Ai-je besoin d’un hébergement HDS ?

Dès que vous hébergez des données de santé recueillies à l’occasion d’activités de prévention, de diagnostic, de soins ou de suivi social et médico-social, pour le compte du professionnel ou de l’établissement qui les a recueillies, ou pour le compte du patient (article L. 1111-8 du Code de la santé publique). L’hébergeur doit alors être titulaire d’un certificat de conformité HDS.

Non, le cabinet n’héberge pas pour le compte d’un tiers : il est responsable du traitement. En revanche, il doit s’assurer que l’hébergeur à qui il confie ses données est certifié (article R. 1111-8-8). Le prestataire qui administre ses serveurs pour lui assure l’activité 5 et doit être certifié pour celle-ci.

S’il héberge les données de ses clients pour leur compte, oui, pour les activités qu’il assure lui-même. Un éditeur qui s’appuie sur un hébergeur certifié pour l’infrastructure mais administre lui-même la production assure l’activité 5 : il doit la couvrir par sa propre certification ou la confier à un infogérant certifié.

L’article R. 1111-9 du Code de la santé publique en liste six : les sites physiques, l’infrastructure matérielle, l’infrastructure virtuelle, la plateforme d’hébergement d’applications, l’administration et l’exploitation du système d’information contenant les données, et la sauvegarde des données. Un hébergeur peut être certifié pour tout ou partie de ces activités.

Non. Depuis le décret du 24 mars 2026, l’article R. 1111-9-1 impose un stockage exclusivement dans l’Union européenne ou l’Espace économique européen. Un transfert vers un pays tiers, y compris un accès à distance, reste possible vers un pays reconnu adéquat par la Commission européenne, ou avec des garanties appropriées décrites dans le contrat d’hébergement.

L’article L. 1115-1 du Code de la santé publique punit de trois ans d’emprisonnement et de 45 000 € d’amende la prestation d’hébergement de données de santé sans certificat de conformité. S’y ajoutent les sanctions du RGPD et, dans les faits, la perte des clients établissements de santé, qui exigent le certificat avant de signer.