Article · 4 novembre 2026
Certification HDS : référentiel v2, souveraineté et version 2.1
Certification HDS en 2026 : qui est concerné, six activités, référentiel v2 obligatoire depuis mai 2026, décret du 24 mars 2026, arrivée de la v2.1 et articulation avec le RGPD.
Depuis le 16 mai 2026, tout certificat d'hébergeur de données de santé (HDS) doit reposer sur le référentiel v2. Depuis fin septembre 2026, le stockage des données de santé dans l'Union européenne ou l'Espace économique européen est inscrit dans le code de la santé publique. Et une version 2.1 du référentiel arrive pour renforcer encore la transparence contractuelle.
Qu'est-ce que la certification HDS ?
La certification HDS découle de l'article L. 1111-8 du code de la santé publique. Elle s'impose à toute organisation qui héberge, pour le compte d'un tiers, des données de santé recueillies lors d'activités de prévention, de diagnostic, de soins ou de suivi social et médico-social (donneespersonnelles.fr).
Ce n'est pas un label facultatif : héberger ces données sans certificat est un délit puni de trois ans d'emprisonnement et de 45 000 € d'amende, montant porté à 225 000 € pour une personne morale. Le référentiel v2 s'appuie sur ISO/IEC 27001:2022, auquel il ajoute des exigences propres à la santé (donneespersonnelles.fr).
Qui est concerné ?
L'obligation s'applique lorsque trois conditions sont réunies :
- il s'agit de données de santé à caractère personnel ;
- elles ont été recueillies dans un contexte de prévention, de diagnostic, de soins ou de suivi social et médico-social ;
- l'hébergement est réalisé pour le compte d'un tiers.
Sont typiquement concernés les fournisseurs cloud et opérateurs de datacenters qui hébergent des données de santé pour leurs clients, les éditeurs de logiciels de santé en SaaS, les infogéreurs et les prestataires de sauvegarde ou d'archivage externalisés. Un établissement qui héberge ses propres données sur ses propres infrastructures n'a pas à être certifié, mais il reste soumis au RGPD (donneespersonnelles.fr).
Les six activités certifiables
- Mise à disposition et maintien en condition opérationnelle des sites physiques.
- Mise à disposition et maintien en condition opérationnelle de l'infrastructure matérielle.
- Mise à disposition et maintien en condition opérationnelle de l'infrastructure virtuelle.
- Mise à disposition et maintien en condition opérationnelle de la plateforme d'hébergement d'applications.
- Administration et exploitation du système d'information contenant les données de santé.
- Sauvegarde des données de santé, qui inclut désormais leur conservation dans le cadre d'un archivage électronique.
Point de vigilance pour les clients : le certificat doit couvrir les activités que le prestataire réalise réellement pour vous. Un certificat limité aux sites physiques ne couvre pas l'administration du système (donneespersonnelles.fr).
Le calendrier
| Date | Étape |
|---|---|
| 16 mai 2024 | Publication au Journal officiel du référentiel v2 (arrêté du 26 avril 2024) |
| 16 novembre 2024 | Toutes les nouvelles certifications suivent le référentiel v2 |
| 26 mars 2026 | Publication du décret n° 2026-209 du 24 mars 2026 (application de la loi SREN) |
| 16 mai 2026 | Fin de la transition : les certificats v1.1 ne sont plus valables |
| Fin septembre 2026 | Stockage exclusif UE/EEE et nouvelles clauses contractuelles applicables au titre du code de la santé publique |
| Décembre 2026 au plus tôt | Publication attendue du référentiel v2.1, applicable trois mois plus tard |
Sources : donneespersonnelles.fr, Schellman, Desmarais Avocats.
Comment Domyno le traite
Un seul référentiel, des agents qui préparent le travail et un expert dédié qui valide.
Souveraineté : le cœur du référentiel v2
- Localisation : les données de santé doivent être stockées exclusivement dans l'EEE (exigence 28). Depuis le décret du 24 mars 2026, cette règle figure aussi dans le code de la santé publique (article R. 1111-9-1).
- Accès distants : un accès depuis un pays tiers, par exemple pour du support technique, est traité comme un transfert. Il doit reposer sur une décision d'adéquation ou sur des garanties appropriées au sens du RGPD (exigence 29).
- Exposition aux lois étrangères : si l'hébergeur ou un sous-traitant est soumis à une législation extra-européenne, le contrat doit la nommer, décrire les mesures d'atténuation et les risques résiduels.
- Transparence publique : l'hébergeur publie et tient à jour une cartographie des transferts et des accès distants (exigence 31).
Deux autres exigences méritent l'attention. L'analyse de risque doit couvrir au moins huit événements prédéfinis, dont l'assujettissement à des lois non européennes. La clause de réversibilité doit préciser les coûts, les délais et les formats de restitution des données (donneespersonnelles.fr).
Un hébergeur soumis au droit américain reste certifiable s'il stocke les données dans l'EEE. Mais son exposition doit désormais être écrite noir sur blanc dans le contrat.
HDS v2.1 : ce qui arrive
La version 2.1 aligne le référentiel sur la loi SREN et le décret de mars 2026. Les principaux changements portent sur le contrat (Schellman, Desmarais Avocats) :
- l'activité 6 couvre explicitement l'archivage électronique ;
- les exigences 23-1 à 23-3 imposent de décrire dans le contrat les transferts hors UE/EEE, les législations étrangères applicables ou, à l'inverse, l'absence de telles législations ;
- l'exigence 19 impose de lister les droits des patients prévus par le RGPD (accès, rectification, effacement, portabilité, limitation, opposition) ;
- l'exigence 29 précise que les personnes concernées doivent disposer de droits opposables en cas de transfert fondé sur des garanties appropriées.
Le projet a été notifié à la Commission européenne fin août 2026, ce qui ouvre une période de statu quo de trois mois : la publication ne devrait pas intervenir avant début décembre 2026 (Desmarais Avocats). Les audits réalisés à partir de trois mois après la publication suivront la v2.1. Le chantier principal sera l'avenant aux contrats clients.
HDS et RGPD : deux régimes, un seul dossier
L'hébergeur HDS est en général un sous-traitant au sens de l'article 28 du RGPD. Le certificat ne dispense ni du contrat de sous-traitance, ni des obligations propres du responsable de traitement : sécurité de son propre périmètre, notification des violations, analyse d'impact pour les traitements de santé à grande échelle.
La CNIL l'a rappelé en 2026 en infligeant 500 000 € d'amende à l'Hôpital privé de la Loire après l'accès aux données de plus de 520 000 patients. Les manquements visaient l'établissement lui-même : accès externes sans authentification multifacteur, habilitations trop larges, absence de détection (donneespersonnelles.fr). Un hébergement certifié ne protège pas contre un compte compromis.
Par où commencer
Vous êtes hébergeur ou éditeur SaaS santé :
- Vérifiez que votre certificat est bien au référentiel v2 et couvre toutes les activités que vous exercez.
- Publiez et tenez à jour votre cartographie des transferts et accès distants.
- Préparez dès maintenant les avenants contractuels exigés par le décret et par la v2.1.
- Chiffrez votre clause de réversibilité : coûts, délais, formats.
Vous confiez vos données de santé à un hébergeur :
- Cartographiez vos flux de données de santé et les prestataires impliqués.
- Contrôlez le certificat de chaque prestataire et de ses sous-traitants : version, validité, activités couvertes.
- Obtenez une confirmation écrite du stockage UE/EEE et la liste des pays d'où des accès distants sont possibles.
- Sécurisez votre propre périmètre : authentification multifacteur, habilitations, journalisation et alertes.
Comment Domyno vous accompagne
Le référentiel HDS repose sur ISO 27001, et Domyno est la plateforme idéale pour piloter les deux ensemble. Incroyablement flexible, elle s'adapte à votre situation, que vous soyez hébergeur, éditeur SaaS santé ou établissement qui confie ses données. Avec le custom framework, vous ajoutez les exigences HDS à votre SMSI et vous intégrez celles de la v2.1 dès sa publication, sans repartir de zéro.
Le plan de contrôle répartit chaque exigence entre vos équipes, avec échéances et preuves, jusqu'à l'audit de surveillance. La gestion des fournisseurs vous aide à suivre les certificats HDS de vos prestataires, les plans de continuité et de reprise soutiennent vos engagements de disponibilité, et la gestion des incidents et des vulnérabilités complète le dispositif.
En option, notre logiciel RGPD dédié et notre solution de sensibilisation cyber renforcent la protection des données de santé jusqu'au poste de travail. Et un expert conformité vous accompagne du premier jour à la certification.