Liste des hébergeurs certifiés HDS : où la trouver et comment la lire

Beaucoup de professionnels de santé calédoniens cherchent une « liste officielle » pour s’assurer qu’un prestataire est en règle. Pour la certification française, cette liste existe bel et bien et reste consultable en ligne. Encore faut-il savoir où la trouver, la lire correctement et comprendre sa portée réelle au regard du cadre applicable en Nouvelle-Calédonie.

Où se trouve la liste des hébergeurs certifiés HDS

La certification HDS (Hébergeur de Données de Santé) est un dispositif français, encadré par le décret n° 2018-137 du 26 février 2018 et par un référentiel actualisé par l’arrêté du 26 avril 2024. Elle est délivrée par un organisme certificateur accrédité par le COFRAC, à l’issue d’un audit. Pour donner de la visibilité à ce parcours, l’Agence du Numérique en Santé publie et tient à jour le recensement des hébergeurs ayant obtenu cette certification. C’est sur le portail esante.gouv.fr, dans la rubrique dédiée aux produits et services HDS, que figure ce recensement. Toute autre source qui prétendrait dresser une liste « officielle » sans renvoyer à l’ANS doit être regardée avec prudence.

Comment lire la liste des hébergeurs certifiés HDS sans se tromper

Voir un nom dans cette liste ne suffit pas à conclure que tous vos besoins sont couverts. La certification HDS porte sur six activités d’hébergement distinctes, et un hébergeur peut n’en couvrir qu’une partie. Lire le recensement correctement suppose donc de regarder au-delà du nom.

• Le périmètre certifié : la certification couvre soit l’infrastructure physique (mise à disposition de sites physiques et d’infrastructure matérielle), soit l’infogérance (infrastructure virtuelle, plateforme d’hébergement d’applications, administration et exploitation du système, sauvegarde externalisée). Vérifiez que les activités dont vous avez besoin sont bien dans le périmètre du certificat.
• La validité dans le temps : une certification a une date de délivrance et une échéance, ponctuée d’audits de surveillance. Un certificat échu ou suspendu ne protège plus.
• L’entité exacte : c’est une personne morale précise qui est certifiée, pas un groupe entier ni une marque commerciale. Un nom proche ne garantit rien.
• Les normes associées : le référentiel s’appuie sur des normes ISO, notamment ISO 27001 et ISO 20000. Le certificateur vérifie l’équivalence des certifications déjà obtenues.

Ces points de lecture rejoignent les réflexes décrits dans nos repères pour vérifier qu’un hébergeur est bien agréé.

Ne pas confondre certification HDS et norme ISO 27001

Une confusion fréquente consiste à prendre une certification ISO 27001 pour un équivalent du HDS. Ce sont deux choses différentes. ISO 27001 est une norme internationale de management de la sécurité de l’information : elle constitue un socle de sécurité générale, sans spécificité santé. La certification HDS exige la conformité à un référentiel complet, dont un volet santé propre aux données médicales. Détenir ISO 27001 seule ne place donc pas un hébergeur dans le recensement HDS. De la même façon, la qualification SecNumCloud, délivrée par l’ANSSI, reconnaît des offres cloud de confiance et protège contre l’application de lois extraterritoriales ; c’est un cadre transversal, distinct du HDS. Un hébergeur peut viser les deux, qui sont complémentaires, mais l’un ne remplace pas l’autre.

Cette liste nationale ne vaut pas agrément en Nouvelle-Calédonie

Voici le point décisif pour un acteur calédonien. La liste de l’ANS recense des hébergeurs certifiés selon le dispositif français. Or, en Nouvelle-Calédonie, héberger des données de santé pour le compte d’autrui suppose un agrément local du gouvernement, créé par la loi du pays n° 2026-5. C’est ce cadre, et lui seul, qui fait foi sur le territoire. Une certification métropolitaine peut témoigner d’un sérieux et de pratiques solides, mais elle ne se substitue pas à l’agrément calédonien et ne s’applique pas automatiquement ici. Présenter la liste nationale comme la preuve qu’un prestataire est « en règle en NC » serait une lecture erronée. Cette distinction entre certification nationale et agrément local s’inscrit dans le cadre plus large de l’hébergement de données de santé en Nouvelle-Calédonie, où c’est l’agrément du gouvernement qu’il faut interroger en premier.

Quelles questions poser à votre prestataire

Plutôt que de vous arrêter à la présence d’un nom dans un recensement, posez des questions précises. Demandez la référence de l’agrément local délivré par le gouvernement de la Nouvelle-Calédonie, et son périmètre. Si le prestataire met en avant une certification française, demandez quelles activités le certificat couvre, sa date d’échéance et l’entité juridique exactement certifiée. Croisez ensuite ces informations avec les sources officielles : le recensement de l’ANS pour le volet national, et l’administration calédonienne pour l’agrément local. Un hébergeur sérieux fournit ces éléments sans détour ; une réponse évasive est en soi un signal.

Pensez aussi à demander où les données sont physiquement stockées et qui peut y accéder, car la localisation et la chaîne de sous-traitance pèsent sur la conformité au RGPD, applicable en Nouvelle-Calédonie. Les données de santé y constituent une catégorie particulière de données, soumise à un encadrement renforcé : contrat de sous-traitance écrit, notification d’une éventuelle violation dans un délai de 72 heures (article 33 du RGPD), mesures de sécurité documentées. Un certificat national affiché dans une liste ne dit rien de ces engagements contractuels, qui se vérifient dans les documents que vous signez, pas dans un recensement public.

La disponibilité du service mérite une attention à part. Pour un acteur calédonien, accéder à ses données suppose une liaison réseau fiable, qu’elles soient hébergées sur le territoire ou à distance. La Nouvelle-Calédonie est reliée au reste du monde par plusieurs câbles sous-marins ; cette connectivité conditionne les temps de réponse et la continuité d’accès. Interrogez donc votre prestataire sur les engagements de disponibilité et sur le comportement du service en cas d’incident sur une liaison, au-delà du seul fait qu’un nom figure dans un recensement.

Pourquoi le nom seul ne suffit jamais

Un nom dans une liste rassure, mais il raconte une histoire incomplète. Le recensement national indique qu’une entité a obtenu une certification à une date donnée, pour un périmètre donné, selon des normes données. Il ne dit rien de l’adéquation à votre besoin précis, ni de la situation au regard du droit calédonien. Le service que vous comptez héberger, le volume de données, le niveau de disponibilité attendu et le respect du cadre de sécurité applicable en NC comptent autant que l’appartenance à une liste. Lire un recensement, c’est croiser plusieurs informations ; s’arrêter au nom, c’est prendre le risque d’une conformité de façade.

Sources : Agence du Numérique en Santé — certification HDS · Congrès de la Nouvelle-Calédonie — loi du pays n° 2026-5.