Héberger des données de santé en France n’est pas un choix technique anodin. Depuis la réforme de 2018, tout opérateur qui stocke des données de santé à caractère personnel sur support numérique doit être certifié HDS. Pour un centre hospitalier qui migre son SIH vers le cloud ou qui confie son DPI à un éditeur en mode SaaS, la certification de l’hébergeur conditionne la légalité même du projet.
Le cadre juridique de l’hébergement de données de santé
L’article L. 1111-8 du Code de la santé publique, modifié par le décret n° 2018-137, impose la certification HDS à tout organisme hébergeant des données de santé pour le compte d’un tiers. Le référentiel HDS publié par l’ANS distingue deux périmètres : hébergeur d’infrastructure physique et hébergeur infogéreur. L’éditeur d’un SIH cloud doit relever du second périmètre dès lors qu’il administre l’environnement applicatif.
La certification est délivrée pour trois ans par un organisme accrédité par le COFRAC, avec un audit de surveillance annuel. Elle s’appuie sur les normes ISO 27001 et ISO 27018, complétées par des exigences spécifiques au secteur santé : gestion des incidents de sécurité impliquant des données patients, continuité d’activité, réversibilité contractuelle.
Le décret n° 2018-137 publié au Journal officiel précise les conditions d’application et les sanctions encourues. Un établissement qui confie ses données à un hébergeur non certifié engage sa responsabilité, y compris pénale pour les personnes physiques signataires du contrat.
Ce que couvre réellement le certificat HDS
Le certificat HDS ne garantit pas la sécurité absolue de l’hébergeur. Il atteste que celui-ci a mis en place un système de management de la sécurité de l’information conforme aux référentiels, audité par un tiers indépendant. La différence est significative : la responsabilité de la sécurité applicative reste partagée entre l’éditeur et l’établissement.
En pratique, l’établissement doit vérifier que le certificat couvre bien les activités concernées. Un hébergeur certifié pour l’infrastructure physique (activités 1 et 2) ne l’est pas nécessairement pour l’infogérance applicative (activités 3 à 6). Un éditeur SIH qui sous-traite l’infrastructure à un tiers certifié mais gère l’application sans certification propre crée un angle mort juridique.
Vérification pratique : demandez à votre éditeur ou hébergeur le numéro de certificat HDS et les activités couvertes (1 à 6). Vérifiez la validité sur le registre ANS. Si l’éditeur sous-traite l’hébergement, exigez le certificat du sous-traitant et vérifiez la cohérence des périmètres.
Cloud souverain et localisation des données
Le référentiel HDS n’impose pas explicitement une localisation des données en France, mais le RGPD contraint tout transfert hors Union européenne à un encadrement juridique spécifique (clauses contractuelles types, décision d’adéquation). En pratique, la CNIL recommande la vigilance sur les transferts vers des pays tiers, particulièrement depuis l’invalidation du Privacy Shield.
Pour un SIH qui traite quotidiennement des dizaines de milliers de dossiers patients, la question de la souveraineté dépasse la conformité juridique. Un hébergement sur sol français ou européen simplifie la gouvernance, réduit le risque de conflit de lois et rassure les tutelles. Plusieurs GHT ont inscrit la localisation européenne comme critère éliminatoire dans leurs appels d’offres.
Réversibilité et continuité
La certification HDS exige de l’hébergeur un plan de réversibilité documenté. L’établissement doit pouvoir récupérer ses données dans un format exploitable en cas de changement d’éditeur, de cessation d’activité de l’hébergeur ou de rupture contractuelle. Ce plan doit être testé, pas seulement écrit.
La continuité d’activité est un volet complémentaire. Le DPI concentre les informations critiques de prise en charge : prescriptions actives, allergies, résultats en attente de validation. Une indisponibilité prolongée compromet directement la sécurité des soins. Le contrat d’hébergement doit définir un RTO (Recovery Time Objective) et un RPO (Recovery Point Objective) compatibles avec les exigences du plan de continuité de l’établissement.
- RTO — délai maximal de remise en service après incident majeur, aligné sur le plan blanc.
- RPO — perte de données maximale tolérée, exprimée en minutes ou heures de transactions.
- Test annuel — simulation de bascule sur le site de secours, documentée et présentée en revue de direction.
- Réversibilité — export complet des données dans un format standardisé (HL7 FHIR, CDA) dans un délai contractualisé.
Intégrer l’exigence HDS dans le choix du SIH
L’évaluation HDS ne doit pas être un critère de dernière minute dans un appel d’offres SIH. Elle s’inscrit dès la rédaction du cahier des charges, avec des exigences précises sur le périmètre de certification, la localisation, la politique de correctifs, les délais de notification d’incident et les engagements de niveau de service.
Un SIH qui intègre nativement l’ensemble des modules métier — DPI, pharmacie, bloc, urgences — sur une infrastructure certifiée simplifie la gouvernance HDS en réduisant le nombre de contrats d’hébergement et de sous-traitants à auditer.
Évaluez la conformité HDS et la politique d’hébergement de votre futur SIH.
