HDS Santé : comment héberger vos données de santé à caractère personnel

Depuis le 16 mai 2026, plus aucun certificat ne peut reposer sur l’ancien référentiel de certification HDS. Pour un établissement de santé, cette bascule n’est pas une formalité administrative : elle engage la responsabilité du directeur et du RSSI dès qu’une information de santé sort des murs pour être confiée à un tiers. Comprendre ce que recouvre l’hébergement de données de santé à caractère personnel est devenu une condition d’exercice, pas une option, et c’est le socle de notre offre d’hébergement de données de santé HDS.

Parler de HDS Santé, c’est parler d’un cadre légal précis, appuyé sur la norme ISO 27001 et sur le Code de la santé publique. Ce cadre a été durci en 2024, avec une période de transition qui s’est refermée cette année. Pour une DSI hospitalière, la question n’est plus de savoir si l’hébergeur est certifié HDS, mais de vérifier sur quelle version du référentiel, pour quelle activité, et dans quel environnement juridique. C’est ce qu’on détaille ci-dessous.

Ce que recouvre vraiment la certification HDS

La certification HDS s’applique à toute entreprise, publique ou privée, qui héberge, exploite ou sauvegarde un système d’information de santé pour le compte d’un tiers. Elle s’appuie à environ 80 % sur les exigences de l’ISO 27001, complétées par des règles propres au traitement des données de santé et à la protection des données personnelles. Concrètement, elle donne lieu à deux certifications distinctes : une pour l’ISO 27001, une pour le HDS.

Le chiffre à retenir pour cadrer le marché : selon l’Agence du Numérique en Santé, on comptait 411 hébergeurs certifiés HDS en mai 2026, avec 10 organismes habilités à délivrer ces certifications. Le certificat reste valable trois ans, avec un audit de suivi chaque année. Pour un établissement, cela veut dire qu’un hébergeur de données certifié n’est pas un acquis figé : sa conformité se revérifie annuellement, sur la base de conditions précises.

Un point souvent mal compris par les directions : un hôpital qui héberge ses données en interne, sur ses propres serveurs, sans passer par un tiers, n’est pas soumis à l’obligation de certification. Dès qu’une entreprise externe intervient pour stocker, exploiter ou sauvegarder ces informations, la certification devient obligatoire pour obtenir le droit d’héberger ce type de données.

Pourquoi l’échéance de mai 2026 change la donne

Le 16 mai 2024, l’arrêté du 26 avril 2024 a approuvé le référentiel de certification HDS v2.0, aligné sur la version 2022 de la norme ISO 27001. Une transition de 24 mois s’est ouverte, et elle s’est achevée le 16 mai 2026 : depuis cette date, toutes les certifications HDS actives doivent l’être sur la nouvelle version. Un certificat v1.1 encore présenté aujourd’hui n’a plus aucune valeur légale.

La bascule n’a rien de théorique. Selon un point de l’ANS, seuls 64 % des hébergeurs avaient effectué la transition en février 2026, laissant 36 % en retard à quelques mois de l’échéance. Le décret n°2026-209 du 24 mars 2026 est venu consolider sur le plan légal ce référentiel et durcir les conditions de souveraineté des données. Pour une DSI, la conséquence est directe : il faut auditer chaque contrat en cours et demander la preuve documentaire de la version v2.

Autre évolution du décret : l’archivage électronique entre désormais dans le périmètre de la certification. Un service qui se contentait de conserver des données de santé sur le long terme, sans être considéré comme hébergeur « actif », relève désormais des mêmes exigences en matière de sécurité et d’accès.

Les 6 activités et le périmètre de responsabilité

Le référentiel distingue six activités d’hébergement. Une entreprise peut être certifiée HDS pour une seule activité ou pour les six. Cette granularité est le premier point à vérifier dans un contrat, car un hébergeur certifié uniquement sur la partie physique ne couvre pas forcément l’exploitation applicative ni la gestion des accès.

• Mise à disposition et maintien en condition opérationnelle des sites physiques hébergeant l’infrastructure.
• Mise à disposition et maintien en condition opérationnelle de l’infrastructure matérielle du système d’information.
• Mise à disposition et maintien en condition opérationnelle de l’infrastructure virtuelle du système d’information.
• Mise à disposition et maintien en condition opérationnelle de la plateforme d’hébergement d’applications.
• Administration et exploitation du système d’information contenant les données de santé.
• Sauvegardes des données de santé.

La révision 2024 a supprimé l’ancienne distinction entre hébergeur d’infrastructure physique et hébergeur infogéreur, et a clarifié l’activité d’administration, longtemps floue, autour de la maîtrise réelle des interventions : attribution et revue annuelle des droits d’accès, suivi et traçabilité des accès, validation préalable de toute intervention sur la plateforme. Pour un RSSI, c’est précisément là que se joue le contrôle sur ses données personnelles de santé. Sur ce terrain, on combine hébergement et services managés de supervision et de sécurité, pour que la responsabilité ne se dilue pas entre plusieurs partenaires.

Souveraineté et localisation, le sujet devenu central

C’est l’évolution la plus lourde de conséquences. Le référentiel v2 impose que l’hébergement physique des données de santé à caractère personnel soit réalisé exclusivement dans un pays de l’Espace économique européen. Ce n’était pas une exigence auparavant. Plus de 300 hébergeurs étaient déjà certifiés au moment de la réforme, mais toutes les entreprises du secteur n’offrent pas les mêmes garanties de localisation en Europe.

Le point sensible reste l’extraterritorialité. Le ministère de la Santé reconnaît lui-même que la localisation dans l’EEE, sans garantir totalement l’immunité face à des lois comme le Cloud Act américain, apporte des garanties importantes en matière de protection des données de santé. Un hébergeur soumis à une législation extra-européenne doit désormais informer ses clients, préciser les risques et publier une cartographie des transferts hors EEE. Pour une direction d’établissement, cette transparence contractuelle est une condition de sélection à part entière, au même titre que les mentions légales du contrat.

C’est la raison pour laquelle on privilégie une approche d’hébergement souverain HDS pour les données de santé, avec des infrastructures situées en France, sur le site. L’objectif est simple : que vos données personnelles de patients ne dépendent que du droit français et européen, sans zone grise juridique.

HDS, ISO 27001 et protection des données personnelles : comment ils s’articulent

Ces trois cadres se complètent sans se remplacer. L’ISO 27001 couvre la sécurité du système de management de l’information de façon générale, pour toute entreprise, quel que soit son secteur. Le HDS y ajoute des exigences propres à la santé et à la protection des données de santé. La réglementation sur les données personnelles fixe, elle, les principes de protection des données à caractère personnel, mais ne dispense jamais de la certification HDS : le droit français impose des conditions supplémentaires pour le traitement des données de santé.

Pour une équipe de gouvernance, l’articulation pratique tient en une phrase : l’ISO 27001 prouve que l’organisation est sécurisée, le HDS prouve qu’elle l’est spécifiquement pour les données de santé à caractère personnel, et la réglementation sur les données personnelles encadre les droits des patients. Les trois se vérifient par des audits indépendants. On accompagne cette mise en cohérence, y compris sur les critères de la certification HDS/ISO 27001 pour un hébergement souverain, et sur l’application concrète de la protection des données personnelles de santé dans un établissement.

Choisir et piloter un hébergeur HDS

Une certification HDS ne dit rien à elle seule sur ce qui est réellement couvert. Elle peut porter sur une seule activité, sur une infrastructure, sans engager l’exploitation ni la sécurité au quotidien. La configuration réellement déployée, elle, reste toujours sous la responsabilité de l’établissement. C’est pour cette raison qu’on a construit chez gplexpert une offre qui couvre l’ensemble des six activités du référentiel, sous une seule certification HDS et ISO 27001, avec un hébergement physique localisé en France.

Concrètement, cela veut dire :

• une certification HDS et ISO 27001 complètes, sur l’ensemble du périmètre, et pas seulement sur l’infrastructure ;
• un hébergement souverain, avec des données qui restent localisées en France, sous droit français ;
• une infogérance sécurité assurée en interne (supervision, SOC, NOC), plutôt que sous-traitée ;
• un accompagnement sur la continuité d’activité : audit, politique de sécurité, PCA et PRA ;
• un accompagnement dédié sur la protection des données personnelles de santé et le programme CaRE.

Le vrai différenciateur pour une DSI hospitalière n’est pas la seule certification affichée, mais la capacité à couvrir l’hébergement, l’exploitation sécurisée et la continuité des soins avec un seul interlocuteur. C’est l’approche qu’on défend : moins d’intervenants, moins de zones de responsabilité floues, et un point de contact unique le jour d’un incident.

Conclusion

Retenez l’essentiel : depuis le 16 mai 2026, seul le référentiel de certification v2 fait foi, et 411 hébergeurs sont aujourd’hui certifiés HDS selon ce cadre renforcé. Pour un directeur ou un RSSI, l’action concrète tient en trois vérifications : la version de la certification de votre hébergeur de données, les activités réellement couvertes, et la localisation physique des informations. Ces trois points, non l’affichage d’un logo, déterminent votre conformité réelle et votre exposition pénale.

Traiter le traitement des données de santé comme un projet de gouvernance, et non comme une case à cocher, est ce qui distingue les établissements sereins des autres. On met à votre service un hébergement souverain doublé de services de sécurité managés, pour que la continuité des soins ne dépende jamais d’une zone grise et que vos patients puissent garder confiance dans la façon dont leurs informations sont traitées. Pour cadrer votre démarche, parlez à nos équipes de notre accompagnement à la certification HDS.