Guide HDS · Étape 2
Hébergement HDS : les six activités et leur répartition
Le code de la santé publique découpe l'hébergement de données de santé en six activités, empilées comme les couches d'une infrastructure. Un hébergeur est certifié pour celles qu'il réalise réellement. Ce chapitre les décrit et montre comment les répartir quand plusieurs prestataires se partagent la chaîne.
- Texte
- Article R.1111-9 du code de la santé publique
- Dernière modification
- Décret n° 2026-209, en vigueur le 27 mars 2026
- Certification
- Une, plusieurs ou les six activités
Chapitres du guide
En bref
-
Les activités 1 à 4 consistent à mettre à disposition et maintenir en condition opérationnelle une couche : le site physique, l'infrastructure matérielle, l'infrastructure virtuelle, la plateforme d'hébergement d'applications.
-
L'activité 5 est l'administration et l'exploitation du système d'information qui contient les données ; l'activité 6 la sauvegarde, y compris, depuis 2026, la conservation dans le cadre d'un archivage électronique.
-
Chaque acteur est certifié pour les activités qu'il réalise lui-même : le certificat d'un fournisseur de cloud ne couvre pas l'éditeur qui exploite l'application.
-
Le découpage se fait à partir du contrat et de l'architecture réelle : qui détient les accès administrateur, qui fait les sauvegardes, qui gère les systèmes d'exploitation.
-
Celui qui sous-traite une partie de la chaîne reste responsable de l'ensemble de sa prestation devant son client.
Les six activités de l'article R.1111-9
L'article R.1111-9 décrit l'activité d'hébergement soumise à certification. Elle comprend six activités, que le texte formule ainsi, et que l'on désigne couramment par leur numéro :
| N° | Activité (article R.1111-9) | En pratique |
|---|---|---|
| 1 | Mise à disposition et maintien en condition opérationnelle des sites physiques qui hébergent l'infrastructure matérielle du système d'information | Salles, énergie, climatisation, contrôle d'accès physique |
| 2 | Mise à disposition et maintien en condition opérationnelle de l'infrastructure matérielle | Serveurs, baies de stockage, équipements réseau |
| 3 | Mise à disposition et maintien en condition opérationnelle de l'infrastructure virtuelle | Hyperviseurs, machines virtuelles, réseaux virtuels |
| 4 | Mise à disposition et maintien en condition opérationnelle de la plateforme d'hébergement d'applications | Systèmes d'exploitation, bases de données, intergiciels |
| 5 | Administration et exploitation du système d'information contenant les données de santé | Comptes à privilèges, mises à jour, supervision, gestion des incidents |
| 6 | Sauvegarde des données de santé, y compris leur conservation dans le cadre d'un archivage électronique | Sauvegardes externes, tiers-archivage |
Répartir les activités dans une chaîne de prestataires
Un service de santé numérique repose rarement sur un seul acteur. On trouve souvent un exploitant de centre de données, un fournisseur de cloud, un éditeur et parfois un infogéreur. Le tableau ci-dessous donne une répartition fréquente, à vérifier dans chaque contrat :
| Acteur | Activités le plus souvent réalisées | Point à vérifier |
|---|---|---|
| Exploitant de centre de données (colocation) | 1 | Le client installe-t-il son propre matériel ? |
| Fournisseur d'infrastructure en nuage (IaaS) | 1, 2, 3, et 6 en option | La sauvegarde est-elle comprise ou souscrite à part ? |
| Fournisseur de plateforme (PaaS) | 1 à 4 | Qui applique les correctifs des bases de données ? |
| Éditeur en SaaS | 5, souvent 4 et 6 | Qui détient les accès administrateur à l'application et aux données ? |
| Infogéreur | 5, souvent 6 | Intervient-il sur des données de production ? |
Les questions décisives sont pratiques : qui détient les comptes à privilèges, qui installe et met à jour les systèmes d'exploitation et les bases de données, qui lance et conserve les sauvegardes, où se trouvent physiquement les copies. La réponse se lit dans l'architecture et dans les contrats, pas dans les plaquettes commerciales.
Sous-traiter ne transfère pas la responsabilité
Un hébergeur peut s'appuyer sur un autre hébergeur certifié pour certaines activités. Le référentiel le prévoit, mais l'hébergeur qui signe avec le client reste responsable de l'ensemble de la prestation. Son contrat doit indiquer le recours à ces sous-traitants, et il doit pouvoir montrer leurs certificats.
Les erreurs de périmètre les plus courantes
- Se reposer sur le certificat du cloud. Il couvre les couches que le fournisseur opère, pas l'exploitation de l'application par l'éditeur.
- Oublier la sauvegarde. Une copie envoyée chez un autre prestataire, ou dans une région hors de l'Union, change le périmètre et la localisation.
- Oublier les accès de support. Un prestataire qui intervient à distance sur la production, depuis un pays tiers, fait un transfert au sens de l'article R.1111-9-1.
- Laisser de vraies données en recette. Un environnement de test qui contient des données réelles entre dans le périmètre.
- Ne pas suivre les évolutions. Un changement de prestataire ou de région de stockage doit être répercuté dans le certificat, les contrats et la cartographie.
Une cartographie du système d'information à jour aide à tracer ces frontières. Le chapitre suivant présente le référentiel HDS que l'audit appliquera à ce périmètre.
Questions fréquentes
Quelles sont les 6 activités de l'hébergement HDS ?
Selon l'article R.1111-9 du code de la santé publique : 1, le site physique ; 2, l'infrastructure matérielle ; 3, l'infrastructure virtuelle ; 4, la plateforme d'hébergement d'applications ; 5, l'administration et l'exploitation du système d'information contenant les données ; 6, la sauvegarde, y compris la conservation dans le cadre d'un archivage électronique.
Faut-il être certifié pour les six activités ?
Non. Un hébergeur est certifié pour les activités qu'il réalise lui-même : une, plusieurs ou les six. Un fournisseur d'infrastructure l'est souvent pour les activités 1 à 3, un éditeur SaaS pour l'activité 5 et parfois 4 et 6.
Mon cloud est certifié HDS : suis-je couvert ?
Seulement pour les activités que réalise votre fournisseur. Si vous administrez vous-même l'application, la base de données ou les sauvegardes, vous devez être certifié pour ces activités.
Sources
Ce chapitre résume et reformule les publications officielles ci-dessous. En cas de doute, le texte officiel fait foi.
- Code de la santé publique, article R.1111-9 (les six activités d'hébergement), version en vigueur depuis le 27 mars 2026, Légifrance.
- Décret n° 2026-209 du 24 mars 2026 portant modification de certaines dispositions du code de la santé publique relatives à l'hébergement de données de santé à caractère personnel, Légifrance, Journal officiel, 26 mars 2026.
- Code de la santé publique, article R.1111-9-1 (stockage dans l'Union européenne ou l'EEE, transferts et cartographie), applicable depuis le 26 septembre 2026, Légifrance.
- Référentiel de certification Hébergeur de données de santé (HDS), exigences, version 2.0, Agence du numérique en santé.
- Référentiel de certification HDS, version 2.1 issue de la concertation (projet non encore approuvé par arrêté), Agence du numérique en santé.
- Certification HDS : présentation, référentiels et listes des organismes accrédités, Agence du numérique en santé.
- Liste des hébergeurs certifiés, Agence du numérique en santé.
Une plateforme et un service qui s'adaptent à vous
Notre plateforme est conçue pour un paramétrage très fin et une large capacité d'adaptation à vos besoins.