Réglementation sectorielle
Référentiel HDS v2 — Hébergement de données de santé
La certification obligatoire en France pour héberger des données de santé à caractère personnel pour le compte de tiers.
En bref
- Type
- Certification réglementaire française
- Éditeur
- Agence du numérique en santé (ANS)
- Version
- 2.0 (2024)
- Socle
- ISO/IEC 27001:2022 + 31 exigences spécifiques
37 exigences suivies · 106 mesures communes
Qu’est-ce que HDS ?
L’article L.1111-8 du Code de la santé publique impose une certification à toute personne qui héberge des données de santé à caractère personnel recueillies lors d’activités de prévention, de diagnostic, de soins ou de suivi social et médico-social, pour le compte d’un tiers. Le référentiel est publié par l’Agence du numérique en santé (ANS).
La version 2.0, approuvée par arrêté en 2024, s’appuie sur ISO/IEC 27001:2022 et ajoute 31 exigences spécifiques : périmètre, sous-traitance, information des clients, contrat d’hébergement et réversibilité, et des exigences de souveraineté (stockage dans l’Espace économique européen, encadrement des accès depuis des pays tiers, cartographie publique des transferts). Depuis le 16 mai 2026, tout certificat en cours de validité atteste de la conformité à la v2.
Les exigences clés
- 1
SMSI ISO 27001 couvrant l’hébergement
Le système de management doit couvrir l’ensemble des activités d’hébergement visées par le certificat.
- 2
Compléments au SMSI
Parties intéressées et cadre légal, événements redoutés propres aux données de santé, répartition des responsabilités, audits internes.
- 3
Contrat d’hébergement
Clauses imposées par le Code de la santé publique, information du client et réversibilité.
- 4
Souveraineté
Stockage exclusif dans l’EEE, encadrement des accès depuis des pays tiers, analyse de l’exposition aux législations extra-européennes, cartographie publique des transferts.
Synthèse rédigée par OK-GRC. Les textes des normes ISO sont protégés par le droit d’auteur et ne sont pas reproduits.
Comment OK-GRC vous aide
- Les exigences HDS v2 reliées à 106 mesures communes, partagées avec votre SMSI ISO 27001
- Registre des fournisseurs avec localisation des données et mécanismes de transfert
- Politique fournisseurs, politique cloud et accord de sous-traitance en modèles
- Suivi des preuves, audits internes et revue de direction pour l’audit de certification
Les référentiels voisins
Avec des mesures ISO 27001 en place, votre score de départ HDS est d’environ 38 à 54 %.
Les mesures que vous mettez en place pour HDS comptent aussi pour :
Questions fréquentes sur HDS
Peut-on stocker des données de patients dans OK-GRC ?
Non. OK-GRC sert à piloter votre conformité (politiques, risques, preuves, audits) et n’est pas un hébergement certifié HDS : n’y déposez pas de données de santé à caractère personnel.
La certification ISO 27001 suffit-elle pour HDS ?
Non. Elle est le socle obligatoire, mais l’audit HDS vérifie aussi les 31 exigences spécifiques du référentiel, en particulier les exigences contractuelles et de souveraineté.
Contenu informatif à jour en octobre 2026 ; il ne constitue pas un avis juridique. Vérifiez toujours les textes officiels en vigueur.
Prêt à simplifier votre conformité ?
Créez votre espace en quelques minutes. L’assistant vous propose les normes et les priorités adaptées à votre entreprise.
14 jours d’essai avec toutes les fonctionnalités Pro · Aucun débit avant la fin de l’essai · Sans engagement