La certification HDS (Hébergeur de Données de Santé) est obligatoire en France pour héberger des données de santé à caractère personnel. Elle garantit qu'un hébergeur applique un niveau de sécurité et de traçabilité adapté à la sensibilité de ces données. Cette page explique quand elle s'impose, ses périmètres, son lien étroit avec ISO/IEC 27001, et comment SOCLE complète la démarche côté application. Public visé : éditeurs de logiciels de santé, e-santé et leurs hébergeurs.
Ce que vous allez apprendre
Section intitulée « Ce que vous allez apprendre »- Savoir quand la certification HDS est obligatoire
- Distinguer les périmètres d'hébergement couverts
- Comprendre son adossement à ISO 27001
- Relier la sécurité des données aux exigences SOCLE
Qu'est-ce que la certification HDS
Section intitulée « Qu'est-ce que la certification HDS »Depuis 2018, l'ancien agrément a laissé place à une certification délivrée par un organisme accrédité (sous accréditation COFRAC). Toute structure qui héberge des données de santé à caractère personnel pour le compte d'un tiers doit être certifiée HDS, en application du Code de la santé publique. L'objectif : assurer la confidentialité, l'intégrité, la disponibilité et la traçabilité de données particulièrement sensibles.
Les périmètres couverts
Section intitulée « Les périmètres couverts »La certification distingue deux grands périmètres, qu'un hébergeur peut détenir séparément ou conjointement :
Mise à disposition de locaux et de matériel : la couche physique (salles machines, serveurs, réseau, stockage).
Exploitation du système d'information : administration, sauvegarde et maintien en conditions de sécurité de l'infrastructure applicative.
Au moment de choisir un prestataire, vérifiez que son périmètre couvre réellement votre besoin (de la salle machine jusqu'à l'infogérance applicative).
Un référentiel adossé à ISO 27001
Section intitulée « Un référentiel adossé à ISO 27001 »Le référentiel HDS ne part pas de zéro : il s'appuie sur ISO/IEC 27001 (management de la sécurité) et sur ISO 20000-1 (gestion des services), auxquels il ajoute des exigences propres au domaine de la santé. Un hébergeur déjà certifié 27001 part donc avec une base solide.
Pour les acteurs qui visent aussi la souveraineté, HDS se combine fréquemment avec la qualification SecNumCloud.
Comment se faire certifier HDS
Section intitulée « Comment se faire certifier HDS »La démarche ressemble à une certification ISO 27001 enrichie d'exigences propres à la santé. Elle se déroule en quatre temps.
-
Déterminer le périmètre : hébergeur d'infrastructure, infogérance, ou les deux selon votre rôle réel.
-
Mettre en conformité : aligner le système de management sur ISO 27001 et les exigences santé (sauvegarde, réversibilité, traçabilité des accès).
-
Audit de certification : un organisme accrédité Cofrac vérifie le dispositif, en revue documentaire puis sur site.
-
Maintien : audits de surveillance réguliers et renouvellement au terme de la validité.
Combien de temps et quel budget prévoir ?
Section intitulée « Combien de temps et quel budget prévoir ? »Comptez plusieurs mois de préparation si vous partez sans base ISO 27001, nettement moins si le SMSI existe déjà. Le coût combine l'audit (proportionnel à la taille et au périmètre) et l'effort de mise en conformité interne. La certification est délivrée pour trois ans, avec des contrôles de surveillance intermédiaires à prévoir.
Les bénéfices concrets
Section intitulée « Les bénéfices concrets »- Droit d'héberger : sans HDS, impossible d'héberger légalement des données de santé pour le compte d'un tiers.
- Accès au marché santé : un prérequis contractuel pour travailler avec hôpitaux, éditeurs e-santé et laboratoires.
- Confiance : un gage vérifié face à des données parmi les plus sensibles.
- Base réutilisable : l'adossement à ISO 27001 sert aussi vos autres démarches de conformité.
Comment SOCLE vous aide
Section intitulée « Comment SOCLE vous aide »La certification HDS porte sur l'hébergeur ; votre application de santé et sa chaîne de production restent sous votre responsabilité. SOCLE y répond :
- Chiffrement des données : les exigences chiffrement et clés et le chiffrement au repos et en transit.
- Traçabilité : la journalisation et l'audit.
- Maîtrise des accès : l'IAM cloud et la gestion des secrets.
- Développement sûr : la famille Sécurité applicative.
L'hébergement certifié et une chaîne logicielle durcie forment, ensemble, la conformité réelle.
À retenir
Section intitulée « À retenir »- La certification HDS est obligatoire pour héberger des données de santé à caractère personnel en France.
- Elle couvre deux périmètres (infrastructure et infogérance) à vérifier selon votre besoin.
- Elle s'adosse à ISO/IEC 27001 et se cumule avec le RGPD.
- SOCLE complète la certification de l'hébergeur côté application et chaîne de production.
FAQ : questions fréquentes
Section intitulée « FAQ : questions fréquentes »Prochaines étapes
Section intitulée « Prochaines étapes »Ressources officielles
Section intitulée « Ressources officielles »- Certification HDS (Agence du Numérique en Santé), le référentiel et la liste des hébergeurs certifiés