L’Hébergeur de Données de Santé (HDS) est un statut réglementaire français obligatoire pour toute entité qui héberge, pour le compte de tiers, des données de santé à caractère personnel sur support numérique. Ce n’est pas un simple label de qualité, mais une certification légale instaurée par le Code de la santé publique, qui garantit un niveau élevé de sécurité, de confidentialité et de disponibilité pour ces données particulièrement sensibles.
Le cadre légal et les obligations
Depuis le décret de 2018, l’ancien système d’agrément ministériel a été remplacé par cette certification, qui est obligatoire avant de pouvoir héberger la moindre donnée de santé réelle. Héberger ces données sans être certifié expose à des sanctions pénales (jusqu’à 45 000 € d’amende et 3 ans d’emprisonnement) et à de lourdes amendes RGPD .
La certification repose sur une double labellisation : elle s’appuie majoritairement sur la norme internationale ISO 27001 (le socle du système de management de la sécurité de l’information), complétée par des exigences spécifiques au secteur de la santé . Le référentiel a été renforcé avec une version 2.0 entrée en vigueur en 2024, qui impose notamment que l’hébergement physique des données se fasse exclusivement au sein de l’Espace Économique Européen (EEE) pour garantir la souveraineté numérique .
Les activités couvertes
La certification ne couvre pas l’hébergement de manière globale, mais six activités distinctes. Un hébergeur doit être certifié pour chacune des activités qu’il réalise :
- Mise à disposition et maintien en condition opérationnelle des sites physiques.
- Mise à disposition et maintenance de l’infrastructure matérielle.
- Mise à disposition et maintenance de l’infrastructure virtuelle.
- Mise à disposition et maintenance de la plateforme applicative.
- Administration et exploitation du système d’information contenant les données de santé.
- Sauvegarde des données de santé (uniquement les sauvegardes externalisées).
Ce que le HDS n’est pas
Il ne faut pas confondre la certification HDS avec d’autres référentiels. ISO 27001 est un socle méthodologique, mais ne suffit pas à lui seul à satisfaire l’obligation légale française . SecNumCloud est une qualification de l’ANSSI pour le cloud de confiance, qui n’est pas obligatoire pour le HDS mais peut être exigée en complément dans certains appels d’offres . Enfin, le RGPD s’applique dans tous les cas, mais il ne remplace pas l’obligation spécifique de certification HDS.
Analogie
L’HDS, c’est comme le permis de conduire spécial pour transporter des matières dangereuses. Tout le monde peut avoir le permis B (l’ISO 27001) pour conduire une voiture, mais pour transporter des produits sensibles (les données de santé), il faut une formation et une certification supplémentaires, délivrées par un organisme agréé, avec des contrôles réguliers. Et comme pour le transport de matières dangereuses, il ne suffit pas de dire qu’on fait attention : il faut prouver, documents à l’appui, qu’on respecte des règles de sécurité strictes, sous peine de sanctions.