Hébergement HDS : vérifiez ces 6 activités avant de choisir un prestataire

L’hébergement HDS concerne les données de santé à caractère personnel confiées à un prestataire externe. Pour un établissement, un professionnel de santé ou un éditeur de logiciel, le choix ne se limite donc pas à celui d’un cloud. Il faut vérifier que le prestataire possède une certification HDS valide et que son périmètre couvre précisément les services utilisés, de l’infrastructure à la sauvegarde.

Ce que garantit réellement un hébergement HDS

HDS signifie hébergement de données de santé. La certification HDS encadre les prestataires qui hébergent des données de santé à caractère personnel pour le compte d’organisations ou de professionnels. Elle vise à créer un environnement de confiance pour des informations sensibles, comme les dossiers patients, les résultats d’examens, les données issues d’une application de suivi ou les informations administratives liées à une prise en charge.

Un hébergeur certifié HDS est audité par un organisme indépendant accrédité. La certification atteste que les activités mentionnées sur le certificat répondent aux exigences du référentiel HDS, qui s’appuie notamment sur des normes ISO. Elle ne couvre pas automatiquement tous les usages possibles d’un fournisseur. Le périmètre du certificat doit correspondre au service réellement acheté.

HDS et RGPD : deux obligations complémentaires

Le RGPD organise la protection des données personnelles : base légale, information des personnes, durée de conservation, droits d’accès, minimisation et encadrement des sous-traitants. La certification HDS porte, elle, sur les conditions d’hébergement et d’exploitation applicables aux données de santé. Choisir un hébergeur certifié HDS ne dispense donc pas l’organisation utilisatrice de ses propres responsabilités en matière de RGPD et de gouvernance des données.

En pratique, la conformité repose sur plusieurs niveaux. Il faut définir les traitements, encadrer contractuellement la sous-traitance, limiter les accès, organiser la traçabilité et sélectionner une infrastructure adaptée. L’hébergement HDS est une composante importante de cet ensemble, mais il ne remplace ni une politique de sécurité ni une analyse des risques propres au service de santé numérique.

Les organisations concernées et les situations à examiner

Les établissements de santé, cabinets et professionnels libéraux, laboratoires, pharmacies, centres d’imagerie, structures médico-sociales et entreprises de santé numérique sont fréquemment concernés. Le besoin apparaît lorsqu’un service externalisé stocke ou exploite des données de santé pour leur compte : logiciel métier en ligne, plateforme de télésuivi, portail patient, stockage d’imagerie, environnement de développement contenant des données réelles ou dispositif de sauvegarde externalisé.

Ne pas confondre accès, traitement et hébergement

Un utilisateur qui consulte un dossier, une application qui le traite et un prestataire qui le stocke n’ont pas le même rôle. Ces opérations peuvent toutefois s’enchaîner dans un même service. Une application SaaS peut afficher des résultats, les conserver dans une base de données, produire des sauvegardes et être administrée à distance. Il faut donc cartographier ces opérations avant de demander un certificat. Le seul nom d’un fournisseur ne permet pas de conclure que toute la chaîne est couverte.

Cette cartographie doit aussi inclure les environnements souvent oubliés : préproduction, assistance technique, journaux applicatifs, outils de supervision et archives. Des données de santé peuvent y circuler sous une forme moins visible, notamment lorsqu’un identifiant de patient, un compte rendu ou un extrait de dossier apparaît dans une trace technique.

Les 6 activités HDS : le périmètre à faire correspondre à votre projet

Le référentiel distingue six activités HDS. Cette granularité est déterminante : un prestataire peut être certifié pour certaines d’entre elles sans l’être pour toutes. Avant de sélectionner une solution, identifiez les activités confiées à chaque intervenant de votre architecture.

Activité HDS	Ce qu’elle recouvre	Point d’attention
Sites physiques	Sites qui hébergent l’infrastructure matérielle.	Vérifier où se trouvent les équipements utilisés.
Infrastructure matérielle	Équipements matériels du système d’information.	Distinguer ce niveau du service cloud applicatif.
Plateforme d’hébergement d’applications	Environnement permettant de déployer et de faire fonctionner une application.	Contrôler le périmètre exact du service managé.
Infrastructure virtuelle	Ressources virtualisées utilisées par le système d’information.	Identifier qui exploite les machines, les réseaux et le stockage virtuels.
Administration et exploitation	Opérations d’administration et de maintien en condition opérationnelle.	Examiner les accès privilégiés et les responsabilités d’exploitation.
Sauvegarde	Conservation de copies de données de santé.	Inclure les sauvegardes, les restaurations et les durées de rétention dans le périmètre.

Une architecture ne se limite pas au chemin principal entre l’application et sa base de données. Les données passent aussi par les flux de sauvegarde, les consoles d’administration, les outils de supervision et les procédures de restauration. Repérer ces voies secondaires évite une erreur fréquente : certifier le stockage de production tout en négligeant l’environnement où les copies ou les journaux sont réellement accessibles.

Vérifier un hébergeur certifié sans se contenter d’une mention commerciale

La liste officielle des hébergeurs certifiés, publiée par l’Agence du Numérique en Santé, constitue le point de départ le plus fiable pour rechercher un prestataire. Elle permet d’identifier les entreprises certifiées et de consulter les informations utiles à la vérification : dénomination, activités couvertes, version du référentiel et organisme certificateur.

Les quatre contrôles à effectuer

Vérifiez la validité du certificat. Une affirmation de conformité sur un site commercial ne suffit pas. Demandez le certificat applicable et contrôlez sa période de validité.
Lisez le périmètre activité par activité. Comparez les six activités HDS avec les briques externalisées dans votre projet, notamment la sauvegarde et l’administration.
Contrôlez la version du référentiel. La liste peut mentionner le référentiel HDS version 1.1 ou la version 2.0. Cette information fait partie intégrante de la lecture du certificat.
Identifiez l’entité contractante. Dans un groupe ou une offre cloud, la société qui facture le service doit être celle dont le périmètre de certification couvre effectivement la prestation.

En cas de doute, demandez une confirmation à l’organisme certificateur indiqué sur le certificat. Cette démarche est particulièrement utile lorsqu’un prestataire s’appuie sur une certification de groupe, utilise des sous-traitants ou associe plusieurs services dans une même offre.

Choisir une solution HDS adaptée à l’exploitation quotidienne

Deux hébergeurs peuvent être certifiés HDS tout en proposant des services très différents. La comparaison doit donc aller au-delà du statut de certification. Commencez par définir votre modèle : infrastructure virtuelle administrée par vos équipes, plateforme d’hébergement d’applications, service d’exploitation délégué ou solution de sauvegarde. Vous pourrez ensuite évaluer les garanties opérationnelles nécessaires.

La localisation des infrastructures et les engagements associés à la souveraineté des données ;
Les modalités de gestion des identités, des habilitations et des accès à privilèges ;
La journalisation, la traçabilité des actions et la capacité à enquêter sur un incident ;
Les dispositions de continuité d’activité, de reprise après sinistre et de restauration ;
Les responsabilités respectives du client, de l’hébergeur et des éventuels sous-traitants ;
Le contenu du contrat spécifique d’hébergement de données de santé.

Conservez enfin les éléments de preuve utiles : certificat, périmètre, version du référentiel, clauses contractuelles et documentation des services souscrits. Cette documentation facilite les audits, les revues de conformité et les évolutions d’architecture. Un hébergement HDS adapté repose sur une certification vérifiable, un périmètre correspondant aux flux réels et des engagements techniques compréhensibles par les équipes responsables du service.