Hébergement de données de santé (HDS) : le comparatif

Héberger des données de santé n'a rien d'un hébergement ordinaire. La sensibilité de ces données et la réglementation imposent un cadre strict, dont la pierre angulaire est la certification HDS, pour hébergeur de données de santé. Tout acteur qui traite des données de santé à caractère personnel doit s'appuyer sur un hébergeur certifié. C'est un sujet de conformité avant d'être un sujet technique. Voici comment j'aborde l'hébergement de données de santé.

Qu'est-ce que la certification HDS ?

La certification HDS encadre l'hébergement des données de santé à caractère personnel. Elle garantit que l'hébergeur respecte des exigences strictes de sécurité, de confidentialité, de disponibilité et de traçabilité, adaptées à la sensibilité de ces données. En pratique, dès qu'une organisation traite ou héberge des données de santé identifiantes, dans le cadre d'un service de soin, d'une application médicale ou d'un logiciel de santé, elle doit recourir à un hébergeur certifié HDS. Ce n'est pas une option ni une bonne pratique, c'est une obligation réglementaire. Comprendre cela est essentiel, car héberger des données de santé chez un hébergeur non certifié expose à des risques juridiques sérieux, en plus du risque pour les personnes concernées.

Les hébergeurs certifiés HDS

Plusieurs hébergeurs disposent de la certification HDS et peuvent donc héberger des données de santé en conformité. OVHcloud propose des offres certifiées HDS, avec un ancrage français. Scaleway figure également parmi les acteurs proposant un hébergement conforme. Infomaniak s'inscrit aussi dans cette démarche de sérieux sur la sécurité et la conformité. Mon conseil est de toujours vérifier explicitement que l'offre précise que vous souscrivez est bien couverte par la certification HDS, car un hébergeur peut proposer à la fois des offres certifiées et non certifiées. La certification s'applique à des services précis, et c'est ce périmètre exact qu'il faut confirmer avant de confier des données de santé.

Pourquoi deux devis « HDS » ne se comparent pas

C'est la question que tout le monde pose en premier — combien ça coûte — et celle à laquelle aucun comparatif ne répond correctement, parce qu'il manque une distinction que l'autorité elle-même pose.

La plupart des pages sur le sujet décrivent la certification comme un bloc de six activités. L'Agence du numérique en santé la présente autrement, et c'est cette lecture qui compte pour votre budget : « La certification HDS donne lieu à l'obtention de deux types de certificats ».

Le premier, « Hébergeur d'infrastructure physique », couvre le matériel et les salles : « la mise à disposition, le maintien en condition opérationnelle de l'infrastructure matérielle du système d'information utilisé pour le traitement de données de santé ». Le second, « hébergeurs infogéreurs », couvre tout ce qui vit au-dessus : l'infrastructure virtuelle, la plateforme d'hébergement d'applications, « l'administration et l'exploitation du système d'information contenant les données de santé » et « la sauvegarde externalisée des données de santé ».

Un prestataire peut ne détenir que le premier. Son offre est alors parfaitement conforme, et parfaitement incomparable avec celle d'un infogéreur : vous achetez des murs et du fer d'un côté, l'exploitation de votre SI de l'autre. C'est la première raison d'un écart de prix qui paraît incompréhensible, et le premier point à vérifier avant de demander un tarif.

Deux précisions que les pages commerciales passent sous silence. La première tient au déclenchement de l'obligation : elle vise « Toute personne physique ou morale qui héberge des données de santé à caractère personnel recueillies à l'occasion d'activités de prévention, de diagnostic, de soins ou de suivi médico-social » pour le compte d'un tiers ou du patient. La seconde est une exemption que beaucoup ignorent : « Les établissements de santé qui gèrent leur propre Système d'Information de santé n'ont pas la nécessité d'être certifié HDS. »

La démarche concrète tient donc en trois questions, dans cet ordre : hébergez-vous pour le compte d'un tiers, quel certificat détient exactement le prestataire, et sur quel périmètre. Le tarif ne vient qu'après, et il ne veut rien dire avant.

Lire la liste officielle, et ce qu'elle révèle sur un prestataire

Nous vous disions plus haut de vérifier quel certificat détient votre hébergeur. Voici comment le faire, parce que la liste officielle se lit moins facilement qu'il n'y paraît et qu'elle contient deux informations que personne ne relaie.

L'Agence du numérique en santé publie la liste des hébergeurs certifiés, tenue à jour, dans le cadre de la procédure « précisée par le décret 2018-137 du 26 février 2018 ». Chaque ligne porte le nom de l'hébergeur, puis « les activités pour lesquelles l'hébergeur est certifié et la version du référentiel concerné ».

Première chose à regarder, les numéros d'activités. Ils vont de 1 à 6 et reprennent les six activités du référentiel, de la mise à disposition des sites physiques jusqu'à « la sauvegarde de données de santé ». Un hébergeur peut n'en détenir qu'une partie, et c'est fréquent : on trouve dans la liste des prestataires certifiés sur les seules activités 4 et 5, d'autres sur 1, 2, 3 et 6, d'autres encore sur les six. Un prestataire certifié sur deux activités est parfaitement conforme, mais il ne vend pas la même chose que celui qui les couvre toutes. C'est là que se logent les écarts de prix.

Seconde chose, et elle est facile à manquer : la version du référentiel. L'agence précise que « Les hébergeurs pour lesquels aucune version n'est précisée ont été certifiés sur la version 1.1 », et que pour ceux certifiés en version 2.0, « le ou les liens vers la présentation des garanties sont disponibles au clic sur le libellé correspondant ». Autrement dit, une ligne muette sur la version renvoie au référentiel précédent. Ce n'est pas disqualifiant en soi, mais c'est une question à poser.

Enfin, la troisième colonne est celle que personne n'utilise et qui vaut le détour. Elle mène « vers le site de l'organisme ayant certifié l'hébergeur auprès de qui vous pouvez demander une confirmation de la validité du certificat ». Vous n'êtes donc pas réduit à croire une page commerciale : l'organisme certificateur confirme, ou non, que le certificat court toujours. C'est le seul contrôle qui vous protège d'un certificat expiré entre deux mises à jour de plaquette.

Au-delà de la certification : sécurité et souveraineté

La certification HDS est la condition de base, mais la sécurité des données de santé va au-delà. La localisation des données compte particulièrement : héberger en France ou en Europe, sous droit européen, renforce la protection face aux législations extra-territoriales, un enjeu sensible pour des données aussi personnelles. Les mesures de sécurité, la gestion des accès, la traçabilité et la capacité de l'hébergeur à accompagner votre conformité sont également déterminantes. Je conseille de traiter l'hébergement de données de santé comme un projet de conformité à part entière, où le choix de l'hébergeur n'est qu'une brique d'une démarche plus large incluant vos propres pratiques. La sensibilité de ces données ne laisse pas de place à l'approximation.

Responsabilités partagées et conformité globale

Choisir un hébergeur certifié HDS est nécessaire, mais ne suffit pas à être en règle, et c'est une nuance importante. La certification garantit que l'hébergement répond aux exigences, mais la conformité globale dépend aussi de vos propres pratiques. La responsabilité est partagée : l'hébergeur sécurise l'infrastructure, mais c'est à vous de gérer correctement les accès, les droits des utilisateurs, le consentement des personnes et le respect du RGPD dans le traitement des données. Un hébergement HDS impeccable ne compense pas des pratiques internes négligentes. Je conseille donc d'aborder le sujet comme une démarche de conformité d'ensemble, où l'hébergement certifié est une brique essentielle mais une brique parmi d'autres. Travailler avec un hébergeur qui sait accompagner ses clients sur ces questions est un vrai plus, car la conformité des données de santé est un domaine exigeant où l'erreur a des conséquences sérieuses, pour l'organisation comme pour les personnes dont les données sont en jeu.

Comment je choisis un hébergement de données de santé

Ma démarche est claire. Je vérifie en premier lieu et sans exception que l'hébergeur et l'offre précise sont bien certifiés HDS, je privilégie une localisation des données en France ou en Europe pour la souveraineté, je regarde les garanties de sécurité, de traçabilité et d'accompagnement à la conformité, et j'inscris ce choix dans une démarche globale de protection des données. Le meilleur hébergement de données de santé n'est pas le plus performant ou le moins cher, c'est celui qui garantit la conformité HDS et la sécurité que ces données exigent. Comparez les offres ci-dessous en faisant de la certification un critère non négociable.