Aller au contenu
agencedevops.fr

Hébergeur HDS : comment choisir un prestataire certifié pour vos données de santé

Un hébergeur HDS se choisit d’abord sur trois vérifications : son certificat est-il au référentiel v2 (seul valable depuis le 16 mai 2026), couvre-t-il les activités qu’il fera réellement pour vous, et son contrat dit-il s’il est soumis à une loi extra-européenne ? Le reste, prix et services, vient ensuite.

Par la rédaction d’agencedevops.fr · données vérifiées le · méthode

Qui doit passer par un hébergeur certifié

La règle tient dans l’article L1111-8 du code de la santé publique : toute personne qui héberge des données de santé à caractère personnel, recueillies lors d’activités de prévention, de diagnostic, de soins ou de suivi médico-social, pour le compte de ceux qui les produisent ou les recueillent, ou pour le compte du patient lui-même, doit être certifiée. Les éditeurs de logiciels médicaux, les plateformes de téléconsultation, les applications de suivi de patients, les prestataires qui exploitent le système d’information d’un hôpital ou qui sauvegardent ses données sont concernés. Un établissement qui gère lui-même son système d’information n’a pas à être certifié ; dès qu’il en externalise une partie, son prestataire doit l’être.

Les six activités, et pourquoi elles comptent

La certification ne porte pas sur une entreprise en bloc mais sur des activités. Elle donne lieu à deux types de certificats.

Activités de la certification HDS
Certificat Activité couverte
Hébergeur d’infrastructure physique Mise à disposition et maintien en condition opérationnelle des sites physiques qui hébergent l’infrastructure
Mise à disposition et maintien en condition opérationnelle de l’infrastructure matérielle
Hébergeur infogéreur Mise à disposition et maintien en condition opérationnelle de l’infrastructure virtuelle
Mise à disposition et maintien en condition opérationnelle de la plateforme d’hébergement d’applications
Administration et exploitation du système d’information contenant les données de santé
Sauvegarde externalisée des données de santé

C’est le piège le plus courant. Un fournisseur de cloud certifié pour l’infrastructure physique et virtuelle ne couvre pas l’administration de votre application. Si une agence ou un infogéreur exploite vos serveurs, met à jour vos bases ou gère vos sauvegardes, c’est lui qui doit être certifié pour ces activités. Avant de signer, demandez le certificat de chaque intervenant et comparez la liste de ses activités avec le tableau des responsabilités du contrat.

Le calendrier à connaître en 2026

  • Référentiel v2 : approuvé par l’arrêté du 26 avril 2024, il s’impose aux nouvelles certifications depuis le 16 novembre 2024. Les hébergeurs déjà certifiés avaient vingt-quatre mois pour s’y conformer : depuis le 16 mai 2026, un certificat resté à l’ancienne version ne suffit plus. La version 2 impose notamment que les données soient hébergées physiquement dans l’Espace économique européen.
  • Référentiel v2.1 : l’Agence du numérique en santé annonce sa publication pour octobre 2026, avec une entrée en application trois mois plus tard. Les contrats, y compris ceux déjà signés, doivent indiquer si l’hébergeur est soumis à une législation d’un pays tiers qui pourrait lui imposer un transfert de données, et détailler les transferts éventuels. Un accès à distance depuis un pays tiers compte comme un transfert. Les tiers archiveurs agréés pour l’archivage numérique de données de santé devront aussi être certifiés.

Concrètement, un contrat signé à l’automne 2026 doit déjà contenir ces mentions : il vous évitera un avenant dans trois mois.

Les vérifications avant de signer

  1. Le certificat : nom exact de l’entité certifiée, organisme certificateur accrédité, version du référentiel, activités couvertes, date d’expiration. La liste officielle des hébergeurs certifiés est publiée par l’Agence du numérique en santé.
  2. La chaîne de sous-traitance : un infogéreur certifié qui s’appuie sur un cloud doit pouvoir montrer le certificat de ce cloud pour les activités d’infrastructure.
  3. La localisation et les accès : régions d’hébergement, pays depuis lesquels les équipes d’exploitation accèdent aux systèmes, soumission éventuelle à une loi extra-européenne.
  4. Les sauvegardes : fréquence, rétention, copie hors site, test de restauration documenté.
  5. La réversibilité : format de restitution des données, délai, accompagnement, prix.
  6. Les engagements de service : disponibilité, délais d’intervention, notification des incidents de sécurité.

Cloud public, cloud français ou infogéreur : trois configurations

La première configuration consiste à héberger sur un grand cloud public dont certains services sont certifiés, et à confier l’exploitation à une équipe certifiée ou à la faire en interne si vous l’êtes. Elle offre le catalogue de services le plus large, mais demande de traiter avec soin la question des lois extra-européennes dans le contrat. La deuxième passe par un cloud français certifié HDS : choix plus restreint de services managés, réponse plus simple sur la localisation. La troisième confie tout à un infogéreur certifié qui opère sa propre infrastructure ou celle d’un partenaire : c’est la plus simple pour une structure sans équipe technique, à condition de vérifier que la réversibilité est réelle.

Entreprises classées qui déclarent une certification HDS

Parmi les entreprises notées avec notre barème, voici celles qui mentionnent une certification HDS sur leur site. Cette mention n’est qu’un point de départ : vérifiez chaque certificat sur la liste officielle.

Entreprises classées, barème sur 100 points
Rang Entreprise Registre Score
1 Cloud Temple siège à Puteaux, créée en 2017, 100 à 199 salariés 69
2 Inherent siège à Maxeville, créée en 1981, 500 à 999 salariés 67
3 BT Blue siège à Chateaubourg, créée en 2005, 100 à 199 salariés 61
4 Alter Way siège à Asnieres-sur-Seine, créée en 2006, 100 à 199 salariés 60
5 DigDeo siège à Chatou, créée en 2010, 6 à 9 salariés 51
6 Deessi siège à Paris, créée en 1999, 50 à 99 salariés 50
7 NFrance siège à Toulouse, créée en 1999, 20 à 49 salariés 49
8 Cyllene siège à Nanterre, créée en 2015, 6 à 9 salariés 45
9 Celeonet siège à Choisy-le-Roi, créée en 2003, 10 à 19 salariés 39
10 Nubevia siège à Lyon, créée en 2025 33

Pour un projet qui mêle hébergement et exploitation, notre classement des prestataires d’infogérance et le guide du cahier des charges complètent cette page.

Questions fréquentes

Faut-il un hébergeur HDS pour une application de santé ?

Oui dès que l’application stocke, pour le compte d’un professionnel, d’un établissement ou du patient, des données de santé à caractère personnel recueillies lors d’activités de prévention, de diagnostic, de soins ou de suivi médico-social. L’éditeur qui confie son hébergement à un cloud doit choisir un hébergeur certifié pour les activités concernées, et devient lui-même concerné s’il exploite le système qui contient les données.

Un établissement de santé doit-il être certifié HDS ?

Non s’il gère lui-même son système d’information de santé. Dès qu’il confie l’hébergement, l’exploitation ou la sauvegarde à un tiers, ce tiers doit être certifié HDS pour l’activité confiée.

AWS, Azure ou Google Cloud sont-ils certifiés HDS ?

Les grands fournisseurs de cloud ont fait certifier une partie de leurs services, ce que l’on vérifie sur la liste publiée par l’Agence du numérique en santé, avec les activités couvertes et la date d’expiration. Depuis la version 2 du référentiel, la question de la soumission à une législation extra-européenne doit être traitée dans le contrat.

Combien coûte un hébergement HDS ?

Le surcoût par rapport à un hébergement classique tient à l’exploitation certifiée plus qu’aux machines : procédures, traçabilité, sauvegardes, audits annuels. Comparez les offres sur un périmètre écrit, en séparant le coût du cloud et celui de l’exploitation.

Combien de temps dure une certification HDS ?

Le certificat est délivré pour trois ans par un organisme accrédité, avec un audit de surveillance chaque année. Vérifiez la date d’expiration sur la liste officielle avant de signer un contrat de plusieurs années.

Sources