Oui, dès que votre application héberge des données de santé à caractère personnel pour le compte d'un tiers (établissement, praticien, patient), l'hébergement doit être assuré par un prestataire certifié HDS, en application de l'article L.1111-8 du code de la santé publique. Attention au piège le plus fréquent : louer des serveurs chez un hébergeur certifié ne suffit pas. La certification se découpe en six activités, et l'activité 5, l'administration et l'exploitation du système contenant les données, reste à la charge de l'éditeur de l'application.
Concrètement, un fournisseur d'infrastructure certifié couvre en général les activités 1 à 4 et 6. Si vous exploitez vous-même l'applicatif, vous devez donc porter votre propre certification pour l'activité 5, ou confier cette exploitation à un infogéreur déjà certifié. C'est la voie la plus rapide pour une PME : une certification HDS suppose un système de management de la sécurité aligné sur l'ISO 27001 et un audit par un organisme accrédité, soit rarement moins de douze mois.
Deux points de vigilance depuis le référentiel v2 (arrêté du 26 avril 2024), devenu obligatoire pour tous les hébergeurs au 16 mai 2026 :
- les exigences sur les transferts de données hors Union européenne ont été renforcées ;
- les obligations contractuelles de l'hébergeur doivent figurer explicitement dans votre contrat.
Vérifiez donc la portée exacte, activité par activité, sur l'attestation de votre prestataire. Pulsar Forge intègre ces contraintes dès l'architecture de vos applications métier. Parlons de votre projet.