SecNumCloud, HDS, RGPD : quel niveau de conformité pour votre hébergement cloud ?

Le niveau de conformité de votre hébergement dépend de la nature de vos données et de votre statut. Pour toute donnée personnelle, le RGPD s'applique et impose des garanties contractuelles avec l'hébergeur. Pour des données de santé à caractère personnel collectées dans le cadre de soins, de prévention ou de diagnostic, le recours à un hébergeur certifié HDS est obligatoire en France. SecNumCloud, qualification délivrée par l'ANSSI, n'est pas une obligation générale : elle est exigée ou fortement recommandée pour l'État, les opérateurs d'importance vitale et, dans la doctrine « cloud au centre », pour les données sensibles de l'administration. Un hébergeur peut cumuler plusieurs de ces références.

Les référentiels, un par un

RGPD (règlement général sur la protection des données). Il s'applique à tout traitement de données personnelles de personnes situées dans l'Union européenne. Lorsque vous confiez l'hébergement à un prestataire, celui-ci est un sous-traitant au sens de l'article 28 : un contrat écrit doit définir l'objet, la durée, la nature des traitements, les obligations de sécurité, le sort des données en fin de contrat et les conditions de recours à d'éventuels sous-traitants ultérieurs. L'article 32 exige des mesures de sécurité appropriées. Le chapitre V encadre les transferts hors Union européenne.

HDS (hébergeur de données de santé). En France, héberger des données de santé à caractère personnel pour le compte d'un responsable de traitement exige une certification HDS, délivrée par un organisme de certification accrédité, sur la base d'un référentiel. Le référentiel a été révisé et prévoit notamment des exigences sur la localisation des données dans l'Espace économique européen et sur la transparence concernant d'éventuels accès depuis des pays tiers. La liste officielle des hébergeurs certifiés est publiée par l'Agence du Numérique en Santé : consultez-la et vérifiez que le périmètre certifié couvre bien le service que vous achetez.

SecNumCloud. Il s'agit d'un référentiel de l'ANSSI qui qualifie des offres de cloud en vérifiant la sécurité technique et organisationnelle, ainsi que, dans ses versions récentes, la protection contre les lois extraterritoriales : exigences sur le siège, le capital et la gouvernance du prestataire. La qualification porte sur une offre précise, pas sur l'entreprise dans son ensemble. L'ANSSI publie la liste des offres qualifiées.

ISO 27001. Norme internationale de management de la sécurité de l'information. Elle atteste d'un système de management, pas d'un niveau de sécurité technique précis ni de l'absence d'exposition à des lois extraterritoriales.

Cloud de confiance. L'expression désigne des offres combinant des technologies de grands acteurs et une exploitation par des entités européennes, avec l'objectif d'obtenir une qualification de type SecNumCloud. Le niveau de garantie réel s'apprécie sur l'état de la qualification de l'offre concrète.

NIS 2. La directive européenne sur la sécurité des réseaux et des systèmes d'information renforce les obligations de nombreuses entités dites essentielles ou importantes. Sa transposition en droit français a été en discussion ; vérifiez l'état actuel du texte et son calendrier d'application auprès de l'ANSSI.

Tableau : quelle exigence pour quelle situation ?

Situation	Exigence principale	Action à mener
Site ou application avec données personnelles de clients	RGPD, contrat de sous-traitance	Vérifier le contrat, la localisation et les sous-traitants
Données de santé collectées pour soins ou prévention	Hébergeur certifié HDS	Contrôler la liste officielle et le périmètre
Administration ou opérateur d'importance vitale	Doctrine d'État, qualification SecNumCloud selon la sensibilité	Se référer aux textes applicables et à l'ANSSI
Entreprise soumise à NIS 2	Gestion des risques, sécurité de la chaîne d'approvisionnement	Cartographier ses fournisseurs cloud
Site vitrine sans données sensibles	Bonnes pratiques de sécurité	Appliquer les mises à jour et sauvegardes

Comment vérifier un hébergeur en pratique

Demandez le certificat et son périmètre. Un document mentionnant « certifié HDS » ou « qualifié SecNumCloud » doit préciser les activités ou offres couvertes. Un service en dehors du périmètre n'est pas concerné.
Consultez les listes officielles. Pour SecNumCloud, la liste est publiée par l'ANSSI ; pour HDS, par l'Agence du Numérique en Santé.
Vérifiez la date de validité. Certifications et qualifications sont délivrées pour une durée limitée et peuvent être suspendues.
Lisez le contrat de sous-traitance. Le fournisseur doit s'engager sur la localisation, la sécurité, les notifications d'incident et la restitution des données.
Interrogez sur les sous-traitants ultérieurs et les accès à distance. Qui peut accéder aux données, depuis quels pays ?
Évaluez les mécanismes de chiffrement. Savoir qui détient les clés est essentiel : un chiffrement avec clés maîtrisées par le client limite l'exposition.

Exemple de raisonnement (illustratif)

Une société développe une application de prise de rendez-vous pour des cabinets de kinésithérapie, qui stocke les motifs de consultation. Ces informations relèvent de la santé : l'hébergement des données doit passer par un hébergeur certifié HDS, qu'il s'agisse de l'hébergement d'infrastructure ou de la gestion de l'application selon le périmètre. Elle compare alors deux offres : un VPS générique à 20 € par mois, non certifié, et une offre HDS à 120 € par mois. Le premier ne remplit pas l'obligation légale, quelle que soit la différence de prix. Le comparateur doit donc d'abord éliminer les offres non conformes, puis comparer les prix des offres restantes.

Erreurs fréquentes

Croire qu'un centre de données situé en France suffit à garantir la conformité.
Confondre la certification du centre de données et celle du service qui héberge vos données.
Oublier la sous-traitance en cascade : l'hébergeur peut lui-même recourir à d'autres prestataires.
Négliger le sort des données à la fin du contrat : effacement, certificat de destruction, restitution.
Considérer que le RGPD ne concerne que les grandes entreprises : il s'applique dès qu'il y a des données personnelles, et la CNIL peut contrôler et sanctionner des organismes de toute taille.

Quand consulter un professionnel

Pour des données de santé, des données de collectivités ou une activité réglementée, associez un délégué à la protection des données (DPO) ou un avocat spécialisé avant de choisir l'hébergeur. L'analyse d'impact (AIPD) peut être obligatoire pour certains traitements à risque ; la CNIL publie des outils pour la réaliser.

FAQ

SecNumCloud est-il obligatoire pour une entreprise privée ?

Non, pas de manière générale. Il peut être exigé par contrat, par un appel d'offres public ou par une réglementation sectorielle. Pour une entreprise privée sans contrainte, il constitue surtout un indicateur de niveau de sécurité et de protection contre les lois extraterritoriales.

Un hébergeur HDS est-il automatiquement conforme au RGPD ?

Non. La certification HDS et la conformité au RGPD sont deux démarches distinctes ; vous restez responsable de la conformité de votre traitement.

Comment trouver la liste officielle des hébergeurs ?

Rendez-vous sur le site de l'Agence du Numérique en Santé pour les hébergeurs HDS et sur celui de l'ANSSI pour les offres SecNumCloud, et vérifiez la mise à jour de la liste.

Sources

ANSSI – Cyber.gouv.fr — référentiel et liste des offres SecNumCloud, directive NIS 2
Agence du Numérique en Santé — certification HDS et liste des hébergeurs
CNIL — RGPD, sous-traitance, analyse d'impact, transferts de données