HDS vs SecNumCloud : quelle différence pour vos données de santé ?

Deux sigles reviennent dès qu’on parle de cloud sensible : la certification HDS et la qualification SecNumCloud. On les confond souvent, alors qu’ils répondent à des questions différentes. L’un certifie la capacité à héberger des données de santé ; l’autre garantit un niveau de souveraineté face aux ingérences étrangères. Pour un acteur calédonien, savoir les distinguer aide à lire une offre sans se tromper, tout en gardant en tête le seul cadre qui s’applique chez nous.

HDS vs SecNumCloud : deux dispositifs nationaux, deux objectifs

Ces deux référentiels viennent de l’Hexagone et relèvent d’autorités distinctes. La certification HDS encadre l’hébergement des données de santé à caractère personnel. Elle repose sur le décret n° 2018-137 du 26 février 2018 et sur un référentiel actualisé par l’arrêté du 26 avril 2024. Elle est délivrée par un organisme certificateur accrédité par le COFRAC, à l’issue d’un audit qui vérifie la conformité au référentiel. La qualification SecNumCloud, elle, est un Visa de sécurité de l’ANSSI qui reconnaît des offres cloud de confiance pour des données sensibles. Sa particularité tient à la souveraineté : elle protège explicitement contre l’application de lois extraterritoriales susceptibles de contraindre un prestataire à livrer des données à un État tiers. Un dispositif vise la santé, l’autre vise la confiance numérique au sens large.

Ce que couvre la certification HDS

La certification HDS s’organise autour de six activités d’hébergement, réparties en deux familles. Le périmètre infrastructure physique regroupe les sites physiques et les datacenters d’une part, l’infrastructure matérielle d’autre part. Le périmètre infogéreur recouvre les quatre activités restantes :

• L’infrastructure virtuelle mise à disposition de l’hébergé pour faire fonctionner ses services.
• La plateforme d’hébergement d’applications, qui accueille les logiciels manipulant les données de santé.
• L’administration et l’exploitation du système d’information contenant ces données.
• La sauvegarde externalisée des données de santé, conservée en dehors du site principal.

Le référentiel s’appuie sur des normes internationales (ISO 27001, ISO 20000) : l’organisme certificateur examine l’équivalence des certifications déjà obtenues plutôt que de tout réauditer à zéro. Détenir l’ISO 27001 seule ne suffit toutefois pas. Cette norme constitue un socle de sécurité générale ; le HDS exige en plus la conformité au référentiel complet, dont le volet propre à la santé.

Ce que garantit SecNumCloud

SecNumCloud répond à une préoccupation différente : la maîtrise des données face aux juridictions étrangères. La qualification atteste qu’une offre cloud résiste à l’application de lois extraterritoriales, c’est-à-dire qu’un État tiers ne peut contraindre le prestataire à transmettre les données qu’il héberge. Elle couvre un large éventail de critères de sécurité technique et organisationnelle, sans se limiter à un secteur. C’est un cadre transversal : un hébergeur de données financières, industrielles ou administratives peut le rechercher au même titre qu’un acteur de la santé. SecNumCloud et HDS restent distincts, et viser l’un n’emporte pas automatiquement l’autre. Le sujet rejoint les questions de souveraineté des données, centrales dès qu’une donnée sensible quitte le territoire.

Pourquoi ils sont complémentaires

Rien n’oblige à choisir entre les deux. Un hébergeur peut détenir la certification HDS pour prouver son aptitude à héberger des données de santé, et la qualification SecNumCloud pour démontrer son indépendance vis-à-vis des lois étrangères. Les deux se renforcent : le HDS apporte la spécialisation santé et la traçabilité attendue dans ce domaine ; SecNumCloud ajoute une garantie de souveraineté que le HDS, à lui seul, ne formalise pas. Pour un établissement particulièrement exposé, par exemple un acteur qui héberge des données sensibles susceptibles d’intéresser des juridictions extérieures, cumuler les deux a du sens. Pour d’autres, le besoin santé prime et la qualification souveraineté reste secondaire. La grille de lecture dépend du profil de risque, pas d’une hiérarchie figée entre les deux labels.

Quand l’un, quand l’autre, quand les deux

Trois cas de figure se dessinent. Un hébergeur qui traite uniquement des données de santé, sans enjeu particulier de souveraineté, oriente d’abord ses efforts vers le HDS, conçu pour ce périmètre. Une organisation qui manipule des données sensibles non médicales, avec une crainte forte d’ingérence étrangère, regarde plutôt vers SecNumCloud, qui adresse précisément ce risque. Un acteur qui combine des données de santé et une exposition aux lois extraterritoriales gagne à viser les deux, pour couvrir à la fois la spécialisation sectorielle et la maîtrise juridique. Cette logique vaut au niveau national. Elle ne dit rien, en revanche, de ce qui s’impose localement : la question doit être reprise sous l’angle calédonien, où le cadre applicable n’est ni l’un ni l’autre de ces deux labels.

En Nouvelle-Calédonie, la référence reste l’agrément local

HDS et SecNumCloud sont des dispositifs nationaux français. Ils éclairent le sérieux d’un prestataire, mais ils ne constituent pas le cadre qui fait foi sur le Caillou. En Nouvelle-Calédonie, héberger des données de santé pour le compte d’un tiers suppose un agrément du gouvernement, créé par la loi du pays n° 2026-5. C’est cette autorisation locale qui ouvre le droit d’exercer cette activité, pas une certification métropolitaine. Un hébergeur peut afficher le HDS ou SecNumCloud sans pour autant être habilité à héberger des données de santé calédoniennes, et l’inverse se conçoit tout autant. Pour un professionnel de santé installé ici, le réflexe utile consiste à vérifier l’agrément local d’abord, puis à considérer les labels nationaux comme des indices de maturité, jamais comme un substitut.

Lire une offre sans se laisser impressionner par les sigles

Lire une offre HDS vs SecNumCloud sans se tromper suppose de savoir ce que chaque mention recouvre réellement. Une certification HDS valide concerne l’hébergement de données de santé et a été délivrée après audit par un organisme accrédité par le COFRAC ; la liste des hébergeurs certifiés est d’ailleurs publiée au niveau national par l’Agence du numérique en santé. Une qualification SecNumCloud renvoie à un Visa de sécurité de l’ANSSI et atteste d’un niveau de souveraineté. La bonne approche reste de demander quel périmètre exact est couvert et quelle est sa date de validité. Pour resituer ces labels dans le contexte calédonien, nos repères sur l’hébergement HDS en Nouvelle-Calédonie détaillent ce qui s’applique vraiment ici. Ces questions de fond importent davantage que la densité des logos affichés.

Sources : Agence du numérique en santé — certification HDS · ANSSI — SecNumCloud pour les fournisseurs de services cloud.