Hébergement · 20/10/2026
Hébergeur de données de santé : vérifier son certificat HDS
Un logo en pied de page ne prouve rien, et une mention « conforme HDS » dans une plaquette encore moins. Ce qui engage un hébergeur tient sur un document précis, son certificat, et sur ce que ce document nomme ou oublie de nommer. Depuis le 16 mai 2026, ce document doit en plus avoir été établi sur la version du référentiel approuvée en 2024.
Pour savoir si un hébergeur de données de santé est réellement certifié, on ne se fie ni à son site ni à sa plaquette : on lui demande son certificat, on vérifie que l'entité qui signe le contrat y figure, que les activités achetées et les sites utilisés y sont nommés, que le document repose sur le référentiel entré en vigueur le 16 mai 2024, puis on recoupe le tout avec la liste publiée par l'Agence du numérique en santé. Le reste, et notamment ce que la certification exige de l'hébergeur, relève d'une autre lecture, celle de ce que la certification d'hébergement de données de santé impose vraiment.
Agréé ou certifié : quel mot chercher dans l'offre ?
Le mot « agréé » circule encore dans les appels d'offres et dans les recherches des acheteurs. Il renvoie à un régime révolu : depuis le 1er avril 2018, la certification a pris la place de l'agrément pour les hébergeurs de données de santé à caractère personnel. Un prestataire qui met en avant un agrément, sans produire de certificat, met donc en avant un document qui ne correspond plus au droit en vigueur.
La différence n'est pas qu'une affaire de vocabulaire. L'agrément était instruit par l'administration. La certification, elle, est délivrée par un organisme de certification accrédité, au terme d'un audit documentaire puis d'un audit sur site, et elle se maintient par des audits de surveillance annuels. C'est ce cycle d'audits, et non une décision ponctuelle, qui donne sa valeur au document. Un acheteur ne demande donc pas « êtes-vous agréé » ni même « êtes-vous certifié », mais « pouvez-vous me transmettre votre certificat en cours ».
Où vérifier qu'un hébergeur figure parmi les certifiés ?
L'Agence du numérique en santé publie la liste des hébergeurs certifiés, ainsi que celle des organismes de certification habilités à auditer selon le référentiel. Ces deux listes constituent le premier recoupement, et il se fait en quelques minutes : le nom de l'entité qui figure sur votre projet de contrat doit apparaître dans la première, et l'organisme qui a signé le certificat doit apparaître dans la seconde.
Le piège le plus courant tient à la forme juridique. Un groupe d'hébergement compte souvent plusieurs sociétés : celle qui exploite les salles, celle qui commercialise, parfois une filiale par pays. Le certificat est délivré à une entité précise. Si la société qui signe votre contrat n'est pas celle qui porte le certificat, il faut obtenir par écrit la chaîne qui les relie et savoir laquelle des deux répond des activités auditées.
La liste publique ne dispense pas de lire le certificat lui-même. Elle confirme qu'un acteur a obtenu une certification ; elle ne dit pas forcément si cette certification couvre la prestation que vous achetez, sur les sites où vos données seront réellement stockées.
Que faut-il lire sur le certificat ?
Le référentiel découpe l'hébergement en six activités : mise à disposition et maintien en condition opérationnelle des sites physiques, de l'infrastructure matérielle, de l'infrastructure virtuelle et de la plateforme d'hébergement applicatif, puis administration et exploitation du système d'information contenant les données, et enfin sauvegarde des données de santé. Un certificat coche certaines de ces activités et pas d'autres. Il nomme aussi des sites. C'est sur ces deux points que se jouent la plupart des malentendus.
| Mention du certificat | Ce qu'il faut y trouver | Signal d'alerte |
|---|---|---|
| Titulaire | La société qui signe votre contrat | Une maison mère ou une filiale sans lien écrit avec le signataire |
| Activités | Chaque activité que la prestation recouvre, de 1 à 6 | L'administration ou la sauvegarde vendues mais absentes du certificat |
| Sites | Les centres de données cités dans l'offre | Un site de secours ou de sauvegarde qui n'apparaît nulle part |
| Dates | Date d'émission, date d'échéance, dernier audit de surveillance | Échéance passée ou audit annuel non réalisé |
| Référentiel | La version approuvée par l'arrêté du 26 avril 2024 | L'ancienne version, après le 16 mai 2026 |
| Organisme | Un organisme accrédité pour le référentiel HDS | Un organisme absent de la liste publiée |
La ligne des sites mérite une attention particulière. Un hébergeur peut faire certifier deux salles sur quatre, ou une offre sur trois. Si votre plan de reprise prévoit une réplication vers un second site, ce second site doit figurer sur le certificat au même titre que le premier, faute de quoi la copie de secours sort du périmètre certifié.
Le certificat est-il passé au référentiel de 2024 ?
Le référentiel de certification a été refondu par un arrêté du 26 avril 2024, entré en vigueur le 16 mai 2024. Le calendrier de bascule est connu : à partir du 16 novembre 2024, les audits initiaux et les audits de renouvellement devaient être conduits sur la nouvelle version, et depuis le 16 mai 2026, tous les certificats actifs doivent l'être. Un certificat encore établi sur l'ancienne version ne couvre donc plus aujourd'hui l'activité qu'il décrit.
Cette nouvelle version se rapproche davantage de la norme ISO/IEC 27001 et impose que les données de santé soient stockées dans l'Espace économique européen. En pratique, l'audit débouche souvent sur deux documents distincts, un certificat ISO/IEC 27001 et un certificat HDS : il faut demander les deux et vérifier que leurs périmètres concordent.
La localisation dans l'Espace économique européen ne règle pas toutes les questions de souveraineté. Les exigences relatives au droit applicable et aux accès extraterritoriaux relèvent d'un autre dispositif, dont nous avons détaillé le périmètre de la qualification SecNumCloud. Les deux se cumulent plus souvent qu'ils ne se remplacent.
Infogéreur, éditeur, sous-traitant : qui doit être certifié pour quoi ?
La certification suit la prestation, pas le métier affiché. Un infogéreur qui administre et exploite, pour le compte d'un établissement, le système d'information qui contient des données de santé exerce l'activité 5 du référentiel : il doit la porter sur son propre certificat, même si les serveurs appartiennent à un autre. Un éditeur qui vend son logiciel en service se retrouve dans la même situation pour les activités qu'il assure lui-même.
Chaque maillon se vérifie séparément. Un hébergeur certifié qui confie la sauvegarde à un tiers doit pouvoir montrer le certificat de ce tiers, et le partage des activités entre les intervenants doit être écrit dans une matrice de responsabilités annexée au contrat, selon la méthode décrite dans notre lecture d'un SLA d'infogérance ligne à ligne. Cette exigence de transparence sur la chaîne rejoint celle que la directive européenne sur la cybersécurité fait descendre vers les fournisseurs, sujet traité dans ce que NIS2 fait retomber sur les prestataires d'infrastructure.
Dans l'ordre, la vérification tient en quelques gestes simples :
- Obtenir le certificat HDS et le certificat ISO/IEC 27001 en cours, en version intégrale.
- Comparer le titulaire avec la société qui signe le contrat.
- Rapprocher les activités cochées de chaque ligne de l'offre.
- Vérifier que tous les sites, secours et sauvegarde compris, sont nommés.
- Contrôler la version du référentiel, les dates et le dernier audit de surveillance.
- Recouper le titulaire et l'organisme avec les listes publiées par l'Agence du numérique en santé, puis répéter l'exercice pour chaque sous-traitant.
Le détail qui coûte cher
Un certificat peut être suspendu, retiré ou simplement ne pas être renouvelé en cours de contrat. Si le contrat ne prévoit rien, le client découvre la situation sans moyen de sortir proprement. La perte de la certification doit donc figurer parmi les motifs de sortie, avec les délais et l'assistance associés, dans la clause de réversibilité qu'on relit trop tard.
Questions fréquentes
Un hébergeur qui se dit agréé pour les données de santé est-il en règle ?
Le régime d'agrément a cédé la place à la certification à partir du 1er avril 2018. Ce qu'il faut obtenir aujourd'hui est un certificat HDS en cours de validité, établi sur le référentiel de 2024, qui nomme l'entité signataire, les activités et les sites concernés.
Un infogéreur doit-il être certifié HDS ?
Le référentiel range l'administration et l'exploitation du système d'information contenant les données de santé parmi les six activités d'hébergement. Un infogéreur qui assure cette prestation pour le compte d'un tiers doit donc la voir figurer sur son propre certificat.
Combien de temps un certificat HDS reste-t-il valable ?
Trois ans, avec un audit de surveillance chaque année et un audit de renouvellement au terme du cycle. Un certificat dont l'échéance est passée ou dont le dernier audit de surveillance n'a pas eu lieu ne couvre plus rien.