ÉmendeHébergement HDS : ce qu'impose vraiment la certification, et ce qu'elle ne couvre pas
La certification HDS engage l'hébergeur, pas le professionnel de santé. Celui-ci n'a rien à faire certifier : son obligation est de ne confier ses données de santé qu'à un hébergeur qui l'est déjà. Six activités, deux certificats, un référentiel refondu en 2024 et obligatoire depuis mai 2026. Voici ce que la certification couvre réellement, qui elle engage, et pourquoi la question ne se pose pas lorsqu'aucune donnée ne quitte l'ordinateur.
Cet article décrit un cadre réglementaire à la date de sa publication. Il ne vaut pas conseil juridique, et ne remplace pas l'avis d'un conseil ou du délégué à la protection des données de votre structure.
Qu'est-ce que l'hébergement HDS ?
L'hébergement de données de santé désigne le fait, pour un tiers, de conserver des données de santé pour le compte d'un professionnel ou d'un établissement. L'article L. 1111-8 du Code de la santé publique impose que ce tiers soit certifié, et les articles R. 1111-8-8 et suivants en précisent les modalités. Trois conditions déclenchent l'obligation ensemble : des données de santé, recueillies dans une activité de prévention, de diagnostic, de soins ou de suivi social et médico-social, et conservées par quelqu'un d'autre que celui qui les a recueillies.
Ce régime est une certification depuis 2018, et non plus un agrément délivré par l'administration. La différence n'est pas cosmétique : un organisme accrédité audite l'hébergeur sur un référentiel publié, et délivre un certificat à durée limitée, renouvelé sur audit. Le contrôle est permanent plutôt que ponctuel.
L'obligation est indépendante du RGPD et s'y ajoute. Un hébergeur parfaitement conforme au RGPD mais non certifié HDS ne peut pas héberger de données de santé françaises pour le compte d'un professionnel : ce sont deux exigences distinctes, à satisfaire toutes les deux.
Que couvre exactement la certification HDS ?
Le référentiel définit six activités d'hébergement, réparties en deux certificats distincts. Le certificat « hébergeur d'infrastructure physique » couvre les deux premières : la mise à disposition de locaux d'hébergement physique et celle de l'infrastructure matérielle. C'est le métier des exploitants de centres de données.
Le certificat « hébergeur infogéreur » couvre les quatre autres : la mise à disposition d'infrastructure virtuelle, celle de plateforme logicielle, l'administration et l'exploitation du système d'information contenant les données, et la sauvegarde externalisée. C'est le périmètre des opérateurs de cloud, des infogéreurs et des éditeurs qui exploitent la donnée. Un prestataire dont l'activité relève des deux familles doit obtenir les deux certificats.
Ce que la certification garantit est un niveau d'exigences de sécurité et d'organisation, audité sur pièces et sur site : gestion des accès, traçabilité, continuité d'activité, protection des infrastructures. Ce qu'elle ne garantit pas, c'est la pertinence de l'usage fait des données, ni la légalité du traitement : un hébergeur certifié peut parfaitement héberger un traitement illicite. La certification porte sur le contenant, jamais sur le contenu.
Qui doit être certifié : l'éditeur ou le professionnel de santé ?
L'obligation pèse sur celui qui héberge, pas sur celui qui soigne. Un médecin, un cabinet ou un établissement n'a aucune certification à obtenir pour conserver ses propres données sur ses propres machines : héberger pour son propre compte ne relève pas du régime. Son obligation est de choisir, quand il externalise, un prestataire déjà certifié pour les activités concernées.
Le cas d'un éditeur de logiciel est plus subtil, et c'est celui qui prête le plus à confusion. Un éditeur qui propose son outil en ligne n'a pas nécessairement à être certifié lui-même si son hébergeur l'est pour les activités concernées et si un avenant contractuel encadre formellement cette relation. En revanche, dès lors que ses propres équipes accèdent à l'environnement contenant les données, y compris pour du support ou de la maintenance, l'activité d'administration et d'exploitation est en jeu et la certification devient nécessaire.
La conséquence pratique pour un professionnel de santé est simple : demander à un éditeur s'il est certifié HDS ne suffit pas. Les bonnes questions sont de savoir qui héberge réellement les données, pour quelles activités ce prestataire est certifié, et qui, chez l'éditeur, peut accéder à l'environnement.
Ce que le référentiel v2 a changé
Le référentiel de certification a été refondu par un arrêté du 26 avril 2024, publié au Journal officiel le 16 mai 2024, qui modifie celui de 2018. La transition s'est achevée le 16 mai 2026 : depuis cette date, seuls les prestataires certifiés selon la version 2 peuvent poursuivre une activité d'hébergement de données de santé pour le compte de tiers.
Le changement le plus lourd de conséquences porte sur la localisation. La version 2 impose que le stockage physique des données de santé se fasse exclusivement dans l'Espace économique européen, c'est-à-dire l'Union européenne plus la Norvège, l'Islande et le Liechtenstein. Le référentiel clarifie par ailleurs le périmètre des activités et renforce son articulation avec les normes internationales de sécurité de l'information.
Pour un professionnel de santé, la vérification à faire est donc datée : un certificat HDS obtenu sous l'ancien référentiel ne vaut plus. Le certificat d'un prestataire indique la version du référentiel et les activités couvertes, et c'est ce document, pas une mention commerciale sur un site, qui fait foi.
Les références citées ici sont celles en vigueur à la date de publication de cet article. Un référentiel de certification évolue : vérifiez l'état du texte auprès de l'Agence du numérique en santé avant de fonder une décision dessus.
Une information n'est plus exacte ? Écrivez-nous, nous corrigeons.
contact@emende.app
Une IA qui traite un texte médical relève-t-elle de l'HDS ?
Cela dépend entièrement de l'endroit où le texte est traité et conservé. Un outil qui envoie un compte rendu à ses serveurs et l'y conserve, même brièvement, conserve des données de santé pour le compte du professionnel : il entre dans le régime, et l'exigence de certification s'applique à l'hébergeur concerné. Un outil qui exécute le traitement sur l'ordinateur du professionnel, sans rien transmettre ni conserver ailleurs, n'héberge rien pour le compte de personne : il n'y a pas de tiers hébergeur, donc pas de certification à chercher.
Ce raisonnement a une portée limitée, et il faut en connaître les bords. Il ne dit rien du RGPD, qui continue de s'appliquer au traitement lui-même. Il ne dit rien du secret médical, qui ne dépend pas de l'architecture technique. Il ne dispense pas de sécuriser l'ordinateur, qui devient alors le seul endroit où les données se trouvent : chiffrement du disque, verrouillage de session et sauvegardes restent à la charge du professionnel.
Émende relève de cette seconde catégorie. Émende est une application macOS qui corrige, reformule et traduit un texte dans la fenêtre où il est écrit, avec un modèle de langue exécuté sur la puce du Mac : aucun texte n'est envoyé sur internet, aucun compte n'est nécessaire, et l'application fonctionne connexion coupée. Sur un compte rendu de consultation, rien n'est donc hébergé ailleurs que sur la machine du praticien. Les obligations propres à chaque profession réglementée se traitent dans un article à part.
Ce n'est pas un blanc-seing, et le dire autrement serait malhonnête. Une architecture locale retire une question du tableau, celle de l'hébergement par un tiers ; elle ne retire ni les obligations de sécurité du poste, ni celles qui pèsent sur le traitement.
Questions fréquentes
Un médecin doit-il être certifié HDS ?
Non. La certification pèse sur celui qui héberge des données de santé pour le compte d'un tiers. Un professionnel qui conserve ses propres données sur ses propres machines héberge pour son propre compte et n'entre pas dans ce régime. Son obligation est de choisir un prestataire certifié lorsqu'il externalise.
Quelle est la différence entre la certification HDS et le RGPD ?
Ce sont deux exigences distinctes qui s'additionnent. Le RGPD encadre le traitement des données personnelles ; la certification HDS encadre leur hébergement par un tiers en France. Un hébergeur conforme au RGPD mais non certifié HDS ne peut pas héberger de données de santé pour le compte d'un professionnel.
Les données de santé peuvent-elles être hébergées hors d'Europe ?
Non, pour le stockage physique. Le référentiel de certification dans sa version 2 impose que celui-ci se fasse exclusivement dans l'Espace économique européen, soit l'Union européenne plus la Norvège, l'Islande et le Liechtenstein.
Un outil d'IA qui fonctionne hors ligne doit-il être certifié HDS ?
Un outil qui exécute le traitement sur l'ordinateur du professionnel, sans transmettre ni conserver le texte ailleurs, n'héberge pas de données pour le compte d'un tiers : la question de la certification ne se pose pas, faute d'hébergeur. Les obligations de sécurité du poste et celles du RGPD, elles, demeurent.
Comment vérifier qu'un prestataire est bien certifié HDS ?
En demandant son certificat, qui indique l'organisme certificateur, la version du référentiel et les activités couvertes. Une mention commerciale sur un site ne suffit pas, et un certificat délivré sous l'ancien référentiel ne vaut plus depuis le 16 mai 2026.