France : la certification HDS pour les données de santé

Qui a besoin de la certification HDS ?

L’art. L1111-8 du Code de la santé publique s’applique à quiconque héberge des données de santé à caractère personnel pour le compte de tiers : pour le médecin, la clinique, l’établissement médico-social ou le patient lui-même. Sont concernées les données recueillies lors d’activités de prévention, de diagnostic, de soins ou de suivi social et médico-social. Quiconque les héberge sur support numérique doit détenir un certificat de conformité, le certificat HDS. L’hébergement exige en outre un contrat.

La certification s’obtient par activité. L’art. R1111-9 en énumère six :

N°	Activité	Exemple
1	Mise à disposition et maintien en condition opérationnelle des sites physiques	Centre de données
2	Mise à disposition et maintien en condition opérationnelle de l’infrastructure matérielle	Serveurs, stockage
3	Mise à disposition et maintien en condition opérationnelle de l’infrastructure virtuelle	Serveurs virtuels, conteneurs
4	Mise à disposition et maintien en condition opérationnelle de la plateforme d’hébergement d’applications	Couche logicielle sur laquelle tourne l’application
5	Administration et exploitation du système d’information contenant les données de santé	Exploitation à distance, mises à jour, incidents
6	Sauvegarde externalisée des données de santé	Sauvegarde dans un autre centre de données

Qu’est-ce qui a changé avec le référentiel de 2024 ?

Le nouveau référentiel a été fixé par l’arrêté du 26 avril 2024 et publié au Journal officiel le 16 mai 2024. Les nouveaux prestataires sont évalués selon ce référentiel depuis le 16 novembre 2024 ; les prestataires déjà certifiés avaient jusqu’au 16 mai 2026 pour s’y conformer. Les points essentiels :

• Données dans l’EEE : les données de santé sont hébergées exclusivement dans l’Espace économique européen.
• Transparence envers les clients : si un accès depuis un État hors de l’UE est possible ou si l’hébergeur est soumis aux lois d’un tel État, le contrat indique les risques et les contre-mesures.
• Transparence envers le public : l’hébergeur publie un aperçu des transferts vers des États hors de l’EEE.

La certification HDS protège moins contre les accès depuis l’extérieur de l’UE que SecNumCloud. SecNumCloud →

Qu’est-ce que cela signifie pour l’IA et les données de santé ?

Toute IA qui fonctionne dans le cloud d’un fournisseur et traite des données de santé héberge ces données, au moins brièvement : documents, historiques de conversation, index de recherche. Le fournisseur a donc besoin du certificat HDS pour les activités qu’il prend en charge, de même que chaque sous-traitant ultérieur, par exemple le centre de données.

Si l’IA tourne sur un serveur dans votre établissement et que votre DSI l’exploite, vous hébergez vous-même. La CNIL privilégie d’ailleurs en règle générale cette voie lorsque des données personnelles ou confidentielles sont en jeu. Si un prestataire assure l’exploitation à distance, l’activité 5 peut s’appliquer.

Question au fournisseur	Pourquoi
Pour lesquelles des activités 1 à 6 êtes-vous certifié, et jusqu’à quand ?	Le certificat doit correspondre à ce que fait le fournisseur
Quels sous-traitants ultérieurs hébergent des données, et sont-ils certifiés ?	La chaîne doit être complète
Où se trouvent les données et les sauvegardes ?	Uniquement dans l’EEE
Un État hors de l’UE peut-il y accéder ?	Doit figurer dans le contrat

Comment cela fonctionne-t-il avec basebox ?

basebox n’a pas encore la certification HDS ; elle est prévue. D’ici là, basebox propose en France uniquement le serveur, exploité par la DSI de votre établissement. Le cloud n’est pas proposé en France, pas plus que l’exploitation du serveur par basebox ni un serveur dans un centre de données de basebox : une exploitation à distance avec accès aux données de santé relèverait de l’activité 5 selon l’art. R1111-9 (administration et exploitation), et celle-ci exige le certificat.

Notre partenaire matériel FAST LTA livre le serveur en France ; il est alors installé dans votre établissement. Sur demande, le serveur fonctionne sans Internet, avec le modèle d’IA, les documents, les apps, les droits et les journaux ; basebox n’a pas accès à vos données. La sauvegarde reste chez vous, avec vos outils.

L’interface et le support sont disponibles en allemand et en anglais, pas en français. Le serveur →

Pas un conseil juridique : savoir si une activité constitue un hébergement au sens de l’art. L1111-8 dépend du cas d’espèce ; l’Agence du numérique en santé répond aux questions à ce sujet. Recherches à jour au 11 octobre 2026.