Hébergement HDS d'un site web : qui est vraiment concerné ?
La question de l'hébergement HDS d'un site web revient dès qu'une clinique de médecine esthétique modernise sa présence en ligne. Tant que votre site reste une simple plaquette — présentation de l'équipe, liste des actes, coordonnées —, il ne relève d'aucune obligation particulière. Mais le jour où il commence à recevoir des informations qui touchent à l'état de santé d'un patient, il change de nature : il devient un point de collecte de données de santé, et l'hébergement grand public ne suffit plus.
Cet article traite une seule décision : celle de l'infrastructure. À quel moment un site vitrine bascule dans le régime des données de santé, ce que l'hébergement HDS impose alors, comment vérifier qu'un prestataire est réellement certifié, et ce que ça change côté budget. Pour le détail juridique canal par canal — formulaires, chat, galeries avant/après, photos reçues par messagerie —, nous renvoyons à notre guide RGPD des données patients en médecine esthétique, qui traite ces sujets en profondeur.
Qu'est-ce que l'hébergement HDS et d'où vient l'obligation
Le sigle HDS désigne l'« hébergement de données de santé ». En France, toute structure qui héberge des données de santé à caractère personnel pour le compte d'un tiers doit passer par un hébergeur disposant de la certification HDS. Cette exigence découle du code de la santé publique et s'appuie sur un référentiel piloté par l'Agence du numérique en santé (ANS).
La certification HDS décrite par l'ANS n'est pas une simple déclaration sur l'honneur : elle est délivrée pour une durée de trois ans par un organisme de certification lui-même accrédité (via le Cofrac), avec des audits de surveillance annuels portant sur la sécurité, la confidentialité et la disponibilité des données. C'est cette rigueur qui distingue un hébergement HDS d'un hébergement web classique, aussi sérieux soit-il par ailleurs.
Point de vocabulaire important : décrire la certification HDS en général est une chose ; affirmer qu'une offre est « certifiée HDS » en est une autre. Un éditeur sérieux parle d'une infrastructure conçue pour répondre aux exigences HDS, et vous invite à vérifier la certification effective de l'hébergeur sous-jacent.
Votre site vitrine collecte-t-il des données de santé ?
La bascule tient à quelques fonctionnalités très concrètes. Votre site web entre dans le champ des données de santé dès qu'il propose l'un de ces points de contact :
- Un formulaire de prise de rendez-vous ou de contact avec un champ « motif » : dès qu'un patient écrit « consultation acné » ou « reprise de comblement », l'information devient une donnée de santé.
- Une bulle de chat en direct, où les échanges dérivent presque toujours vers une préoccupation médicale précise.
- Un téléversement de photos par le patient (zone à traiter, cliché avant/après) : une image corporelle rattachée à une identité est une donnée de santé.
- Une galerie avant/après ou un espace patient qui stocke ces contenus.
La CNIL rappelle que la donnée de santé relève d'un régime juridique particulier, justifié par sa sensibilité. Au sens du RGPD, elle fait partie des catégories particulières de données (article 9), dont le traitement est en principe interdit sauf dérogations. Autrement dit, ces informations ne peuvent pas dormir sur n'importe quel serveur mutualisé. Le cadre juridique précis de chaque canal — bases légales, consentement, mentions — est détaillé dans notre article RGPD dédié ; ici, retenez seulement le déclencheur : une fonctionnalité de ce type impose de se poser la question de l'hébergement.
HDS en France, HIPAA ailleurs : le même réflexe
Si votre clinique communique aussi à l'international, sachez que la logique est universelle même si les cadres diffèrent. Aux États-Unis, ce n'est pas la certification HDS mais la loi HIPAA qui s'applique : un prestataire qui manipule des données de santé (« business associate ») doit signer un contrat spécifique, le BAA, qui l'engage à protéger ces informations. Le principe est identique des deux côtés de l'Atlantique : dès que des données de santé transitent par un tiers, ce tiers doit opérer dans un cadre contractuel et technique dédié — HDS et RGPD en Europe, HIPAA et BAA aux États-Unis.
Combien coûte un hébergement HDS et quelles questions poser
Il n'existe pas de tarif public unique : le coût d'un hébergement HDS dépend du volume de données, du niveau de service et de l'architecture. Il est structurellement plus élevé qu'un hébergement mutualisé grand public, parce qu'il finance la sécurité, l'isolation, la traçabilité et les audits. Le bon réflexe n'est donc pas de comparer des prix bruts, mais de poser les bonnes questions à votre prestataire :
- Êtes-vous certifié HDS, et sur quel périmètre ? Demandez le certificat et vérifiez les activités couvertes.
- Où sont hébergées les données ? Exigez une localisation en Europe et une clarté sur les sous-traitants.
- Que se passe-t-il si je pars ? Réversibilité, export complet, absence de verrou propriétaire.
- Comment vérifier votre certification ? L'ANS publie la liste officielle des hébergeurs certifiés HDS : le nom de votre prestataire (ou de son hébergeur socle) doit y figurer.
Héberger proprement le site de votre clinique
Assembler soi-même un hébergeur pour le site, une plateforme pour l'automatisation et un cloud pour l'IA, c'est trois contrats, trois factures et trois niveaux de sécurité à auditer séparément. L'approche que nous défendons chez Nextmotion consiste à réunir ces briques au même endroit. Le serveur privé Nextmotion (VPS) repose sur une infrastructure conçue pour répondre aux exigences HDS et au RGPD, avec chiffrement, isolation par clinique et données en Europe. Vous y hébergez le site de votre clinique — bulle de chat, formulaires de contact, téléversement de photos patients — dans un environnement pensé pour les données de santé.
Ce VPS n'est pas une île : il se branche à la plateforme ouverte Nextmotion et à son API pour relier votre site au reste de vos outils. Sur le plan de la conformité globale, notre page dédiée au RGPD décrit la façon dont les données patients sont traitées dans la plateforme. Côté budget, le logiciel Nextmotion démarre à 99 €/mois (offre Starter) ; le VPS, lui, s'ajoute selon votre configuration, sur devis — parce qu'un hébergement de données de santé se dimensionne, il ne se vend pas au forfait aveugle. Pour situer cette décision dans une démarche de transformation plus large, notre panorama de l'IA en médecine esthétique montre comment ces briques s'articulent au quotidien.
Questions fréquentes sur l'hébergement HDS d'un site web
Quand l'hébergement HDS est-il obligatoire ?
Dès que des données de santé à caractère personnel sont hébergées pour le compte d'un tiers. Concrètement, si votre site collecte, stocke ou fait transiter des informations sur l'état de santé de vos patients (motif de consultation, photos, échanges de chat), l'infrastructure qui les héberge doit relever d'un hébergeur certifié HDS.
Un site vitrine de médecin doit-il être hébergé HDS ?
Pas nécessairement. Un site purement informatif, sans formulaire médical, sans chat ni téléversement, ne collecte pas de données de santé et n'impose pas d'hébergement HDS. C'est l'ajout de fonctionnalités interactives qui fait basculer le site dans ce régime.
Un formulaire de prise de rendez-vous collecte-t-il des données de santé ?
Si le formulaire comporte un champ « motif », un choix d'acte ou tout élément révélant l'état de santé de la personne, oui. Un simple créneau avec nom et téléphone est plus discutable, mais dès qu'un contexte médical apparaît, la prudence impose de traiter ces données comme des données de santé.
Comment vérifier si un hébergeur est certifié HDS ?
L'Agence du numérique en santé publie une liste officielle des hébergeurs certifiés HDS, avec le périmètre d'activités couvert et la version du référentiel. Le nom de votre prestataire — ou celui de l'hébergeur socle sur lequel il s'appuie — doit y figurer.
Combien coûte un hébergement HDS ?
Il n'y a pas de prix unique : le coût dépend du volume de données, du niveau de service et de l'architecture, et reste plus élevé qu'un hébergement mutualisé classique. Mieux vaut raisonner en termes de périmètre et de garanties que comparer des tarifs bruts.
Faites le point sur votre hébergement
Votre site collecte-t-il, sans que vous l'ayez formalisé, des données de santé ? C'est la première question à trancher. Si la réponse est oui, l'hébergement devient un sujet de conformité à part entière, pas un détail technique. Demandez une démonstration : nous faisons le point avec vous sur ce que votre site échange réellement et sur la configuration d'hébergement adaptée à votre clinique.
