Hébergeur de données de santé : qui doit être certifié HDS ?

L'article L.1111-8 du code de la santé publique et l'article R.1111-8-8 qui le précise permettent de raisonner en trois questions. Si l'une des réponses est non, la certification HDS n'est pas requise, mais le RGPD et le secret médical continuent de s'appliquer.

Pour savoir ce qu'est une donnée de santé, on se réfère au RGPD. Son article 4, point 15, définit les données concernant la santé comme les données à caractère personnel relatives à la santé physique ou mentale d'une personne, y compris la prestation de services de soins, qui révèlent des informations sur son état de santé. Ce sont des données sensibles : leur traitement est en principe interdit, sauf dans les cas prévus à l'article 9.

La CNIL, en s'appuyant sur le considérant 35 du RGPD, distingue trois familles :

• les informations recueillies lors de l'inscription à des soins ou de leur prestation, y compris un numéro ou un identifiant attribué à des fins de santé ;
• les informations issues d'un test ou d'un examen d'une partie du corps ou d'une substance corporelle, y compris les données génétiques et les échantillons biologiques ;
• les informations sur une maladie, un handicap, un risque de maladie, des antécédents médicaux, un traitement ou l'état physiologique ou biomédical, quelle qu'en soit la source.

Une donnée anodine peut aussi devenir une donnée de santé par croisement : la CNIL cite le cas d'un poids croisé avec d'autres mesures, comme le nombre de pas, qui permet d'en déduire un état de santé. À l'inverse, une donnée dont on ne peut rien tirer sur la santé, comme un simple nombre de pas, n'en est pas une.

Les éditeurs de logiciels en SaaS

Un éditeur qui propose un dossier patient, une prise de rendez-vous médicaux ou un logiciel de télésurveillance en SaaS héberge les données de ses clients au sens de la loi. Qu'il loue ses serveurs à un cloud déjà certifié ne le dispense pas : chacun est certifié pour les activités qu'il réalise lui-même. L'éditeur qui administre l'application et la base de données relève en général de l'activité 5, administration et exploitation du système d'information, comme le montre le chapitre suivant.

Les établissements de santé et les GHT

L'ANS l'indique : un établissement qui gère son propre système d'information de santé n'a pas à être certifié. La situation change dès qu'il héberge pour d'autres. Dans un groupement hospitalier de territoire (GHT), l'établissement support qui héberge le système d'information des autres membres peut être exempté, selon l'ANS, à trois conditions cumulatives :

1. la convention constitutive du GHT prévoit explicitement la délégation de l'activité d'hébergement à cet établissement ;
2. tous les membres concluent un accord de responsabilité conjointe au sens de l'article 26 du RGPD ;
3. des mesures de sécurité adaptées sont mises en place.

Faute de quoi l'établissement qui héberge pour les autres doit être certifié, ou s'appuyer sur un hébergeur certifié. Plusieurs établissements figurent d'ailleurs sur la liste des hébergeurs certifiés publiée par l'ANS.

L'archivage électronique

L'archivage électronique de données de santé relevait auparavant d'un agrément de l'État au titre des archives, sans certification HDS. La loi SREN du 21 mai 2024 a changé la règle : selon l'ANS, l'hébergeur d'un service d'archivage électronique de données de santé doit désormais être certifié, même s'il est déjà agréé. Le décret du 24 mars 2026 l'a écrit dans l'article R.1111-9 : l'activité 6 comprend la conservation dans le cadre d'un archivage électronique.

Ce qui n'est pas de l'hébergement

• La réception temporaire de données confiées par un professionnel ou un établissement, pour une courte durée, afin de les saisir, les mettre en forme, les matérialiser ou les numériser (article R.1111-8-8).
• Une application de bien-être ou un service grand public sans lien avec une prise en charge : la deuxième condition manque. Le RGPD s'applique toutefois dès que les données renseignent sur la santé d'une personne.
• L'hébergement de données anonymes : une fois anonymisées, ce ne sont plus des données personnelles. Des données seulement pseudonymisées restent des données personnelles.

L'article L.1111-8 ajoute deux règles qui visent le client plutôt que l'hébergeur. L'hébergement se fait après que la personne prise en charge en a été dûment informée, et sauf opposition pour un motif légitime. Et il fait l'objet d'un contrat entre l'hébergeur et son client, dont le contenu minimal est fixé par l'article R.1111-11 et détaillé au chapitre contrat et localisation.

L'article R.1111-8-8 impose enfin au responsable de traitement qui recourt à un hébergeur de s'assurer qu'il est titulaire du certificat. C'est l'objet du chapitre choisir un hébergeur certifié. Les autres obligations du responsable de traitement, comme le registre des traitements et l'AIPD, restent entières.