Certification HDS : qui doit protéger les données de santé ?
Une obligation liée à l’hébergement pour un tiers
Un cabinet médical qui utilise un logiciel en ligne ne confie pas seulement des fichiers à un prestataire : il lui délègue une partie du traitement et de la conservation d’informations sensibles. La Certification HDS encadre ce rôle d’Hébergeur de données de santé et contribue à protéger les Données de santé à caractère personnel.
Selon l’article L.1111-8 du Code de la santé publique, l’hébergement de ces informations pour le compte d’un professionnel ou du patient doit être assuré par un organisme certifié ou agréé. La règle concerne les données recueillies lors d’activités de prévention, de diagnostic, de soins ou de suivi médico-social, dès lors qu’un prestataire les héberge pour un tiers.
Des usages courants concernés
Les laboratoires, les établissements de soins et les cabinets peuvent être concernés lorsqu’ils utilisent une application hébergée à distance pour gérer des dossiers patients. Un éditeur de logiciel qui héberge lui-même ces dossiers peut également entrer dans le champ de l’obligation, selon les services réellement fournis.
La question utile consiste à examiner le parcours des données : qui les collecte, où elles sont stockées, qui administre les serveurs et qui intervient en cas d’incident ? Cette cartographie évite de confondre le fournisseur d’un outil avec l’hébergeur responsable d’activités certifiées.
Les vérifications essentielles avant de choisir un service :
- La nature des données hébergées et leur caractère identifiant
- Le rôle exact du prestataire dans leur conservation
- Les activités couvertes par son certificat HDS
- Les responsabilités établies dans le contrat d’hébergement
Les activités couvertes par la certification HDS
Infrastructure physique et services d’hébergement
Une fois l’obligation repérée, il faut vérifier le périmètre certifié : tous les fournisseurs ne prennent pas en charge les mêmes opérations. Le référentiel distingue des activités liées aux locaux et équipements physiques, puis des services d’hébergement et d’administration informatique.
Selon le référentiel HDS, les activités couvrent notamment la mise à disposition de sites physiques, le maintien des matériels, l’exploitation de plateformes et l’hébergement d’applications. Un centre de données peut donc assurer la sécurité des locaux sans gérer les sauvegardes ou le support quotidien du logiciel du client.
Dans une offre d’infogérance, le fournisseur peut aussi superviser les services, traiter les alertes et organiser la continuité informatique. Une clinique qui achète uniquement un espace dans un centre de données devra alors identifier qui assure les autres tâches et sous quel périmètre certifié.
Comparer les périmètres avant contractualisation :
| Besoin | Exemple de prestation | Vérification utile |
|---|---|---|
| Locaux sécurisés | Hébergement des équipements dans un centre de données | Activité physique déclarée au certificat |
| Matériel informatique | Maintien en condition des équipements | Responsable des interventions matérielles |
| Plateforme technique | Exploitation de l’infrastructure informatique | Périmètre de gestion couvert |
| Application hébergée | Hébergement d’un logiciel de santé | Activité correspondant au service vendu |
Selon l’Agence du numérique en santé, il est nécessaire d’examiner les activités certifiées et pas seulement l’existence d’un certificat. Cette distinction conduit naturellement à regarder les garanties opérationnelles et la répartition des responsabilités.
Sécurité des données : contrôler les accès et les risques
Des mesures concrètes au quotidien
Le périmètre contractuel prend tout son sens lorsque les équipes savent protéger les données dans les opérations courantes. La Sécurité des données repose notamment sur des droits d’accès adaptés, la supervision des services, la gestion des incidents et des procédures de sauvegarde clairement attribuées.
Selon la Commission nationale de l’informatique et des libertés, les données de santé sont des données sensibles au sens du cadre européen de protection des données. La Confidentialité implique donc de limiter les accès aux personnes qui en ont besoin, tandis que la Gestion des risques suppose d’anticiper les défaillances et les erreurs humaines.
Un cabinet peut, par exemple, demander au prestataire de préciser les modalités de restauration après une panne et le circuit de signalement d’un incident. De son côté, l’établissement doit gérer les comptes de ses employés et retirer rapidement les droits devenus inutiles.
Les points à documenter dans le contrat :
- Les rôles du client et de l’hébergeur en cas d’incident
- Les procédures de sauvegarde et de restauration des données
- Les règles de contrôle des accès aux environnements hébergés
- Les modalités de restitution ou de suppression en fin de contrat
Un audit utile avant et pendant le service
Un Audit de conformité ne remplace pas le certificat, mais aide à vérifier que le service souscrit correspond aux besoins réels. Il permet de rapprocher les engagements contractuels, les activités déclarées et les pratiques observées sur le terrain.
Selon l’article L.1111-8, la responsabilité de choisir un hébergement conforme ne disparaît pas pour le professionnel qui confie ses données à un tiers. Une revue régulière des accès, des sous-traitants et des changements de service aide à maintenir la Conformité réglementaire au fil du temps.
Choisir un hébergeur certifié HDS selon son besoin
Comparer les responsabilités et les garanties
Après l’examen des risques, le choix du prestataire doit partir des tâches que l’organisation souhaite déléguer. Un hébergeur d’infrastructure physique n’assure pas nécessairement les sauvegardes, la surveillance applicative ou la restauration des services : ces engagements doivent apparaître explicitement dans l’offre.
Un éditeur de logiciel médical, par exemple, peut rechercher un fournisseur qui héberge l’application et assure son exploitation. Un établissement disposant déjà d’une équipe informatique peut préférer une prestation plus limitée, à condition de couvrir lui-même les responsabilités restantes.
| Question à poser | Pourquoi elle compte |
|---|---|
| Quelles activités figurent dans le périmètre certifié ? | Pour rapprocher le certificat du service réellement acheté |
| Qui surveille les alertes et les pannes ? | Pour éviter une zone sans responsable en cas d’incident |
| Qui réalise les sauvegardes et les restaurations ? | Pour organiser la continuité du service et la reprise des données |
| Comment les accès et les sous-traitants sont-ils encadrés ? | Pour maîtriser les personnes et prestataires pouvant intervenir |
Organiser un suivi qui dure
La certification constitue un cadre de confiance, mais elle ne dispense pas de suivre la prestation après sa mise en place. Les responsables peuvent vérifier périodiquement les documents contractuels, les procédures d’accès et les changements touchant au stockage ou à l’administration.
Une offre évolutive, telle qu’un environnement cloud ajustable, peut accompagner la croissance d’un service de santé. Cette souplesse reste pertinente uniquement si les nouveaux usages, les responsabilités et le périmètre HDS sont réexaminés avant le déploiement.
Pour un établissement, le critère décisif n’est donc pas le seul affichage d’une certification : c’est l’adéquation entre les activités couvertes, les engagements du fournisseur et les tâches conservées en interne.
Source : Code de la santé publique, article L.1111-8 ; Agence du numérique en santé, référentiel de certification HDS ; Commission nationale de l’informatique et des libertés, données de santé.
Transformer l’analyse en décision
Les meilleures décisions reposent sur un cadre compréhensible, quelques critères vérifiables et une étape suivante clairement définie. Testez la méthode à petite échelle, mesurez le résultat puis ajustez avant de généraliser.
Votre checklist
- Définir le résultat attendu
- Identifier trois critères prioritaires
- Prévoir une mesure de contrôle
- Fixer une date de réévaluation
