Un mauvais choix d'hébergeur de données de santé peut coûter bien plus qu'un simple désagrément technique. L'affaire Dedalus Biologie l'a démontré en 2022 : 491 840 dossiers médicaux exposés en ligne, une amende CNIL de 1,5 million d'euros, et une atteinte durable à la confiance des patients. La fuite, révélée en février 2021, avait pour origine un serveur FTP utilisé pour migrer des données de laboratoires d'analyses médicales, accessible sans aucune authentification depuis novembre 2020. L'ANSSI avait pourtant signalé la vulnérabilité fin 2020 sans que Dedalus n'y remédie. La CNIL a retenu des manquements aux articles 28 §3, 29 et 32 du RGPD, notamment le traitement de données sans instructions du responsable de traitement et l'absence de mesures de sécurité suffisantes. Au-delà de cette sanction, le Code de la santé publique prévoit jusqu'à 3 ans d'emprisonnement et 45 000 euros d'amende pour les dirigeants, tandis que le RGPD autorise des amendes pouvant atteindre 20 millions d'euros ou 4 % du chiffre d'affaires mondial. CONNECT AVOCATS, cabinet intervenant sur toute la France et compétent en droit du numérique et en protection des données personnelles, accompagne les entreprises confrontées à ces enjeux à la croisée du juridique et du technique. Trois questions clés méritent d'être posées avant de choisir un hébergeur HDS : la conformité réelle de sa certification, les garanties techniques et de souveraineté, et la solidité du cadre contractuel.
Les données de santé constituent une catégorie particulière de données personnelles au sens de l'article 9 du RGPD. Leur traitement est en principe interdit, sauf exceptions strictement encadrées. L'article L.1111-8 du Code de la santé publique impose à toute personne physique ou morale qui héberge ces données pour le compte de tiers d'être certifiée. Cette obligation concerne un large éventail d'acteurs : établissements de santé, éditeurs de logiciels SaaS, mutuelles, laboratoires d'analyses, start-ups de la e-santé ou encore plateformes de télémédecine.
L'ancien système d'agrément HADS a été remplacé en 2018 par la certification HDS, instaurée par le décret n°2018-137. Depuis, le cadre a encore évolué avec la publication du référentiel HDS v2.0 par l'arrêté du 26 avril 2024. Tous les audits initiaux et de renouvellement sont évalués sur cette nouvelle base depuis le 16 novembre 2024. Les certificats existants doivent être conformes au référentiel v2.0 au plus tard le 16 mai 2026, faute de quoi ils deviendront caducs. Point de vigilance essentiel : un hébergeur certifié sur la base du référentiel v1.1 dont le certificat expire après le 16 mai 2026 doit impérativement avoir été audité sur la base du référentiel v2.0 avant cette date. Si ce n'est pas le cas, son certificat devient automatiquement caduc et ses clients se retrouvent en situation de non-conformité légale, sans en être préalablement informés. Ce risque concerne directement les acheteurs qui renouvellent un contrat avec un hébergeur certifié v1.1 sans vérifier la date de son prochain audit de renouvellement.
Sur le plan structurel, la certification HDS repose sur la norme ISO/IEC 27001, qui représente environ 80 % des exigences. Deux certificats distincts sont délivrés — un certificat ISO 27001 et un certificat HDS — valables trois ans, avec des audits de surveillance annuels. La certification couvre six activités précises, réparties en deux familles. Les hébergeurs d'infrastructure physique couvrent les activités 1 à 4, de la mise à disposition des sites physiques jusqu'à la plateforme d'hébergement applicatif. Les hébergeurs infogéreurs assurent les activités 5 et 6, soit l'administration du système d'information et la sauvegarde externalisée. Un prestataire peut être certifié pour tout ou partie de ces activités, ce qui rend la vérification du périmètre indispensable.
Le référentiel HDS v2.0 introduit par ailleurs une exigence structurante inédite (exigence 5) : huit événements de risques prédéfinis doivent être systématiquement intégrés dans l'analyse de risques ISO 27001 de l'hébergeur, parmi lesquels figurent explicitement l'accès non autorisé aux données par un État tiers et la défaillance d'un sous-traitant. Il impose également (chapitre 8) la communication d'un tableau standardisé de garanties formalisées aux clients. Ces deux exigences ne sont pas de simples recommandations : elles sont auditées lors de la certification. En pratique, tout acheteur peut les exiger contractuellement afin de vérifier que l'hébergeur traite bien ces risques souverains dans son système de management de la sécurité de l'information (SMSI).
À noter également : le décret n°2026-209 du 24 mars 2026 étend le périmètre de la certification HDS à l'archivage électronique des données de santé, désormais inclus dans l'activité de sauvegarde (modification de l'article R.1111-9, 6° du CSP). Concrètement, tout prestataire réalisant de l'archivage électronique de dossiers médicaux ou de comptes rendus d'imagerie pour le compte de tiers doit désormais être certifié HDS pour cette activité, alors que cette obligation ne s'appliquait pas auparavant. L'entrée en vigueur de certaines dispositions structurantes de ce décret est cependant différée à septembre 2026.
Avant de choisir un hébergeur de données de santé HDS, la première étape consiste à consulter le portail officiel de l'Agence du Numérique en Santé sur esante.gouv.fr. Ne vous fiez jamais à une simple attestation transmise par le prestataire. La liste officielle des hébergeurs certifiés indique non seulement les activités couvertes et la version du référentiel, mais aussi le numéro de certificat délivré. Ce numéro doit être croisé avec les bases de données COFRAC et des organismes certificateurs (AFNOR Certification, accréditation COFRAC n°4-0001 ; LSTI ; LNE). Quatre vérifications doivent être systématiques : la date de validité du certificat, la version du référentiel couvert (v1.1 obsolète ou v2.0), la liste exacte des activités certifiées parmi les six possibles, et la concordance du numéro de certificat avec les bases des organismes accrédités.
Pour illustrer concrètement ce point, un éditeur SaaS de santé aura généralement besoin des activités 3, 4 et 6, correspondant à l'infrastructure virtuelle, aux plateformes applicatives et à la sauvegarde externalisée. Un établissement de santé qui externalise son datacenter physique aura besoin des activités 1 et 2. Sans cette cartographie préalable de vos besoins, vous risquez de signer avec un hébergeur dont la certification ne couvre pas vos usages réels.
Les organismes certificateurs doivent être accrédités par le COFRAC. Parmi eux figurent AFNOR Certification, LSTI et le LNE. Méfiez-vous des allégations marketing du type « conforme HDS » ou « en cours de certification » : seul un certificat délivré par un organisme accrédité a valeur légale. Un prestataire qui se présente comme certifié sans pouvoir fournir un numéro de certificat vérifiable représente un risque majeur de non-conformité.
À noter : l'ANS dispose de la capacité de diligenter des audits inopinés sur les hébergeurs certifiés HDS pour vérifier le maintien des exigences. Un certificat valide au moment de la signature du contrat n'est donc pas une garantie permanente de conformité. Il est recommandé d'intégrer dans votre processus interne une vérification semestrielle du statut de certification de votre hébergeur sur le portail officiel de l'ANS.
Au-delà des peines principales (3 ans d'emprisonnement, 45 000 € d'amende), l'article L.1115-1 du Code de la santé publique prévoit des sanctions complémentaires applicables aux personnes physiques et morales, qui s'ajoutent cumulativement aux sanctions principales :
Ces peines complémentaires sont directement applicables aux dirigeants d'éditeurs SaaS, d'ESN et d'établissements de santé ayant recouru à un hébergeur non certifié. L'exclusion des marchés publics, en particulier, peut avoir des conséquences économiques bien plus lourdes que l'amende elle-même pour les entreprises dont l'activité dépend significativement de la commande publique hospitalière.
Exemple : Grégoire Maillard, dirigeant d'une ESN lyonnaise éditant un logiciel de gestion de cabinets de kinésithérapie, avait conclu en 2021 un contrat d'hébergement avec un prestataire se présentant comme « en cours de certification HDS ». Le prestataire n'a jamais obtenu ladite certification. À la suite d'un contrôle initié par l'ARS en 2023, l'ESN a été poursuivie. Le tribunal correctionnel a prononcé une amende de 30 000 euros à l'encontre du dirigeant et une interdiction de soumissionner aux marchés publics pendant 3 ans — une sanction qui a fait perdre à l'entreprise deux contrats hospitaliers représentant 40 % de son chiffre d'affaires annuel. Ce cas illustre l'impératif de vérifier la certification effective, et non simplement déclarée, avant toute signature.
Au-delà de la certification elle-même, plusieurs exigences techniques doivent figurer dans votre cahier des charges. Le chiffrement des données au repos et en transit, le contrôle d'accès strict et la traçabilité complète des opérations constituent le socle minimum en matière de cybersécurité. Mais un SLA mentionnant « 99,9 % de disponibilité » est insuffisant pour un hébergeur de données de santé.
Vous devez exiger des indicateurs précis :
L'affaire Dedalus Biologie est à ce titre un cas d'école exploitable par tout DPO ou RSSI : l'absence de traitement d'une alerte de sécurité signalée par l'ANSSI fin 2020 a directement conduit à la fuite massive de données. Cette situation plaide pour l'inscription contractuelle d'une obligation de traitement immédiat des alertes de sécurité signalées par l'ANSSI ou les CERT, avec un délai de réponse maximal défini.
La chaîne de sous-traitance mérite une attention particulière. L'hébergeur certifié HDS reste pleinement responsable de ses sous-traitants. Or, un sous-traitant non certifié crée une rupture de conformité qui engage votre propre responsabilité en tant que responsable de traitement. Exigez donc la liste nominative de tous les sous-traitants et la confirmation de leur certification HDS pour les activités qu'ils exercent.
Voici une distinction fondamentale que beaucoup d'acteurs négligent : la certification HDS garantit la sécurité technique, mais elle ne protège pas contre les lois extraterritoriales. Le Cloud Act américain permet aux autorités des États-Unis d'accéder aux données stockées par des entreprises soumises au droit américain, même lorsque les serveurs sont physiquement situés en France. En complément, la loi américaine FISA (Foreign Intelligence Surveillance Act) — prolongée en 2024 — permet à la NSA d'accéder aux données hébergées par des opérateurs américains, y compris lorsque les serveurs sont localisés en Europe, sans nécessité d'un mandat judiciaire ordinaire. AWS, Microsoft Azure et Google Cloud Platform sont directement concernés par ces deux dispositifs. La combinaison Cloud Act + FISA signifie concrètement que des données médicales de patients français hébergées chez ces opérateurs sont potentiellement accessibles par les services de renseignement américains sans que cela constitue une violation de la certification HDS. Ce n'est pas un risque hypothétique : c'est l'un des fondements ayant motivé l'introduction de l'exigence SecNumCloud dans la loi SREN.
Le cas du Health Data Hub illustre parfaitement cette tension. Depuis 2019, cette plateforme nationale centralisant les données de santé des Français pour la recherche médicale est hébergée chez Microsoft Azure. Ce choix, effectué sans appel d'offres, a fait l'objet de contestations massives. La loi SREN du 21 mai 2024 impose désormais le respect du référentiel SecNumCloud pour cette plateforme. Fin janvier 2026, l'État a lancé un appel d'offres pour migrer vers un hébergeur souverain, avec une première sélection incluant le duo Cloud Temple/Atos et OVHcloud/Docaposte.
La CNIL, dans sa délibération n°2025-013 du 13 février 2025, a exprimé des réserves explicites sur l'hébergement de données de santé chez Microsoft Azure et rappelé l'obligation SecNumCloud pour les plateformes soumises à la loi SREN. La même semaine, le Conseil d'État a validé une autorisation de la CNIL encadrant l'usage de Microsoft pour un projet précis (« Darwin EU »), tout en reconnaissant que des données techniques — non médicales — liées aux utilisateurs pourraient transiter vers des administrateurs basés aux États-Unis. Ces deux décisions combinées établissent que même un usage encadré de Microsoft Azure pour des données de santé reste problématique aux yeux des autorités françaises. Pour autant, il ne s'agit pas d'une interdiction absolue : la validation du Conseil d'État montre que des garanties contractuelles spécifiques (pseudonymisation, cloisonnement, limitation des accès) peuvent, dans certains cas délimités, être jugées suffisantes.
Le décret n°2026-209 du 24 mars 2026 a renforcé cette exigence en consacrant réglementairement l'obligation de stockage exclusif dans l'Espace Économique Européen via le nouvel article R.1111-9-1 du CSP. Les hébergeurs doivent désormais publier une cartographie des transferts de données et des risques d'accès par des États tiers. La qualification SecNumCloud de l'ANSSI apporte un niveau de protection complémentaire en imposant l'immunité contre les lois extraterritoriales, mais elle engendre un surcoût de 30 à 50 %. Ce surcoût s'explique par des facteurs concrets : périmètre géographique restreint aux datacenters UE uniquement (limitant les économies d'échelle), redondances d'infrastructure supplémentaires imposées par le référentiel, audits annuels de l'ANSSI facturés au prestataire, périmètre fonctionnel souvent plus limité (moins de services disponibles qu'un hyperscaler américain), et capital social devant être détenu par des entités ne relevant pas d'une législation extraterritoriale. Ces éléments sont essentiels pour tout acheteur devant justifier en interne un surcoût budgétaire par rapport à une offre Azure ou AWS certifiée HDS mais non souveraine.
En pratique, pour des données de santé courantes, la certification HDS seule peut suffire. Pour des données très sensibles — génomiques, populationnelles, de recherche médicale —, la combinaison HDS et SecNumCloud est recommandée par l'ANSSI et la CNIL.
Conseil : si votre organisation traite des données de santé à grande échelle ou pour la recherche, intégrez dès à présent dans votre analyse de risques un scénario de migration vers un hébergeur qualifié SecNumCloud. Le calendrier de transition observé pour le Health Data Hub (plus de 6 ans entre le choix initial et la migration effective) démontre qu'une migration d'hébergeur est un processus long et complexe. Anticiper cette éventualité dans vos contrats, notamment via des clauses de réversibilité solides, vous évitera d'être pris au dépourvu par une évolution réglementaire.
L'article R.1111-11 du Code de la santé publique, modifié par le décret n°2026-209, impose la conclusion d'un contrat spécifique d'hébergement mentionnant les activités HDS couvertes. Ce contrat doit impérativement identifier, parmi les 6 activités d'hébergement, celles qui sont effectivement couvertes par la certification du prestataire. Il se superpose au DPA (Data Processing Agreement) exigé par l'article 28 du RGPD, mais s'en distingue juridiquement : le contrat HDS porte spécifiquement sur les obligations sectorielles du Code de la santé publique, tandis que le DPA couvre les obligations générales de protection des données. L'absence de l'un ou de l'autre constitue deux manquements distincts, engageant des responsabilités différentes — administrative et pénale pour le contrat HDS, sanctions RGPD pour le DPA. Le DPA doit décrire les catégories de données traitées, les finalités, les mesures de sécurité, les engagements de souveraineté et les droits d'audit dont vous disposez en tant que client.
Plusieurs clauses doivent impérativement figurer dans votre contrat : la liste des sous-traitants avec confirmation de leur certification HDS, la localisation précise des datacenters avec un ancrage géographique UE/EEE sans exception — y compris en cas d'activation du PRA —, les délais et formats garantis de restitution des données, ainsi que les engagements de notification en cas de violation de données, conformément à l'obligation de déclaration à la CNIL sous 72 heures prévue par l'article 33 du RGPD.
Le risque de dépendance technique, souvent appelé « vendor lock-in », est systématiquement sous-estimé. En pratique, de nombreux établissements se retrouvent enfermés dans des contrats avec des hébergeurs dont les clauses de réversibilité sont quasi inexistantes. Négociez dès la signature la restitution des données dans un format exploitable et non propriétaire, un délai maximum de restitution en jours ouvrés, et les modalités de destruction certifiée des copies résiduelles. Ces exigences sont désormais renforcées par le Data Act européen.
Conseil : exigez contractuellement de votre hébergeur la communication du tableau standardisé de garanties prévu par le chapitre 8 du référentiel HDS v2.0, ainsi que la preuve que les huit événements de risques de l'exigence 5 (dont l'accès non autorisé par un État tiers et la défaillance d'un sous-traitant) sont bien intégrés dans son analyse de risques ISO 27001. Ces deux documents, audités lors de la certification, constituent des preuves tangibles du sérieux de l'hébergeur et doivent pouvoir être produits en cas de contrôle CNIL ou d'audit interne.
Les conséquences d'un contrat lacunaire peuvent être sévères. La Cour d'appel de Nîmes a jugé que le défaut de certification HDS pouvait entraîner la nullité du contrat informatique. Dans cette affaire, une infirmière libérale avait découvert que l'éditeur de son logiciel de télétransmission sous-traitait l'hébergement à un prestataire qui n'avait obtenu sa certification que trois ans après la signature du contrat. Ce précédent jurisprudentiel est directement applicable aux éditeurs SaaS et aux ESN qui contractent avec des professionnels de santé.
Avant tout renouvellement ou changement de prestataire, réalisez un audit de conformité couvrant la validité du certificat HDS actuel (en vérifiant qu'il est bien basé sur le référentiel v2.0), la conformité des clauses contractuelles aux exigences du CSP, la conformité du DPA au RGPD et la localisation effective des datacenters. La veille réglementaire est également essentielle, compte tenu de l'évolution rapide du cadre juridique — référentiel HDS v2.0, décret de 2026, positions de la CNIL et de l'ANSSI.
À noter : si votre hébergeur actuel est certifié sur la base du référentiel HDS v1.1, vérifiez impérativement la date de son prochain audit de renouvellement. S'il n'a pas été audité sur le référentiel v2.0 avant le 16 mai 2026, son certificat deviendra automatiquement caduc à cette date et votre organisation se retrouvera en situation de non-conformité. Ce risque est d'autant plus insidieux que l'hébergeur n'a aucune obligation de vous en informer préalablement.
Choisir un hébergeur de données de santé HDS est une décision qui engage durablement la responsabilité juridique de votre organisation. CONNECT AVOCATS, cabinet compétent en droit du numérique et en conformité réglementaire, intervient sur toute la France pour accompagner les entreprises dans la sécurisation de leurs contrats d'hébergement, l'audit de conformité HDS et RGPD, et la gestion des risques liés à la souveraineté des données. Si vous êtes dirigeant, DPO ou juriste d'une structure traitant des données de santé, n'hésitez pas à solliciter le cabinet pour bénéficier d'un accompagnement adapté à vos enjeux.