Un établissement de santé ne peut confier les données de ses patients qu’à un hébergeur de données de santé (HDS) certifié. Nous vérifions d’abord si vous devez l’être et pour quelles activités, puis bâtissons avec vous le socle ISO 27001 et les exigences HDS, jusqu’au certificat.
À jour au
La loi vise celui qui héberge des données de santé pour le compte d’un autre : établissement, professionnel de santé ou patient. Si vous traitez ces données pour votre propre compte, c’est votre hébergeur qui doit être certifié.
Cliniques, cabinets, groupes hospitaliers : dès que votre service conserve des données de patients pour leur compte, la question de la certification se pose.
L’établissement est tenu de vérifier que son hébergeur est certifié. Sans certificat sur les bonnes activités, la discussion s’arrête là.
Le certificat de votre fournisseur couvre ses propres activités, en général l’infrastructure. L’administration de votre plateforme reste souvent à votre charge, hors de son périmètre.
HDS exige un système de management certifié ISO 27001 sur le périmètre de l’hébergement. Les deux se préparent dans un même projet.
Le référentiel v2 compte 31 exigences. Il part d’un système de management de la sécurité de l’information (SMSI) certifié ISO 27001, puis encadre les contrats, la localisation des données et la transparence.
Sites physiques, matériel, infrastructure virtuelle, plateforme applicative, administration et exploitation, sauvegarde (archivage électronique compris) : le certificat ne couvre que les activités que vous exercez.
Il couvre toutes vos activités d’hébergement. L’analyse de risques intègre des scénarios propres à la santé, comme l’exposition à une loi étrangère, et l’audit interne contrôle les traces d’accès.
Périmètre du certificat, niveaux de service, sous-traitants, encadrement des accès, réversibilité : le code de la santé publique fixe les clauses minimales de chaque contrat d’hébergement.
Au-delà du lieu de stockage : accès depuis un pays tiers encadrés par le RGPD, lois étrangères applicables déclarées au contrat, transferts publiés sur une page dédiée.
Un workshop par semaine avec l’équipe qui exploite votre plateforme : c’est elle qui connaît vos activités d’hébergement. Contrats et procédures avancent entre deux workshops.
Qui fait quoi entre vous, votre cloud et vos sous-traitants ? Nous identifions les activités que vous exercez, vérifions ce que couvre le certificat de chaque fournisseur, puis mesurons l’écart avec ISO 27001 et HDS.
Livrables
Activités à certifier, écarts priorisés
Les risques propres aux données de santé fixent les mesures à retenir. Le plan couvre aussi vos contrats clients et les avenants à obtenir de vos fournisseurs, au rythme de vos appels d’offres.
Livrables
Plan de traitement des risques, plan contractuel
Vos équipes déploient les mesures techniques, nous rédigeons politiques et clauses. Localisation des données, accès depuis l’étranger, page publique sur les transferts : tout est prêt avant l’audit.
Livrables
SMSI, clauses contractuelles, page de transparence
Un auditeur extérieur au projet mène l’audit interne, traces d’accès comprises. L’organisme accrédité audite ensuite vos activités d’hébergement, en général avec ISO 27001. Nous préparons vos équipes.
Livrable
Certificat valable 3 ans avec audit de surveillance annuel
« Radome comprend notre environnement technique, adapte la démarche à notre réalité et pilote le projet avec nous. »
Le prix dépend des activités à certifier, de l’existence d’un SMSI et du nombre de contrats à reprendre. Menée avec ISO 27001, la certification HDS en partage l’essentiel du travail.
Vous disposez d’un RSSI ou d’une équipe sécurité
À partir de 3 000 € HTpar mois, en fonction des référentiels
Votre RSSI porte le SMSI. Nous qualifions les activités à certifier, rédigeons les politiques, les procédures et les clauses contractuelles propres à HDS, et préparons l’audit.
Vous n’avez pas de responsable sécurité
À partir de 4 500 € HTpar mois, engagement de 12 mois
Sans responsable sécurité, nous tenons ce rôle jusqu’aux deux certificats, ISO 27001 et HDS, test d’intrusion ou audit technique inclus.
Votre besoin est spécifique
Sur devisaprès un premier échange
HDS, ISO 27001 et SOC 2 sur un seul plan de travail, ou la date de remise d’un appel d’offres à tenir.
Durée habituelle
6 à 12 mois, moins avec ISO 27001
Frais en sus
Les audits de certification sont facturés en sus, directement par l’organisme accrédité que vous choisissez.
Oui, si vous hébergez sur support numérique des données de santé recueillies lors d’activités de prévention, de diagnostic, de soins ou de suivi social et médico-social, pour le compte de ceux qui les ont produites ou du patient, et que vous exercez au moins une des six activités définies par le code de la santé publique. Si vous traitez ces données pour votre propre compte, vous n’avez pas à être certifié, mais votre hébergeur doit l’être. Héberger sans certificat est puni de 3 ans d’emprisonnement et de 45 000 € d’amende.
Au sens du RGPD, toute donnée personnelle relative à la santé physique ou mentale d’une personne, y compris les soins reçus, qui révèle une information sur son état de santé. L’obligation HDS est plus étroite : elle ne vise que les données recueillies à l’occasion de la prévention, du diagnostic, des soins ou du suivi social et médico-social. Une application de bien-être n’y entre pas forcément ; l’état des lieux le tranche.
Pas forcément. Son certificat couvre les activités qu’il exerce lui-même, en général l’infrastructure. Si vous administrez et exploitez la plateforme qui contient les données de vos clients, vous exercez l’activité d’administration et d’exploitation, qui doit figurer sur votre propre certificat. Si au contraire un hébergeur certifié assure pour vous toutes les activités, administration comprise, vous n’avez pas à être certifié : vos contrats clients reprennent alors ses clauses.
HDS exige un SMSI certifié ISO 27001 dont le périmètre couvre toutes vos activités d’hébergement, mais pas de l’obtenir d’abord : les deux certifications se préparent dans un même projet, et un organisme accrédité pour les deux peut les auditer ensemble. Déjà certifié ? Vérifiez que votre périmètre inclut bien l’hébergement, sinon il faudra l’étendre.
Pris en application de la loi visant à sécuriser et à réguler l’espace numérique (SREN), le décret n° 2026-209 inscrit dans le code de la santé publique, à compter du 26 septembre 2026, le stockage des données de santé exclusivement dans un État de l’Union européenne ou de l’Espace économique européen. Un transfert ou un accès depuis un pays tiers reste possible dans le cadre du RGPD, mais le contrat doit le décrire, avec les lois étrangères applicables et les risques qui subsistent. Le référentiel v2 imposait déjà l’essentiel de ces règles aux hébergeurs certifiés. Depuis le 27 mars 2026, le décret précise aussi que la sixième activité certifiable, la sauvegarde des données de santé, couvre leur conservation dans le cadre d’un archivage électronique.
La version 2, approuvée par l’arrêté du 26 avril 2024. Elle s’applique aux nouveaux candidats depuis le 16 novembre 2024, et la période de transition des hébergeurs déjà certifiés s’est achevée le 16 mai 2026 : depuis, seuls les certificats délivrés selon la v2 sont valables. Vérifiez aussi ceux de vos fournisseurs.
De 6 à 12 mois si vous partez de zéro, puisque le projet inclut ISO 27001. Avec un SMSI déjà certifié sur le bon périmètre, il reste surtout les exigences propres à HDS : contrats, localisation des données, transparence sur les transferts. L’état des lieux fixe une échéance réaliste, en tenant compte de vos appels d’offres.
Le prérequis de HDS : un SMSI certifié dont le périmètre couvre toutes vos activités d’hébergement.
Pour vendre aussi aux États-Unis : l’essentiel des contrôles ISO 27001 se réutilise pour le rapport SOC 2.
Un logiciel d’IA qualifié de dispositif médical peut relever du haut risque, avec ses propres obligations.
Un certificat obtenu en mai 2026, puis une extension à HDS et SOC 2 pour ouvrir la santé et les États-Unis.
Êtes-vous concerné, combien de temps prévoir, quels postes budgéter : la certification HDS, de l’état des lieux à l’audit.
Un premier échange gratuit de 30 minutes pour vous situer face aux six activités certifiables et estimer le chemin jusqu’au certificat. Si vous n’avez pas à être certifié, nous vous le dirons.