Imaginez une clinique privée qui migre son dossier patient vers le cloud. Le commercial promet « conformité santé », le contrat évoque le RGPD, le site affiche un cadenas et une phrase rassurante sur les datacenters européens. Six mois plus tard, l'audit révèle que le périmètre certifié ne couvre que le stockage objet — pas la base applicative — et que les sauvegardes transitent par une région hors France. Ce scénario n'est pas une fiction de consultant : c'est le type d'écart que nous retrouvons régulièrement en lisant les attestations HDS au pied de la lettre.
La question n'est donc pas « mon hébergeur est-il sérieux ? ». Elle est plus précise, et plus dérangeante : où vivent réellement vos données de santé, sous quel statut juridique, et sur quel périmètre technique exact ?
Ce que le HDS est — et ce qu'il n'est pas
La certification Hébergeur de Données de Santé (HDS) encadre, en France, l'hébergement de données de santé à caractère personnel. Elle ne remplace ni le RGPD, ni une analyse d'impact, ni votre propre responsabilité de responsable de traitement. Elle atteste qu'un périmètre défini a été audité selon un référentiel exigé par les autorités.
Autrement dit : le HDS n'est pas un label de confiance générique. C'est une photographie contractuelle et technique. Deux hébergeurs « HDS » peuvent offrir des garanties radicalement différentes selon que la certification porte sur un cloud privé dédié, une offre managée, ou seulement une brique isolée de l'infrastructure.
Beaucoup d'équipes achètent un badge. Très peu lisent le numéro d'attestation, la date d'expiration et — surtout — le périmètre décrit en annexe.
RGPD, HDS, SecNumCloud : trois couches, une seule décision
Le marketing mélange volontiers ces acronymes. Pour un projet santé, il faut les séparer.
Le RGPD fixe les règles générales du traitement des données personnelles en Europe : base légale, minimisation, droits des personnes, sous-traitance. Tout hébergeur européen sérieux doit pouvoir s'y conformer — ce n'est pas un différenciateur santé.
Le HDS ajoute une couche sectorielle française : exigences de sécurité, de traçabilité, de continuité et de gouvernance spécifiques aux données de santé. Sans HDS sur le bon périmètre, vous exposez l'établissement et l'éditeur à un risque réglementaire direct.
SecNumCloud, de son côté, répond surtout à la question de la souveraineté opérationnelle face aux lois extraterritoriales. Utile pour certaines charges sensibles, il ne dispense pas du HDS quand des données de santé sont en jeu. Les deux certifications peuvent coexister chez un même acteur ; elles ne disent pas la même chose.
Comment lire une attestation sans se faire berner
Avant de signer, demandez l'attestation en cours de validité — pas un extrait marketing, pas une capture de page « conformité ». Puis vérifiez quatre éléments, dans cet ordre.
D'abord la date de validité. Une certification expirée ou en renouvellement n'est pas un détail administratif : c'est un trou de couverture. Ensuite le périmètre. Couvre-t-il le mutualisé, le VPS, le Kubernetes managé, le stockage objet, les sauvegardes, l'infogérance ? Beaucoup d'écarts se nichent ici. Puis la localisation des traitements et des réplicas. Enfin l'identité des sous-traitants éventuels — y compris cloud public sous-jacent.
| Élément à vérifier | Ce qu'il révèle | Signal d'alerte |
|---|---|---|
| Numéro & date d'attestation | Validité réelle de la certification | Attestation absente, floue ou périmée |
| Périmètre technique | Ce qui est vraiment audité | « Offre cloud » sans préciser les briques |
| Régions / datacenters | Lieu de résidence des données et copies | Réplication hors UE non documentée |
| Sous-traitance | Qui touche réellement l'infrastructure | Chaîne opaque ou Cloud Act non adressé |
Cette lecture froide change souvent la short-list. Un hébergeur moins connu mais transparent sur son périmètre peut être plus sûr, pour un dossier patient, qu'un géant dont seule une offre enterprise est certifiée.
Ce que montre le terrain chez les hébergeurs francophones
Nous avons croisé les fiches publiques et les signaux de conformité de plusieurs acteurs visibles sur le marché francophone. Trois noms ressortent clairement côté HDS dans notre annuaire : OVHcloud, 3DS Outscale et Cloud Temple.
Cela ne signifie pas qu'ils sont interchangeables. OVHcloud dispose d'une offre large, où la question du bon produit certifié reste centrale. 3DS Outscale se positionne sur le cloud souverain français. Cloud Temple insiste davantage sur le cloud de confiance et les exigences élevées de souveraineté. Dans les trois cas, le travail commence après le logo HDS : il faut mapper votre architecture (applicatif, base, fichiers, backups, logs) sur le périmètre réellement couvert.
D'autres hébergeurs excellents pour un blog, une boutique ou une API — et parfois exemplaires sur le RGPD ou l'ISO 27001, comme Infomaniak — ne sont tout simplement pas dans le jeu HDS. Infomaniak l'indique d'ailleurs clairement : aucune certification HDS n'est prévue. Ce n'est pas un défaut moral. C'est un positionnement. Le problème naît quand le discours commercial laisse entendre le contraire.
Le sommet : la certification ne dit pas où vivent vos données
Voici le point que les pages marketing évitent soigneusement.
C'est le sommet de l'enquête : le risque le plus fréquent n'est pas l'absence totale de certification. C'est l'illusion de couverture. On croit avoir choisi un hébergeur « santé », alors qu'on a seulement acheté une offre voisine du périmètre certifié, ou une région différente, ou une couche managée hors attestation.
Tant que vous ne pouvez pas tracer le chemin complet — production, sauvegardes, logs, support d'administration — vous ne savez pas où sont stockées vos données de santé. Vous savez seulement où le commercial aimerait que vous croyiez qu'elles sont.
Construire une décision solide, projet par projet
Plutôt qu'une checklist magique, partez de votre réalité clinique ou produit. Quelles données sont vraiment des données de santé ? Qui est responsable de traitement ? Avez-vous besoin d'infogérance, ou seulement d'infrastructure ? Votre éditeur logiciel impose-t-il déjà un cloud ?
Ensuite seulement, alignez l'hébergeur. Exigez l'attestation, faites relire le périmètre par quelqu'un qui comprend l'architecture, et refusez les formulations vagues du type « compatible santé » ou « prêt RGPD / HDS ». Si le projet est critique, la combinaison HDS + clarté contractuelle sur la localisation bat presque toujours le discours souveraineté sans preuve.
Pour comparer concrètement les acteurs européens et filtrer ceux qui affichent une conformité santé, commencez par notre annuaire d'hébergeurs et le guide RGPD, HDS, SecNumCloud — qui a besoin de quoi ?.
Questions fréquentes
Qu'est-ce que la certification HDS ?
HDS (Hébergeur de Données de Santé) est une certification française obligatoire pour héberger des données de santé à caractère personnel. Elle impose un audit de sécurité, de traçabilité et de gouvernance sur un périmètre précis — pas sur toute l'offre commerciale d'un hébergeur.
Un hébergeur RGPD est-il automatiquement HDS ?
Non. Le RGPD s'applique à tout traitement de données personnelles en Europe. Le HDS est une obligation sectorielle française beaucoup plus stricte. Confondre les deux reste l'erreur la plus fréquente chez les porteurs de projet.
Faut-il du HDS pour un simple agenda médical en ligne ?
Dès qu'un service traite des données de santé à caractère personnel pour le compte d'un établissement ou d'un professionnel, le cadre HDS s'applique en principe. Un agenda qui stocke motifs de consultation, antécédents ou documents médicaux n'est pas un cas « hors sujet ».
HDS et SecNumCloud, quelle différence ?
Le HDS cible les données de santé. SecNumCloud, délivré par l'ANSSI, vise surtout la protection contre l'accès extraterritorial pour des charges sensibles. Les deux se complètent parfois ; ils ne se substituent pas.
La prochaine fois qu'un devis mentionnera la « conformité santé », posez une seule question : montrez-moi le périmètre. Si la réponse tient en un slogan, ce n'est pas encore une réponse.