Certification HDS : hébergeur de données de santé.

Un hébergeur certifié HDS est un prestataire dont les infrastructures, les services et l'organisation ont été audités et reconnus conformes aux exigences de sécurité applicables aux données de santé à caractère personnel. Cette certification garantit un haut niveau de protection, de disponibilité et de traçabilité des données hébergées.

Les données de santé regroupent toute information relative à l'état de santé physique ou mentale d'une personne. Cela inclut notamment les dossiers patients, les résultats d'examens, les données d'imagerie, les informations de télémédecine ou les données issues d'applications de suivi médical.

Dès lors qu'une organisation héberge ou exploite des données de santé pour son propre compte ou pour des tiers, elle doit s'appuyer sur un hébergeur disposant d'un certificat HDS. Cette exigence s'applique quel que soit le modèle d'hébergement : cloud, datacenter, colocation ou infogérance.

L'ISO 27001 est une norme internationale qui définit un cadre de management de la sécurité de l'information. La certification HDS est spécifique à l'hébergement des données de santé et ajoute des exigences réglementaires propres au secteur. Les deux sont liées : obtenir la certification HDS suppose de disposer d'un système de management de la sécurité de l'information certifié ISO 27001. Chez Blue, l'ISO 27001 structure la gouvernance de la sécurité, la certification HDS répond aux exigences du secteur santé.

Le référentiel distingue six activités : les sites physiques d'hébergement, l'infrastructure matérielle, l'infrastructure virtuelle, la plateforme d'hébergement d'applications, l'administration et l'exploitation du système d'information, et la sauvegarde des données. Chaque hébergeur est certifié sur un périmètre précis : c'est la première chose à vérifier sur un certificat. Blue est certifié sur les six activités.

Les données de santé hébergées par Blue sont localisées en France, dans ses deux datacenters propriétaires de Rennes et de Nantes. Ces sites répondent à des exigences élevées de sécurité physique, de sécurité logique et de continuité d'activité. Blue garantit qu'aucun transfert de données de santé à caractère personnel n'est effectué vers un pays tiers à l'Espace économique européen.

Oui. Les exigences du référentiel HDS intègrent des dispositifs de sauvegarde sécurisée, de restauration des données et de continuité d'activité. Ces mécanismes sont essentiels pour garantir la disponibilité des données de santé en cas d'incident technique ou de cyberattaque. Chez Blue, un plan de continuité et un plan de reprise d'activité sont documentés et testés entre les deux datacenters.

Demandez le certificat lui-même, et lisez-y trois éléments : l'organisme certificateur qui l'a délivré, la date de validité, et surtout le périmètre — les activités couvertes et les sites concernés. Un hébergeur certifié sur deux activités n'est pas comparable à un hébergeur certifié sur six. Le certificat de Blue est téléchargeable sur cette page.

L'hébergeur est responsable du périmètre décrit dans son certificat et dans son contrat. Votre organisation reste responsable de traitement au sens du RGPD : finalités, base légale, information des personnes, gestion des droits et sécurité applicative. La certification de l'hébergeur ne transfère pas cette responsabilité, elle sécurise la couche d'hébergement et vous fournit des éléments opposables lors de vos propres audits.