Hébergement de données de Santé (HDS) : quelles obligations pour les cliniques, hôpitaux et EHPAD en 2026 ?

Qu’est-ce que l’hébergement de données de santé ?

L’hébergement de données de santé est défini par l’article L. 1111-8 du Code de la santé publique. Selon cet article, est considérée comme activité d’hébergement de données de santé le fait d’assurer, pour le compte d’un responsable de traitement ou du patient, tout ou partie des prestations de stockage, d’administration et de sauvegarde de données de santé à caractère personnel sur support numérique.

Les données concernées sont celles recueillies lors d’activités de prévention, de diagnostic, de soins ou de suivi médico-social :

• dossiers patients informatisés,
• résultats d’imagerie,
• prescriptions.

La nature sensible de ces données justifie un régime de protection spécifique, complémentaire au RGPD.

La certification HDS impose à l’hébergeur de respecter un strict système de management de la sécurité de l’information (SMSI) conforme à la norme ISO 27001. Le certificat, délivré pour trois ans par un organisme accrédité par le COFRAC, couvre six activités, de la fourniture de locaux physiques à la sauvegarde des données.

Les six activités concernées sont les suivantes :

1. La mise à disposition et le maintien en condition opérationnelle des sites physiques d’hébergement.
2. La mise à disposition et le maintien en condition opérationnelle de l’infrastructure matérielle.
3. La mise à disposition et le maintien en condition opérationnelle de l’infrastructure virtuelle.
4. La mise à disposition et le maintien en condition opérationnelle de la plateforme d’hébergement d’applications.
5. L’administration et l’exploitation du système d’information contenant les données de santé.
6. La sauvegarde des données de santé.

Qui est concerné par l’obligation HDS ?

L’obligation vise d’abord les hébergeurs qui stockent ou accèdent à des données de santé :

• prestataires cloud,
• opérateurs de centres de données,
• éditeurs SaaS.

Elle concerne aussi les établissements qui y recourent :

• Cliniques,
• centres hospitaliers,
• laboratoires,
• EHPAD et structures médico-sociales

Ces structurent doivent vérifier que leur prestataire détient un certificat HDS valide couvrant les activités sous-traitées.

Point de vigilance : un éditeur de logiciel hospitalier doit être certifié pour l’activité 5 du référentiel (administration et exploitation du SI) dès lors que son personnel accède à l’environnement contenant des données de santé, y compris pour du support ou de la maintenance. Les Groupements hospitaliers de territoire (GHT) peuvent être exemptés lorsqu’ils hébergent en interne. Mais dès qu’un tiers intervient, la certification redevient obligatoire.

Calendrier et réforme du référentiel HDS (2024–2026)

La révision actuelle résulte d’un travail engagé dès 2022 par la Délégation au numérique en santé (DNS) et l’Agence du numérique en santé (ANS), en concertation avec la CNIL, l’ANSSI et les fédérations d’industriels. Plus de 250 contributions ont été analysées, selon le calendrier suivant :

• 16 mai 2024 : publication au Journal officiel du référentiel HDS version 2.0 (arrêté du 26 avril 2024).
• 16 novembre 2024 : entrée en vigueur pour tous les audits initiaux et de renouvellement.
• 24 mars 2026 : décret n° 2026-209 précisant les obligations de souveraineté numérique et renforçant les clauses contractuelles.
• 16 mai 2026 : échéance ultime. Tous les certificats actifs doivent être conformes à la version 2.0. Les anciens certificats deviennent caducs.

L’ANS met à disposition un guide de transition et signale une forte augmentation des demandes auprès des organismes certificateurs.

Exigences techniques et contractuelles du nouveau référentiel

Le référentiel HDS v2 s’aligne sur la norme ISO/IEC 27001:2022 et intègre des contrôles renforcés en cybersécurité, gestion des risques et continuité d’activité. L’ensemble de ces exigences porte en particulier sur les points suivants :

• Souveraineté des données. Le stockage doit désormais être réalisé exclusivement dans l’Espace économique européen (EEE). Cette exigence, absente du référentiel précédent, constitue l’évolution la plus significative.
• Transparence sur les transferts. En cas d’accès distant depuis un pays tiers ou de soumission à une législation extra-territoriale, l’hébergeur doit en informer ses clients. Le décret de mars 2026 impose la publication d’une cartographie des transferts hors EEE, rendue publique et régulièrement actualisée.
• Clauses contractuelles. Le contrat doit intégrer les mentions de l’article R. 1111-11 du Code de la santé publique :
  • modalités d’exercice des droits des personnes,
  • mesures de sécurité,
  • conditions de réversibilité et localisation des données.
• Archivage électronique. Le décret de mars 2026 clarifie que l’archivage électronique de données de santé relève désormais du périmètre HDS.

Intégrer la conformité HDS dans la stratégie IT

La conformité HDS ne se réduit pas au choix d’un prestataire certifié. Elle suppose une démarche structurée autour de quatre enjeux principaux :

1. Cartographier les flux de données : identifier quels logiciels, traitements et prestataires manipulent des données de santé, y compris les sous-traitants de rang 2.
2. Vérifier le périmètre de certification : le certificat couvre des activités précises (de 1 à 6). L’annuaire officiel de l’ANS permet cette vérification.
3. Intégrer HDS dans les appels d’offres : tout marché IT portant sur des données de santé doit exiger la certification comme critère d’éligibilité.
4. Réaliser un audit préalable : une analyse de risques portant sur les accès, la localisation et les chaînes de sous-traitance permet d’anticiper les écarts.

Cas des EHPAD et structures médico-sociales

En tant qu’établissements de santé, les EHPAD et autres structures médico-sociales sont soumis aux mêmes obligations que les cliniques et hôpitaux, dès lors qu’ils confient à un tiers l’hébergement de données de santé. Le critère déterminant n’est pas la nature de l’établissement, mais celle des données traitées.

Le scénarios et données concernés sont les suivants :

• logiciel de gestion des soins en mode SaaS,
• dossier résident informatisé,
• télémédecine,
• transmission de données aux pharmacies via des plateformes numériques.

Dans chacun de ces cas, le prestataire assurant le stockage doit être certifié HDS. Les EHPAD qui feraient l’impasse sur la mise en conformité s’exposeraient à un double risque :

• juridique, en cas de contrôle de la CNIL,
• opérationnel, en cas de cyberattaque exploitant une faille liée à un hébergement non sécurisé.

Perspectives : vers un cadre européen avec l’EHDS

L’Espace européen des données de santé (EHDS), adopté par le règlement (UE) 2025/327, est entré en vigueur le 26 mars 2025. Il instaurera progressivement des règles harmonisées d’accès, de partage et d’interopérabilité des données de santé dans l’Union. Les premières dispositions opérationnelles sont attendues pour mars 2029.

Pour les établissements français, l’EHDS impliquera des obligations supplémentaires d’interopérabilité et de certification des systèmes d’information. La conformité HDS constitue dès à présent un socle sur lequel s’appuieront ces futures exigences européennes.

Conclusion

L’échéance du 16 mai 2026 constitue un impératif. À compter de cette date, les établissements de santé doivent s’assurer que leurs hébergeurs détiennent un certificat HDS conforme à la version 2.0, et que leurs contrats intègrent les clauses renforcées du décret de mars 2026. Cette démarche relève autant de la conformité réglementaire que de la protection des patients, dans un mouvement plus large de sécurisation du numérique en santé qui trouvera sa pleine expression dans le cadre européen EHDS.

Sources et liens utiles

Agence du Numérique en Santé (ANS) — Référentiel de certification HDS : https://esante.gouv.fr/produits-services/hds

Légifrance — Arrêté du 26 avril 2024 : https://www.legifrance.gouv.fr/jorf/id/JORFTEXT000049537692

Décret n° 2026-209 du 24 mars 2026 (JO du 26 mars 2026) — Souveraineté et hébergement des données de santé

Ministère de la Santé — Communiqué de presse HDS : https://sante.gouv.fr/actualites-presse/presse/communiques-de-presse/article/publication-au-journal-officiel-du-referentiel-de-certification-hds

AFNOR Certification — Certification HDS : https://certification.afnor.org/numerique/hebergement-des-donnees-de-sante-hds

Commission européenne — European Health Data Space (EHDS) : https://health.ec.europa.eu/ehealth-digital-health-and-care/european-health-data-space-regulation-ehds_en

Règlement (UE) 2025/327 — EUR-Lex : https://eur-lex.europa.eu/legal-content/EN/ALL/?uri=LEGISSUM:5780941