Quand il s’agit d’hébergement de données de santé, la première chose à comprendre, c’est que vous ne cherchez pas juste un “hébergement”.
Vous confiez vos données à quelqu’un. Et ce quelqu’un doit être digne de confiance, conforme, et disponible.
En 2026, héberger des données de santé, ce n’est plus une simple ligne dans un contrat de prestataire. Réglementations, certifications, enjeux de souveraineté… la moindre approximation peut se retourner contre vous : contre la sécurité des données de vos patients, et contre la crédibilité de votre entreprise.
Vous n’avez jamais entendu parler de HDS avant ? Vous souhaitez plus d’informations ? Faites un tour ici
Aujourd’hui, il existe mille façons d’héberger des données de santé
Sur ses propres serveurs, dans un datacenter en France, chez un géant américain, dans une appli SaaS qu’on adore mais dont on ignore tout du backend…
Et pourtant, une seule constante : on est responsable de son choix.
Vous éditez un logiciel de santé ?
Pour aller dans le dur dès le début, il faut être clair : Aujourd’hui, les professionnels de santé utilisent des logiciels métiers… sans toujours savoir où leurs données sont stockées, qui les héberge, et sous quelle responsabilité. En réalité, l’éditeur du dit logiciel devient l’acteur clé dans la chaîne de confiance.
C’est lui qui choisit le modèle d’hébergement, les partenaires, et qui assure (ou non) la conformité du traitement.
Un point souvent oublié : HDS ne s’arrête pas à l’infrastructure. Les activités 3 et 4 du référentiel couvrent aussi l’infrastructure virtuelle et la plateforme d’hébergement d’applications, autrement dit ce qu’on appellerait ailleurs du PaaS. Si votre logiciel est proposé en mode SaaS, la brique applicative doit elle-même être couverte par une certification HDS, en plus de l’infrastructure sous-jacente. Vérifier que le datacenter est certifié ne suffit pas si la couche applicative ou d’exploitation ne l’est pas.
Certification HAS
Concerne le logiciel en lui-même : fonctionnalités, interopérabilité, conformité aux référentiels métiers. Délivrée par la Haute Autorité de Santé.
Certification HDS
Concerne l’environnement d’hébergement dans lequel les données de santé sont stockées : sécurité, accès, sauvegardes, traçabilité. Obligatoire dès lors qu’un prestataire stocke ou traite des données de santé pour un tiers.
Trois idées reçues qu’on entend (encore) beaucoup trop souvent
Non. Non et encore non. C’est un raccourci dangereux : être hébergé chez un certifié ne vous certifie pas vous-même.
Non plus. Être hébergé chez un tiers certifié ne vous dispense pas de vos propres obligations en tant que responsable de traitement.
C’est un début, mais ce n’est pas une preuve.
Concrètement, que couvre la certification HDS ?
Depuis la version 2.0 du référentiel, obligatoire pour tous les hébergeurs depuis le 16 mai 2026, il n’existe plus de distinction entre « hébergeur d’infrastructure physique » et « hébergeur infogéreur ». La certification se décompose en 6 activités indépendantes, sur lesquelles un prestataire peut être certifié en tout ou partie :
La version 2.0 a aussi ajouté trois exigences de souveraineté qui n’existaient pas dans l’ancien référentiel :
- Hébergement physique dans l’Espace économique européen (UE + Norvège, Islande, Liechtenstein), obligatoire sans exception.
- Transparence renforcée sur tout accès distant depuis un pays hors UE : l’hébergeur doit être clair sur qui accède à quoi, et depuis où.
- Alignement du système de management de la sécurité sur la norme ISO 27001:2022, version la plus récente de la norme.
Chez Nubevia, la certification HDS (n° FR101758, délivrée par Bureau Veritas) couvre les 6 activités, sans exception, sur l’ensemble de nos sites en France et en Martinique. Nous sommes également certifiés ISO 27001:2022 sur ce même périmètre. Concrètement, ça veut dire que les équipes qui opèrent nos datacenters sont les mêmes qui gèrent l’exploitation et la sauvegarde des systèmes : pas d’intermédiaire, pas de rupture de responsabilité entre le physique et l’exploitation.
La liste complète des hébergeurs certifiés, activité par activité, est consultable sur l’annuaire officiel de l’Agence du Numérique en Santé.
À ne pas confondre avec SecNumCloud. HDS n’est pas le seul référentiel qui monte en puissance en France. SecNumCloud, délivré par l’ANSSI, est une qualification plus large et plus stricte, qui porte sur l’ensemble d’une offre cloud (pas seulement l’hébergement de données de santé) : localisation des équipes, structure de l’actionnariat, absence de soumission à des législations extra-européennes. Les deux référentiels ne couvrent pas le même périmètre, et un hébergeur peut être certifié HDS sans être qualifié SecNumCloud. Aujourd’hui, HDS reste la référence obligatoire pour héberger des données de santé ; SecNumCloud est un chantier réglementaire à suivre de près, notamment pour le secteur public et les acteurs les plus critiques.
Mais alors, pourquoi je devrais payer un hébergeur certifié HDS alors que je peux stocker mes données chez moi ?
Bonne question, et elle revient souvent, surtout au moment de se lancer ou de structurer son activité numérique. Elle est parfaitement légitime.
Mais honnêtement, la majorité des professionnels de santé ne se posent même pas la question de l’hébergement. Ils choisissent un logiciel, supposent qu’il est “certifié”, et espèrent que tout est conforme.
Ce qui rend la responsabilité de l’éditeur encore plus cruciale car c’est à l’éditeur d’assumer toute la chaîne de conformité, HDS inclus.
La réponse est : oui, il est possible d’héberger soi-même ses données de santé. Mais c’est une démarche qui engage entièrement votre responsabilité, et qui comporte des risques souvent sous-estimés.
En tant que professionnel de santé, vous avez le droit de stocker et de traiter les données de vos propres patients, à condition de :
- être le responsable légal du traitement,
- ne pas externaliser l’hébergement ou la gestion des données,
- respecter le RGPD et les exigences spécifiques aux données de santé : sécurité, traçabilité, accès restreint, conservation, etc.
Techniquement, vous pouvez acheter un serveur, l’installer dans votre local, et tout faire en interne.
Mais… ⚠️ La charge de la conformité repose entièrement sur vous.
Vous devrez assurer la sécurité physique et logique, tenir un registre RGPD, gérer les droits des patients, rédiger une politique de confidentialité, garantir la disponibilité 24/7… Autrement dit, vous devenez votre propre DPO, RSSI, administrateur système et juriste RGPD.
Le coût réel, ce n’est pas l’hébergement. C’est le risque.
« Le coût de la sécurité est toujours inférieur au coût de la négligence. »
💾 Sauvegardes, anonymisation, externalisation : ce qu’on peut faire (ou pas)
Parce que le sujet ne s’arrête pas à « où héberger », voici trois points clés souvent mal compris, mais essentiels pour rester conforme.
Et les données anonymisées, alors ?
Et là c’est là que ça devient subtil.
Si les données sont réellement anonymisées (aucun moyen de ré-identifier la personne, même indirectement), alors ce ne sont plus des données personnelles, donc pas soumises à l’obligation HDS.
❗Mais dans beaucoup de cas, on parle pas d’anonymisation mais de pseudonymisation : elles restent juridiquement des données de santé à caractère personnel. Donc elles doivent être hébergées dans un environnement certifié.
Quand vous pensez “anonymisation”, demandez-vous si un croisement de données ou un détail technique permettrait de retrouver l’identité d’un patient. Si oui, alors… ce n’est pas anonyme. Et donc, HDS obligatoire.
Et Microsoft alors ? Pourquoi pas moi ?
C’est probablement la question que beaucoup de professionnels ou prestataires se posent en lisant cet article :
“Si l’État met les données de l’Assurance Maladie chez Microsoft Azure, pourquoi moi je devrais m’embêter avec un hébergeur certifié HDS en France ?”
C’est une vraie question. Et elle mérite une vraie réponse.
1. Parce que le projet EMC2 (Assurance maladie) est une exception, pas une règle.
2. Parce que le risque juridique n’est pas le même pour vous. (Coucou le Cloud Act)
3. Parce que le “ils le font” n’est pas une stratégie.
Concrètement, le Cloud Act américain de 2018 permet aux autorités des États-Unis d’exiger l’accès à des données hébergées par une entreprise américaine, y compris via sa filiale européenne, même si ces données sont physiquement stockées en Europe. Ça ne veut pas dire que Microsoft Azure viole le RGPD au quotidien. Ça veut dire que la protection juridique dépend de la nationalité de l’entité qui héberge, pas seulement de l’endroit où sont les serveurs. Un hébergeur français, soumis uniquement au droit français et européen, n’a pas cette même exposition.
D’ailleurs, la tendance s’inverse y compris au plus haut niveau de l’État : en avril 2026, le Health Data Hub a finalement annoncé sa migration de Microsoft vers Scaleway, hébergeur français filiale d’Iliad, mettant fin à des années de polémiques juridiques. La question n’est plus « pourquoi pas un cloud américain ? », mais « êtes-vous prêt à assumer un risque que la puissance publique elle-même a décidé d’abandonner ? »
En résumé : l’État peut faire des compromis stratégiques. Vous, vous devez faire des choix responsables.
Et si tout ça vous semble encore flou… C’est normal. La réglementation est complexe, l’écosystème parfois contradictoire, et les obligations pas toujours bien expliquées.
Chez Nubevia, notre métier n’est pas juste d’héberger des données, mais d’aider à comprendre ce que vous avez réellement besoin de faire. Nous savons que la conformité ne s’improvise pas, surtout dans des contextes aussi sensibles que la santé.
📚 À noter : la liste officielle des hébergeurs certifiés HDS est disponible publiquement sur le site de l’Agence du Numérique en Santé. Consulter la liste des hébergeurs HDS
🔚 À retenir
Chez Nubevia, nous sommes certifiés HDS sur l’ensemble des 6 activités du référentiel, et alignés ISO 27001:2022 sur ce même périmètre. Concrètement, ça veut dire un interlocuteur identifiable en cas de question ou d’incident, une architecture que nos équipes connaissent parce qu’elles l’opèrent elles-mêmes, et un engagement réel, pas une clause standard perdue dans un contrat.
C’est cette logique, claire et vérifiable, qu’on essaie de tenir pour les professionnels de santé, éditeurs et établissements qui nous confient leurs données.
Besoin d’un avis sur votre situation ou d’un accompagnement ? Contactez-nous
Vincent
Nubevia – Hébergement souverain certifié HDS