Expertise - Hébergement de données de santé (HDS) : votre application chez un hébergeur certifié

Qu'est-ce que la certification HDS ?

HDS veut dire hébergement de données de santé. Prenons un service hospitalier qui suit ses patients dans une application web : les dossiers sont stockés sur des serveurs. Le prestataire qui héberge ces dossiers pour le compte de l'hôpital doit être certifié.

C'est l'article L.1111-8 du Code de la santé publique qui le prévoit. Il vise toute personne qui héberge des données de santé à caractère personnel recueillies lors d'activités de prévention, de diagnostic, de soins ou de suivi social et médico-social, pour le compte de ceux qui les produisent ou les recueillent, ou pour le compte du patient lui-même. Quand cet hébergement se fait sur support numérique, l'hébergeur doit avoir un certificat de conformité, délivré par un organisme de certification accrédité.

Six activités d'hébergement

L'article R.1111-9 du même code découpe l'hébergement de données de santé en six activités. Un hébergeur peut en assurer tout ou partie :

1. la mise à disposition et le maintien en condition opérationnelle des sites physiques qui accueillent le matériel
2. la mise à disposition et le maintien en condition opérationnelle de l'infrastructure matérielle
3. la mise à disposition et le maintien en condition opérationnelle de l'infrastructure virtuelle
4. la mise à disposition et le maintien en condition opérationnelle de la plateforme d'hébergement d'applications
5. l'administration et l'exploitation du système d'information qui contient les données de santé
6. la sauvegarde des données de santé, notamment leur conservation dans un archivage électronique

Le contrat d'hébergement doit indiquer le périmètre du certificat de l'hébergeur, avec ses dates de délivrance et de renouvellement.

Le référentiel en vigueur

Les exigences de la certification sont fixées par un référentiel publié par l'Agence du numérique en santé. Sa version 2.0, approuvée par l'arrêté du 26 avril 2024, s'applique depuis le 16 novembre 2024 aux demandes de certification et de renouvellement. L'hébergeur doit avoir un système de management de la sécurité de l'information certifié ISO 27001, et le référentiel y ajoute notamment ces exigences :

• les données de santé sont stockées exclusivement dans l'Espace économique européen (EEE), et l'hébergeur indique au client où elles se trouvent
• un accès à distance depuis un pays hors de l'EEE doit reposer sur une décision d'adéquation de la Commission européenne ou, à défaut, sur les garanties appropriées prévues par le RGPD
• l'hébergeur publie la cartographie de ses transferts de données de santé hors de l'EEE

La loi (article L.1111-8) interdit aussi à l'hébergeur d'utiliser les données hébergées à d'autres fins que l'hébergement, et l'oblige à les restituer en fin de prestation sans en garder de copie. Le référentiel demande que le contrat d'hébergement rappelle ces deux obligations.

Depuis le 26 septembre 2026, l'obligation de stocker les données de santé dans l'Union européenne ou l'EEE figure aussi dans le Code de la santé publique (article R.1111-9-1, créé par le décret du 24 mars 2026).

Comment nous travaillons

Quand les données de santé de votre application doivent être chez un hébergeur certifié HDS, cet hébergeur assure les activités couvertes par son certificat. De notre côté, nous développons l'application, nous la déployons chez lui et nous la maintenons.

Colibri, chez OVH

Colibri, l'application de suivi des patients en pneumologie que nous développons depuis 2012, est aujourd'hui hébergée chez OVH, hébergeur certifié HDS.

Ce que ça change pour vous

Avant de signer avec un hébergeur certifié, vérifiez :

• le périmètre du certificat : quelles activités parmi les six il couvre, et s'il s'applique bien à l'offre que vous prenez
• le contrat : les clauses prévues par le Code de la santé publique y figurent-elles ?
• la localisation : où sont stockées les données, et d'où on peut y accéder
• les sauvegardes : où elles partent, et si la sauvegarde fait partie des activités certifiées
• les accès : qui peut accéder aux données, et comment ces accès sont encadrés

À notre lecture, le certificat porte sur l'hébergeur, et la sécurité de l'application reste à la charge de l'éditeur : double authentification, chiffrement des données identifiantes, traçabilité de chaque modification. Sur un e-CRF, cette traçabilité prend la forme d'un audit trail, qui garde chaque saisie et chaque correction avec son auteur et sa date.

Ce que Naeka peut faire pour vous

Choisir l'hébergeur et l'offre certifiée

Nous comparons les offres avec vous : activités couvertes par le certificat, localisation des données, sauvegardes, contrat. Nous travaillons notamment avec OVH, qui héberge Colibri.

Migrer votre application vers un hébergeur certifié HDS

Votre application tourne chez un hébergeur qui n'est pas certifié ? Nous la déplaçons, avec ses données, chez l'hébergeur retenu, et nous pouvons la déployer sur Kubernetes.

Maintenir l'application

Une fois l'application en production, nous appliquons les mises à jour et nous corrigeons les anomalies, dans le cadre d'une tierce maintenance applicative.

Pour le reste de nos travaux en santé, voyez la page e-santé.

Une application de santé à mettre en production ?

Si votre application manipule des données de santé, dites-nous où elle en est, en projet ou déjà en production. Nous verrons avec vous quel hébergeur et quelle offre certifiée lui conviennent.