Les 6 activites HDS de l’hébergement de données de santé, expliquées

Quand on parle d’hébergement de données de santé, on imagine souvent un seul métier. Le référentiel français en distingue six. Détailler les 6 activites HDS permet de saisir ce que fait réellement un hébergeur, chacune correspondant à une couche technique précise, et surtout de situer ce qui s’applique en Nouvelle-Calédonie, où le cadre diffère de celui de la métropole.

D’où viennent les 6 activites HDS

La certification HDS est un dispositif national français. Elle repose sur le décret n° 2018-137 du 26 février 2018 et sur un référentiel actualisé par l’arrêté du 26 avril 2024. Cette certification est délivrée par un organisme certificateur accrédité par le COFRAC, à l’issue d’un audit. Le référentiel découpe l’hébergement en 6 activités HDS distinctes, regroupées en deux grands périmètres. Un hébergeur peut être certifié sur tout ou partie de ces activités, selon ce qu’il propose réellement à ses clients. Cette granularité explique pourquoi deux prestataires certifiés ne couvrent pas forcément les mêmes prestations.

Le périmètre infrastructure physique (activités 1 et 2)

Les deux premières activités portent sur ce que l’on peut toucher, les équipements et les locaux. Elles constituent le socle matériel de l’hébergement.

• Activité 1 : la mise à disposition de sites physiques (datacenters). Il s’agit des locaux qui abritent les serveurs : alimentation électrique secourue, refroidissement, contrôle des accès, protection incendie. Concrètement, c’est le bâtiment sécurisé où sont installées les machines, avec ses gardes et ses caméras.
• Activité 2 : la mise à disposition de l’infrastructure matérielle. Ici, l’hébergeur fournit les équipements eux-mêmes : serveurs, baies de stockage, équipements réseau. Un fournisseur peut louer la machine physique sans gérer ce qui tourne dessus, ce qui correspond exactement à cette deuxième activité.

Selon son modèle, un acteur qui possède son propre datacenter et son propre matériel couvre ce périmètre ; un autre peut s’appuyer sur des installations tierces.

Le périmètre infogérance (activités 3 à 6)

Les quatre activités suivantes relèvent du logiciel, de la virtualisation et de l’exploitation. C’est la partie qui demande des compétences techniques continues, au-delà des murs et des câbles.

• Activité 3 : la mise à disposition d’une infrastructure virtuelle. La virtualisation permet de faire tourner plusieurs serveurs logiques sur un même matériel. L’hébergeur fournit alors des machines virtuelles plutôt que des serveurs physiques, ce qui donne de la souplesse pour ajuster les ressources.
• Activité 4 : la mise à disposition d’une plateforme d’hébergement d’applications. À ce niveau, le prestataire fournit un environnement prêt à recevoir un logiciel métier (système d’exploitation, base de données, services applicatifs). Le professionnel de santé y déploie son logiciel sans gérer les couches en dessous.
• Activité 5 : l’administration et l’exploitation du système d’information contenant les données de santé. C’est le pilotage au quotidien : surveillance, mises à jour de sécurité, gestion des incidents, supervision des sauvegardes. L’hébergeur veille à ce que le système reste disponible et protégé dans la durée.
• Activité 6 : la sauvegarde externalisée des données de santé. Les copies de sauvegarde sont stockées sur une infrastructure distincte et sécurisée, afin de pouvoir restaurer les données après un incident. Cette activité peut être confiée à un prestataire dédié, séparé de celui qui héberge les données en production.

Le rôle des normes ISO dans le référentiel

Le référentiel HDS s’appuie sur des normes ISO, en particulier l’ISO 27001 (management de la sécurité de l’information) et l’ISO 20000 (gestion des services). Lors de l’audit, l’organisme certificateur vérifie l’équivalence des certifications ISO déjà obtenues par l’hébergeur. Une précision utile : disposer de l’ISO 27001 seule ne suffit pas. Cette norme internationale constitue un socle de sécurité générale, valable pour tout système d’information, sans dimension propre à la santé. La certification HDS exige la conformité à l’ensemble du référentiel, volet santé compris. Un hébergeur peut donc être ISO 27001 sans être certifié HDS.

HDS, SecNumCloud, ISO 27001 : trois dispositifs à ne pas confondre

Ces trois cadres reviennent souvent dans la même conversation, alors qu’ils répondent à des objectifs différents. L’ISO 27001 vise la sécurité de l’information en général. La certification HDS ajoute les exigences propres aux données de santé, à travers les six activités décrites plus haut. SecNumCloud, de son côté, est une qualification de l’ANSSI : ce visa de sécurité reconnaît des offres cloud de confiance pour données sensibles et protège explicitement contre l’application de lois extraterritoriales, donc contre les atteintes à la souveraineté. SecNumCloud est transversal, pas spécifique à la santé, et distinct du HDS ; un hébergeur peut viser les deux, car ils se complètent. La sécurisation des données de santé mobilise ces différents niveaux selon les besoins.

Et en Nouvelle-Calédonie ?

En Nouvelle-Calédonie, le cadre applicable diffère : les 6 activités HDS appartiennent à un référentiel national français, audité par un organisme accrédité par le COFRAC en métropole. Sur le territoire, héberger des données de santé pour le compte d’un tiers suppose un agrément local du gouvernement, créé par la loi du pays n° 2026-5. C’est ce cadre qui fait foi localement. La grille des 6 activités HDS garde son utilité : elle offre un vocabulaire commun pour décrire ce que couvre une offre et poser les bonnes questions. Mais la certification HDS métropolitaine ne s’applique pas automatiquement en Nouvelle-Calédonie, et elle ne remplace pas l’agrément local. Pour un professionnel de santé installé sur le territoire, la référence qui fait foi reste l’agrément prévu par la loi du pays. Cette distinction oriente le choix d’un hébergeur (voir : choisir un hébergeur adapté).

À quoi sert cette grille pour comprendre une offre

Connaître les 6 activités HDS change la façon de lire une proposition commerciale. Un hébergeur qui couvre l’ensemble du périmètre, du datacenter à la sauvegarde, propose une chaîne complète. Un autre peut n’assurer qu’une partie et s’appuyer sur des partenaires pour le reste. Aucune de ces approches n’est meilleure dans l’absolu ; tout dépend des besoins du professionnel et de la clarté du partage des responsabilités. En Nouvelle-Calédonie, cette lecture s’accompagne toujours de la même vérification : l’hébergeur dispose-t-il bien de l’agrément local ? La grille nationale éclaire la technique ; l’agrément, lui, conditionne la légalité de l’hébergement sur le territoire.

Sources : Agence du Numérique en Santé — la certification HDS · Congrès de la Nouvelle-Calédonie — loi du pays n° 2026-5.