le certificat et ses annexes. Contrôlez les dates de validité, les services et sites inclus, les activités couvertes et l’organisme certificateur. Si une information paraît ambiguë, sollicitez une confirmation auprès de ce dernier plutôt que de vous satisfaire d’une mention « conforme HDS ».

Contrôler aussi la version du référentiel

Les versions 1.1 et 2.0 apparaissent dans les informations relatives aux certifications. Une ancienne mention ne suffit pas à établir la situation actuelle du prestataire. Vérifiez la version applicable au moment de la contractualisation, les règles de transition éventuellement pertinentes et la concordance avec le certificat présenté.

OVHcloud et BT Blue font partie des prestataires à examiner selon vos besoins. OVHcloud présente notamment un contrat spécifique d’hébergement de données de santé ; BT Blue met en avant une couverture des six activités. Ces indications permettent d’orienter une sélection, mais ne remplacent pas la vérification du périmètre exact de l’offre commandée.

Comparer les offres sur les engagements réellement utiles

Une fois la certification vérifiée, comparez les prestations à périmètre égal. Une infrastructure à administrer vous-même et un service entièrement exploité ne répondent pas au même besoin. Le prix doit être rapproché des responsabilités conservées en interne, du support et des engagements opérationnels.

Disponibilité : engagements contractuels, maintenance et prise en charge des incidents.
Reprise : perte de données maximale acceptable, délai de rétablissement et tests de restauration.
Accès : authentification renforcée, habilitations et traçabilité des interventions.
Localisation : lieux de stockage, sauvegardes, accès de support et sous-traitants.
Réversibilité : formats d’export, accompagnement, coûts de sortie et suppression des copies.

Demandez un chiffrage distinguant infrastructure, exploitation, sauvegarde, assistance et réversibilité. Faites préciser les responsabilités de chaque partie ainsi que les modalités de notification des incidents. La localisation mérite une vérification propre : ne déduisez pas toutes les garanties de souveraineté du seul sigle HDS.

Avant de signer, réunissez le certificat valide, son périmètre, la description technique du service et les clauses contractuelles. Ces documents doivent raconter la même chose. Une offre adaptée est celle dont vous pouvez expliquer simplement qui héberge les données, qui y accède, qui les restaure et comment vous les récupérerez.