Hébergeur de Données de Santé

What it is

HDS certification is a legal requirement, not a voluntary scheme. Code de la santé publique art. L.1111-8 II states: "L'hébergeur de données mentionnées au premier alinéa du I sur support numérique est titulaire d'un certificat de conformité" (a digital hosting provider of the health data referred to in paragraph I must hold a certificate of conformity). The same article states the certificate "est délivré par des organismes de certification accrédités par l'instance française d'accréditation ou l'instance nationale d'accréditation d'un autre Etat membre de l'Union européenne" (is issued by certification bodies accredited by the French accreditation body or the national accreditation body of another EU member state).

The référentiel (v2.0, April 2024) scopes the certification to processors: "La certification HDS s'applique à toute personne physique ou morale qui fournit tout ou partie d'un service d'hébergement de données de santé à caractère personnel et qui a la qualité de sous-traitant au sens de l'article 28 du RGPD" (HDS certification applies to any natural or legal person providing all or part of a personal health data hosting service, acting as a processor within the meaning of GDPR art. 28). Art. R.1111-9 lists six specific hosting activities the certification can cover: physical hosting sites; hardware infrastructure; virtual infrastructure; the application hosting platform; system administration and operation; and backup of health data, including electronic archiving.

The strongest verified requirement of the current référentiel is a data-residency rule. Requirement EXI 28 states, verbatim (confirmed twice, independently, against the PDF's own text): "Quelle que soit l'activité d'hébergement de DSCP proposée au Client par l'Hébergeur ou l'un de ses sous-traitants, et dès lors que celle-ci implique un stockage de DSCP, alors l'Hébergeur ou ses sous-traitants doivent stocker ces DSCP exclusivement au sein de l'Espace Economique Européen (EEE), sans préjudice des cas d'accès à distance visée à l'exigence n°29. L'Hébergeur documente et communique au Client la localisation de ce stockage." (Whatever the DSCP hosting activity offered to the Client by the Hébergeur or one of its subcontractors, once it involves storage of DSCP, the Hébergeur or its subcontractors must store that DSCP exclusively within the European Economic Area, without prejudice to the remote-access cases addressed in requirement 29. The Hébergeur documents and communicates the storage location to the Client.) Related requirements: EXI 29 permits remote access from outside the EEA only on the basis of a GDPR art. 45 adequacy decision or art. 46 appropriate safeguards; EXI 31 requires a public, up-to-date map of any transfers to or access from outside the EEA.

Version 2.0 of the référentiel was approved by "Arrêté du 26 avril 2024 modifiant l'arrêté du 11 juin 2018 … pour l'hébergement de données de santé à caractère personnel" (JORF n° 0113, 16 May 2024 — the 16 May date is the JORF publication date; the arrêté itself is dated 26 April 2024). The arrêté states its own transition rule: "Les dispositions de l'article 2 de l'arrêté du 11 juin 2018 susvisé, dans leur rédaction résultant du présent arrêté, entrent en vigueur dans un délai de six mois à compter de sa publication. Elles sont applicables aux demandes de certificat de conformité et aux demandes de renouvellement d'un tel certificat présentées à un organisme de certification à compter de cette date" (the new wording takes effect six months after publication — i.e. from 16 November 2024 — and applies to new certificate applications and renewal applications submitted to a certification body from that date). What happens to certificates already issued under the prior référentiel (v1.1, June 2018) beyond that date was not verified in the sources reviewed as of 31 August 2026.

Who owns it

The scheme is owned by the Agence du Numérique en Santé (ANS). In ANS's own words: "Les objectifs et modalités de mise en œuvre de la procédure de certification ont été élaborés par l'Agence du Numérique en Santé et la DSSIS" (the objectives and implementation arrangements of the certification procedure were developed by the Agence du Numérique en Santé and the DSSIS). The implementing decree referenced on ANS's own certified-provider list page is décret n° 2018-137 du 26 février 2018.

Who assesses it

ANS does not certify providers itself. In its own words: "L'hébergeur choisit un organisme certificateur qui devra être accrédité par le COFRAC (ou équivalent au niveau européen)" (the hébergeur chooses a certification body, which must be accredited by COFRAC, or an equivalent at European level). Art. L.1111-8 II states the same accreditation route in law: certificates are issued by bodies accredited by the French accreditation body or by the national accreditation body of another EU member state. Certificate validity duration and the frequency of any surveillance audits were not verified in the sources reviewed as of 31 August 2026 and are not stated on this page.

Levels

• Hébergeur d'infrastructure physique — "Un certificat « hébergeur d'infrastructure physique » pour les activités de mise à disposition de locaux d'hébergement physique et d'infrastructure matérielle" — for activities 1–2 of art. R.1111-9. (ANS, 31 August 2026)
• Hébergeur infogéreur — "Un certificat « hébergeur infogéreur » pour les activités de mise à disposition d'infrastructure virtuelle, de mise à disposition de plateforme logicielle, d'administration/exploitation et de sauvegarde externalisée" — for activities 3–6 of art. R.1111-9. (ANS, 31 August 2026)

Who asks for it

Statutory (scoped). Mandatory under Code de la santé publique art. L.1111-8 II for any person or entity that hosts personal health data digitally on behalf of others, acting as a processor within the meaning of GDPR art. 28, for one or more of six defined hosting activities set out in art. R.1111-9 (physical hosting sites; hardware infrastructure; virtual infrastructure; application hosting platform; system administration/operation; externalised backup). Two certificate types exist depending on which activities are performed: "hébergeur d'infrastructure physique" (activities 1–2) and "hébergeur infogéreur" (activities 3–6).

The requirement is statutory, not buyer-driven: Code de la santé publique art. L.1111-8 II makes the certificate a condition for anyone digitally hosting the personal health data described in art. L.1111-8 I on behalf of others. ANS publishes a public, no-login list of certified providers at "Liste des hébergeurs certifiés", introduced as: "Dans le cadre de la procédure de certification des hébergeurs de données de santé à caractère personnel précisée par le décret 2018-137 du 26 février 2018, les hébergeurs suivants sont, à ce jour, certifiés" (under the certification procedure specified by decree 2018-137 of 26 February 2018, the following hébergeurs are, as of this date, certified). Each entry on the list shows the provider's name, the activities covered (1–6), the référentiel version, and links to the guarantee document and the certification body. The exact number of currently certified providers was not counted in the sources reviewed as of 31 August 2026.