Datacenters HDS : certifiés pour les données de santé
Héberger des données de santé à caractère personnel en France est encadré par la loi. HDS - Hébergeur de Données de Santé - est la certification qui le rend légal, et elle descend jusque dans le datacenter lui-même.
Qu'est-ce que la certification HDS ?
HDS (Hébergeur de Données de Santé) est la certification française exigée par la loi - article L.1111-8 du Code de la santé publique - pour toute organisation hébergeant des données de santé à caractère personnel recueillies à l'occasion de soins en France. Le référentiel est piloté par l'Agence du Numérique en Santé (ANS), les certificats étant délivrés par des organismes de certification accrédités. Contrairement aux normes ISO volontaires, HDS est un préalable légal : héberger des données de santé concernées sans elle constitue une infraction.
La certification repose sur des normes internationales - son cœur est ISO 27001, étendu d'exigences issues de la gestion de services informatiques et des pratiques de protection des données dans le cloud, plus des obligations propres au secteur de la santé. Le référentiel a été substantiellement révisé en 2024, avec un net renforcement de la souveraineté des données : l'hébergement certifié doit se faire au sein de l'Espace économique européen, avec des obligations de transparence sur tout transfert de données hors de celui-ci.
HDS décompose l'hébergement en six activités certifiables, de la couche physique vers le haut : (1) mise à disposition de sites physiques - le datacenter lui-même, (2) infrastructure matérielle, (3) infrastructure virtuelle, (4) hébergement de plateforme logicielle, (5) administration et exploitation du système d'information, et (6) sauvegarde de données. Les certificats couvrent les activités qu'une organisation exerce réellement - un exploitant de datacenter certifie typiquement les activités 1 et 2 en tant qu'hébergeur d'infrastructure physique, tandis que les fournisseurs de cloud et de services managés certifient les couches supérieures.
Pourquoi HDS compte pour les exploitants de datacenters
Le secteur de la santé français se numérise à grande vitesse - systèmes hospitaliers, archives d'imagerie, plateformes de télémédecine, bases de recherche - et chaque octet exige légalement un hébergement certifié HDS. Pour les exploitants de datacenters, la certification des activités 1 et 2 ouvre l'intégralité de ce marché régulé : hôpitaux, éditeurs de logiciels et fournisseurs de cloud servant la santé française ne peuvent bâtir que sur une infrastructure physique certifiée.
C'est la chaîne de certification qui rend la position du datacenter stratégique. Un éditeur SaaS certifiant les activités 5 et 6 doit empiler ses services sur des fournisseurs certifiés pour les couches inférieures ; un site non certifié rompt la chaîne pour tous ses clients au-dessus. La capacité datacenter certifiée HDS est donc plus rare et obtient de meilleures conditions commerciales que la colocation générique.
Parce que HDS intègre ISO 27001, le chemin est plus court qu'il n'y paraît pour un site bien exploité. Un exploitant déjà certifié ISO 27001 avec le bon périmètre a fait l'essentiel du travail ; HDS ajoute les exigences propres aux données de santé, les obligations de souveraineté et le cadre contractuel. Inversement, concevoir un site neuf pour HDS dès le premier jour installe, à coût marginal, une barrière réglementaire durable.
Les exigences HDS clés pour un datacenter
Pour l'hébergement de la couche physique (activités 1 et 2), les exigences se concentrent sur le site et son exploitation :
- Socle ISO 27001
- Un SMSI certifié couvrant les activités d'hébergement constitue la couche de base - les audits HDS sont construits dessus, avec le périmètre données de santé explicite dans la déclaration de périmètre.
- Sécurité physique des espaces de données de santé
- Contrôle d'accès stratifié, surveillance et traçabilité pour les espaces hébergeant des données de santé, avec des mesures démontrablement plus strictes là où les activités certifiées sont délivrées.
- Hébergement dans l'EEE et souveraineté
- Des données de santé hébergées au sein de l'Espace économique européen, avec une transparence documentée sur les flux de données et sur l'exposition juridique des entités d'hébergement.
- Discipline de gestion de services
- Niveaux de service documentés, gestion des incidents, des changements et de la capacité pour le service d'hébergement - des exigences issues des pratiques de gestion de services informatiques.
- Contrats spécifiques aux données de santé
- Des clauses contractuelles obligatoires avec les clients : responsabilités définies, restitution des données et réversibilité en fin de contrat, notification des violations et droits d'audit.
- Traçabilité et journalisation
- Les accès aux systèmes et espaces hébergeant des données de santé sont journalisés et conservés, au service de l'audit de certification comme de la responsabilité réglementaire de l'exploitant.
- Maîtrise de la chaîne de sous-traitance
- Chaque sous-traitant de la chaîne d'hébergement identifié et contractuellement tenu aux exigences - la chaîne de certification doit être continue du site jusqu'à l'application.
Comment construire un datacenter conforme HDS
Pour un site visant les activités 1 et 2 - les couches physiques de la chaîne HDS - la séquence de construction ressemble à ceci :
Définir le périmètre certifié
Décidez quels salles, locaux et services hébergeront des données de santé et rédigez le périmètre en conséquence. Un périmètre clairement délimité simplifie la construction comme chaque audit qui suivra.
Concevoir les mesures physiques pour le client le plus exigeant
Les espaces de données de santé exigent un accès démontrablement maîtrisé : zonage, traçabilité individuelle, couverture de surveillance et régimes visiteurs conçus dès la phase architecturale.
Établir le socle ISO 27001
Mettez en place et certifiez le SMSI avec le périmètre d'hébergement - ou étendez un certificat existant. Chaque exigence HDS s'appuie sur ce socle : sa qualité détermine le rythme de tout le projet.
Ajouter la couche spécifique HDS
Documentation de souveraineté, cadre contractuel données de santé, procédures de gestion de services et exigences propres aux activités de mise à disposition de site physique et d'infrastructure matérielle.
Verrouiller la chaîne de sous-traitance
Les prestataires de maintenance, de sécurité et de logistique intervenant dans le périmètre certifié doivent être contractuellement tenus aux exigences, avec une gouvernance des accès à la hauteur.
Réussir l'audit combiné
Un organisme de certification accrédité audite ensemble le socle ISO 27001 et les exigences propres à HDS. Le certificat court sur un cycle de trois ans avec des audits de surveillance annuels.
Maintenir la veille référentielle
Le référentiel HDS évolue - la révision 2024 a durci les obligations de souveraineté avec des échéances de transition. Suivez les publications de l'ANS et intégrez les changements au cycle de revue de direction.
Comment Circular Datacenter construit pour HDS
En tant que concepteur-constructeur français de datacenters, HDS est notre terrain naturel. Nous concevons des sites - et réaménageons l'existant - avec le périmètre certifié, la topologie de contrôle physique et l'infrastructure de traçabilité qu'exigent les activités 1 et 2, alignés sur le référentiel ANS en vigueur dès le premier plan.
Parce que HDS s'appuie sur ISO 27001, notre approche de sécurité dès la conception sert les deux à la fois : le zonage, le contrôle d'accès et la documentation que nous livrons pour le SMSI sont conçus pour porter la couche HDS sans reprise. Pour les exploitants qui étendent un site existant vers l'hébergement de données de santé, nous circonscrivons les travaux au périmètre certifié afin que le reste du site continue de fonctionner sans être touché.
Nos flux circulaires sont conçus pour les environnements régulés : le déclassement, l'effacement et le réemploi d'équipements au sein d'un périmètre HDS suivent des procédures documentées de chaîne de traçabilité, si bien que la récupération de valeur sur le cycle de vie ne compromet jamais la certification dont dépendent vos clients du secteur de la santé.
Questions fréquentes
Qu'est-ce qu'un datacenter certifié HDS ?
C'est un site certifié selon le référentiel français HDS pour l'hébergement de données de santé à caractère personnel - typiquement pour les activités 1 et 2 : mise à disposition du site physique et de l'infrastructure matérielle. La certification est délivrée par des organismes accrédités selon un référentiel ANS bâti sur ISO 27001, et elle est légalement exigée pour les données de santé recueillies à l'occasion de soins en France.
Qui a besoin de la certification HDS ?
Toute organisation hébergeant des données de santé à caractère personnel recueillies à l'occasion de soins en France - exploitants de datacenters, fournisseurs de cloud, éditeurs SaaS et fournisseurs de services managés - pour les activités qu'elle exerce réellement. Chaque couche de la chaîne d'hébergement doit être certifiée pour ses propres activités, en s'appuyant sur des fournisseurs certifiés en dessous d'elle.
Quelles sont les six activités HDS ?
(1) Mise à disposition de sites physiques, (2) mise à disposition d'infrastructure matérielle, (3) mise à disposition d'infrastructure virtuelle, (4) mise à disposition de la plateforme logicielle, (5) administration et exploitation du système d'information, et (6) sauvegarde de données. Les exploitants de datacenters certifient typiquement les activités 1 et 2 ; les fournisseurs de services certifient les couches supérieures.
Quel est le lien entre HDS et ISO 27001 ?
ISO 27001 est le socle obligatoire : la certification HDS audite un SMSI ISO 27001 étendu d'exigences propres à la santé - souveraineté de l'hébergement, clauses contractuelles obligatoires, discipline de gestion de services et mesures spécifiques par activité. Un exploitant détenant déjà ISO 27001 avec le bon périmètre a parcouru l'essentiel du chemin vers HDS.
Les données de santé hébergées sous HDS peuvent-elles quitter l'UE ?
Le référentiel HDS révisé exige un hébergement au sein de l'Espace économique européen et impose des obligations de transparence sur tout transfert de données de santé hors de celui-ci, ainsi que la déclaration de l'exposition des entités d'hébergement au droit extra-européen. En pratique, les chaînes d'hébergement certifiées maintiennent les données de santé françaises sur le sol de l'EEE.
Certifications liées
Contactez nos équipes