Certification HDS 2026 : ce qu'elle couvre (et ne couvre pas)

L'essentiel en 30 secondes

Introduction

Dans les appels d'offres hospitaliers, une ligne rassure tout le monde : le prestataire est certifié HDS. On y lit souvent la garantie que les données de santé sont protégées et conformes. Ce n'est pas le cas. La certification HDS prouve une chose précise, la sécurité de l'hébergement confié à un tiers, et reste muette sur une grande partie du reste.

Cet écart entre ce que le label promet et ce qu'il certifie réellement est précisément là où trébuchent les projets de conformité. L'enjeu grandit avec le Ségur du numérique en santé, doté de 2 milliards d'euros, qui pousse les hôpitaux à moderniser leurs données. Galeon construit un DPI intelligent avec les soignants depuis 2016, aujourd'hui déployé dans 19 hôpitaux dont 2 CHU, structurant plus de 3 millions de dossiers patients avec plus de 10 000 soignants, sur un hébergement certifié HDS.

La certification HDS est une certification de l'hébergement, pas une certification de votre logiciel, de votre usage des données ni de votre conformité au RGPD. Confondre les deux est l'erreur la plus fréquente, et la plus coûteuse, avant de signer.

Cet article cartographie précisément ce que le référentiel HDS 2024 couvre, ce qu'il laisse de côté, et en quoi il diffère du RGPD, pour qu'un DSI ou un DG puisse lire un certificat pour ce qu'il dit vraiment.

Que couvre réellement la certification HDS ?

La certification HDS (Hébergeur de Données de Santé) certifie la sécurité de l'hébergement des données de santé à caractère personnel lorsque cet hébergement est confié à un tiers. Elle couvre l'hébergeur, pas le logiciel du client.

Le référentiel, supervisé par l'Agence du Numérique en Santé (ANS), définit six activités d'hébergement, de la mise à disposition des sites physiques et du matériel jusqu'à l'exploitation du système d'information et la sauvegarde des données. Elles se répartissent en deux certificats : l'hébergeur d'infrastructure physique et l'hébergeur infogéreur.

Concrètement, la certification audite la sécurité physique et logique, la disponibilité et la continuité d'activité, la sauvegarde, l'administration contrôlée, la protection contre les accès non autorisés et la réversibilité des données. Les organismes certificateurs sont eux-mêmes accrédités, par le COFRAC en France, ce qui donne son poids au label.

En résumé, le HDS répond bien à une question : le toit au-dessus de vos données de santé est-il solide ? Il ne dit rien de ce qui se passe à l'intérieur de la maison.

Que ne couvre PAS la certification HDS ?

Tout ce qui se situe au-dessus de la couche d'hébergement. Le logiciel DPI, la manière dont la donnée est saisie et utilisée, la conformité au RGPD au sens large, ainsi que d'éventuelles obligations liées au dispositif médical ou à l'AI Act, restent hors du périmètre de la certification.

C'est la nuance décisive pour un décideur : un hébergeur certifié HDS peut parfaitement stocker des données qu'une application mal conçue expose, ou que personne n'a le droit de traiter.

• La couche applicative. Le logiciel DPI lui-même, ses contrôles d'accès, sa logique clinique et ses propres vulnérabilités ne sont pas audités par le HDS.
• L'usage des données. Qui accède à un dossier, dans quel but et sur quelle base légale relève du RGPD, pas du HDS.
• Le RGPD au sens large. L'information des patients, la minimisation, les droits des personnes et les analyses d'impact (AIPD) restent la responsabilité du responsable de traitement.
• La qualification dispositif médical et IA. Le fait qu'une fonctionnalité soit un dispositif médical, ou un système d'IA soumis à des obligations spécifiques, dépend de sa finalité, pas de son lieu d'hébergement.
• Votre propre périmètre. Les postes de travail, le réseau interne et les pratiques des équipes au sein de l'hôpital ne relèvent pas du certificat de l'hébergeur.

Un hébergeur certifié est un socle nécessaire, jamais un dossier de conformité complet.

Certification HDS et RGPD : quelle est la vraie différence ?

Le HDS sécurise l'hébergement, le RGPD encadre le traitement licite des données. L'un porte sur l'infrastructure, l'autre sur les droits et les finalités, et satisfaire l'un ne dit rien de l'autre.

Le RGPD (règlement UE 2016/679) s'applique à toute la chaîne de traitement et confère à l'hôpital, en tant que responsable de traitement, des obligations qu'aucun hébergeur ne peut assumer à sa place : définir une base légale, informer les patients, garantir leurs droits et conduire une AIPD pour les traitements de données de santé à grande échelle. Le non-respect peut coûter jusqu'à 20 millions d'euros ou 4 % du chiffre d'affaires annuel mondial.

La certification HDS, elle, est une exigence sectorielle française ancrée dans le Code de la santé publique : elle garantit que celui qui détient physiquement les données respecte un niveau de sécurité. Les deux sont complémentaires, pas interchangeables. Nous détaillons les devoirs du responsable de traitement dans notre guide sur le RGPD et les données de santé.

Vous pouvez héberger chez un prestataire HDS irréprochable et enfreindre le RGPD dès le premier jour, si votre usage n'est pas gouverné.

Quel référentiel HDS s'applique en 2026 : le référentiel HDS 2024 expliqué

La référence en vigueur est le référentiel HDS 2024, aligné sur la norme ISO/IEC 27001:2022. Tout prestataire ou document renvoyant encore à une version antérieure est périmé.

Le référentiel actualisé modernise les exigences et les fait correspondre aux standards internationaux de sécurité en vigueur, notamment ISO/IEC 27001:2022 pour le management de la sécurité de l'information, aux côtés des normes propres au cloud. Il clarifie les six activités d'hébergement et renforce les attentes sur l'exploitation, la transparence de la sous-traitance et la localisation des données.

Pour un DSI, le test pratique est simple : demander quelle version du référentiel le certificat couvre, et quand aura lieu le prochain audit. La certification n'est pas permanente : elle se maintient par des audits périodiques et des renouvellements.

En 2026, la seule bonne réponse à la question « quelle version du HDS ? » est le référentiel 2024 aligné sur ISO/IEC 27001:2022.

La certification HDS garantit-elle la souveraineté des données de santé ?

Pas à elle seule. Le référentiel fixe des exigences de localisation, mais la certification ne neutralise pas, à elle seule, les lois extraterritoriales auxquelles un prestataire peut être soumis.

La localisation et l'exposition juridique sont deux choses différentes. Un prestataire peut héberger les données au sein de l'Espace économique européen et appartenir malgré tout à un groupe soumis à une législation hors UE. La certification HDS ne tranche pas cette question : elle doit s'analyser contrat par contrat, avec les clauses de réversibilité et de sous-traitance.

C'est pourquoi la souveraineté s'apprécie au-delà du label. Galeon opère un cloud unique européen, certifié HDS et ISO 27001 et, pour l'IA, privilégie l'apprentissage décentralisé afin que les modèles puissent être entraînés pendant que les dossiers restent sur les serveurs de l'hôpital, une approche qui réduit, sans jamais les supprimer, les questions posées par le déplacement des données. Nous comparons les prestataires sur ces critères dans notre guide sur comment choisir son prestataire HDS.

Que doivent vérifier le DSI et le DG avant de signer ?

Lire le certificat pour son périmètre exact, puis attribuer tout ce qu'il ne couvre pas à un responsable identifié au sein du projet.

Pour le DSI

Vérifiez les activités exactes certifiées (infrastructure physique seule, ou infogérance comprise), la version du référentiel, les sous-traitants, la localisation des données et les modalités de réversibilité. Recoupez le prestataire sur la liste publique publiée sur esante.gouv.fr. Évaluez ensuite la couche applicative séparément : contrôles d'accès, journalisation, et structuration de la donnée elle-même.

Pour le DG

Considérez le HDS comme une ligne d'un dossier de risque plus large, et non comme la réponse complète. L'établissement reste responsable de traitement : la responsabilité RGPD, les obligations de secret médical et, le cas échéant, la gouvernance de l'IA restent à l'hôpital. Demandez à vos équipes quels risques le certificat ne couvre pas, et qui les porte.

Une signature ne protège l'hôpital que si elle est éclairée par ce que le certificat laisse de côté.

Tableau comparatif : lire le seul label HDS vs une approche par couches

Limites et enjeux à connaître

Il serait malhonnête de présenter le HDS comme une réponse complète au risque sur les données de santé. Voici les principales limites à garder en tête en 2026.

• Le HDS est nécessaire mais jamais suffisant. Il ne dit rien de la manière dont le logiciel protège ou utilise la donnée ; les risques les plus sensibles se situent souvent au-dessus de la couche d'hébergement.
• Le label masque son périmètre. Deux types de certificat et six activités : un prestataire peut être certifié pour la seule infrastructure physique, tout en sous-traitant l'exploitation dont vous dépendez réellement.
• Le HDS ne neutralise pas les lois extraterritoriales. Le référentiel fixe des exigences de localisation, mais l'exposition juridique d'un prestataire détenu par un groupe hors UE reste une analyse distincte, à mener au cas par cas.
• La conformité est une cible mouvante. Le référentiel 2024 s'aligne sur ISO/IEC 27001:2022, et la certification se maintient par des audits périodiques et des renouvellements, pas une fois pour toutes.
• Le client conserve l'essentiel de la responsabilité. RGPD, gouvernance des accès, secret médical et, le cas échéant, obligations dispositif médical ou AI Act restent à l'hôpital et à son éditeur de logiciel.

FAQ

La certification HDS est-elle obligatoire ?
Oui, pour quiconque héberge des données de santé à caractère personnel recueillies lors du soin. L'obligation est ancrée dans le Code de la santé publique, et le dispositif est supervisé par l'Agence du Numérique en Santé (ANS).

Le HDS signifie-t-il que mon projet est conforme au RGPD ?
Non. Le HDS sécurise l'hébergement, le RGPD encadre le traitement licite des données. Ils sont complémentaires mais distincts, et l'un ne remplace jamais l'autre.

Quelle est la différence entre les deux certificats HDS ?
L'un couvre l'hébergeur d'infrastructure physique (sites et matériel), l'autre l'hébergeur infogéreur, qui exploite le système d'information et sauvegarde les données. Ensemble, ils couvrent six activités d'hébergement.

Le cadre en vigueur est-il la version 2023 ou 2024 ?
La référence en vigueur est le référentiel HDS 2024, aligné sur ISO/IEC 27001:2022. Un certificat ou un document renvoyant à une version antérieure doit être mis à jour.

Un prestataire certifié HDS peut-il héberger des données hors d'Europe ?
Le référentiel impose des exigences de localisation au sein de l'Espace économique européen. Un prestataire détenu par un groupe hors UE peut malgré tout être certifié : l'exposition extraterritoriale doit donc s'évaluer séparément, contrat par contrat.

Le HDS certifie-t-il le logiciel DPI ?
Non. Il certifie la seule activité d'hébergement. La sécurité propre du logiciel, ses contrôles d'accès et sa sûreté clinique sont hors périmètre et doivent s'évaluer à part.

Comment vérifier la certification HDS d'un prestataire ?
Consultez la liste publique publiée sur esante.gouv.fr, et confirmez les activités exactes certifiées ainsi que les éventuels sous-traitants, plutôt que de vous fier au seul label « certifié HDS ».

En résumé

En 2026, la certification HDS prouve exactement une chose : que l'hébergement de vos données de santé, lorsqu'il est confié à un tiers, respecte un niveau de sécurité défini par le référentiel HDS 2024 aligné sur ISO/IEC 27001:2022. Elle ne certifie ni votre logiciel DPI, ni votre usage des données, ni votre conformité au RGPD, ni vos obligations dispositif médical et IA, et elle ne résout pas, à elle seule, les questions de souveraineté. Lire un certificat pour son périmètre exact, puis attribuer chaque risque non couvert à un responsable identifié, voilà ce qui sépare une ligne rassurante dans un appel d'offres d'un projet sécurisé. C'est l'approche sur laquelle Galeon s'appuie : un cloud unique européen, certifié HDS et ISO 27001, un DPI dont la donnée est structurée à la source et validée par les soignants, et, pour l'IA, un apprentissage décentralisé conçu pour que les modèles soient entraînés sans que les dossiers patients quittent l'hôpital.

Pour aller plus loin : lisez notre guide sur ce que chaque hôpital doit vérifier avant de signer un contrat HDS

Sources

• Agence du Numérique en Santé (ANS), Certification HDS, hébergeur de données de santé (six activités, deux certificats)
• Ministère de la Santé, Ségur du numérique en santé (programme de 2 milliards d'euros)
• RGPD, règlement (UE) 2016/679 (amendes jusqu'à 20 millions d'euros ou 4 % du CA mondial)
• CNIL, Obligations RGPD : base légale, minimisation, AIPD
• ISO/IEC 27001:2022, Systèmes de management de la sécurité de l'information
• Galeon, Certification HDS en 2026 : ce que chaque hôpital doit vérifier avant de signer
• Galeon, Hébergement de données de santé : comment choisir son prestataire HDS en 2026
• Galeon, RGPD et données de santé : ce que tout DSI d'hôpital doit savoir en 2026

‍