Hébergement HDS : ce que votre plateforme de télésanté doit garantir (PGSSI-S, RGPD, ISO 27001)
HDS, RGPD, ISO 27001 : trois référentiels différents, souvent confondus. Ce qui a changé avec la certification HDS v2 et le décret du 24 mars 2026, et les questions à poser avant de choisir un hébergeur.
Un hébergeur qui vous dit simplement "on est certifié ISO 27001, vous ne risquez rien" ne répond qu'à la moitié de la question. Pour une plateforme de télésanté, la certification HDS est une exigence distincte, avec ses propres règles, ses propres sanctions, et une échéance récente que beaucoup d'éditeurs ont ratée.
HDS, RGPD, ISO 27001 : trois référentiels, trois objets différents
- ISO 27001 certifie un système de management de la sécurité de l'information en général, quel que soit le secteur.
- RGPD encadre le traitement des données à caractère personnel, y compris de santé, mais ne dit rien de spécifique sur qui a le droit d'héberger physiquement ces données.
- HDS (Hébergeur de Données de Santé) est une certification spécifique française, obligatoire depuis 2018 pour toute entité hébergeant des données de santé à caractère personnel de patients situés en France, sanctionnée pénalement en son absence.
Un hébergeur peut être excellent sur les deux premiers référentiels et ne pas être HDS. C'est précisément la question à poser en premier, avant tout argument commercial sur la sécurité générale.
Ce qui a changé récemment — et que beaucoup ignorent encore
Le référentiel HDS a été révisé (version 2), avec une échéance de transition de 24 mois pour les hébergeurs déjà certifiés. Cette échéance est tombée au 16 mai 2026 — une date déjà passée à l'heure où vous lisez cet article. Concrètement : si votre hébergeur actuel n'a pas basculé sur le nouveau référentiel, il n'est techniquement plus en conformité, quelle que soit sa certification antérieure.
Un décret du 24 mars 2026 est venu renforcer ce cadre :
- obligation de publier une cartographie des transferts de données hors de l'Espace économique européen, régulièrement actualisée ;
- clarification que l'archivage électronique de données de santé relève désormais explicitement du périmètre HDS ;
- création d'un régime de sanctions spécifique aux prestataires numériques en santé, pouvant atteindre 1 % du chiffre d'affaires France ou 1 million d'euros, en cas de non-respect des référentiels de sécurité, d'interopérabilité ou d'éthique.
Les 6 activités du référentiel HDS
La certification HDS ne porte pas sur "l'hébergement" en bloc, mais sur des activités précises, réparties entre plusieurs acteurs de la chaîne technique :
| Activité | Contenu | Porté généralement par |
|---|---|---|
| 1 à 3 | Infrastructure physique, mise à disposition des locaux et des serveurs | L'hébergeur cloud (OVHcloud, AWS, Scaleway...) |
| 4 | Sauvegarde et restauration des données | Partagée entre hébergeur et éditeur selon l'architecture |
| 5 | Administration et exploitation du système d'information contenant les données | L'éditeur du logiciel, dès que son personnel accède à l'environnement |
| 6 | Mise à disposition d'une infrastructure virtualisée | L'hébergeur cloud |
Le point souvent mal compris : un éditeur de logiciel SaaS n'a pas nécessairement besoin d'être lui-même certifié HDS si son hébergeur l'est sur les activités qui le concernent. Mais dès que le personnel de l'éditeur accède à l'environnement contenant les données de santé — pour du support, de la maintenance ou du débogage — l'activité 5 s'applique à l'éditeur lui-même, pas seulement à l'hébergeur.
Les questions à poser à votre futur hébergeur ou éditeur
- Est-il certifié sur le référentiel HDS v2, ou encore sur l'ancienne version ? Demandez le certificat daté, pas une simple mention commerciale.
- Quel est le périmètre exact des activités couvertes (1 à 6) ? Un hébergeur certifié sur les activités 1-3-6 ne couvre pas nécessairement l'exploitation applicative.
- Qui accède réellement aux données en cas de support technique ? Si c'est l'éditeur du logiciel, celui-ci doit lui-même être couvert sur l'activité 5.
- La cartographie des transferts hors UE est-elle publiée et à jour ? C'est désormais une obligation explicite depuis le décret de mars 2026.
- Comment l'archivage de long terme est-il traité ? Ce périmètre relève désormais explicitement de la certification HDS, et non d'un simple stockage froid non certifié.
Ce que ça signifie pour votre propre roadmap si vous éditez un logiciel de santé
Si vous développez ou exploitez une plateforme de télésanté, deux options s'offrent à vous :
- Vous appuyer entièrement sur un hébergeur certifié pour les activités 1 à 4 et 6, en gardant vos équipes strictement hors de l'environnement contenant des données de santé (pas d'accès direct aux bases pour le support) ;
- Vous faire certifier vous-même sur l'activité 5 si votre modèle de support implique un accès direct à l'environnement de production — un investissement plus lourd, mais qui vous donne davantage de contrôle sur votre propre roadmap technique.
Dans les deux cas, un contrat (addendum HDS) formalisant clairement la répartition des responsabilités entre vous et votre hébergeur reste indispensable.
Comment cela se traduit chez MetaConnect Studio
La plateforme s'appuie sur un hébergement dont le statut de certification HDS v2 est vérifiable, avec une séparation claire des responsabilités entre l'infrastructure et l'exploitation applicative. Cette transparence sur le statut de conformité fait partie des éléments présentés sur notre page conformité — un point que nous recommandons de systématiquement vérifier chez tout éditeur de logiciel de santé, y compris le nôtre.
Envie de vérifier le statut de conformité HDS de votre propre infrastructure ? Configurez votre plateforme MetaConnect Studio en 5 minutes, sans engagement.
FAQ
Une certification ISO 27001 suffit-elle pour héberger des données de santé en France ?
Non. ISO 27001 certifie un système de management de la sécurité en général, mais ne remplace pas la certification HDS, spécifiquement exigée par l'article L.1111-8 du Code de la santé publique pour l'hébergement de données de santé.
Mon hébergeur cloud généraliste (AWS, OVHcloud...) est-il automatiquement HDS ?
Pas automatiquement : il faut vérifier que l'offre spécifique que vous utilisez est bien couverte par leur certification HDS, et sur quelles activités précises (1 à 6).
Que risque un éditeur qui héberge des données de santé sans certification requise ?
Une infraction pénale au titre de l'article L.1111-8 du CSP (jusqu'à 3 ans d'emprisonnement et 45 000 € d'amende), en plus du nouveau régime de sanctions administratives pouvant atteindre 1 % du chiffre d'affaires France ou 1 million d'euros selon le décret du 3 mars 2026.
La certification HDS couvre-t-elle aussi l'archivage de long terme ?
Oui, depuis le décret du 24 mars 2026, l'archivage électronique de données de santé relève explicitement du périmètre de la certification HDS.
Faut-il être certifié HDS pour faire du support technique sur une application de santé ?
Si ce support implique un accès direct à l'environnement contenant les données de santé, oui : c'est l'activité 5 du référentiel HDS, qui s'applique à l'éditeur du logiciel et pas seulement à l'hébergeur d'infrastructure.
