- 16/10/2026
HDS v2.1 : ce qui change pour l’hébergement de vos données de santé
- Par Maéva MARMIN
- 10 min
- ACTUALITÉ & TENDANCES
Votre hébergeur est certifié HDS. Cependant, savez-vous précisément depuis quels pays vos données peuvent être consultées et ce que votre contrat prévoit à ce sujet ? Avec la version 2.1 du référentiel HDS, ces questions méritent une nouvelle lecture de vos engagements d’hébergement. En pratique, commencez par examiner vos contrats et les accès aux données. Pour les établissements de santé et les éditeurs de logiciels, l’enjeu est concret : disposer d’informations utiles pour choisir son prestataire et suivre la protection de ses données.
HDS v2.1 : où en est le référentiel ?
Dans sa communication du 15 juillet 2026, l’ANS prévoit une publication en octobre 2026. Toutefois, elle annonce une application trois mois après publication, tout en mentionnant décembre 2026. Ces indications ne concordent donc pas : la date d’application devra être confirmée à partir du texte publié . À ce stade, les sources consultées pour cet article ne permettent pas de confirmer cette publication (ANS, évolutions annoncées de la v2.1).
HDS v2.1 : quelles évolutions anticiper ?
Ce que prévoyait déjà HDS v2.0
La v2.0 imposait déjà une localisation physique dans l’Espace économique européen et renforçait la transparence sur la souveraineté. Cependant, cette localisation ne garantit pas, à elle seule, une immunité aux lois extraterritoriales (ANS, présentation de la v2.0).
Les précisions annoncées pour HDS v2.1
| Point annoncé pour la v2.1 | Vérification pratique conseillée |
|---|---|
| Mention contractuelle de l’absence de soumission à une loi d’un pays tiers imposant un transfert, lorsque c’est le cas. | Demander une formulation explicite et adaptée à la situation du prestataire. |
| Informations contractuelles sur les transferts concernés : motif, données et pays destinataire notamment. | Comparer les engagements écrits avec les opérations de support et de maintenance. |
| Certification HDS de l’activité concernée des tiers-archiveurs agréés par l’État. | Vérifier le périmètre du certificat de votre prestataire d’archivage. |
Ces points sont présentés par l’ANS dans son annonce sur la v2.1 et son atelier SantExpo 2026, pages 32 à 34. Ainsi, il faut examiner les engagements existants avant de conclure qu’un changement d’infrastructure est nécessaire.
Pourquoi regarder au-delà de la localisation des serveurs ?
La localisation ne décrit pas tous les accès
En effet, un serveur européen peut être administré depuis un autre pays. La CNIL précise qu’un accès distant depuis un pays tiers constitue un transfert lorsque les conditions sont réunies, notamment lorsqu’il implique une entité juridiquement distincte de l’exportateur (CNIL, guide d’analyse d’impact des transferts).
Un exemple d’accès distant à examiner
Par ailleurs, le Code de la santé publique prévoit une cartographie publique et actualisée des transferts, des accès distants éventuels et des risques d’accès non autorisés par le RGPD, selon les modalités du référentiel (Code de la santé publique, article R.1111-11).
Quelles conséquences pour votre organisation ?
Pour les établissements de santé
Tout d’abord, rassemblez vos documents : contrat, annexes de sécurité, certificat HDS et informations sur les sous-traitants. Proposez ensuite une revue commune à votre DSI, à votre DPO et au responsable des contrats. Vous pourrez ainsi relever les informations manquantes et demander une réponse écrite au prestataire.
Pour les éditeurs de logiciels santé
De même, reconstituez le parcours des données depuis votre application : production, sauvegarde, support et archivage. Ensuite, pour chaque opération, notez qui intervient et avec quels accès. Vous pourrez ainsi utiliser cette cartographie pour préparer vos échanges avec l’hébergeur et répondre aux questions de vos propres clients.
Comment organiser votre revue documentaire ?
Les questions à poser à votre hébergeur
Pour préparer votre revue, voici une checklist de questions pratiques. Elle permet notamment de structurer la discussion avec votre prestataire. Toutefois, elle ne remplace pas l’analyse du contrat et des textes applicables.
- Quelle version du référentiel figure sur votre certificat et quelles prestations couvre-t-il ?
- Où sont situés les environnements de production, de sauvegarde et de secours ?
- Quelles entités disposent d’un accès aux données pour le support ou l’administration ?
- Depuis quels pays ces interventions peuvent-elles être réalisées ?
- Où consulter votre cartographie des transferts et des accès distants ?
- Quelles mentions contractuelles proposez-vous de mettre à jour pour notre prestation ?
- Comment serons-nous informés d’un changement de sous-traitant ou de conditions d’accès ?
- Quel calendrier de transition avez-vous convenu avec votre organisme certificateur ?
FAQ – Questions fréquentes
Faut-il organiser un audit supplémentaire pour la v2.1 ?
L’ANS annonce un contrôle lors d’un audit de surveillance ou de renouvellement, sans audit supplémentaire spécifique. Par ailleurs, le support SantExpo précise que les audits relevant du nouveau calendrier seront réalisés selon la v2.1. Vérifiez donc les modalités définitives avec votre certificateur (ANS, SantExpo 2026).
Les contrats déjà signés sont-ils concernés ?
Oui, l’annonce de l’ANS vise aussi les contrats existants. Par conséquent, une modification est à prévoir si les mentions requises n’y figurent pas déjà. Commencez donc par comparer vos documents actuels aux précisions demandées (ANS, annonce v2.1).
Dois-je changer d’hébergeur immédiatement ?
Commencez par demander des éléments vérifiables. Avant d’envisager une migration, examinez d’abord le certificat, le périmètre de la prestation, les accès et les engagements contractuels. Ensuite, appuyez votre décision sur les écarts constatés et les réponses obtenues.
Par quoi commencer si plusieurs prestataires interviennent ?
Désignez un interlocuteur pour rassembler les réponses. Pour commencer, partez d’un environnement précis et remontez la chaîne des intervenants. Vous pourrez ensuite étendre cette méthode aux sauvegardes, au secours et à l’archivage.
État des sources vérifié le 16 octobre 2026. Les indications de calendrier restent à confirmer lors de la publication officielle.
HDS v2.1 : les bonnes questions
à poser à votre hébergeur.
Localisation des données, accès distants, engagements contractuels : les évolutions annoncées du référentiel sont l’occasion de faire le point sur votre hébergement. Sæpiens vous accompagne dans vos projets d’hébergement et d’infogérance de données de santé, avec un cloud souverain français et une certification HDS.
Un projet santé ou des questions sur votre hébergement ? Échangeons sur vos besoins.
PARLER À UN EXPERT