La certification HDS (Hébergeur de Données de Santé) s’impose à tout prestataire qui stocke, traite ou archive des données médicales pour le compte d’un tiers, en application de l’article L.1111-8 du Code de la santé publique.
Cabinets médicaux, cliniques, laboratoires, éditeurs SaaS santé, mutuelles, biotech, télémédecine : si vous (ou votre prestataire) traitez des données de santé identifiables, vous êtes peut-être concerné.
5 questions, 2 minutes : la réponse pour votre cas.
Vos données concernent-elles l’état de santé d’une personne physique identifiable ?
Donnée de santé = tout indice direct ou indirect sur l’état de santé (dossier patient, examen, prescription, capteur médical, données d’admission, identifiant SS…). Les données totalement anonymisées au sens strict du RGPD sortent du périmètre, mais l’anonymisation réelle est rarissime.
Êtes-vous le producteur direct de ces données ?
Producteur direct = médecin pour ses patients, hôpital pour ses patients, laboratoire pour ses propres analyses.
Hébergez-vous ces données entièrement en interne (vos serveurs, sous votre seul contrôle) ?
« En interne » = pas de sauvegarde externalisée, pas d’infogérance, pas de SaaS de gestion, pas de service IA / analytique tiers.
Quel est votre rôle vis-à-vis de ces données ?
Plusieurs cas possibles, prenez celui qui décrit le mieux votre activité principale.
Votre prestataire actuel est-il certifié HDS v2 ?
Vérifiable sur la liste officielle ANS : esante.gouv.fr · liste des hébergeurs certifiés. Vérifiez que le certificat est bien en HDS v2 (le référentiel v1 ne s’applique plus aux nouveaux certificats).
Avez-vous documenté toute votre chaîne de sous-traitance HDS ?
DPA explicite avec chaque intervenant, clause HDS dans les contrats, registre des activités de traitement à jour, audit trail des accès.
Vous n’êtes pas dans le périmètre HDS.
Vos données ne sont pas des données de santé au sens de l’article L1111-8 CSP. Le RGPD reste applicable, mais aucune obligation HDS spécifique.
Néanmoins, prudence
Une donnée semblant anodine (numéro SS, date d’admission, identifiant patient) peut être qualifiée de « donnée de santé » indirectement. Un audit RGPD ciblé vous confirme la non-soumission.
Pas d’obligation directe HDS (régime du producteur interne).
Vous produisez les données et les hébergez vous-même. Vous n’avez pas l’obligation d’être certifié HDS.
MAIS : dès que vous externalisez quoi que ce soit
- Sauvegarde dans un cloud tiers (même OVH non-HDS, Backblaze)
- Infogérance, MCO, monitoring tiers
- SaaS de gestion (RH médicale, planning, facturation)
- Service IA / analytique / décisionnel
… ce sous-traitant DOIT être HDS v2. Sinon vous êtes en infraction, même si vous-même produisez les données.
Vous êtes soumis HDS, et vous semblez conforme.
Votre prestataire est certifié HDS v2, votre chaîne documentée. Bravo.
Reste à vérifier
- Le certificat HDS v2 est-il à jour ? (vérifier sur esante.gouv.fr)
- Le DPA et le registre des traitements sont-ils à jour ?
- Avez-vous un test annuel de continuité d’activité (PCA/PRA) ?
Vous êtes soumis HDS, votre conformité semble partielle.
Votre prestataire est certifié, mais la chaîne de sous-traitance n’est pas entièrement documentée. C’est le point le plus souvent relevé en audit.
Actions prioritaires
- Tracer chaque intervenant qui touche aux données (éditeur, hébergeur, MCO, sauvegarde, IA…)
- S’assurer que chacun est certifié HDS sur les activités exercées
- Signer un DPA explicite avec chacun, incluant les clauses HDS de l’Annexe 1
- Mettre à jour le registre des activités de traitement
Vous êtes soumis HDS, et probablement pas conforme.
Votre prestataire n’est pas certifié HDS v2 (ou vous ne savez pas). Vous êtes potentiellement en infraction au regard de l’article L1111-8 CSP.
Risques concrets
- Sanctions CNIL (amendes jusqu’à 4% du CA mondial)
- Exclusion des appels d’offres santé (clause HDS systématique depuis 2025)
- Responsabilité civile / pénale en cas de fuite
- Perte de confiance des patients / partenaires
Migration HDS à planifier en priorité. Compter 2 à 6 mois selon volume.
30 minutes d’audit gratuit avec un expert HDS
Un échange direct avec Benoît Martin, président de Guardis.fr, pour mapper votre situation et identifier les risques concrets. Sans engagement.
Télécharger la check-list PDF