Guide HDS · Étape 6
Choisir et suivre un hébergeur certifié HDS
Le responsable de traitement qui confie des données de santé à un hébergeur doit s'assurer qu'il est certifié. Un certificat n'est pourtant qu'un point de départ : ce chapitre donne les vérifications à faire avant de signer, puis la manière de suivre ses hébergeurs dans la durée.
- Obligation du client
- Article R.1111-8-8
- Liste officielle
- Publiée par l'ANS
- Fréquence
- À la signature, puis au moins chaque année
Chapitres du guide
En bref
-
Avant de confier des données de santé, le responsable de traitement vérifie le certificat de l'hébergeur : c'est une obligation de l'article R.1111-8-8, pas une simple précaution.
-
Le contrôle porte sur l'entité certifiée, les activités et les sites couverts, les dates de validité et la version du référentiel.
-
Depuis le 26 septembre 2026, il faut aussi lire la cartographie des transferts de l'hébergeur et la liste des lois extra-européennes qui figure dans son contrat.
-
Le suivi relève de la gestion des risques tiers : collecter les mêmes preuves auprès de tous les prestataires, suivre les échéances, réagir à un retrait de certificat.
Les vérifications avant de signer
| Point | Où le vérifier | Signal d'alerte |
|---|---|---|
| Entité juridique | Liste des hébergeurs certifiés de l'ANS, certificat | Le certificat est au nom d'une filiale qui ne signe pas le contrat |
| Activités couvertes | Certificat (activités 1 à 6) | Le service acheté comprend la sauvegarde, le certificat ne couvre pas l'activité 6 |
| Sites | Certificat, contrat, cartographie | Un site ou une copie hors de l'Union et de l'EEE |
| Validité et version | Certificat | Certificat en version 1.1, ou échéance proche sans audit prévu |
| Sous-traitants | Contrat, certificats des sous-traitants | Un sous-traitant non certifié pour l'activité qu'il réalise |
| Transferts et accès à distance | Cartographie publique | Aucune cartographie publiée, ou un accès depuis un pays tiers sans garantie décrite |
| Lois extra-européennes | Contrat | Ni liste ni mention d'absence de telles lois |
| Fin de contrat | Contrat | Pas de clause de réversibilité, de restitution ni de destruction |
La liste des hébergeurs certifiés publiée par l'ANS indique, pour chaque hébergeur, les activités couvertes. Elle permet un premier contrôle rapide, mais ne remplace pas la lecture du certificat lui-même et du contrat.
Suivre ses hébergeurs dans la durée
Un certificat vit : audit de surveillance chaque année, renouvellement tous les trois ans, version 2.1 à venir, changements de sous-traitants ou de sites. Le client doit donc revoir ses hébergeurs au moins une fois par an et à chaque événement notable. Ces vérifications relèvent de la gestion des risques tiers : un questionnaire de sécurité fournisseur bien construit permet de collecter les mêmes éléments auprès de tous les prestataires.
- Échéances : noter la date de fin de validité de chaque certificat et demander la preuve du renouvellement.
- Changements : exiger d'être prévenu de tout nouveau sous-traitant, nouveau site ou nouvel accès depuis un pays tiers.
- Retrait ou perte du certificat : déclencher la réversibilité prévue au contrat et choisir un nouvel hébergeur.
- Incidents : vérifier que le référent prévu au contrat est joignable et que les notifications arrivent dans les délais convenus.
HDS, NIS 2 et PGSSI-S : les autres pièces du puzzle
Dans un établissement de santé, HDS s'inscrit dans un ensemble plus large. La politique générale de sécurité des systèmes d'information de santé (PGSSI-S), publiée par l'ANS, rassemble les référentiels et guides de sécurité du secteur. La santé figure aussi parmi les secteurs visés par la directive NIS 2, qui impose de maîtriser les risques liés aux fournisseurs : voir notre guide NIS 2. Le même RSSI suit donc plusieurs référentiels, souvent sur plusieurs sites.
Questions fréquentes
Où trouver la liste des hébergeurs certifiés HDS ?
Sur le site de l'Agence du numérique en santé, qui publie la liste des hébergeurs certifiés avec les activités couvertes. Elle permet un premier contrôle, à compléter par la lecture du certificat et du contrat.
Comment vérifier un certificat HDS ?
Vérifiez que l'entité juridique du certificat est celle qui signe le contrat, que les activités et les sites couverts correspondent au service acheté, que le certificat est en cours de validité et en version 2.0 au moins, et que les sous-traitants sont eux-mêmes certifiés pour ce qu'ils font.
Que faire si mon hébergeur perd sa certification ?
Déclencher les clauses de fin de contrat prévues par l'article R.1111-11 du code de la santé publique : réversibilité, restitution des données puis destruction, et transférer l'hébergement vers un prestataire certifié. Continuer à confier des données de santé à un hébergeur non certifié manque à l'obligation de vérification du responsable de traitement.
Sources
Ce chapitre résume et reformule les publications officielles ci-dessous. En cas de doute, le texte officiel fait foi.
- Code de la santé publique, article R.1111-8-8 (définition de l'hébergement et obligations du responsable de traitement), Légifrance.
- Liste des hébergeurs certifiés, Agence du numérique en santé.
- Code de la santé publique, article R.1111-9-1 (stockage dans l'Union européenne ou l'EEE, transferts et cartographie), applicable depuis le 26 septembre 2026, Légifrance.
- Code de la santé publique, articles R.1111-9 à R.1111-11 (certification et contrat d'hébergement), Légifrance.
- Référentiel de certification HDS, version 2.1 issue de la concertation (projet non encore approuvé par arrêté), Agence du numérique en santé.
- Politique générale de sécurité des systèmes d'information de santé (PGSSI-S), Agence du numérique en santé.
- Règlement (UE) 2016/679 du 27 avril 2016 (règlement général sur la protection des données), EUR-Lex, 4 mai 2016.
Une plateforme et un service qui s'adaptent à vous
Notre plateforme est conçue pour un paramétrage très fin et une large capacité d'adaptation à vos besoins.