Retour au blog
Hébergement HDS : ce qu’il faut savoir avant de lancer une app de santé
Développement
Mehdi
Si votre app de santé stocke des données de patients pour le compte d’un professionnel ou d’un patient, elle doit être hébergée chez un hébergeur certifié HDS. Ce n’est pas une option : héberger ces données sans certificat est un délit, puni jusqu’à 3 ans de prison et 45 000 € d’amende (225 000 € pour une société).
Et c’est une question à régler avant la première ligne de code. Changer d’hébergeur une fois l’app en ligne coûte beaucoup plus cher que de bien choisir au départ.
C’est quoi, la certification HDS ?
HDS veut dire « Hébergeur de Données de Santé ». C’est un certificat délivré à l’hébergeur, pas à votre app, par un organisme accrédité. Il est obligatoire depuis l’article L.1111-8 du Code de la santé publique, et il a remplacé l’ancien agrément ministériel le 1er avril 2018. C’est l’Agence du numérique en santé (ANS) qui pilote le référentiel.
Le certificat est valable 3 ans, avec un audit de contrôle chaque année. Il ne couvre que les activités pour lesquelles l’hébergeur est certifié. Il y en a 6 :
Les sites physiques (le datacenter)
L’infrastructure matérielle (les serveurs)
L’infrastructure virtuelle
La plateforme d’hébergement d’applications
L’administration et l’exploitation du système qui contient les données
La sauvegarde, et depuis mars 2026 l’archivage électronique
À retenir : si votre hébergeur n’est certifié que sur les activités 1 à 4, et que c’est votre prestataire qui administre les serveurs, ce prestataire doit lui aussi être certifié sur l’activité 5.
Mon app est-elle concernée ?
Oui si les 3 conditions sont réunies en même temps :
Ce sont des données de santé personnelles : tout ce qui permet de connaître ou de déduire l’état de santé de quelqu’un.
Elles sont collectées dans un cadre de soin : prévention, diagnostic, soins ou suivi social et médico-social.
Vous les hébergez pour le compte d’un tiers : un professionnel de santé, un établissement, ou le patient lui-même.
Quelques cas concrets pour vous situer :
Téléconsultation : oui, données médicales collectées pendant un soin.
Suivi de patients par un médecin ou un kiné : oui, suivi médical pour le compte du praticien.
Logiciel de cabinet ou dossier patient en SaaS : oui, l’éditeur héberge les données de ses clients soignants.
App de sport ou de bien-être grand public : en général non, mais le RGPD s’applique si les données révèlent l’état de santé.
Outil RH qui gère des arrêts maladie : non, données collectées pour la gestion RH.
Données vraiment anonymisées : non, ce ne sont plus des données personnelles.
Entre les deux, il y a beaucoup de zones grises, comme une app de coaching nutrition suivie par une diététicienne. Dans le doute, faites valider par un juriste ou votre DPO avant de choisir l’hébergeur. C’est toujours moins cher que de migrer après.
Ce qui a changé depuis 2024
La grosse nouveauté : depuis fin septembre 2026, les données de santé doivent être stockées dans l’Union européenne ou l’Espace économique européen (UE + Norvège, Islande, Liechtenstein). Un hébergeur « certifié HDS » avec des serveurs aux États-Unis ne suffit plus.
Fin septembre 2026 : stockage obligatoire dans l’UE/EEE (nouvel article R.1111-9-1). Un accès à distance depuis un pays tiers, par exemple pour la maintenance, compte comme un transfert : il doit être prévu au contrat, avec les garanties du RGPD.
16 mai 2026 : fin de la transition, les certificats HDS de l’ancienne version (v1.1) ne sont plus valables.
27 mars 2026 : l’archivage électronique entre dans le périmètre HDS (décret n° 2026-209 du 24 mars 2026).
Mai 2024 : publication du référentiel HDS v2, approuvé par l’arrêté du 26 avril 2024.
Attention à une confusion fréquente : HDS n’est pas SecNumCloud. HDS impose la transparence sur les transferts et les accès depuis l’étranger, mais ne protège pas contre les lois extraterritoriales comme le Cloud Act américain. Si votre client exige cette protection, il faut un hébergeur qualifié SecNumCloud.
Quel hébergeur choisir, et pour quel budget ?
Pour une app mobile, comptez en général entre 150 et 900 € par mois d’hébergement HDS selon le volume et la redondance. Les principaux hébergeurs certifiés avec des serveurs en France :
OVHcloud (France, SecNumCloud sur une partie de l’offre) : le choix par défaut pour une startup qui veut rester souveraine.
Scaleway (France, SecNumCloud en cours) : projets simples, équipes qui veulent un cloud moderne.
Clever Cloud (France) : déployer une app sans gérer de serveurs.
3DS Outscale (France, SecNumCloud) : clients publics ou hôpitaux qui exigent SecNumCloud.
AWS, Google Cloud, Azure (États-Unis, régions Paris) : gros volumes, services avancés (IA, data).
Ordres de prix mensuels (estimations, à confirmer par devis) : un serveur avec sauvegarde quotidienne, 150 à 300 € ; haute disponibilité (2 serveurs, base répliquée), 350 à 600 € ; service entièrement infogéré avec astreinte 24/7, 600 à 900 €.
Deux réflexes avant de signer : vérifier l’hébergeur sur la liste officielle de l’ANS (pas seulement sur son site), et lire l’annexe du certificat pour voir quels services et quelles activités sont vraiment couverts.
HDS ne suffit pas : les autres obligations
L’hébergement certifié ne règle qu’une partie du sujet. Pour une app qui traite des données de santé, prévoyez aussi :
Une base légale solide : les données de santé sont « sensibles » (article 9 du RGPD). En pratique, c’est souvent le consentement explicite de l’utilisateur.
Une analyse d’impact (AIPD) : obligatoire dès que vous traitez des données sensibles à grande échelle (article 35 du RGPD).
Une information claire : ce que vous collectez, pourquoi, combien de temps, et qui y a accès, directement dans l’app.
La sécurité côté app : chiffrement des échanges, connexion sécurisée, rien de sensible stocké en clair sur le téléphone. Un hébergeur HDS ne protège pas une app mal codée.
Le statut de dispositif médical : si votre app sert à diagnostiquer, surveiller ou traiter une maladie, elle peut relever du règlement européen sur les dispositifs médicaux (marquage CE). C’est un autre chantier, bien plus lourd que le HDS.
La CNIL rappelle que les applications mobiles de santé doivent garantir la protection des données qu’elles collectent (CNIL, les données de santé en pratique).
Comment on s’y prend chez La Belle App
Sur un projet santé, la question de l’hébergement est traitée dès l’appel de cadrage, pas à la fin :
On qualifie vos données : santé ou pas, cadre de soin ou pas, et pour le compte de qui.
On choisit l’hébergeur avec vous : certifié HDS sur les bonnes activités, serveurs dans l’UE, SecNumCloud si votre client l’exige.
On l’intègre au devis : le coût mensuel d’hébergement apparaît dès le départ.
On code l’app en conséquence : chiffrement, gestion des consentements, aucune donnée sensible en clair sur le téléphone.
Vous avez un projet d’app de santé ? Réservez un appel gratuit de 30 minutes, on regarde ensemble si le HDS vous concerne.
Questions fréquentes
Firebase ou Supabase sont-ils certifiés HDS ?
Pas forcément : un cloud certifié ne couvre pas tous ses services. Pour des données soumises au HDS, il faut un back-end hébergé chez un hébergeur certifié, sur des services couverts par son certificat. Vérifiez toujours l’annexe du certificat.
Mon hébergeur est certifié HDS, mon app est donc conforme ?
Non. Le certificat couvre l’hébergeur, pas votre app. Il vous reste le RGPD, la sécurité de l’app et, le cas échéant, le statut de dispositif médical.
Que risque-t-on sans hébergeur HDS ?
Jusqu’à 3 ans de prison et 45 000 € d’amende, portés à 225 000 € pour une société. Sans compter la perte de confiance des soignants et des patients.
Combien coûte un hébergement HDS pour une app ?
En général de 150 à 900 € par mois selon le volume et le niveau de redondance. Demandez plusieurs devis sur le même périmètre.
Sources
Article informatif rédigé par Mehdi, cofondateur de La Belle App (+80 apps lancées en 5 ans). Il ne remplace pas l’avis d’un juriste.
