Dossier patient informatisé, imagerie, biologie, bloc opératoire, pharmacie : le système d’information d’un établissement de santé porte la continuité des soins. Dès qu’une partie de ce système est confiée à un prestataire, l’hébergement des données de santé obéit à des règles précises, qui s’ajoutent aux obligations propres aux établissements. Ce guide s’adresse aux hôpitaux, cliniques et établissements médico-sociaux.
Un établissement qui héberge et exploite lui-même son système d’information, dans ses propres locaux et avec ses propres équipes, n’a pas besoin de la certification HDS. L’Agence du Numérique en Santé le rappelle : la certification concerne ceux qui hébergent pour le compte d’autrui.
L’externalisation, même partielle, change la donne. Le prestataire doit être certifié HDS pour les activités qu’il exerce dans chacun de ces cas :
Un même service peut faire intervenir plusieurs prestataires : un datacenter pour les locaux, un hébergeur pour l’infrastructure et l’exploitation, un éditeur pour l’application. Chacun doit être couvert par un certificat valide pour l’activité qu’il assure. Les six activités sont détaillées sur notre page Certification HDS.
Toutes les données qui permettent d’identifier un patient et renseignent sur sa santé :
La CNIL a inscrit les traitements de données de santé mis en œuvre par les établissements de santé ou médico-sociaux pour la prise en charge des personnes dans sa liste des traitements soumis à une analyse d’impact obligatoire. Elle se mène avant la mise en œuvre d’un traitement, et l’hébergeur doit fournir les informations nécessaires sur sa partie.
Un établissement public de santé, comme tout organisme public, doit désigner un délégué à la protection des données (DPO). Un établissement privé doit le faire dès lors que son activité principale le conduit à traiter des données de santé à grande échelle, ce qui est le cas d’une clinique.
Depuis le 1er octobre 2017, l’article L.1111-8-2 du Code de la santé publique impose aux établissements de santé de signaler sans délai à l’agence régionale de santé les incidents graves de sécurité de leurs systèmes d’information. L’obligation s’étend aux établissements médico-sociaux depuis le 18 novembre 2020. Le CERT Santé, rattaché à l’Agence du Numérique en Santé, appuie le traitement de ces incidents. Si l’incident touche des données personnelles, il doit aussi être notifié à la CNIL dans les 72 heures au titre du RGPD.
En établissement de santé, le dossier médical est conservé au moins 20 ans à compter du dernier séjour ou de la dernière consultation externe (article R.1112-7 du Code de la santé publique). Si le patient était mineur et que ce délai s’achève avant son 28e anniversaire, le dossier est conservé jusqu’à cette date ; en cas de décès moins de 10 ans après le dernier passage, il est conservé 10 ans à compter du décès.
La directive européenne NIS 2 range le secteur de la santé parmi les secteurs hautement critiques. Les établissements concernés par sa transposition française doivent renforcer la gestion de leurs risques cyber, sécuriser leur chaîne d’approvisionnement, donc leurs prestataires, et signaler leurs incidents importants.
La certification HDS fixe un socle de sécurité. Pour un établissement de santé, la continuité des soins demande des engagements chiffrés, à inscrire au contrat.
Exigez un taux de disponibilité garanti (SLA), un délai de remise en service (RTO) et une perte de données maximale (RPO) écrits dans le contrat, ainsi qu’un plan de reprise d’activité testé régulièrement. Une infrastructure répartie sur plusieurs sites distants évite qu’un incident local emporte à la fois les données et leurs copies.
Un rançongiciel cherche d’abord à chiffrer les sauvegardes. Des copies hors ligne, inaccessibles depuis le réseau, permettent de restaurer le système d’information sans dépendre de l’attaquant. Vérifiez la fréquence des sauvegardes, leur durée de conservation et les tests de restauration.
L’hébergeur doit superviser l’infrastructure en continu, tracer les accès et les opérations d’administration, et vous fournir ces traces en cas d’audit ou d’incident. Pour aller plus loin, une surveillance de sécurité 24/7 par un centre opérationnel de sécurité (SOC) détecte les attaques et organise la réponse : chez Guardis, c’est notre SOC managé, en option.
À la fin du contrat, ou si l’hébergeur perd sa certification, vous devez récupérer l’intégralité de vos données dans un format exploitable. Le Code de la santé publique impose cette clause dans le contrat d’hébergement.
Le détail des textes est sur notre page cadre légal de l’hébergement des données de santé.
Guardis, marque de MUONA SAS, est hébergeur certifié HDS v2.0 pour les activités 2 à 6 (certificat CertiTRUST n° CT-HDS-082025-0CU01876) et certifié ISO/IEC 27001:2022. Nos engagements sont publiés :
| Engagement | Valeur |
|---|---|
| Disponibilité garantie (SLA) | 99,95 % |
| Délai de remise en service (RTO) | 4 h |
| Perte de données maximale (RPO) | 24 h |
| Infrastructure | 6 zones de disponibilité, 3 régions distantes de plus de 400 km, en France |
| Sauvegardes | copies hors ligne (air gap) et sur bande |
Nous hébergeons et exploitons serveurs, applications et sauvegardes, et nous faisons tourner les traitements d’intelligence artificielle sur nos propres GPU, en France, sans que les données de santé quittent le périmètre certifié. Voir notre IA sécurisée.
| Votre besoin | Offre Guardis | Tarif |
|---|---|---|
| Une clinique ou un cabinet : hébergement multipostes, accompagnement à la mise en conformité, support dédié | Hébergement HDS Cabinet médical | à partir de 299 € HT/mois |
| Héberger une application ou des données de santé | Hébergement HDS Essentiel | à partir de 149 € HT/mois |
| Une surveillance de sécurité 24/7 avec détection et réponse, en option | SOC Managé Essentiel | à partir de 590 € HT/mois |
| Un système d’information hospitalier complet | configuration sur mesure | sur devis |
Découvrez notre hébergement HDS, faites le point avec notre checklist HDS ou demandez votre devis.
Non, s’il héberge et exploite lui-même son système d’information. Dès qu’il confie une partie de l’hébergement, de l’exploitation ou des sauvegardes à un prestataire, ce prestataire doit être certifié HDS.
Oui, dès que ses données de santé sont hébergées ou exploitées par un tiers : logiciel en ligne, serveurs dans un datacenter externe, sauvegardes ou archives externalisées.
Oui, si son hébergement ou son archivage est confié à un tiers. Les images médicales sont des données de santé, et l’archivage électronique fait partie de l’activité de sauvegarde externalisée de la certification HDS.
Oui. La CNIL a inscrit les traitements de données de santé mis en œuvre par les établissements de santé ou médico-sociaux pour la prise en charge des personnes dans la liste des traitements soumis à une analyse d’impact obligatoire.
Signalez sans délai l’incident grave à l’agence régionale de santé, qui s’appuie sur le CERT Santé, notifiez la CNIL dans les 72 heures si des données personnelles sont touchées, et déclenchez avec votre hébergeur la restauration à partir des sauvegardes hors ligne.
Au moins 20 ans à compter du dernier séjour ou de la dernière consultation externe, avec des règles particulières pour les patients mineurs et en cas de décès.
Dans un autre État de l’Union européenne ou de l’Espace économique européen, oui. Le stockage hors de l’Union européenne est exclu par le Code de la santé publique.
Un taux de disponibilité, un délai de remise en service et une perte de données maximale inscrits au contrat, avec un plan de reprise testé. Chez Guardis : 99,95 %, 4 h et 24 h.
