HDS (hébergeur de données de santé)

HDS (hébergeur de données de santé) désigne le prestataire certifié pour héberger, sur support numérique, des données de santé à caractère personnel pour le compte de celui qui les a recueillies (un praticien, un établissement) ou du patient lui-même. Ce certificat de conformité est obligatoire (Code de la santé publique, art. L1111-8 (nouvel onglet)).

Qui doit être certifié ?

L’obligation vise l’hébergeur, pas le praticien. Elle porte sur les données recueillies à l’occasion d’activités de prévention, de diagnostic, de soins ou de suivi social et médico-social. Depuis le 1er avril 2018, une certification délivrée par un organisme accrédité remplace l’ancien agrément ministériel (décret n° 2018-137 (nouvel onglet)).

• Un ostéopathe qui garde ses dossiers sur son propre ordinateur n’héberge rien pour autrui ; il reste responsable de leur sécurité au titre du RGPD.
• Dès que les dossiers sont stockés chez un prestataire (logiciel en ligne, sauvegarde dans le nuage), ce prestataire doit être certifié pour les activités qu’il assure.
• Le décret n° 2007-435 (nouvel onglet) décrit l’ostéopathie comme visant à prévenir des troubles fonctionnels ou à y remédier : par prudence, mieux vaut considérer que les données recueillies en séance relèvent de l’article L1111-8.

Qu’est-ce qui a changé depuis 2024 ?

• Référentiel version 2 : publié au Journal officiel le 16 mai 2024, il impose un hébergement physique dans l’Espace économique européen ; les hébergeurs déjà certifiés devaient s’y conformer au plus tard le 16 mai 2026 (Agence du numérique en santé (nouvel onglet)).
• Décret n° 2026-209 du 24 mars 2026 : stockage exclusivement dans l’Union européenne ou l’EEE, accès à distance depuis un pays tiers assimilé à un transfert, information du client sur les risques liés aux pays tiers (texte (nouvel onglet)). Ses dispositions s’appliquent depuis le 26 septembre 2026.

Que vérifier chez un éditeur de logiciel ?

Le contrat d’hébergement doit contenir des clauses précises (CSP, art. R1111-11 (nouvel onglet), version en vigueur depuis le 26 septembre 2026). Demandez notamment :

• le périmètre du certificat et ses dates de délivrance et de renouvellement ;
• les lieux d’hébergement et l’information sur tout transfert ou accès depuis un pays hors de l’UE ;
• les prestations de fin de contrat : restitution de la totalité des données, puis destruction après votre accord (voir réversibilité).

Piège courant : la mention « certifié HDS » sur un site ne dit ni qui est certifié, ni pour quelles activités. Demandez la référence du certificat.

Dans Ostheo, le principe est posé sur la page Sécurité : Ostheo est conçu pour fonctionner exclusivement chez un hébergeur certifié HDS, avec un stockage dans l’Union européenne. Le nom de l’hébergeur et la référence de son certificat y seront publiés avant l’ouverture. Pour le cadre général, voir le hub Réglementation de l’ostéopathie.