- Caractère
- Obligatoire si vous hébergez ou exploitez des données de santé pour le compte d'un tiers
- Statut
- En vigueur : référentiel approuvé par l'arrêté du 26 avril 2024.
- Échéance
- Depuis le 16 mai 2026, seuls les certificats délivrés selon ce référentiel sont valables.
- Mis à jour
- 12 novembre 2026
Qu'est-ce que HDS ?
La certification HDS (hébergement de données de santé) est obligatoire en France pour toute organisation qui héberge, exploite ou sauvegarde des données de santé à caractère personnel pour le compte d'un tiers. Elle est délivrée par un organisme accrédité par le COFRAC, selon le référentiel publié par l'Agence du numérique en santé (article L.1111-8 du Code de la santé publique).
Deux certificats existent : hébergeur d'infrastructure physique, et hébergeur infogéreur. Un éditeur qui administre et exploite lui-même son application pour ses clients relève du second.
Êtes-vous concerné ?
Votre produit est vendu ou utilisé en France, et au moins une de ces situations vous correspond :
- vous hébergez des données de santé pour le compte d'un client, d'un établissement ou d'un professionnel
- vous exploitez vous-même l'application qui contient ces données, pour des clients qui décident des finalités du traitement
- vous fournissez l'infrastructure (serveurs, virtualisation, plateforme) qui porte ces données
- vous assurez la sauvegarde externalisée ou l'archivage de ces données
- votre service offre à la personne un espace où elle dépose et conserve ses propres documents de santé
- vous confiez l'hébergement à un hébergeur certifié : son contrat et son périmètre certifié décident de ce qui reste à prouver du côté de votre produit
Vérifier pour votre produit avec Estime → · Cadrer votre hébergement en cinq jours avec Sonar HDS →
Votre produit a été construit avec un outil de vibe coding : vibe coding et santé montre où sont l'adresse, le code et la base selon l'outil.
Que demande HDS à votre produit ?
HDS est d'abord une certification d'organisation, portée par la direction. Une partie des exigences touche aussi les équipes qui font le produit.
| Équipe | Deux thèmes |
|---|---|
| Direction | Contrats avec l'hébergeur et les clients (localisation, réversibilité, accès depuis des pays tiers) · périmètre des activités certifiées et des sous-traitants |
| Sécurité | Analyse de risques et système de management (socle ISO 27001) · gestion des incidents |
| Développement | Contrôle des accès et authentification · journalisation et traçabilité des accès aux données |
| Données | Localisation des données et des sauvegardes dans l'Espace économique européen · chiffrement et restitution |
| Qualité | Preuves de conformité et revues · gestion des changements |
| Exploitation | Sauvegarde et continuité · accès du support aux environnements de production |
Que ne couvre pas HDS ?
HDS certifie une organisation et son hébergement. Il ne dit rien de la qualité de votre code, des failles de votre application, de la finesse des droits dans vos écrans, de la minimisation des données dans vos fonctionnalités ou du comportement d'une IA embarquée.
Pour un MVP écrit vite, c'est de ce côté qu'il faut regarder en premier : MVP santé à industrialiser.
Être hébergé chez un prestataire certifié couvre les activités que ce prestataire a fait certifier, et seulement celles-là. La traçabilité des accès métier, les droits applicatifs, le cycle de vie des données et les accès de vos équipes de support se prouvent dans votre application. Le RGPD, la PGSSI-S et, si votre produit embarque de l'IA, l'AI Act s'en chargent.
Que gagne votre produit ?
| Bénéfice | Ce que cela change |
|---|---|
| Confiance des utilisateurs et des acheteurs | Quand un établissement demande où sont les données de ses patients, vous lui donnez une réponse vérifiable. |
| Souveraineté | Vous savez où sont vos données, qui peut y accéder et depuis quel pays. |
| Intégration | Un produit prêt à se raccorder aux systèmes des établissements et aux services nationaux. |
Quels textes recoupe-t-il ?
- CLOUD Act : HDS demande la transparence sur les accès depuis des pays tiers, dont le CLOUD Act. Un hébergeur installé dans l'Espace économique européen peut rester exposé à une injonction américaine.
- AI Act : une IA embarquée ajoute ses propres exigences sur le code et les données.
- ISO/IEC 27001:2022 : le socle du référentiel. Un certificat HDS n'est valable qu'avec une certification ISO 27001 sur le même périmètre.
- RGPD : données de santé (article 9), sous-traitance (article 28), sécurité du traitement (article 32).
- SecNumCloud : quand une qualification est exigée par votre client public.
- PGSSI-S : les règles de sécurité propres aux systèmes d'information de santé, qui portent aussi sur la conception de votre logiciel.
Tous les textes, et ce qui les relie : les référentiels côté produit.
Questions fréquentes
Un éditeur SaaS doit-il être certifié HDS lui-même ?
Oui, s'il administre et exploite lui-même l'application qui contient les données de ses clients : il relève alors du certificat d'hébergeur infogéreur. S'il confie tout l'hébergement et l'exploitation à un prestataire certifié, c'est le prestataire qui porte le certificat, et l'éditeur vérifie le périmètre et le contrat.
Notre hébergeur est certifié HDS : sommes-nous conformes ?
Oui pour les activités que votre hébergeur a fait certifier. Votre application reste hors de ce périmètre : HDS ne regarde ni votre code ni vos droits applicatifs, et vos accès de support peuvent vous faire entrer dans le périmètre.
HDS impose-t-il ISO 27001 ?
Oui. Le référentiel reprend l'intégralité d'ISO 27001 et y ajoute des exigences propres à la santé. Le certificat HDS n'est valable que si une certification ISO 27001 couvre le même périmètre.
Qu'est-ce qui a changé avec le référentiel de 2024 ?
Les données doivent être hébergées dans l'Espace économique européen, l'hébergeur doit être transparent sur les risques d'accès depuis des pays tiers, et les contrats doivent prévoir la réversibilité. La transition s'est achevée le 16 mai 2026.
Pouvez-vous nous accompagner jusqu'à l'audit ?
Sur la part produit, oui : les preuves techniques, la préparation de l'équipe technique aux questions de l'auditeur, les corrections dans le code. Le système de management reste porté par votre équipe ou un consultant spécialisé, et la certification est délivrée par l'organisme accrédité.
Sources
Agence du numérique en santé, certification HDS · ANS, « Certification HDS : six mois pour être prêt ! » (16/02/2026) · Arrêté du 26 avril 2024 (Légifrance) · ANS, webinaire sur la transition vers le nouveau référentiel HDS (15/10/2025).
En cinq jours, Sonar Express sépare ce que couvre votre hébergeur de ce qui reste dans votre application, et liste les preuves à produire, exigence par exigence.