La règle en une phrase
Dès qu'un cabinet stocke des données de santé de ses patients chez un prestataire externe (éditeur de logiciel en mode hébergé, cloud, sauvegarde en ligne), ce prestataire doit être certifié hébergeur de données de santé, dit HDS. C'est une obligation posée par l'article L.1111-8 du code de la santé publique. Le praticien reste responsable de traitement au sens du RGPD, mais il doit choisir un hébergeur certifié et le prévoir dans son contrat.
Ce que recouvre la certification HDS
La certification HDS atteste qu'un hébergeur garantit la confidentialité, l'intégrité et la disponibilité des données de santé qu'il conserve pour le compte d'un professionnel ou d'un établissement. Elle a progressivement remplacé l'ancien agrément depuis 2018. C'est l'Agence du numérique en santé (ANS) qui pilote le dispositif et publie la liste des hébergeurs certifiés (ANS). Cette liste est publique et consultable gratuitement, ce qui vous permet de contrôler par vous-même le statut d'un prestataire.
L'audit et la délivrance du certificat passent par un organisme certificateur, lui-même accrédité par le Comité français d'accréditation (Cofrac) ou son équivalent européen. Le certificat est délivré pour trois ans, avec un audit de surveillance chaque année. Une mention « HDS » sur une plaquette ne dit donc rien tant que vous n'avez pas vu le certificat, sa date et son périmètre.
Hébergeur ou infogéreur : les deux certificats et les six activités
La certification se décline en deux certificats, et la différence compte au moment de lire un contrat.
Le certificat d'hébergeur d'infrastructure physique couvre le matériel et les murs : mise à disposition et maintien en condition opérationnelle de l'infrastructure matérielle, et des sites physiques qui l'abritent.
Le certificat d'hébergeur infogéreur couvre l'exploitation : infrastructure virtuelle, plateforme d'hébergement des applications, administration et exploitation du système qui contient les données de santé, et sauvegarde externalisée de ces données (ANS).
Six activités au total, et un prestataire peut n'en couvrir qu'une partie. C'est la confusion la plus fréquente en cabinet : « nos données sont chez un hébergeur certifié » ne dit rien de qui administre le système au quotidien. Si votre éditeur exploite lui-même la plateforme, c'est lui qui doit être certifié pour cette activité, pas seulement le datacenter derrière.
Cloud, logiciel en ligne, serveur interne : qui est concerné
L'obligation se déclenche à l'externalisation. Si vous confiez la conservation des dossiers à un tiers qui les héberge sur ses serveurs, ce tiers doit être certifié HDS. Cela vise la plupart des situations courantes : logiciel médical en mode SaaS, dossier patient dans le cloud, service de prise de rendez-vous qui stocke des motifs de consultation, solution de télétransmission, sauvegarde externalisée, messagerie de santé.
À l'inverse, une structure qui gère elle-même son système d'information de santé, sur un serveur installé dans ses murs et sans prestataire d'hébergement, n'entre pas dans l'obligation de certification (ANS). Vous restez toutefois tenu aux obligations de sécurité du RGPD : chiffrement, sauvegardes, contrôle des accès, journalisation.
Une exception existe, et elle est étroite. Confier des données pour une courte période en vue d'un traitement de saisie, de mise en forme, de matérialisation ou de dématérialisation n'est pas une activité d'hébergement au sens de la loi (article R.1111-8-8 du code de la santé publique). Cela couvre par exemple une prestation ponctuelle de numérisation d'archives, pas la conservation continue de votre dossier patient.
Le réflexe utile : dès qu'un outil « fonctionne en ligne », posez la question de l'hébergement avant de signer.
La sauvegarde de vos données entre aussi dans le périmètre
C'est le point le plus souvent oublié. La sauvegarde externalisée des données de santé est l'une des six activités couvertes par le certificat d'hébergeur infogéreur : tout organisme qui héberge, exploite le système d'information de santé ou réalise des sauvegardes pour le compte d'une structure de santé doit être certifié (ANS).
Un cabinet peut donc avoir un logiciel parfaitement hébergé et une sauvegarde nocturne qui part chez un prestataire non certifié. La copie contient exactement les mêmes données que l'original. Traitez la sauvegarde comme l'hébergement principal, et vérifiez que l'activité de sauvegarde externalisée figure bien au périmètre du certificat.
Deux réflexes complémentaires, indépendants de la certification : testez une restauration au moins une fois par an, sur un dossier réel, et sachez où les copies sont stockées géographiquement.
Comment vérifier que votre logiciel et vos outils sont conformes
Quatre vérifications concrètes, à faire éditeur par éditeur.
1. Demandez le certificat HDS et son périmètre. Un éditeur conforme le fournit sans difficulté, avec le nom de l'hébergeur, les activités couvertes et la date de validité. 2. Recoupez avec la liste officielle des hébergeurs certifiés publiée par l'ANS. Si l'hébergeur réel de vos données n'y figure pas, ou si l'éditeur reste vague sur qui héberge quoi, c'est un signal. 3. Vérifiez la localisation des données. Le référentiel impose un hébergement dans l'Espace économique européen. Une donnée stockée ou administrée hors de cette zone pose un problème de conformité. 4. Exigez un contrat de sous-traitance conforme à l'article 28 du RGPD, avec les engagements de sécurité, la localisation, la réversibilité et la conduite à tenir en cas de violation de données.
Gardez une trace écrite de ces éléments. En cas de contrôle, la CNIL attend d'un professionnel de santé qu'il puisse démontrer sa conformité à tout moment.
Où trouver la liste officielle des hébergeurs certifiés
L'ANS tient à jour deux listes publiques : celle des hébergeurs certifiés et celle des organismes de certification habilités à délivrer le certificat.
C'est la seule source qui fait foi. Une mention « conforme HDS » sur une page commerciale ne vaut pas certificat, et un prestataire dont le certificat a expiré n'y figure plus. Comptez trois minutes de vérification par prestataire, une fois par an, et notez la date de votre contrôle dans votre registre.
Pourquoi les IA grand public ne sont pas conformes
C'est le point qui piège beaucoup de cabinets depuis l'arrivée des assistants conversationnels. Coller le compte rendu d'un patient, un courrier ou une liste de rendez-vous dans un outil d'IA grand public, c'est transmettre des données de santé à un prestataire qui, dans sa version publique, n'est pas certifié HDS, héberge souvent hors de l'Espace économique européen et peut réutiliser vos saisies pour entraîner ses modèles. Aucun contrat de sous-traitance de santé n'est signé, et vous perdez la maîtrise de la donnée.
Cela ne veut pas dire renoncer à l'IA. Cela veut dire l'encadrer : travailler sur des données anonymisées quand c'est possible, utiliser des offres professionnelles adossées à un hébergement conforme et à un contrat, et écrire une règle interne claire sur ce que l'équipe a le droit de saisir. La HAS et la CNIL ont publié en mars 2026 un guide commun sur le bon usage des systèmes d'intelligence artificielle en contexte de soins, qui rappelle ces réflexes (CNIL).
Ce que le référentiel révisé a changé
Une version révisée du référentiel a été publiée au Journal officiel le 16 mai 2024 et sert de référence pour les évaluations depuis le 16 novembre 2024. Les hébergeurs déjà certifiés disposaient de vingt-quatre mois pour s'y conformer, délai arrivé à échéance le 16 mai 2026. En clair, en 2026, un certificat encore adossé à l'ancienne version n'est plus une situation normale : c'est une question à poser à votre éditeur.
Les changements utiles à connaître côté cabinet : l'hébergement des données de santé dans l'Espace économique européen est explicitement exigé, les obligations contractuelles de l'hébergeur sont clarifiées et les garanties sur les transferts de données hors Union européenne sont renforcées. Concrètement, vous avez de meilleurs arguments pour exiger de la transparence.
Sécuriser sa pratique et former l'équipe
L'hébergement HDS n'est qu'une brique. Autour, il faut des accès nominatifs, des mots de passe robustes, des sauvegardes testées et une équipe qui sait ce qu'elle peut faire ou non avec un outil en ligne. C'est là que la formation joue, parce que la plupart des incidents viennent d'un usage, pas d'une faille technique.
Pour structurer tout cela, notre formation RGPD et données de santé traite l'hébergement, la sous-traitance et les bons réflexes au quotidien. Vous pouvez aussi partir de notre checklist RGPD pour cabinet médical pour un premier état des lieux, et cadrer l'usage de l'IA avec notre article sur l'AI Act et le RGPD en centre médical.
Côté budget, une formation suivie auprès d'un organisme certifié Qualiopi peut être prise en charge via votre OPCO, en tout ou partie selon votre situation. Un reste à charge est fréquent et la prise en charge n'est pas systématiquement totale. Les détails et les cofinancements possibles sont expliqués sur notre page financement OPCO.
Questions fréquentes
- Qu'est-ce que la certification HDS ?
- La certification HDS (hébergeur de données de santé) atteste qu'un prestataire garantit la sécurité et la confidentialité des données de santé qu'il conserve pour un professionnel. Elle est prévue par l'article L.1111-8 du code de la santé publique, pilotée par l'Agence du numérique en santé, et a remplacé l'ancien agrément depuis 2018. Le certificat est délivré pour trois ans, avec un audit de surveillance annuel.
- Mon cabinet doit-il être certifié HDS ?
- Le cabinet lui-même n'est pas « certifié HDS ». L'obligation pèse sur le prestataire qui héberge vos données à l'extérieur : logiciel en ligne, cloud, sauvegarde externalisée. Si vous externalisez la conservation des dossiers, ce prestataire doit être certifié. Une structure qui gère son propre système d'information de santé en interne n'entre pas dans l'obligation, mais ses obligations RGPD demeurent.
- Une sauvegarde de données de santé doit-elle être hébergée en HDS ?
- Oui, dès qu'elle est externalisée. La sauvegarde externalisée des données de santé fait partie des activités couvertes par le certificat d'hébergeur infogéreur. Un prestataire qui réalise des sauvegardes pour le compte d'une structure de santé doit être certifié. Vérifiez que cette activité figure au périmètre du certificat de votre prestataire, et pas seulement l'hébergement de l'application.
- Un cloud est-il automatiquement conforme HDS ?
- Non. Un cloud n'est conforme que s'il détient le certificat HDS pour les activités qu'il exerce réellement sur vos données. Le certificat se décline en six activités, du site physique à la sauvegarde externalisée, et un prestataire peut n'en couvrir qu'une partie. Un éditeur qui administre lui-même la plateforme doit être certifié pour cette activité, même si le datacenter derrière l'est déjà.
- Comment savoir si mon logiciel médical est hébergé en HDS ?
- Demandez à votre éditeur son certificat HDS, avec le périmètre et le nom de l'hébergeur, puis recoupez avec la liste officielle des hébergeurs certifiés publiée par l'Agence du numérique en santé. Vérifiez aussi que les données restent dans l'Espace économique européen et qu'un contrat de sous-traitance conforme au RGPD encadre la prestation.
- Puis-je utiliser une IA grand public avec des données patients ?
- Dans leur version publique, ces outils ne sont pas certifiés HDS, hébergent souvent hors de l'Espace économique européen et peuvent réutiliser vos saisies. Y coller des données patients n'est pas conforme. Privilégiez des données anonymisées, une offre professionnelle adossée à un hébergement conforme et une règle interne claire pour l'équipe.
- Quelle différence entre HDS et RGPD ?
- Le RGPD fixe le cadre général de protection des données personnelles. La certification HDS est une exigence spécifique au secteur de la santé qui s'ajoute au RGPD : elle porte sur l'hébergeur qui conserve les données. Un hébergeur HDS ne dispense pas de respecter le RGPD, et l'un ne remplace pas l'autre.