En 30 secondes
Dès que vous traitez des données de santé pour le compte d’un tiers, la loi (article L.1111-8 du Code de la santé publique) impose un hébergement certifié HDS. La certification, délivrée par un organisme accrédité COFRAC, repose sur 4 garanties, disponibilité, intégrité, confidentialité, auditabilité (DICA). Pour choisir, regardez 7 critères : périmètre de certification, localisation et souveraineté (hors Cloud Act), réversibilité, sécurité opérée (SOC, PRA), accompagnement, capacité IA, et modèle de coût. Un éditeur SaaS santé n’a pas besoin d’être certifié lui-même : il doit héberger chez un prestataire certifié et le prouver. Comptez plusieurs semaines pour cadrer une mise en conformité.
Vos données de santé sont-elles réellement protégées chez votre hébergeur actuel ? La question n’est pas théorique : un hébergement mal choisi expose des données patients, fragilise votre conformité RGPD, et peut vous coûter un marché ou un audit. Voici comment choisir un hébergeur HDS sans vous tromper, les critères qui comptent vraiment, ce que ça coûte, et les pièges à éviter.
Qu’est-ce qu’un hébergeur HDS, et qui est concerné ?
Un hébergeur HDS (Hébergeur de Données de Santé) est un prestataire certifié par l’État pour héberger des données de santé à caractère personnel. L’obligation découle de l’article L.1111-8 du Code de la santé publique : toute structure qui héberge ces données pour le compte d’un tiers doit détenir le certificat de conformité HDS.
Vous êtes concerné dès que vous traitez, stockez ou transférez des données de santé identifiables :
- éditeurs de logiciels et SaaS santé (dossier patient, télémédecine, e-santé) ;
- cabinets médicaux, cliniques, hôpitaux, EHPAD ;
- laboratoires, biotech, recherche clinique ;
- mutuelles et assureurs manipulant des données médicales.
Une donnée de santé, c’est tout indice direct ou indirect sur l’état de santé d’une personne : dossier patient, examen, prescription, données d’admission, identifiant de sécurité sociale rattaché à un soin. Les données totalement anonymisées sortent du périmètre.
Le point qui rassure les éditeurs : vous n’avez pas besoin d’être certifié HDS vous-même. Vous devez héberger chez un prestataire certifié et pouvoir le prouver à vos clients (hôpitaux, établissements) qui l’exigent contractuellement. C’est l’hébergeur qui porte la certification ; vous, vous portez le choix du bon hébergeur.
Exception : si vous hébergez vos données entièrement en interne, sur vos propres serveurs et sous votre seul contrôle, sans aucun prestataire externe, vous relevez du régime du producteur interne et n’êtes pas soumis à la certification HDS. Dès qu’un tiers entre dans la chaîne, l’obligation s’applique.
HDS, ISO 27001, RGPD : ne pas confondre
Trois exigences se chevauchent, mais ne se remplacent pas :
- RGPD : le cadre général de protection des données personnelles. La CNIL classe les données de santé parmi les données sensibles, soumises à des garanties renforcées.
- ISO 27001 : une norme internationale de management de la sécurité de l’information. Solide, mais non spécifique à la santé, elle ne suffit pas à elle seule.
- HDS : la certification spécifique aux données de santé en France. Elle s’appuie sur des référentiels intégrant l’ISO 27001, mais ajoute les exigences propres au secteur.
Autrement dit : un hébergeur ISO 27001 n’est pas automatiquement HDS. Pour des données de santé, exigez le HDS. (Pour le détail, voir notre comparatif différence entre ISO 27001 et HDS.)
Les 7 critères pour choisir un hébergeur HDS
1. Le périmètre exact de la certification
La certification HDS couvre deux grands types d’activités : l’hébergement d’infrastructure physique (matériel, datacenter) et l’infogérance (infrastructure virtuelle, plateforme applicative, administration, sauvegarde externalisée). Vérifiez que le périmètre du prestataire couvre vraiment votre usage, pas seulement une partie. Demandez le certificat, son périmètre et sa date.
2. Une certification réellement à jour
Le certificat HDS est délivré par un organisme accrédité COFRAC, valable trois ans, avec des audits de surveillance annuels. Demandez à voir le certificat en cours de validité, pas une attestation vague. Un prestataire sérieux le fournit sans hésiter.
3. Localisation et souveraineté (le critère Cloud Act)
Où sont physiquement vos données, et sous quelle juridiction ? Un hébergeur 100 % français, soumis au seul droit français, vous met à l’abri des lois extraterritoriales comme le Cloud Act américain, qui peut contraindre un fournisseur soumis au droit US à divulguer des données, même stockées en Europe. Pour des données de santé, la souveraineté n’est pas un argument marketing : c’est une réduction de risque juridique concrète.
4. Les garanties DICA et la sécurité opérée
Le régime HDS repose sur quatre piliers : disponibilité, intégrité, confidentialité, auditabilité. Au-delà de la certification sur le papier, regardez la sécurité réellement opérée : chiffrement, isolation réseau, journalisation, supervision continue, sauvegarde immuable, et un plan de reprise d’activité (PRA) testé. Un hébergeur qui exploite un SOC/SIEM et vous l’opère vous évite de monter une équipe sécurité en interne.
5. La réversibilité
Que se passe-t-il si vous partez ? La loi impose à l’hébergeur de vous restituer vos données en fin de contrat, sans en conserver de copie. Vérifiez les modalités concrètes de réversibilité (formats, délais, accompagnement) avant de signer, pas après.
6. L’accompagnement
La conformité HDS est un parcours, pas une case à cocher. Un bon hébergeur vous accompagne : cadrage du périmètre, migration, documentation de la chaîne de sous-traitance, réponses aux audits de vos propres clients. Pour une PME ou un éditeur sans DSI étoffée, cet accompagnement fait souvent la différence entre un projet qui aboutit et un projet qui s’enlise.
7. La capacité à héberger vos applications, et votre IA
Vos besoins évoluent. Pouvez-vous déployer vos applications, vos conteneurs, et demain vos modèles d’IA (RAG, LLM) sur la même infrastructure certifiée, sans sortir les données du périmètre HDS ? C’est précisément là que les grands hébergeurs généralistes s’arrêtent, et un point à valider si vous avez des projets d’analyse ou d’IA sur données de santé.
Combien coûte un hébergement HDS ?
Il n’existe pas de tarif unique : le coût dépend du volume de données, des besoins de performance, du niveau de service (supervision, PRA) et du modèle de facturation. Trois repères pour ne pas vous tromper :
- Privilégiez un modèle adapté à votre charge. Un modèle à l’usage évite des coûts fixes inadaptés si votre activité fluctue ; un forfait peut convenir à une charge stable.
- Traquez les coûts cachés. Stockage additionnel, transferts de données, sauvegardes, support : exigez une estimation détaillée et lisez les conditions. Une facture « légère » au départ peut grimper.
- Comparez à périmètre égal. Un hébergement HDS complet (infrastructure + infogérance + sécurité opérée) ne se compare pas à un simple stockage. Mettez en regard le service réellement rendu, pas seulement le prix au Go.
Les erreurs fréquentes
- Confondre ISO 27001 et HDS. L’ISO 27001 est nécessaire mais pas suffisante pour des données de santé.
- Se fier à une « attestation » floue. Exigez le certificat HDS en cours de validité et son périmètre.
- Oublier la chaîne de sous-traitance. Si votre hébergeur s’appuie lui-même sur des tiers, toute la chaîne doit être documentée et conforme.
- Négliger la réversibilité. On y pense trop tard, quand il faut partir.
- Choisir sur le seul prix. Un hébergement de données de santé se choisit sur la conformité, la sécurité opérée et l’accompagnement.
Et concrètement, avec Guardis
Guardis est un cloud souverain managé, certifié ISO 27001 et HDS (activités 2 à 6 du référentiel HDS v2.0). Certificats délivrés par CertiTRUST : ISO 27001 n° CT-ISMS-082025-0CU01876 ; Référentiel HDS n° CT-HDS-082025-0CU01876. Vos données de santé restent en France, hors Cloud Act ; nous opérons la sécurité (SOC/SIEM, PRA) et vous accompagnons sur la conformité, RGPD, HDS, NIS2. Et vous pouvez y déployer vos applications et votre IA sur la même infrastructure certifiée, sans jamais exposer vos données.
Pour cadrer votre situation : parlez à un expert HDS, ou commencez par notre check-list de conformité HDS.
FAQ
Un éditeur SaaS santé doit-il être certifié HDS lui-même ?
Non. L’éditeur doit héberger ses données de santé chez un prestataire certifié HDS et être en mesure de le prouver à ses clients. La certification est portée par l’hébergeur, pas par l’éditeur.
Quelle est la différence entre un cloud santé et un hébergement HDS ?
« Cloud santé » est un terme générique ; l’hébergement HDS en est la version réglementée et certifiée. Pour des données de santé identifiables, seul un hébergeur certifié HDS est conforme.
ISO 27001 suffit-il pour héberger des données de santé ?
Non. L’ISO 27001 est une bonne base de sécurité mais n’est pas spécifique à la santé. La certification HDS est obligatoire pour les données de santé à caractère personnel.
Combien de temps pour être conforme HDS ?
Si vous passez par un hébergeur déjà certifié, l’essentiel du délai porte sur le cadrage, la migration et la documentation de votre chaîne de sous-traitance, comptez généralement plusieurs semaines selon la complexité de votre système.
Peut-on faire de l’IA sur des données de santé en restant conforme ?
Oui, à condition que les traitements (entraînement, RAG, inférence) se fassent sur une infrastructure certifiée et que les données ne quittent pas le périmètre HDS.