Publié au Journal officiel le 26 mars 2026, le décret n°2026-209 du 24 mars 2026 fait évoluer le cadre réglementaire applicable à l’hébergement des données de santé à caractère personnel. Son objectif est de renforcer le contrôle des transferts de données hors Union européenne et d’accroître les exigences de transparence imposées aux hébergeurs.
Pris en application de l’article 32 de la loi SREN du 21 mai 2024, ce texte marque une nouvelle étape dans la protection des données de santé en France. Il introduit notamment une obligation d’hébergement des données dans l’Union européenne ou l’Espace économique européen (UE/EEE), un encadrement renforcé des accès depuis des pays tiers ainsi que de nouvelles obligations de transparence dans les contrats d’hébergement.
Au-delà des aspects techniques, le décret renforce surtout les exigences de souveraineté et de conformité autour des données de santé. On vous explique.
1. L’hébergement des données de santé désormais limité à l’UE / EEE
Le décret crée un nouvel article R.1111-9-1 du Code de la santé publique imposant que l’hébergement des données de santé soit réalisé exclusivement sur le territoire d’un État membre de l’Union européenne ou partie à l’Espace économique européen. Cette mesure vise à limiter les risques liés aux législations étrangères susceptibles d’imposer un accès aux données.
En revanche, le texte ne supprime pas totalement les transferts hors UE/EEE. Un transfert, y compris sous la forme d’un accès distant, reste possible lorsqu’une décision d’adéquation existe au sens de l’article 45 du RGPD ou lorsque des garanties appropriées sont mises en place conformément à l’article 46 du RGPD. En l’absence de décision d’adéquation, le contrat d’hébergement devra désormais détailler les garanties mises en œuvre, les mesures complémentaires de protection ainsi que les éventuels risques résiduels.
Le décret renforce ainsi les exigences de contrôle et de traçabilité des flux de données de santé.
2. Des obligations de transparence fortement renforcées
Le décret modifie également le contenu obligatoire des contrats HDS.
Les hébergeurs devront désormais préciser les éventuels transferts ou accès distants depuis des pays tiers, les réglementations étrangères susceptibles d’imposer un accès aux données, les mesures mises en œuvre pour limiter ces risques ainsi que les risques résiduels malgré les protections déployées.
Le contrat devra également indiquer clairement si l’hébergeur ou ses sous-traitants sont soumis à une législation étrangère pouvant imposer un accès aux données. Si ce n’est pas le cas, cette information devra également être mentionnée. Le texte introduit également une obligation inédite de transparence publique. Les hébergeurs devront publier et maintenir à jour une cartographie des transferts de données, des accès distants éventuels et des risques d’accès non autorisés par des États tiers.
Cette évolution marque un changement important : la conformité HDS ne repose plus uniquement sur l’hébergement des données, mais aussi sur la capacité à démontrer et documenter les garanties mises en œuvre.
3. Le décret HDS 2026 intègre explicitement l’archivage électronique au périmètre HDS
Le décret modifie aussi l’article R.1111-9 du Code de la santé publique en précisant que l’activité de sauvegarde des données de santé inclut leur conservation dans le cadre d’un archivage électronique. Cette évolution confirme le rôle stratégique de l’archivage électronique dans la protection des données de santé.
L’archivage électronique permet de garantir l’intégrité des documents, leur traçabilité, leur disponibilité dans le temps ainsi que leur valeur juridique. Dans ce nouveau cadre réglementaire, la capacité à démontrer la localisation des données, la maîtrise des accès distants et les garanties de conservation devient centrale.
Certifié HDS depuis 2018, Arkhineo s’inscrit dans cette logique de souveraineté et de conformité avec ses propres infrastructures localisées en France et des services répondant aux exigences réglementaires applicables aux données sensibles.
4. Une mise en conformité à anticiper avant septembre 2026
Si le décret est entré en vigueur dès le 27 mars 2026, certaines dispositions structurantes bénéficient d’un délai de mise en conformité de six mois. Les acteurs concernés ont donc jusqu’au 26 septembre 2026 pour adapter leurs pratiques et leurs contrats.
Sont directement concernés les hébergeurs de données de santé certifiés HDS et les prestataires qui concourent à la fourniture d’un service d’hébergement, ainsi que les responsables de traitement de données de santé à caractère personnel, c’est-à-dire les établissements de santé, éditeurs de logiciels métiers et plus largement toute organisation qui héberge ou fait héberger ce type de données. Ces acteurs doivent notamment vérifier la localisation effective des données, analyser les accès distants potentiels depuis des pays tiers, mettre à jour les contrats d’hébergement et documenter les garanties mises en œuvre face aux risques liés aux réglementations étrangères.
Cette réforme confirme l’évolution du modèle HDS vers des exigences accrues de souveraineté, de traçabilité et de transparence autour des données de santé.
En conclusion
Le décret HDS 2026 confirme le renforcement des exigences en matière de souveraineté, de transparence et de sécurité des données de santé. Les organisations concernées doivent désormais s’assurer que leurs pratiques, leurs contrats et leurs infrastructures répondent à ce nouveau cadre réglementaire.
Certifié HDS version 2.0, Arkhineo accompagne les organisations dans l’hébergement et l’archivage sécurisé de leurs données de santé. Avec des infrastructures localisées en France et des services conformes aux exigences réglementaires en vigueur, Arkhineo aide ses clients à répondre aux nouvelles obligations du décret et à protéger durablement leurs données sensibles.
FAQ
Qu’est-ce que la certification HDS ?
La certification HDS (Hébergeur de Données de Santé) encadre l’hébergement des données de santé à caractère personnel. Elle garantit que l’hébergeur respecte des exigences strictes en matière de sécurité, de confidentialité et de conformité réglementaire.
Qui est concerné par le décret HDS 2026 ?
Le décret concerne les hébergeurs de données de santé, les établissements de santé, les éditeurs de logiciels, ainsi que toute organisation traitant des données de santé à caractère personnel hébergées par un tiers.
Pourquoi le décret insiste-t-il sur les accès depuis des pays tiers ?
Le texte vise à mieux encadrer les risques liés aux législations extra-européennes susceptibles d’imposer un accès aux données de santé hébergées dans l’UE.
Pourquoi l’archivage électronique devient-il stratégique dans le cadre HDS ?
L’archivage électronique permet de garantir l’intégrité, la traçabilité et la conservation des données de santé dans le temps. Le décret reconnaît désormais explicitement son rôle dans le périmètre HDS.
Sources de référence