Ce qu’il faut retenir
- Un hébergeur HDS n’est certifié que pour des activités précises : hébergement applicatif, infrastructure, sauvegarde. Vérifiez que celle dont vous avez besoin figure sur son certificat.
- La certification porte sur l’hébergeur, jamais sur l’ensemble de votre prestataire informatique : un infogéreur peut être excellent sans être lui-même certifié HDS.
- La sauvegarde des dossiers patients est une activité certifiable à part entière : un hébergement HDS pour le logiciel métier ne couvre pas automatiquement la sauvegarde.
Choisir un hébergeur HDS pour un cabinet médical, un laboratoire ou un EHPAD ne se résume pas à cocher une case « conforme ». Derrière le sigle HDS se cachent des activités certifiées précises, des sous-traitants parfois multiples, et des clauses contractuelles qui font toute la différence en cas de sinistre ou de changement de prestataire.
Cette page détaille la checklist à suivre avant de signer avec un hébergement HDS : périmètre exact de la certification, localisation des données, sous-traitants, réversibilité, sauvegarde et restauration. Elle traite aussi le cas particulier des sauvegardes de dossiers patients, souvent oublié dans le choix d’un hébergeur.
Pourquoi le choix ne se limite pas à un logo « HDS »
Un logo HDS sur un site commercial n’est pas une preuve. La certification HDS s’applique à des activités précises – hébergement de site physique, infrastructure, plateforme applicative, administration, sauvegarde – et un prestataire peut en cumuler certaines sans avoir toutes les autres. Deux hébergeurs affichant tous deux « HDS » peuvent donc couvrir des périmètres très différents. Nous détaillons le cadre légal et le référentiel dans notre page certification HDS.
Qui a besoin d’un hébergeur certifié HDS ?
Dès que des données de santé à caractère personnel sont hébergées pour votre compte par un tiers, cet hébergeur doit être certifié HDS pour l’activité concernée. En résumé : cabinets médicaux et paramédicaux, laboratoires d’analyses, cliniques et EHPAD sont concernés dès qu’ils utilisent un logiciel de dossier patient en mode cloud, un service de sauvegarde externalisée ou une infogérance de leur serveur métier.
Cabinet médical ou paramédical
Le logiciel de gestion de cabinet et le dossier patient informatisé, s’ils sont hébergés à distance, doivent l’être chez un hébergeur certifié pour cette activité.
Laboratoire d’analyses
Systèmes de gestion de laboratoire, résultats d’analyses et interfaces avec les prescripteurs impliquent souvent plusieurs prestataires à vérifier un par un.
EHPAD et structures médico-sociales
Dossier de soins informatisé, planning et données médico-sociales des résidents relèvent du même cadre, avec des volumes de données souvent plus importants.
La checklist en six points avant de signer
Avant tout engagement, faites vérifier ces six points par votre interlocuteur – ou par un prestataire cybersécurité indépendant :
| Point à vérifier | Pourquoi c’est important |
|---|---|
| Périmètre exact de la certification | Le certificat liste des activités précises : vérifiez que celle que vous achetez (hébergement, sauvegarde, infogérance) y figure bien |
| Localisation des données | Le référentiel HDS v2 impose une localisation dans l’Espace économique européen ; demandez où sont physiquement les serveurs et les copies de sauvegarde |
| Sous-traitants déclarés | Un hébergeur peut lui-même sous-traiter une partie de la prestation ; ces sous-traitants doivent être identifiés et, selon l’activité, eux aussi certifiés |
| Réversibilité | Modalités et délai de récupération de vos données en fin de contrat ou en cas de rupture, dans un format exploitable |
| Sauvegarde et restauration | Fréquence des sauvegardes, durée de rétention, délai de restauration testé – pas seulement promis |
| Clauses contractuelles RGPD | Annexe article 28 décrivant les mesures de sécurité, les instructions autorisées et le sort des données à la fin du contrat |
Demandez toujours le certificat à jour, avec sa date de validité et son périmètre précis. Un certificat expiré ou couvrant une autre activité que celle vendue ne protège en rien votre structure en cas de contrôle ou d’incident.
Le cas particulier des sauvegardes de dossiers patients
La sauvegarde externalisée est une activité certifiable à part entière du référentiel HDS, distincte de l’hébergement applicatif. Un éditeur de logiciel métier peut très bien être certifié pour héberger votre dossier patient, sans que son offre de sauvegarde – ou celle d’un tiers auquel il fait appel – soit elle-même couverte par la certification.
Pour un cabinet, un laboratoire ou un EHPAD, cela signifie vérifier séparément : qui héberge l’application, qui héberge la sauvegarde, et si ce sont deux prestataires différents, si les deux sont bien certifiés pour leur activité respective. Les principes généraux de fréquence, de rétention et de test de restauration restent les mêmes que pour toute sauvegarde d’entreprise : voir notre guide sauvegarde informatique entreprise pour la règle 3-2-1 et les objectifs RTO/RPO à exiger, y compris pour des données de santé.
Une sauvegarde de dossiers patients envoyée vers un espace de stockage cloud généraliste, non certifié HDS pour cette activité, expose votre structure même si le logiciel métier lui-même est hébergé correctement.
Vos sauvegardes de dossiers patients sont-elles couvertes ?
Un point rapide sur vos hébergeurs et vos prestataires, sans engagement.
Votre prestataire informatique est-il automatiquement certifié HDS ?
Non, et c’est une confusion fréquente. La certification HDS porte sur l’hébergeur et sur un périmètre d’activités précis, pas sur l’ensemble de votre prestataire informatique. Un infogéreur de confiance, qui gère très bien vos postes et votre réseau, peut ne pas être lui-même certifié HDS pour l’hébergement ou la sauvegarde de vos données de santé. Dans ce cas, il doit s’appuyer sur un hébergeur tiers certifié pour les activités concernées, et vous devez pouvoir l’identifier clairement dans le contrat.
Un hébergement réellement maîtrisé, avec des données qui restent sous juridiction européenne, s’inscrit dans une logique plus large de cloud souverain : savoir précisément où sont vos données et sous quel droit elles sont traitées, au-delà du seul sigle HDS.
Combien coûte un hébergement HDS en 2026 ?
Les tarifs varient fortement selon le volume de données, le niveau de service et les activités couvertes. Ces fourchettes, données à titre indicatif pour 2026, permettent de cadrer un budget avant de demander des devis précis.
| Structure | Hébergement applicatif HDS | Sauvegarde externalisée HDS |
|---|---|---|
| Cabinet individuel ou de groupe | Souvent inclus dans l’abonnement au logiciel métier, sinon 20 à 60 €HT/mois | 15 à 50 €HT/mois selon le volume |
| Laboratoire ou clinique | 150 à 800 €HT/mois selon l’infrastructure dédiée | 100 à 400 €HT/mois selon la rétention |
| EHPAD ou établissement médico-social | 100 à 500 €HT/mois selon le nombre de résidents suivis | 80 à 300 €HT/mois selon la fréquence |
Comment vérifier concrètement un hébergeur avant de s’engager ?
Trois réflexes simples avant de signer : consulter la liste publique des hébergeurs certifiés HDS pour confirmer le certificat annoncé, demander le contrat et son annexe article 28 avant tout engagement plutôt qu’après, et faire tester un cas de restauration lors de la mise en service plutôt que de découvrir un problème en situation réelle. Un audit RGPD de votre structure permet de vérifier que ces points sont bien couverts, au-delà du seul choix technique de l’hébergeur.
Besoin d’y voir clair sur vos hébergeurs et vos sauvegardes de santé ?
Phosphorus Technologies accompagne les cabinets, laboratoires et EHPAD du Var et de PACA dans la vérification de leurs prestataires HDS et de leurs sauvegardes de dossiers patients.
Demander mon diagnostic offertTPE & PME · Réponse sous 24 h ouvrées · Var / PACA & toute la France à distance
Laisser un commentaire