État des textes au . Nous mettons cette fiche à jour quand la réglementation évolue.
Définition
La certification Hébergeur de données de santé (HDS) est obligatoire, en France, pour toute entité qui héberge des données de santé à caractère personnel pour le compte de tiers. Elle découle de l'article L.1111-8 du Code de la santé publique. Le référentiel en vigueur (version 2, arrêté du 26 avril 2024 publié au Journal officiel le 16 mai 2024) s'appuie sur ISO/IEC 27001:2022, complété d'exigences propres à la santé ; il a retiré l'essentiel des exigences issues d'ISO/IEC 20000-1. La certification est délivrée par un organisme accrédité.
Pourquoi c'est important
Le référentiel couvre six activités d'hébergement, de la mise à disposition des locaux physiques à l'administration, l'exploitation et la sauvegarde du système. La version 2 impose le stockage des données de santé dans l'Espace économique européen et une transparence sur les accès possibles depuis des pays tiers, un enjeu direct face aux offres cloud extra-européennes. Les hébergeurs déjà certifiés avaient jusqu'au 16 mai 2026 pour s'y conformer. Toute solution numérique de santé, y compris celles qui intègrent de l'IA d'aide au diagnostic, doit s'appuyer sur un hébergement certifié. Héberger sans certification expose à des sanctions et ferme de fait l'accès aux établissements de santé. La responsabilité ne se délègue pas entièrement : le client d'un hébergeur HDS reste responsable de traitement au sens du RGPD et doit vérifier la portée exacte de la certification de son prestataire, activité par activité.
Ce que fait AOCSI
Nous préparons votre organisation aux exigences HDS en partant du socle ISO/IEC 27001 et en instruisant les exigences propres à la santé : notre accompagnement à la certification ISO 27001 en est la première marche. Pour un éditeur qui choisit un hébergeur, notre audit de sécurité cloud vérifie la configuration réelle de l'environnement.
Textes et sources
Pôle de rattachementISO 27001Prestations et prix