L’hébergement de données de santé par un prestataire certifié HDS est une obligation légale, mais elle ne concerne pas tout le monde de la même façon. Ce qui compte, c’est la nature des données, le contexte dans lequel elles ont été recueillies et le fait de les confier, ou non, à un tiers. Voici la règle, les situations concernées profil par profil, les exceptions et les obligations qui accompagnent l’hébergement.
L’article L.1111-8 du Code de la santé publique pose trois conditions. L’obligation s’applique quand :
Si ces trois conditions sont réunies, l’hébergeur doit être certifié HDS. Il est alors interdit de confier ces données à un prestataire qui ne l’est pas.
C’est le prestataire qui héberge les données, exploite le système d’information ou réalise les sauvegardes qui doit détenir la certification, pour les activités qu’il exerce. Ce que recouvre cette certification est détaillé sur notre page Certification HDS.
Le cabinet, l’établissement ou l’éditeur qui confie ses données n’a pas à être certifié pour cela. En revanche, il doit vérifier que son prestataire l’est, pour les bonnes activités, et signer avec lui un contrat d’hébergement conforme.
Le RGPD définit les données concernant la santé comme les données relatives à la santé physique ou mentale, passée, présente ou future, d’une personne, y compris la prestation de soins, qui révèlent des informations sur son état de santé. La CNIL distingue trois catégories :
À l’inverse, une donnée dont on ne peut tirer aucune conséquence sur l’état de santé (un nombre de pas isolé, par exemple) n’est pas une donnée de santé.
Un établissement qui gère lui-même son système d’information, dans ses propres locaux, n’a pas besoin de la certification HDS. Dès qu’il externalise une partie de l’hébergement (dossier patient informatisé dans le cloud, infogérance, sauvegarde externalisée, archivage), le prestataire doit être certifié pour les activités concernées. Voir notre page HDS pour hôpitaux et cliniques.
Un cabinet qui conserve ses dossiers sur ses propres postes n’a pas recours à un hébergeur : il doit sécuriser ses données au titre du RGPD, mais l’obligation HDS ne s’applique pas. Dès qu’il utilise un logiciel médical en ligne, un stockage dans le cloud ou une sauvegarde à distance, ces données sont hébergées par un tiers, qui doit être certifié HDS. C’est aujourd’hui le cas de la plupart des cabinets. Voir notre page HDS pour les cabinets médicaux.
Résultats d’analyses, comptes rendus et images médicales sont des données de santé par nature. Leur hébergement externalisé (logiciel de laboratoire en ligne, archivage d’imagerie, portail de résultats) relève d’un hébergeur certifié.
Le suivi médico-social fait partie du champ de l’article L.1111-8. Les dossiers des résidents d’un EHPAD ou des personnes accompagnées par un service médico-social, s’ils sont hébergés par un prestataire, doivent l’être chez un hébergeur certifié.
Un éditeur dont le logiciel en ligne héberge des données de santé pour ses clients est concerné. Deux organisations sont possibles, et c’est la répartition des activités qui décide :
Dans les deux cas, l’éditeur doit pouvoir présenter à ses clients les certificats qui couvrent toute la chaîne.
Une application de télésurveillance, de téléconsultation ou de suivi de patients, utilisée dans un parcours de soins, héberge des données recueillies à l’occasion de soins ou de suivi : son hébergement doit être certifié. Une application de bien-être dont les données restent sur le téléphone de l’utilisateur, à son usage exclusif, n’est pas dans ce cas. Entre les deux, tout dépend du contexte de collecte : c’est à analyser au cas par cas.
Ces organismes traitent parfois des informations médicales (justificatifs, arrêts de travail), qui sont des données de santé au sens du RGPD. Que leur hébergement relève de la certification HDS dépend du contexte dans lequel ces données ont été recueillies. C’est une analyse à mener avec votre délégué à la protection des données ; l’Agence du Numérique en Santé publie des réponses sur ces cas dans sa FAQ.
Un prestataire qui administre un système d’information contenant des données de santé (activité 5) ou qui en réalise la sauvegarde externalisée (activité 6) exerce une activité d’hébergement. Depuis le décret n° 2026-209 du 24 mars 2026, l’activité 6 inclut expressément la conservation des données dans le cadre d’un archivage électronique.
L’hébergement ne peut avoir lieu qu’après que la personne concernée en a été informée. Depuis la loi du 26 janvier 2016, son consentement exprès n’est plus exigé, mais elle conserve un droit d’opposition pour motif légitime.
L’article R.1111-11 du Code de la santé publique fixe le contenu minimal du contrat, notamment :
Le stockage des données de santé doit être réalisé exclusivement dans un État de l’Union européenne ou de l’Espace économique européen. Le référentiel de certification v2.0 l’exige, et le décret n° 2026-209 l’a inscrit dans le Code de la santé publique (article R.1111-9-1, en vigueur depuis fin septembre 2026). Un transfert hors UE, y compris un simple accès à distance, n’est possible que dans les conditions prévues par le RGPD, et le contrat doit alors le mentionner.
Héberger des données de santé pour le compte d’un tiers sans certification expose à trois ans d’emprisonnement et 45 000 € d’amende, sans compter les sanctions prévues par le RGPD.
Guardis, marque de MUONA SAS, est hébergeur certifié HDS v2.0 pour les activités 2 à 6 (certificat CertiTRUST n° CT-HDS-082025-0CU01876) et certifié ISO/IEC 27001:2022. Vos données sont stockées en France, sur 6 zones de disponibilité dans 3 régions distantes de plus de 400 km, avec une disponibilité garantie de 99,95 %. Nous vous accompagnons du diagnostic jusqu’à l’exploitation : contrat d’hébergement, migration, sauvegardes, réversibilité.
| Votre profil | Offre Guardis | Tarif |
|---|---|---|
| Éditeur, plateforme ou structure de santé | Hébergement HDS Essentiel | à partir de 149 € HT/mois |
| Cabinet médical ou clinique | Hébergement HDS Cabinet médical | à partir de 299 € HT/mois |
Vous ne savez pas si vous êtes concerné ? Faites le point en 2 minutes avec notre checklist HDS, découvrez notre hébergement HDS ou demandez votre devis.
Toute structure qui confie à un tiers l’hébergement de données de santé recueillies à l’occasion d’activités de prévention, de diagnostic, de soins ou de suivi médico-social : établissements, cabinets, laboratoires, éditeurs de logiciels de santé, structures médico-sociales.
Non, le cabinet n’a pas à être certifié. Mais s’il utilise un logiciel en ligne, un stockage dans le cloud ou une sauvegarde à distance, son prestataire doit être certifié HDS.
Cela dépend des activités qu’il exerce. S’il confie l’infrastructure, la plateforme, l’administration et la sauvegarde à un hébergeur certifié, c’est cet hébergeur qui porte la certification. S’il exerce lui-même certaines de ces activités, il doit être certifié pour celles-ci.
Pas si les données restent sur l’appareil de l’utilisateur, à son usage exclusif. Si l’application s’inscrit dans un parcours de soins ou de suivi et héberge les données sur un serveur, l’hébergement doit être certifié HDS.
Des données réellement anonymisées ne sont plus des données personnelles et sortent du champ. Des données chiffrées ou pseudonymisées restent des données personnelles : l’obligation s’applique.
Non, depuis la loi du 26 janvier 2016 son consentement exprès n’est plus exigé. Il doit être informé de l’hébergement et peut s’y opposer pour un motif légitime.
Trois ans d’emprisonnement et 45 000 € d’amende pour l’hébergeur non certifié, auxquels peuvent s’ajouter les sanctions prévues par le RGPD.
Oui. Depuis le décret n° 2026-209 du 24 mars 2026, la conservation de données de santé dans le cadre d’un archivage électronique fait partie de l’activité 6 (sauvegarde externalisée) du référentiel HDS.
