Hébergement HDS | Hébergement de données de santé.

C'est le stockage et l'exploitation de données médicales à caractère personnel par un prestataire extérieur, sur des infrastructures auditées selon le référentiel HDS de l'Agence du Numérique en Santé. Cela couvre les dossiers patients, les résultats d'analyses, les comptes rendus d'imagerie et les données issues de dispositifs connectés. Dès que ces données sont confiées à un tiers, l'article L. 1111-8 du code de la santé publique impose que ce tiers soit certifié.

L'agrément est l'ancien régime : il était délivré par le ministère de la Santé après instruction d'un dossier. Il a été remplacé par la certification HDS, qui repose sur un audit conduit par un organisme accrédité, renouvelé périodiquement. Le terme « agrément hébergeur de données de santé » circule encore mais ne correspond plus à aucun dispositif en vigueur. Si un prestataire vous parle encore d'agrément, demandez-lui son certificat.

Trois vérifications suffisent, et elles prennent cinq minutes.

• Consultez la liste officielle des hébergeurs certifiés publiée par l'Agence du Numérique en Santé. Attention au nom : un prestataire peut y figurer sous sa raison sociale et non sous sa marque. Blue apparaît sous « Bretagne Telecom ».
• Demandez le certificat lui-même et vérifiez sa date de validité ainsi que le nom de l'organisme certificateur.
• Lisez le périmètre : un hébergeur certifié sur la seule activité « sites physiques » n'a pas le droit d'administrer votre système d'information.

Ce troisième point est celui qui réserve le plus de surprises en fin de négociation.

Le référentiel distingue six activités, que l'on appelle parfois les 6 niveaux : les sites physiques, l'infrastructure matérielle, l'infrastructure virtuelle, la plateforme d'hébergement d'applications, l'administration et l'exploitation du système d'information, et la sauvegarde des données de santé. Un hébergeur peut être certifié sur une seule d'entre elles et se présenter comme certifié HDS. Blue est certifié sur les six, ce qui signifie que la chaîne complète, du bâtiment jusqu'à l'infogérance applicative, relève d'un périmètre unique et d'un seul interlocuteur.

L'offre couvre l'hébergement et son exploitation :

• mise à disposition de l'infrastructure, physique ou virtualisée, dans nos datacenters de Rennes et de Nantes ;
• infogérance HDS 24 heures sur 24, avec supervision, correctifs et gestion des habilitations ;
• sauvegarde chiffrée et plan de reprise d'activité testé ;
• sécurisation des accès, cloisonnement par VLAN, VPN et transit IP dédié ;
• support technique humain, joignable directement.

Ce qui reste chez vous : la couche applicative, les traitements métier et le rôle de responsable de traitement au sens du RGPD.

Dans nos deux datacenters propriétaires, à Rennes et à Nantes. Ce sont nos bâtiments, nos équipements et nos équipes, pas des baies louées chez un tiers. Aucune donnée à caractère personnel n'est transférée hors de l'Espace économique européen, et aucune exploitation n'est sous-traitée hors de France.

Blue est une société à capital français, non soumise au Cloud Act. Aucune administration étrangère ne peut donc exiger l'accès à vos données par voie extraterritoriale, ce qui n'est pas le cas des offres adossées à un hyperscaler américain, même lorsque les serveurs sont physiquement en Europe.

Le tarif dépend de quatre variables : le volume de données à héberger, la nature de l'infrastructure retenue (mutualisée, dédiée ou physique), le périmètre d'infogérance souscrit et le niveau de continuité attendu. Un PRA avec bascule automatique ne coûte pas la même chose qu'une sauvegarde quotidienne.

Nous ne publions pas de grille : un hébergement HDS se chiffre sur un périmètre réel, après une étude. Décrivez-nous votre installation et vous recevrez une proposition détaillée, avec le périmètre de certification qui s'y applique.

La migration se déroule en quatre temps : un audit des données et des applications concernées, la qualification du périmètre réglementaire, la reprise des environnements en conditions de test, puis la bascule en production avec une fenêtre de réversibilité.

Deux points méritent d'être anticipés. La convention de preuve et le contrat de sous-traitance RGPD se négocient en parallèle du projet technique, pas après. Et la réversibilité doit figurer au contrat dès le départ : vous devez pouvoir repartir avec vos données dans un format exploitable, sans négociation.

Le cloud de confiance désigne un environnement d'hébergement qui garantit à la fois la sécurité technique et l'immunité aux législations extraterritoriales. La qualification SecNumCloud, délivrée par l'ANSSI, en est la traduction française la plus exigeante : elle impose des critères de sécurité mais aussi des critères capitalistiques et juridiques.

Blue est en cours de qualification, et non qualifié. Nous tenons à la distinction : annoncer une qualification non obtenue serait faux et juridiquement risqué. Pour les données de santé, c'est la certification HDS qui fait foi aujourd'hui, et celle-là est acquise depuis 2019.