La Certification HDS dépend des tâches confiées, pas seulement du caractère médical des fichiers. Un certificat sans périmètre adapté ne suffit pas à sécuriser votre externalisation.
En bref
- Les données issues des soins nécessitent une qualification précise.
- Le certificat doit couvrir les activités réellement exercées.
- Un accès distant ne constitue pas automatiquement un hébergement.
- Le RGPD s’applique aussi hors du périmètre HDS.
Certification HDS : les données et la mission déterminent l’obligation
L’article L1111-8 du Code de la santé publique encadre l’hébergement de données de santé. Il vise les informations recueillies lors de prévention, diagnostic, soins ou suivi social et médico-social. Le prestataire les héberge pour leur producteur, leur collecteur ou le patient.
Un prestataire de santé ne relève donc pas automatiquement de cette obligation. Examinez la mission réelle : conserve-t-il des dossiers, exploite-t-il une plateforme ou administre-t-il des serveurs ? La Certification HDS concerne des activités définies, pas une catégorie commerciale d’entreprises.
La certification des hébergeurs couvre six activités distinctes
Le périmètre réglementaire distingue six activités : sites physiques, infrastructure matérielle, infrastructure virtuelle, plateforme applicative, administration-exploitation et sauvegarde. Votre fournisseur doit justifier une couverture adaptée aux services confiés. La Certification HDS d’un centre informatique ne couvre pas automatiquement l’administration réalisée ailleurs.
Une clinique peut externaliser ses images radiologiques et conserver son logiciel localement. Elle doit alors examiner précisément le service d’archivage proposé. Pour la conformité HDS, le bon réflexe consiste à comparer contrat, architecture et certificat. Le logo commercial ne remplace jamais cette vérification.
| Situation | Qualification | Vérification utile |
|---|---|---|
| Une sauvegarde conserve les dossiers. | L’activité 6 s’applique. | Le certificat couvre la sauvegarde. |
| Un infogérant administre les serveurs. | L’activité 5 s’applique. | Le périmètre couvre cette administration. |
| Un téléopérateur consulte sans copie. | La consultation seule ne suffit pas. | Le contrat interdit les exports non autorisés. |
La consultation et la numérisation exigent une analyse séparée
Un centre téléphonique consulte parfois les dossiers directement dans l’application du client. Sans conservation ni administration, cette consultation seule ne caractérise pas nécessairement une activité d’hébergement. Des captures, exports ou enregistrements conservés peuvent modifier l’analyse. La Certification HDS doit suivre les flux réels.
L’article R1111-8-8 prévoit aussi une exception pour certaines opérations sur une courte période. Elle concerne notamment la saisie, la mise en forme ou la numérisation. Aucun délai universel ne dispense d’examiner les pratiques. Fixez une suppression vérifiable, sans transformer cette exception en stockage durable.
Les obligations réglementaires dépassent la Certification HDS
La sécurité des données de santé ne se limite pas au certificat. La sous-traitance de données exige un contrat conforme à l’article 28 du RGPD. Les données personnelles de santé relèvent aussi de son article 9. Une analyse d’impact dépend notamment des risques et de l’échelle du traitement.
Le référentiel HDS révisé par l’arrêté du 26 avril 2024 renforce les exigences géographiques. L’ANS fixe au 16 mai 2026 l’échéance de transition des hébergeurs déjà certifiés. Distinguez localisation du stockage et accès internationaux : un accès étranger peut nécessiter des garanties de transfert.
Le certificat et le contrat doivent correspondre au service
Demandez le certificat valide, ses activités couvertes et les lieux d’hébergement. Comparez-les avec la liste publique de l’ANS et les prestations contractuelles. Précisez les accès, incidents, audits, restitutions et suppressions. Une réversibilité imprécise expose votre établissement à une dépendance technique coûteuse.
L’article L1115-1 prévoit trois ans d’emprisonnement et 45 000 euros d’amende pour l’hébergement irrégulier. Le contrôle documentaire mérite donc une place dans vos achats. L’enjeu dépasse la sanction : une preuve de conformité doit décrire votre service, pas seulement votre fournisseur.
Le RGPD remplace-t-il la certification ?
Non. Les deux cadres se cumulent lorsque l’hébergement relève du Code de la santé publique.
Un établissement doit-il être certifié pour son hébergement interne ?
L’hébergement de ses propres données ne déclenche pas, à lui seul, cette obligation.
Une mutuelle doit-elle toujours exiger HDS ?
Il faut distinguer gestion des remboursements et production de données par un service de soins.
