Quand vous choisissez un hébergement HDS, vous n'achetez pas un certificat. Vous achetez un service qui doit rester disponible, protéger les données patient et survivre à un incident comme à un changement de fournisseur.
La certification HDS, pour hébergeur de données de santé, est une preuve utile. Elle impose un référentiel et un audit à l'hébergeur. Elle ne rend pas conforme toute la chaîne technique.
Ce que la certification HDS couvre, et ce qu'elle ne couvre pas
Le Code de la santé publique encadre l'hébergement de données de santé à caractère personnel pour le compte de tiers. Sur support numérique, l'hébergeur concerné doit disposer d'un certificat de conformité, et le contrat qui vous lie à lui encadre la prestation.
Les 8 points que votre contrat doit notamment décrire :
- Le périmètre du certificat
- Les prestations
- Les lieux
- Les accès
- Les niveaux de service
- Les sous-traitants
- La gestion d'une défaillance
- La réversibilité
La certification atteste
- Un audit indépendant sur un périmètre identifié.
- Un cadre de sécurité et d'organisation pour l'hébergeur.
- Des exigences propres aux données de santé.
- Un certificat limité dans le temps et surveillé.
Il ne décide pas à votre place
- Qui peut voir quoi dans votre application.
- Qui exploite et corrige votre production.
- Quel niveau d'arrêt votre métier accepte.
- Comment vous quittez le fournisseur.
8 vérifications avant de choisir un hébergement HDS
Demandez une preuve pour chaque point. Une promesse commerciale sans document, sans test ou sans propriétaire n'est pas une réponse.
-
Le certificat est valide, en version 2 et couvre le bon périmètre
Ne vous contentez pas d'un logo HDS dans le footer. Demandez le certificat, sa date de validité, l'organisme certificateur et les activités couvertes. Depuis le 16 mai 2026, fin de la période transitoire, demandez un certificat HDS v2 valide. Un certificat v1 présenté seul ne suffit plus. Un certificat valide sur une partie de la chaîne ne couvre pas automatiquement le service que vous achetez.
Preuve à demander : Certificat complet et service acheté explicitement présent dans son périmètre.
-
La chaîne de sous-traitance tient sur une page
Votre contrat peut être signé avec un éditeur, qui s'appuie sur la société qui exploite ses serveurs, elle-même hébergée chez un fournisseur cloud. Faites nommer chaque sous-traitant de cette chaîne, c'est-à-dire chaque société qui traite vos données pour votre compte et sur vos instructions, avec son rôle et ses accès. Pour ceux qui réalisent une activité d'hébergement au sens du Code de la santé publique, vérifiez le certificat et le périmètre HDS correspondant. Si la réponse tient dans un diagramme illisible ou dans 3 contrats qui se contredisent, le risque est déjà là.
Preuve à demander : Liste des sous-traitants, rôles, pays d'opération et procédure de changement.
-
Les lieux de stockage et les accès distants sont connus
HDS v2 impose le stockage physique des données de santé en Europe, mais cette règle ne répond pas à toutes vos questions. Des équipes situées ailleurs peuvent-elles administrer la plateforme ? Un acteur de la chaîne dépend-il d'une législation extra-européenne ? Le contrat doit exposer ces situations et les mesures prévues pour réduire le risque.
Preuve à demander : Pays de stockage, pays d'administration et risques d'accès depuis un État tiers documentés.
-
La responsabilité de chacun est écrite, pas supposée
Le prestataire HDS sécurise son périmètre. Il ne configure pas forcément vos comptes, vos droits métier, votre application ou vos journaux, et recourir à lui ne vous retire pas vos propres responsabilités. Demandez qui fait quoi, écrit noir sur blanc : qui applique les correctifs, qui ouvre les accès, qui surveille les alertes, qui notifie un incident, qui restaure les données ? Une case sans propriétaire devient un incident sans responsable.
Preuve à demander : Répartition des rôles annexée au contrat, avec un nom ou un rôle pour chaque action.
-
Les accès et les traces correspondent à votre usage réel
Un environnement certifié ne compense pas des comptes partagés ou des droits trop larges. Vérifiez l'authentification forte des administrateurs, la revue de qui a le droit de voir quoi, la journalisation des accès et des interventions, puis la durée de conservation des traces. Demandez aussi qui les lit, car un journal que personne ne surveille sert surtout après l'incident.
Preuve à demander : Politique d'accès, exemple de trace exploitable et processus de revue périodique.
-
Les sauvegardes sont restaurées pendant le contrat
« Sauvegarde quotidienne » ne dit presque rien. Faites écrire la perte de données acceptable en cas d'incident, exprimée en durée, et le délai de remise en service acceptable pour votre métier. Une perte acceptable de 24 heures peut signifier une journée de saisies perdue. Demandez aussi comment les copies sont isolées et chiffrées, et à quelle fréquence leur restauration est testée, car une sauvegarde non testée reste une hypothèse. Faites préciser qui déclenche la restauration et dans quel délai vous récupérez un service utilisable.
Preuve à demander : Compte rendu récent d'un test de restauration, perte de données et délai de remise en service acceptables inscrits au contrat.
-
Le contrat HDS et celui de maintenance applicative cadrent l'incident avant qu'il arrive
Le contrat doit préciser les niveaux de service, le signalement des violations, le référent incident, le recours aux prestataires techniques et la conduite à tenir en cas de défaillance. Si un tiers assure la maintenance applicative de votre logiciel, c'est-à-dire le corrige et le fait évoluer après sa mise en production, articulez les 2 contrats. Qui appelez-vous à 2 heures du matin ? Qui remet l'infrastructure en état, qui corrige l'application et sous quel délai ? Qui transmet les éléments utiles à votre direction et à celui qui porte le RGPD chez vous ?
Preuve à demander : Contrats HDS et de maintenance applicative alignés : contacts nommés, délais de notification, escalade et livrables d'incident.
-
La sortie est démontrable avant le choix du prestataire
La réversibilité, votre capacité à récupérer vos données pour changer de prestataire, n'est pas une phrase disant que vos données vous appartiennent. Elle précise le format d'export, les métadonnées, les délais, le coût, l'assistance et la destruction des copies après votre accord. Avant d'accepter le contrat, demandez des preuves récentes, un exemple d'export et un protocole de recette. Après mise en service, exécutez le test sur un jeu réduit.
Preuve à demander : Procédure de sortie chiffrée, format documenté et preuve de destruction prévue.
Comparer 2 devis HDS sans comparer 2 choses différentes
Ramenez les réponses des prestataires à la même grille. Un devis peut vendre des ressources cloud, et l'autre inclure l'exploitation, l'astreinte et les tests de restauration. Le second peut paraître plus cher, alors que les 2 devis ne couvrent ni le même service ni le même risque.
Certification
- Réponse insuffisante
- Logo HDS ou phrase commerciale
- Réponse exploitable
- Certificat, validité, version et périmètre du service
Sous-traitants
- Réponse insuffisante
- « Hébergé chez un grand cloud »
- Réponse exploitable
- Chaîne complète, rôles, pays et accès
Disponibilité
- Réponse insuffisante
- Pourcentage global
- Réponse exploitable
- SLA, perte de données et délai de remise en service acceptables, pénalités et escalade
Sauvegardes
- Réponse insuffisante
- Fréquence annoncée
- Réponse exploitable
- Isolation, chiffrement et test de restauration
Sécurité
- Réponse insuffisante
- Liste d'outils
- Réponse exploitable
- Responsabilités, qui a le droit de voir quoi, traces et traitement des alertes
Réversibilité
- Réponse insuffisante
- « Export possible »
- Réponse exploitable
- Format, délai, coût, assistance et destruction
Une méthode en 5 étapes pour choisir un hébergeur HDS sans équipe technique interne
Sans CTO ni responsable sécurité en interne, vous pouvez désormais cadrer sérieusement un premier périmètre. Nommez en revanche un décideur côté direction et faites intervenir les expertises manquantes.
- 1
Cartographier le flux avant de demander des devis
Quelles données entrent, où elles transitent, qui les lit, où elles sont sauvegardées et comment elles sortent. Sans cette carte, le fournisseur répond à une question différente de la vôtre.
- 2
Envoyer le même brief à 3 prestataires
Même volumétrie, mêmes attentes de disponibilité, même besoin d'exploitation et même scénario de sortie. Sinon vous comparez des prix qui ne couvrent pas le même service.
- 3
Demander les preuves dans une grille commune
Certificat, sous-traitants, pays, responsabilité, perte de données et délai de remise en service acceptables, test de restauration, gestion d'incident et réversibilité. Une colonne « preuve reçue » évite les réponses commerciales vagues.
- 4
Faire relire le contrat par les bons rôles
Celui qui porte le RGPD chez vous conseille sur la protection des données. Votre responsable sécurité évalue le risque. La direction technique vérifie l'exploitabilité. Le métier arbitre le niveau de service et le budget. Si ces rôles n'existent pas en interne, faites intervenir des experts indépendants et nommez un décideur côté direction.
- 5
Tester avant de considérer le sujet clos
Testez une restauration, un retrait d'accès administrateur, une remontée d'alerte et un export. Le contrat devient crédible quand le chemin opérationnel fonctionne.
Les 3 postes à intégrer au budget HDS
Séparez au moins 3 lignes dans votre budget, car il n'existe pas de prix universel pour « faire du HDS ». Une petite application sobre, peu sollicitée et bien cadrée n'a pas le même coût qu'une plateforme clinique disponible en continu.
Infrastructure
Les 6 éléments à chiffrer :
- Calcul
- Base de données
- Stockage
- Réseau
- Sauvegardes
- Environnements nécessaires
Exploitation
Les 6 éléments à chiffrer :
- Correctifs
- Supervision
- Astreinte
- Restauration
- Incidents
- Garder le service en état de marche
Pilotage du risque
Les 5 éléments à chiffrer :
- Contrats
- Audits
- Revues d'accès
- Exercices
- Preuves attendues par vos clients ou partenaires
Le cas DI&Care montre qu'un périmètre HDS sobre peut rester peu coûteux lorsque l'architecture et les responsabilités sont maîtrisées. Ce constat ne constitue pas un tarif de marché.
4 phrases sur l'hébergement HDS qui doivent arrêter la réunion
« Le cloud est HDS, donc notre application est conforme. »
Non, restent à traiter votre code applicatif, qui a le droit de voir quoi dans vos équipes, vos postes de travail et vos procédures. Aucun certificat d'hébergeur ne couvre ces éléments à votre place.
« Les données sont en France, donc le sujet est réglé. »
Un stockage en France ne couvre ni les accès distants ni la chaîne de sous-traitance. La localisation est un critère, pas une architecture de sécurité. Elle ne remplace ni le RGPD ni l'analyse de la chaîne.
« Le moins cher suffit pour une première version utilisable. »
Un petit périmètre peut rester sobre. Mais repousser la propriété des comptes, les traces ou la réversibilité crée une migration au moment précis où le produit commence à fonctionner.
« Celui qui porte le RGPD chez nous choisira l'hébergeur. »
Il conseille et contrôle, mais ne remplace pas l'arbitrage technique, sécurité, métier et contractuel. Le choix doit avoir un propriétaire capable de trancher entre coût, risque et exploitation.
Auteur de l'article
Fabien Bousquet, CTO externalisé.
Pas une équipe, pas un sous-traitant. C'est moi qui vous écris, qui cadre, qui build, qui livre.
En savoir plus sur mon parcours →FAQ sur l'hébergement HDS
Quand l'hébergement HDS est-il obligatoire ?
La certification est requise lorsqu'un tiers réalise sur support numérique tout ou partie des activités d'hébergement définies par le Code, pour le compte du patient ou de l'organisation qui décide de l'usage des données. Le Code exclut notamment certaines opérations très brèves de saisie, mise en forme, matérialisation ou dématérialisation. Les cas limites se qualifient à partir du flux réel, pas du mot « santé » dans le nom du produit.
Un cloud certifié HDS suffit-il pour être conforme ?
Non, son certificat couvre les activités et services inscrits dans son périmètre. Votre configuration, votre application, qui a le droit de voir quoi, les postes de travail, les procédures et le reste de la sous-traitance restent sous votre responsabilité ou celle d'autres acteurs identifiés.
Un éditeur de logiciel santé doit-il être certifié HDS ?
Cela dépend de son rôle réel. Un éditeur qui propose lui-même un service d'hébergement ou réalise certaines activités d'exploitation peut entrer dans le périmètre. Si l'établissement client héberge les données lui-même et que l'éditeur ne fournit pas cette prestation, la réponse peut être différente. Faites qualifier les opérations et les accès, contrat en main.
Les données HDS doivent-elles être stockées en France ?
Non, le stockage doit être situé en Europe ; la France n'est donc pas le seul pays admissible. Il faut aussi examiner les accès distants et les risques liés aux législations hors d'Europe indiqués par le prestataire.
HDS remplace-t-il le RGPD ?
Non, HDS encadre l'activité d'hébergement de données de santé. Le RGPD couvre le traitement des données personnelles dans son ensemble : finalités, base légale, minimisation, droits, sécurité, sous-traitance et durée de conservation notamment. Les 2 sujets se cumulent.
Comment vérifier un certificat HDS ?
Demandez le certificat complet puis vérifiez sa validité, sa version, l'organisme certificateur, le nom exact de l'entité et le périmètre. L'Agence du Numérique en Santé publie aussi les informations officielles sur la certification HDS.
Qui gère un incident entre l'hébergeur HDS et la maintenance applicative ?
L'hébergeur HDS traite l'incident sur l'infrastructure et les activités couvertes par son certificat. Le prestataire de maintenance applicative intervient sur l'application : diagnostic, correctif et remise en service fonctionnelle. Les 2 contrats doivent désigner un point d'entrée, les délais d'escalade, le responsable de la coordination et les preuves à transmettre à votre direction et à celui qui porte le RGPD chez vous.
Combien coûte un hébergement HDS ?
Il n'existe pas de tarif HDS unique. Le coût dépend des ressources cloud, de la disponibilité attendue, des sauvegardes, de l'exploitation, de l'astreinte et de l'accompagnement sécurité. Comparez le coût complet sur un même périmètre. Une infrastructure peu chère sans responsable d'exploitation peut être le devis le plus risqué.
Sources officielles
Cadre consulté pour cette version du 30 juillet 2026. La qualification d'un cas particulier doit rester attachée à son architecture, ses contrats et ses flux réels.
- Code de la santé publique, article L.1111-8 ↗
- Code de la santé publique, champ de l'hébergement HDS, article R.1111-8-8 ↗
- Code de la santé publique, activités d'hébergement, article R.1111-9 ↗
- Code de la santé publique, contenu du contrat HDS, article R.1111-11 ↗
- Agence du Numérique en Santé, référentiels de certification HDS ↗
- CNIL, encadrer la sécurité avec les sous-traitants ↗
- CNIL, sauvegarder et tester la restauration ↗
Retrouvez tous les Décryptages. Pour replacer l'hébergement dans l'ensemble du projet, lire aussi le guide du CTO externalisé santé. Si la clause de réversibilité doit servir pour de bon, voir la reprise de projet informatique. Si l'application doit interroger un modèle de langage, le flux sortant se traite à part : voir LLM et données de santé.