Qu’est-ce que la certification HDS et pourquoi existe-t-elle ?

En France, la loi du 4 mars 2002 relative aux droits des malades a posé les premières bases d’un cadre protecteur pour les données de santé. Depuis, la réglementation a considérablement évolué : le référentiel d’Hébergement de Données de Santé (HDS), défini par l’arrêté du 21 décembre 2018 et géré par l’ANS (Agence du Numérique en Santé), impose une certification obligatoire à tout prestataire stockant ou traitant des données de santé à caractère personnel pour le compte de tiers.

La certification HDS repose sur une accréditation délivrée par un organisme agréé COFRAC. Elle atteste que l’hébergeur respecte un ensemble d’exigences techniques, organisationnelles et sécuritaires couvrant notamment la disponibilité des données, la réversibilité, la gestion des incidents et la traçabilité des accès. L’objectif est simple : garantir que des informations aussi sensibles que les dossiers médicaux, les bilans de santé ou les données biométriques ne puissent pas être compromises, divulguées ou perdues.

Qui est soumis à l’obligation d’hébergement HDS ?

L’obligation d’hébergement certifié HDS s’applique dès lors qu’une organisation collecte, stocke, archive ou transmet des données de santé à caractère personnel pour le compte d’un professionnel ou d’un établissement de santé. Concrètement, sont concernés :

• Les établissements de santé publics et privés : hôpitaux, cliniques, services d’urgence préhospitalière (SMUR, SAMU), HAD.
• Les professionnels de santé libéraux utilisant des logiciels de dossier patient ou des solutions de télémédecine : médecins, infirmiers, kinésithérapeutes, pharmaciens.
• Les éditeurs de logiciels médicaux et les plateformes de télésuivi proposant des services en mode SaaS hébergeant des données de patients.
• Les assurances et mutuelles qui analysent des données de remboursement liées à l’état de santé de leurs assurés.
• Les associations agréées de sécurité civile (AASC) : dès lors qu’elles saisissent des fiches bilan de victimes lors d’interventions ou collectent des informations médicales sur des intervenants bénévoles, l’obligation s’applique dans les mêmes conditions.
• Les services de transport sanitaire (ambulances, VSL) utilisant des systèmes de régulation numérique intégrant des données médicales.

En revanche, un simple annuaire de professionnels de santé ou un agenda de rendez-vous sans données médicales n’entre pas dans le périmètre HDS, à condition que les données personnelles ne permettent pas d’inférer un état de santé.

Quelles données sont exactement concernées ?

Le Code de la santé publique définit les données de santé comme toute information relative à l’état physique ou mental passé, présent ou futur d’une personne. Cette définition large recouvre :

• Les dossiers médicaux et comptes rendus d’hospitalisation.
• Les bilans et résultats d’examens (biologie, imagerie, ECG).
• Les prescriptions médicamenteuses et ordonnances.
• Les fiches bilan de secours établies sur les victimes lors d’interventions de premiers secours.
• Les données biométriques collectées à des fins médicales (tension artérielle, saturation en oxygène, glycémie).
• Les informations sur les restrictions opérationnelles liées à l’état de santé d’un secouriste ou d’un opérateur de terrain.

Le règlement général sur la protection des données (RGPD), en son article 9, classe les données de santé dans la catégorie des données sensibles, interdisant leur traitement sauf dérogation explicite et encadrement strict.

Les risques en cas de non-conformité

Ne pas héberger ses données de santé chez un prestataire certifié HDS expose l’organisation à des sanctions multiples. La CNIL peut prononcer des amendes pouvant atteindre 10 millions d’euros ou 2 % du chiffre d’affaires mondial annuel pour violation des règles de traitement des données sensibles. En cas de violation de données, la responsabilité pénale peut être engagée : l’article 226-13 du Code pénal sanctionne la violation du secret médical d’un an d’emprisonnement et 15 000 euros d’amende.

Au-delà des sanctions financières, les conséquences opérationnelles sont sérieuses : perte de confiance des patients ou des victimes prises en charge, résiliation de conventions avec des organismes financeurs (ARS, MSA, assurances), ou suspension d’agréments. Pour les AASC, cela peut signifier la remise en cause de leur habilitation à intervenir sur des événements officiels.

Comment vérifier la conformité de son hébergeur ?

La liste des hébergeurs certifiés HDS est publiée et maintenue par l’ANS sur le portail esante.gouv.fr. Avant de confier des données de santé à un prestataire, il convient de vérifier :

1. La présence du certificat HDS en cours de validité sur le site de l’ANS et la correspondance exacte du périmètre certifié avec les activités réellement exercées (hébergement d’infrastructure, hébergement de données, infogérance).
2. L’existence d’un contrat d’hébergement conforme aux exigences réglementaires, mentionnant explicitement les engagements de disponibilité, de sécurité et de réversibilité.
3. Les clauses de localisation des données : les données de santé françaises doivent être hébergées au sein de l’Espace économique européen (EEE) sauf dérogation.
4. Les modalités d’audit et de notification en cas d’incident de sécurité, conformément à l’obligation de déclaration à la CNIL dans les 72 heures suivant la détection d’une violation.

Le cas particulier des associations de sécurité civile et des équipes de premiers secours

Les associations agréées de sécurité civile occupent une position spécifique dans ce paysage réglementaire. Lors d’un dispositif prévisionnel de secours (DPS) ou d’une opération de secours à victimes multiples, les secouristes consignent sur des fiches bilan ou dans des logiciels de gestion opérationnelle des informations médicales sur les victimes : nature des lésions, traitements administrés, bilan neurologique. Ces données constituent des données de santé au sens de la loi.

Si ces informations sont saisies dans un outil numérique accessible depuis des serveurs distants — ce qui est de plus en plus la norme dans les associations modernes dotées de solutions de gestion opérationnelle — l’hébergeur de la plateforme doit être certifié HDS. Les associations qui ignorent cette obligation s’exposent non seulement aux sanctions décrites plus haut, mais risquent également de compromettre la confidentialité des victimes qu’elles ont prises en charge.

Les responsables d’association doivent donc systématiquement interroger leurs prestataires logiciels sur leur certification HDS et exiger les justificatifs correspondants avant tout déploiement d’outils de gestion des interventions.

eBrigade et la conformité HDS

eBrigade, solution de gestion d’équipes terrain dédiée aux pompiers volontaires, associations de sécurité civile, opérateurs de sécurité et structures de soins préhospitaliers, intègre la question de l’hébergement HDS comme une composante fondamentale de son offre. Les données sensibles collectées lors des interventions — notamment les bilans victimes et les informations médicales des intervenants — sont hébergées dans un environnement certifié HDS, garantissant la conformité réglementaire de vos opérations sans que vous ayez à gérer cette complexité technique en interne. Les équipes eBrigade accompagnent également leurs clients dans la rédaction des clauses contractuelles adéquates et dans la mise en place de procédures de gestion des incidents conformes aux exigences CNIL.

---

Pour aller plus loin :

• Logiciel de planning pour association — fonctionnalités, tarifs et cas clients
• Module Formation — découvrir en détail
• Tarifs eBrigade — à partir de 39 €/mois, essai gratuit 30 jours