L'hébergement HDS (Hébergeur de Données de Santé) est une certification française obligatoire pour toute entreprise qui héberge des données de santé pour le compte d'un professionnel ou d'un établissement. Elle est imposée par l'article L.1111-8 du Code de la santé publique. Sans elle, héberger les données d'un cabinet est illégal, quelle que soit la qualité technique du prestataire.

Quand un cabinet ou un établissement choisit un logiciel, une solution de prise de rendez-vous ou une IA vocale, la question de l'hébergement arrive souvent en dernier, une fois que le produit a séduit. C'est une erreur. En santé, l'endroit où vivent les données et le cadre juridique qui les protège ne sont pas un détail technique relégué aux mentions légales. C'est le socle sur lequel tout le reste repose. Un outil peut être excellent sur le papier et malgré tout vous exposer à un risque juridique majeur s'il stocke des données de patients hors du cadre HDS.

Cet article explique ce qu'est réellement la certification HDS, pourquoi elle est non négociable dès qu'on manipule des données de santé, en quoi elle diffère du RGPD et de la norme ISO 27001, et comment vérifier concrètement qu'un prestataire, y compris une IA vocale qui répond au téléphone de vos patients, respecte bien ses obligations.

Qu'est-ce que l'hébergement HDS, concrètement

HDS signifie Hébergeur de Données de Santé. C'est une certification délivrée en France à toute organisation qui héberge des données de santé à caractère personnel pour le compte de tiers. Elle a remplacé en 2018 l'ancien système d'agrément, qui reposait sur une autorisation ministérielle au cas par cas. Depuis, on parle d'une certification, délivrée par des organismes accrédités indépendants, sur la base d'un référentiel précis.

Le principe juridique est posé par l'article L.1111-8 du Code de la santé publique. Il dit en substance qu'une personne qui héberge des données de santé recueillies à l'occasion d'activités de prévention, de diagnostic, de soins ou de suivi médico-social, pour le compte de la structure qui les a produites, doit être certifiée HDS. Ce n'est pas une recommandation de bonne pratique. C'est une obligation légale, et elle pèse aussi bien sur l'hébergeur que sur le professionnel de santé qui lui confie les données.

Deux périmètres de certification

La certification HDS ne couvre pas un bloc unique. Elle se décline en deux grands périmètres, qui correspondent à deux métiers différents. Le premier concerne l'hébergeur d'infrastructure physique : celui qui met à disposition les locaux, les serveurs, le matériel et l'infrastructure virtuelle. Le second concerne l'hébergeur infogéreur : celui qui exploite, administre et maintient le système d'information qui contient les données de santé.

Dans les faits, une même chaîne technique fait souvent intervenir plusieurs acteurs. Un fournisseur de solution logicielle peut s'appuyer sur un grand hébergeur cloud pour l'infrastructure, tout en assurant lui-même l'exploitation applicative. Chacun doit alors être certifié sur son périmètre. C'est un point que beaucoup d'acheteurs négligent : il ne suffit pas que le centre de données soit certifié, encore faut-il que celui qui gère l'application le soit aussi, sur les activités qui le concernent.

Une certification, pas une simple déclaration

Un point important distingue le HDS de nombreux labels que l'on croise dans le numérique. Ce n'est pas une auto-déclaration. L'organisme candidat est audité par un organisme certificateur accrédité par le Cofrac, le Comité français d'accréditation. L'audit vérifie la conformité à un référentiel qui s'appuie sur des normes internationales reconnues et sur des exigences propres au secteur de la santé. La certification est ensuite maintenue par des audits de surveillance réguliers. Autrement dit, un prestataire ne coche pas une case une fois pour toutes : il doit prouver dans la durée qu'il tient son niveau d'exigence.

HDS, RGPD, ISO 27001 : trois choses différentes qu'on confond souvent

Beaucoup de discussions autour de la conformité en santé mélangent ces trois notions comme si elles étaient interchangeables. Elles ne le sont pas, et comprendre la différence évite bien des malentendus au moment de choisir un outil.

Le RGPD est le cadre général européen de protection des données personnelles. Il s'applique à toutes les données personnelles, pas seulement à celles de santé, et il fixe des principes : base légale du traitement, minimisation, information des personnes, droits d'accès et d'effacement, sécurité. Une donnée de santé est considérée par le RGPD comme une donnée sensible, soumise à des protections renforcées. Pour approfondir ce volet, nous avons détaillé les obligations concrètes dans notre guide sur l'IA vocale en santé et le RGPD.

La norme ISO 27001 est un standard international de management de la sécurité de l'information. Elle décrit comment une organisation identifie ses risques, met en place des mesures de protection et améliore son dispositif en continu. C'est une norme volontaire, transverse à tous les secteurs, qui ne dit rien de spécifique à la santé. Nous l'expliquons en détail dans notre dossier sur la certification ISO 27001 appliquée au secrétariat médical IA.

Le HDS, lui, est spécifique à la France et spécifique à la santé. Son référentiel s'appuie largement sur l'ISO 27001, qu'il complète par l'ISO 20000 pour la gestion des services et par des exigences propres à l'hébergement des données de santé. On peut résumer la relation ainsi : l'ISO 27001 est le socle méthodologique, le RGPD est le cadre juridique général, et le HDS est l'exigence sectorielle qui vient certifier concrètement qu'un hébergeur peut manipuler des données de santé sur le territoire français.

La conséquence pratique est simple. Un prestataire peut être parfaitement conforme au RGPD et disposer d'une ISO 27001 impeccable, et pourtant ne pas être autorisé à héberger les données de santé de vos patients s'il n'est pas certifié HDS. Les trois se complètent, aucune ne remplace les autres.

Pourquoi c'est non négociable dès qu'il y a de la donnée de santé

La tentation, pour une petite structure, est de se dire que la question ne la concerne pas vraiment. Un cabinet de trois praticiens, un centre d'imagerie de quartier, une maison de santé pluridisciplinaire : tous manipulent pourtant des données de santé au quotidien, et tous engagent leur responsabilité sur le choix de leurs prestataires.

Ce qui compte comme donnée de santé est plus large qu'on ne le pense

On imagine spontanément qu'une donnée de santé, c'est un compte rendu d'examen ou une ordonnance. En réalité, le périmètre est bien plus large. Le motif d'un rendez-vous, le fait qu'un patient consulte tel spécialiste, l'historique de ses prises de rendez-vous, une préparation d'examen, un symptôme exprimé au téléphone : tout cela constitue de la donnée de santé, ou permet d'en déduire. Le simple fait de savoir qu'une personne a rendez-vous chez un oncologue est déjà une information sensible.

C'est pour cette raison que la vérification des données patient et la gestion des restrictions médicales, qui paraissent anodines, touchent en réalité au cœur du sujet. Nous avons abordé ce point sous l'angle opérationnel dans notre article sur les erreurs fréquentes à éviter dans la vérification des données patient. Chaque interaction qui touche à l'état de santé, même indirectement, entre dans le champ protégé.

Les risques d'un hébergement non conforme

Confier des données de santé à un prestataire non certifié HDS expose à plusieurs niveaux de risque. Le premier est juridique. L'hébergement de données de santé hors du cadre légal peut donner lieu à des sanctions de la CNIL, et le Code de la santé publique prévoit des sanctions pénales pour le fait d'héberger des données de santé sans certification. Le professionnel qui confie les données n'est pas dédouané au motif qu'il ignorait la situation de son prestataire.

Le deuxième risque est contractuel et commercial. Un établissement de santé, un groupe d'imagerie ou une clinique qui met à jour ses exigences de conformité écartera immédiatement un fournisseur incapable de présenter sa certification. Pour un éditeur, ne pas être HDS, c'est se fermer la porte de tout un pan du marché. Pour un cabinet, travailler avec un prestataire non certifié, c'est prendre le risque de devoir tout changer en urgence le jour d'un audit ou d'un incident.

Le troisième risque est celui de la confiance. La relation de soin repose sur la certitude, pour le patient, que ce qu'il confie reste protégé. Un incident de sécurité sur des données de santé ne se répare pas avec des excuses. Il abîme durablement la réputation d'une structure. C'est un actif difficile à reconstruire, et c'est souvent le plus sous-estimé.

Le cas particulier de l'IA vocale au téléphone

L'arrivée des assistants vocaux et des IA conversationnelles dans les cabinets pose la question HDS de façon très concrète, parce que ces outils traitent, par nature, de la donnée de santé en flux continu.

Un appel de patient, c'est de la donnée de santé

Quand un patient appelle un centre d'imagerie pour un rendez-vous de scanner, il donne son identité, la raison de l'examen, parfois des éléments cliniques, le nom de son médecin prescripteur. Une IA vocale qui prend cet appel transcrit la conversation, l'analyse pour comprendre la demande, et souvent conserve un enregistrement ou un résumé. Tout cela constitue de la donnée de santé qui doit être hébergée dans un environnement certifié HDS. Ce n'est pas parce que l'échange est oral qu'il échappe au cadre. Le sujet est le même que pour n'importe quel logiciel métier : nous l'avons traité pour l'ensemble des structures dans notre article sur le secrétariat téléphonique IA pour les établissements de santé.

C'est un point de vigilance réel. C'est justement ce qui sépare un outil grand public d'un dispositif conçu pour le soin, comme nous l'expliquons dans notre panorama des agents vocaux IA dans le secteur de la santé. Certaines solutions d'IA vocale généralistes, conçues pour n'importe quel secteur, s'appuient sur des briques technologiques hébergées hors de France, voire hors d'Europe, et n'ont jamais été pensées pour la santé. Elles peuvent très bien fonctionner sur le plan de l'expérience, tout en étant inutilisables en cabinet médical parce qu'elles ne respectent pas l'obligation HDS. C'est d'ailleurs l'une des différences de fond entre un outil pensé pour la santé et un outil grand public adapté à la va-vite. La question de savoir si les patients acceptent l'IA au téléphone passe aussi par cette garantie de sérieux sur la protection de leurs données.

Toute la chaîne doit être conforme, pas seulement la façade

Une IA vocale n'est jamais un bloc unique. Elle mobilise de la reconnaissance vocale, un modèle de langage, une couche d'intégration au logiciel de rendez-vous, du stockage. Chaque maillon qui touche à la donnée de santé doit s'inscrire dans le cadre HDS. Un fournisseur sérieux est capable d'expliquer où vivent les données à chaque étape, quels sous-traitants interviennent, et comment la chaîne reste certifiée de bout en bout. Chez Tennor, l'ensemble repose sur un hébergement HDS, une certification ISO 27001 et une conformité RGPD, précisément parce que la donnée de santé ne tolère pas le maillon faible. Cette exigence vaut autant pour un cabinet isolé que pour les groupes de santé multi-sites, où le volume de données en jeu est considérable.

Il faut aussi rappeler une obligation qui va de pair avec la protection des données : en France, le patient doit être informé qu'il parle à une intelligence artificielle. La transparence sur l'outil et la protection des données forment un tout. On ne peut pas prétendre respecter le patient sur un plan et le négliger sur l'autre. Cette même exigence de clarté se retrouve dans la façon dont l'outil répond aux patients, par exemple avec une FAQ intelligente qui répond à leurs questions sans jamais exposer leurs données. C'est la même logique de confiance qui traverse notre réflexion sur la place de l'humain dans l'IA au service de la santé.

Comment vérifier concrètement qu'un prestataire est bien HDS

La bonne nouvelle, c'est que la vérification est à la portée de n'importe quel cabinet. Elle ne demande pas de compétences techniques particulières, seulement quelques bonnes questions et un peu de rigueur.

Demander le certificat et lire son périmètre

La première étape consiste à demander le certificat HDS du prestataire, et surtout à en lire le périmètre. Un certificat mentionne les activités couvertes parmi les six définies par le référentiel. Un hébergement d'infrastructure ne couvre pas l'exploitation applicative, et inversement. Il faut donc s'assurer que les activités réellement exercées par votre prestataire sur vos données sont bien celles qui figurent sur son certificat. Un fournisseur qui répond de façon vague, ou qui renvoie uniquement vers le certificat de son hébergeur cloud sans parler du sien, doit alerter.

Vérifier la localisation des données

La certification HDS peut s'accompagner d'un hébergement en France ou en Europe. Pour beaucoup de structures, et pour des raisons de souveraineté qui prennent de l'importance, savoir que les données restent sur le territoire national ou européen est un critère de choix à part entière. Posez la question directement : où sont physiquement stockées les données, et quels sous-traitants éventuels y ont accès. Un prestataire transparent répond sans détour.

Regarder la cohérence d'ensemble

Un dernier réflexe, plus qualitatif, consiste à regarder la cohérence globale du dispositif. Un prestataire qui prend la conformité au sérieux articule en général HDS, ISO 27001 et RGPD, documente ses traitements, désigne un référent sur ces sujets et sait expliquer sa chaîne de sous-traitance. À l'inverse, une conformité présentée comme un simple argument commercial, sans documents ni précisions, est rarement solide. La façon dont un fournisseur parle de ces sujets en dit souvent long sur son sérieux réel. C'est aussi ce qui distingue un partenaire durable d'un simple outil, un thème que nous développons dans notre présentation de l'assistant vocal médical et de la solution Tennor.

Ce que le HDS change pour l'organisation d'un cabinet

Au-delà de l'obligation, choisir des prestataires certifiés HDS a un effet concret sur le quotidien d'une structure de santé. Cela simplifie les audits, rassure les partenaires institutionnels, et surtout cela permet de déployer sereinement des outils qui font gagner du temps sans ouvrir de brèche.

Prenons un centre d'imagerie qui souhaite automatiser la prise de rendez-vous téléphonique pour absorber les pics d'appels. S'il choisit une solution certifiée, il peut brancher l'IA vocale sur son agenda et son système d'information sans crainte, parce que la donnée reste protégée de bout en bout. S'il choisit un outil séduisant mais non conforme, il crée une faille qui finira par se retourner contre lui. La conformité n'est pas un frein à l'innovation, c'est ce qui rend l'innovation déployable en santé. Nous l'avons illustré concrètement pour ce secteur dans notre analyse de l'impact de l'intelligence artificielle dans les centres d'imagerie médicale.

Il faut être honnête sur un point : la conformité HDS a un coût, pour l'hébergeur comme pour l'éditeur qui s'y astreint. Ce coût se répercute forcément quelque part. Un prestataire réellement HDS sera rarement le moins cher du marché, et c'est normal. Mais c'est un investissement qui protège la structure autant que les patients, et qui évite le coût, bien plus élevé, d'un incident ou d'une mise en conformité forcée. Entre un outil un peu moins cher mais hors cadre et un outil conforme, le calcul est vite fait dès qu'on met en face le risque juridique et réputationnel.

Questions fréquentes

L'hébergement HDS est-il obligatoire pour un petit cabinet médical ?
L'obligation pèse sur celui qui héberge les données pour le compte du cabinet, mais elle engage aussi le cabinet dans son choix de prestataire. Un petit cabinet qui utilise un logiciel, une solution de rendez-vous ou une IA vocale doit s'assurer que le prestataire qui héberge ses données patient est bien certifié HDS. La taille de la structure ne change rien à la nature sensible des données.

Quelle est la différence entre HDS et RGPD ?
Le RGPD est le cadre juridique général de protection de toutes les données personnelles en Europe. Le HDS est une certification française spécifique à l'hébergement des données de santé. Les deux sont nécessaires et se complètent : le RGPD fixe les principes, le HDS certifie concrètement qu'un hébergeur peut manipuler des données de santé. L'un ne dispense jamais de l'autre.

Une IA vocale qui prend des rendez-vous traite-t-elle vraiment des données de santé ?
Oui. L'identité du patient, le motif de l'appel, le type d'examen, le médecin concerné, un symptôme exprimé : tout cela est de la donnée de santé ou permet d'en déduire. Une IA vocale qui transcrit et traite ces appels doit donc s'appuyer sur un hébergement HDS, au même titre qu'un logiciel métier.

HDS et ISO 27001, est-ce la même chose ?
Non, mais elles sont liées. L'ISO 27001 est une norme internationale de sécurité de l'information, transverse à tous les secteurs. Le référentiel HDS s'appuie sur l'ISO 27001 et la complète par des exigences propres à la santé. Un prestataire peut être ISO 27001 sans être HDS, mais un hébergeur HDS sérieux s'appuie en pratique sur l'ISO 27001.

Les données de santé doivent-elles obligatoirement rester en France ?
La certification HDS n'impose pas en soi une localisation exclusivement française, un hébergement en Europe est possible. En revanche, pour des raisons de souveraineté et de simplicité juridique, beaucoup de structures privilégient un hébergement en France. C'est une question à poser directement au prestataire, avec la liste des sous-traitants ayant accès aux données.

Comment vérifier qu'un prestataire est bien certifié HDS ?
Demandez son certificat HDS et lisez le périmètre des activités couvertes. Vérifiez qu'il correspond bien aux traitements réellement effectués sur vos données, interrogez la localisation des données et la chaîne de sous-traitance. Un prestataire sérieux répond avec des documents précis, pas avec des formules commerciales.

En résumé

L'hébergement HDS n'est pas une ligne de plus dans un cahier des charges. C'est la condition légale pour manipuler des données de santé en France, et elle engage autant le prestataire que le professionnel de santé qui lui fait confiance. Le RGPD pose le cadre, l'ISO 27001 apporte la méthode, mais c'est le HDS qui autorise concrètement l'hébergement des données de santé. Les trois se complètent et aucun ne remplace les autres. Dès qu'un outil touche à la donnée patient, y compris une IA vocale qui répond au téléphone, la certification cesse d'être un détail pour devenir un prérequis.

Le critère de décision est simple à formuler. Avant d'adopter une solution qui traitera des données de vos patients, exigez le certificat HDS, lisez son périmètre, vérifiez la localisation des données et la chaîne de sous-traitance. Si le prestataire répond clairement et documente ses engagements, vous pouvez avancer. S'il reste vague ou renvoie la conformité à plus tard, l'outil ne vaut pas le risque, aussi séduisant soit-il. En santé, la protection des données n'est pas ce qu'on ajoute après avoir choisi. C'est ce par quoi on commence.