Données de santé
Certification HDS. Sans détour.
Hébergeur de données de santé : préparation à la certification, audit à blanc, audit interne annuel. Par un auditeur certifié ISO/IEC 27001 et HDS.
Et d’abord une question que nous posons avant toute proposition : en avez-vous réellement besoin ?
Êtes-vous vraiment concerné ?
Beaucoup d’organisations lancent un projet de certification dont elles n’avaient pas besoin.
L’obligation vise l’hébergement de données de santé pour le compte d’un tiers. Ce sont ces quelques mots qui décident, et ils sont régulièrement mal lus.
- Vous hébergez pour des tiers. Vous stockez les données de santé de clients, de patients ou d’établissements qui ne sont pas vous. La certification s’impose.
- Vous éditez une application déployée chez un hébergeur déjà certifié. Son certificat peut suffire, à condition que vous n’hébergiez pas vous-même pour le compte de tiers. C’est le cas le plus fréquent, et le plus souvent mal tranché.
- Vous traitez vos propres données. Un établissement qui héberge ses propres données, pour lui-même, n’est pas dans le champ de la certification.
Nous tranchons cette question au cadrage, en trente minutes, avant tout devis. Si le certificat de votre hébergeur suffit, nous vous le disons — et vous venez d’économiser un projet entier. Un prestataire qui ne pose jamais cette question vous vend quelque chose, il ne vous conseille pas.
Le référentiel v2, et ce qu’il impose.
Le référentiel version 2 a été approuvé par un arrêté du 26 avril 2024. Il s’applique à toute nouvelle demande de certification depuis le 16 novembre 2024, et depuis le 16 mai 2026, l’ensemble des certificats en circulation doivent en relever. Ceux restés en version 1 ne permettent plus d’exercer.
Ce que cela change concrètement pour vous :
- Un audit en deux temps. Une revue documentaire d’abord, un audit sur site ensuite. Les deux se préparent différemment, et c’est le second qui surprend.
- Trois mois pour corriger. Après l’audit sur site, vous disposez de ce délai pour lever les non-conformités. C’est court quand elles touchent à l’organisation plutôt qu’à la technique.
- Un certificat valable trois ans, revu chaque année. L’audit de surveillance annuel n’est pas une formalité : il se prépare, et un certificat se perd aussi bien qu’il s’obtient.
- Une exigence renforcée sur la localisation des données et sur la transparence des transferts hors Espace économique européen, que vous devez être en mesure de cartographier.
Seul un organisme accrédité peut délivrer le certificat. Nous ne le délivrons pas : nous vous mettons en état de l’obtenir.
Comment nous intervenons.
Avant, pendant, et chaque année ensuite.
01
Analyse d’écarts
Où vous en êtes face au référentiel v2, mesure par mesure. Un rapport priorisé, une feuille de route, et une estimation honnête du chemin restant.
02
Audit à blanc
L’audit de certification joué d’avance, dans vos conditions réelles. Revue documentaire, entretiens, test des preuves, rapport au format d’un organisme accrédité. Vous découvrez vos non-conformités en privé.
03
Audit interne annuel
Le référentiel l’impose, et l’audit de surveillance le vérifie. Nous le réalisons chaque année, sous contrat reconduit tacitement, pour que votre certificat tienne dans la durée.
Et si vous visez aussi l’ISO 27001 : la certification HDS s’appuie largement dessus. Une grande partie du travail est commune — encore faut-il construire le système une seule fois, dans le bon ordre, plutôt que deux fois dans le désordre. C’est là que nous sommes le plus utiles.
Une obligation française, pas une frontière.
L’HDS est une certification de droit français, sans équivalent ailleurs en Europe. Mais elle ne suit pas votre implantation : elle suit les données. Un hébergeur établi hors de France qui traite des données de santé françaises y est soumis, et peut être certifié dès lors que le stockage a lieu dans l’Espace économique européen.
C’est le cas de nombreux acteurs luxembourgeois, dont les centres de données servent des clients français sans que l’obligation leur ait toujours été expliquée. Nous intervenons aussi dans cette configuration.
À plus long terme, l’Espace européen des données de santé fournira un cadre commun à l’échelle de l’Union. La logique y est voisine de celle du référentiel français : ce que vous construisez aujourd’hui pour l’HDS ne sera pas perdu.
Combien ça coûte. Et pourquoi pas de prix ici.
Nous affichons nos prix partout ailleurs sur ce site. Pas ici, et c’est délibéré : le périmètre d’un dossier HDS varie trop d’une organisation à l’autre — nombre d’activités certifiées, architecture, maturité de départ — pour qu’un chiffre affiché veuille dire quoi que ce soit. Il serait soit faux, soit si large qu’il ne vous apprendrait rien.
Ce que nous garantissons à la place : un cadrage de trente minutes, un devis ferme sous 48 heures, et un périmètre écrit noir sur blanc. Pas de rallonge découverte en cours de route.
Pour l’ISO/IEC 27001, en revanche, les prix sont publics : diagnostic 1 500 €, audit à blanc à partir de 3 000 €, audit interne annuel 2 000 €. Voir la grille complète.
Commençons par la bonne question.
Trente minutes pour savoir si vous êtes concerné, et ce que cela représente. Sans engagement, et sans vous vendre un projet dont vous n’avez pas besoin.