Hébergement HDS : ce que dit la loi et comment se conformer
Guide complet sur l'hébergement de données de santé (HDS) : cadre légal, obligations, choix de l'hébergeur et rôle de l'intégrateur.
Depuis 2018, tout hébergement de données de santé identifiantes produites en France, confié à un tiers, doit se faire chez un Hébergeur de Données de Santé (HDS) certifié par l'ANSSI. La certification est technique et organisationnelle : elle couvre la sécurité physique du datacenter, la sécurité logique, la traçabilité et la gestion du personnel.
Qui est concerné
- Médecin, kiné, infirmier, sage-femme, MSP, centre de santé, clinique
- Tout prestataire qui héberge pour le compte du cabinet (sauvegarde, cloud, téléconsultation, SaaS métier)
- Ne concerne PAS les données stockées uniquement en local dans le cabinet
Les principaux hébergeurs HDS en France
- OVHcloud HDS — datacenters Roubaix, Strasbourg, Gravelines
- Outscale (Dassault Systèmes) — souverain, ISO 27001
- Cegedim.Cloud — spécialisé santé, agréé HDS complet
- 3DS Outscale — cloud souverain avec agrément HDS
Ce qu'apporte un intégrateur santé
L'hébergeur HDS ne fait qu'une partie du travail : il fournit l'infrastructure certifiée. L'intégrateur (ACF par exemple) intègre votre cabinet à cette infrastructure — paramétrage de la sauvegarde, chiffrement côté client, DPA multi-parties, formation du personnel, registre RGPD.
Ce qui doit figurer au contrat
- Certification HDS de l'hébergeur (numéro et périmètre exact)
- Localisation physique des données (France, UE)
- DPA article 28 RGPD signé, incluant la sous-traitance santé
- Engagements sur la restitution des données en fin de contrat
- Procédure de notification en cas d'incident sous 24 h
L'agrément HDS de votre prestataire est vérifiable — demandez le numéro et la date d'audit.
Questions fréquentes
Un hébergement dans le cloud public (AWS, Azure, GCP) est-il HDS ?+
Certaines régions AWS et Azure sont agréées HDS, mais l'usage doit rester dans le périmètre agréé. Un déploiement en dehors du périmètre invalide la conformité. Un intégrateur santé sécurise ce point.
Le cabinet est-il responsable en cas de fuite chez l'hébergeur ?+
Le cabinet reste responsable de traitement, l'hébergeur est sous-traitant. Le DPA article 28 encadre les responsabilités respectives et les indemnisations. En cas de fuite, notification CNIL sous 72 h.
Combien coûte l'hébergement HDS ?+
Pour un cabinet médical typique, une sauvegarde HDS externalisée coûte entre 40 et 90 €/mois. Un cloud santé complet (fichiers, mail, applicatif) démarre à 150-300 €/mois.
Un projet sur ce sujet ?
Nos experts vous répondent sous 24h avec des recommandations concrètes.