HDS v2 au 16 mai 2026 : reauditez votre hébergeur de santé

Le 16 mai 2026 met fin a la certification HDS v1.1

Le référentiel HDS (Hébergement de Données de Santé) a été publie en France par l'Arrete du 26 février 2018 et complete par l'Agence du Numérique en Santé (ANS, ex-ASIP). Tous les certificats delivres sous le référentiel v1.1 arrivent a terme le 16 mai 2026, sans renouvellement possible dans l'ancienne version. Les hébergeurs et leurs clients sont obliges de passer a HDS v2, qui integre ISO 27001:2022 (avec ses nouveaux controles cybersécurité), ISO 27017 (cloud), ISO 27018 (données personnelles dans le cloud), et ajoute une clause explicite de souveraineté des données imposant la localisation au sein de l'EEE et la non-applicabilite du CLOUD Act américain.

L'ANS a recense au début 2026 environ 270 hébergeurs certifies. Sur ce total, seuls 60 a 70 ont déjà obtenu la certification v2. Pour les 200 restants, la pression du recertification est concrete: si le certificat expire avant que le nouveau soit émis, l'hebergeur perd le droit d'heberger des données de santé pendant le delta de temps, et le client client se retrouve en violation du Code de la Santé Publique.

Qui est concerne au-delà des hôpitaux

La définition de "donnee de santé" sous l'article L1111-8 du CSP est large et capture des organisations qui ne se considèrent pas comme acteurs de santé. Sont concernés:

• Services de médecine du travail: dossiers de visite, certificats d'aptitude, données d'exposition professionnelle
• RH d'entreprise: arrêts maladie, justificatifs de longue maladie, dossiers d'invalidite
• Mutuelles et complémentaires santé: dossiers de remboursement, factures médicales, ordonnances
• Laboratoires de recherche et biobanques: échantillons biologiques traces, données génomiques
• Applications de bien-être et fitness collectant données médicales (tension, glycémie, rythme cardiaque continu)
• Éditeurs de DMP / SaaS de tele-consultation
• Cabinets de médecine du sport, kinésithérapeutes, dietitiens en exercice libéral

Le test pratique est: si l'application stocke une donnée qui revele un état de santé d'une personne identifiable, et si cette donnée est traitée dans un cloud, l'hebergeur de ce cloud doit être certifie HDS. Y compris si l'utilisateur final est un salarie et non un patient.

Ce qui change de v1.1 a v2

Le saut technique est plus important qu'il n'y parait sur le papier. Trois familles de controles supplémentaires apparaissent:

1. Cybersécurité avancée selon ISO 27001:2022: gestion des journaux, surveillance continue, réponse a incident dans des délais explicites (notification CNIL et ANSSI sous 72 heures)
2. Souveraineté et localisation: tous les flux de données doivent être traceables, tout transfert hors EEE necessite une analyse formelle de transfert et des garanties supplémentaires (clauses contractuelles types et mesures techniques)
3. Réversibilité: l'hebergeur doit garantir la portabilité des données vers un autre prestataire ou vers les serveurs du responsable de traitement, dans un format réutilisable, dans un délai contractuellement défini (en général 30 jours apres demande)

La clause de souveraineté est celle qui ferme la porte a plusieurs offres cloud américaines populaires. Un cloud hyperscaler américain peut maintenir la certification HDS uniquement s'il etablit des entités juridiques européennes distinctes, isolées du CLOUD Act, avec un controle d'acces inaccessible aux entités parentes. Toutes les déclarations marketing en la matière ne se traduisent pas en certification.

Activité 5 contre activité 6: la nuance qui change tout

Le référentiel HDS distingue 6 activités: 1) hébergement physique, 2) hébergement virtuel, 3) hébergement logiciel, 4) hébergement applicatif, 5) administration et exploitation, 6) sauvegarde externalisée. La plupart des SaaS de gestion documentaire qui prétendent être "compatibles HDS" sont certifies sur les activités 1 et 2 (infrastructure) mais pas sur les activités 5 et 6, qui sont pourtant celles qui couvrent les opérations courantes et l'archivage long-terme.

Un cabinet d'avocats specialise en droit de la santé qui externalise l'archivage des dossiers médicaux de ses clients vers un prestataire certifie uniquement infrastructure ne satisfait pas ses obligations. Le prestataire doit être certifie pour l'activite 6 (sauvegarde) et 5 (administration) au minimum, sinon le sauvegarde des données médicales est juridiquement nulle.

NF Z42-013 et HDS: empiler les certifications

La norme NF Z42-013 reste la reference de l'archivage électronique a valeur probante en France, quel que soit le secteur. Pour la santé, NF Z42-013 et HDS se complitent: NF Z42-013 garantit la valeur probante (intégrité, lisibilité, pérennité), HDS garantit l'hebergement sectoriel (cybersécurité, localisation, réversibilité). Le bon prestataire pour un cabinet de santé porte les deux certifications simultanément. C'est une exigence rare, et le filtre des prestataires se réduit considérablement.

Une commande de marche public santé explicite en 2026 reclame typiquement: HDS v2 activités 1 a 6, NF Z42-013 sur le service d'archivage, ISO 27001:2022 organisationnelle, certification SecNumCloud pour les données a forte sensibilité. Les SaaS qui n'ont qu'une partie sont elimines au stade de la qualification administrative.

Sanctions CNIL: jusqu'a 20 millions ou 4 pour cent

L'hebergement de données de santé par un prestataire non certifie HDS est une violation du Code de la Santé Publique. La CNIL applique en parallèle les sanctions du RGPD, qui montent jusqu'a 20 millions d'euros ou 4 pour cent du chiffre d'affaires mondial. En 2023 et 2024, plusieurs amendes françaises se sont approchées du million d'euros pour des violations d'hebergement, et la tendance est a la hausse. Mai 2026 sera un mois d'arbitrage: les hébergeurs sans certificat v2 ne pourront plus recevoir de nouveaux clients, et les clients existants devront soit attendre la recertification de leur prestataire soit migrer en urgence vers un prestataire déjà certifie. Les délais de migration des bases volumineuses (plusieurs To de dossiers radiologiques) atteignent 90 jours, ce qui place la décision a la mi-février 2026 au plus tard.