Choisir un prestataire pour l’Hébergement de données de santé engage bien davantage qu’une décision technique. Une erreur peut exposer des informations sensibles, compliquer un audit ou imposer une migration coûteuse à votre organisation.
La bonne démarche consiste à vérifier l’obligation applicable, le périmètre de la certification et les garanties opérationnelles, puis à comparer les offres à service égal. Ces repères permettent d’évaluer un Hébergeur certifié HDS sans se limiter au prix affiché.
Hébergement de données de santé : vérifier votre obligation
Le premier choix dépend de la manière dont les données sont hébergées, et non de la taille de votre structure. L’article L.1111-8 du Code de la santé publique encadre l’hébergement de données de santé personnelles pour le compte d’un tiers.
Certification HDS : les organisations concernées
Selon l’article L.1111-8 du Code de la santé publique, les acteurs qui hébergent de telles données pour le compte d’un tiers doivent recourir à un hébergement certifié. Cela concerne notamment les éditeurs de logiciels médicaux, les établissements de soins, les laboratoires et certains assureurs.
Une donnée de santé peut révéler directement ou indirectement l’état de santé d’une personne : résultat d’examen, prescription ou information liée à un soin. Un identifiant associé à un dossier médical peut aussi être sensible, tandis qu’une donnée réellement anonymisée sort de ce périmètre.
Un éditeur de logiciel médical n’a pas nécessairement à obtenir lui-même la certification. Il doit toutefois choisir un hébergeur dont le certificat couvre le service utilisé et pouvoir documenter ce choix auprès de ses clients.
Repères sur les responsabilités :
- Éditeur SaaS : sélection et documentation du prestataire hébergeur
- Hébergeur : certification couvrant les activités effectivement réalisées
- Client de santé : vérification des engagements contractuels et techniques
- Organisation hébergeant seule ses propres serveurs : analyse du régime applicable
La situation d’un hébergement entièrement interne mérite une analyse juridique précise. Dès qu’un prestataire externe intervient dans la chaîne, il faut examiner son rôle et les activités qu’il prend en charge.
HDS, ISO 27001 et RGPD : des exigences différentes
La conformité réglementaire ne se résume pas à afficher un certificat de sécurité. Le RGPD encadre les données personnelles, l’ISO 27001 concerne le management de la sécurité de l’information, et la Certification HDS vise spécifiquement l’hébergement de données de santé.
Selon la CNIL, les données de santé sont des données sensibles soumises à une protection renforcée. Une certification ISO 27001 constitue un élément utile, mais elle ne remplace pas la certification HDS lorsqu’elle est requise.
Pour une clinique qui adopte un logiciel de prise de rendez-vous, par exemple, la vérification doit porter sur l’hébergement des données réellement collectées, et pas seulement sur la sécurité générale du fournisseur. Cette distinction évite de confondre conformité globale et conformité de l’hébergement.
Hébergeur certifié HDS : examiner le certificat et la sécurité
Une fois l’obligation clarifiée, l’examen du certificat permet de vérifier si l’offre correspond réellement à votre usage. Le nom du prestataire ne suffit pas : ses activités certifiées et la chaîne de sous-traitance comptent tout autant.
Périmètre certifié, localisation et souveraineté des données
Demandez le certificat en cours de validité et contrôlez les activités couvertes, la date et l’entité juridique concernée. Un prestataire peut être certifié pour certaines opérations sans que toutes les composantes de votre service entrent dans ce périmètre.
Selon le référentiel HDS, les activités couvertes doivent être examinées au regard des services effectivement fournis. Vérifiez notamment qui gère l’infrastructure, les sauvegardes, l’administration et les éventuels services applicatifs.
La Souveraineté des données suppose aussi d’examiner le droit applicable au fournisseur et les accès possibles depuis l’étranger. Un stockage en France ne suffit pas, à lui seul, à écarter tout risque lié à une juridiction extraterritoriale.
Questions à inscrire au dossier d’achat :
- Quel certificat couvre le service et l’entité contractante ?
- Où les données et leurs sauvegardes sont-elles hébergées ?
- Quels sous-traitants peuvent accéder aux environnements ?
- Quelles procédures encadrent les accès distants et leur traçabilité ?
La localisation doit être comprise avec les règles d’accès, la sous-traitance et les engagements contractuels. Ce contrôle juridique complète l’évaluation de la sécurité technique.
Sécurité des données, disponibilité et gestion des accès
Le cadre HDS s’articule autour de garanties de disponibilité, d’intégrité, de confidentialité et d’auditabilité. Dans la pratique, demandez comment le fournisseur chiffre les données, cloisonne les réseaux et journalise les opérations.
La Sécurité des données dépend aussi de mesures exploitées au quotidien : supervision, gestion des vulnérabilités, sauvegarde des données et tests de reprise. Un plan de reprise d’activité doit être documenté, adapté aux besoins de votre service et régulièrement éprouvé.
La Disponibilité des services se juge à partir des engagements de service et des procédures en cas d’incident. Pour un outil utilisé pendant les consultations, une interruption peut perturber les soins ; il faut donc comprendre les délais de rétablissement annoncés.
Enfin, la Gestion des accès doit limiter les droits à ce qui est nécessaire, tracer les connexions et encadrer les comptes à privilèges. Ces règles renforcent la Confidentialité médicale, notamment lorsque plusieurs équipes ou prestataires interviennent.
Contrôles opérationnels à demander :
- Mesures de chiffrement et séparation des environnements
- Procédures de sauvegarde et de restauration vérifiées
- Supervision des incidents et modalités d’alerte
- Contrôle des habilitations et journalisation des accès
Un certificat établit un cadre, mais il ne remplace pas les réponses précises sur les opérations quotidiennes. L’étape suivante consiste à vérifier la capacité du prestataire à accompagner votre activité dans la durée.
Choisir un hébergement HDS adapté aux besoins de votre structure
Après les contrôles réglementaires et techniques, la comparaison doit porter sur le service réellement rendu. Une offre économique de stockage ne s’équivaut pas à une infrastructure administrée avec supervision et accompagnement.
Réversibilité et accompagnement du projet
Avant de signer, définissez comment récupérer vos données en fin de contrat, dans quels formats et selon quels délais. Demandez également comment seront supprimées les copies restantes et quelles prestations d’assistance accompagnent la migration.
Cette réversibilité se prépare dès le départ : elle évite qu’un changement de fournisseur devienne un chantier improvisé. Un éditeur qui doit transférer des dossiers patients, par exemple, doit connaître les formats exportables et les responsabilités de chaque intervenant.
L’accompagnement compte particulièrement pour une petite structure sans équipe de sécurité dédiée. Le prestataire peut aider à cadrer le périmètre, préparer la migration et fournir les documents nécessaires aux audits des clients.
Points à comparer dans les offres :
- Formats d’export et conditions de restitution des données
- Assistance pendant la migration et la sortie du contrat
- Documentation de la sous-traitance et des responsabilités
- Capacité à héberger applications, conteneurs et traitements IA
Coût, évolution des usages et comparaison des offres
Il n’existe pas de tarif unique : le coût dépend du volume, des performances attendues, de la supervision et du niveau de reprise. Selon les conditions commerciales, un forfait ou une facturation à l’usage conviendra mieux à une activité stable ou variable.
Demandez un devis détaillant le stockage, les transferts, les sauvegardes, l’assistance et les options de sécurité. Un prix au gigaoctet ne permet pas de comparer deux services si l’un inclut l’infogérance et l’autre uniquement l’espace de stockage.
Les usages d’intelligence artificielle exigent une vérification supplémentaire. Si des données sont utilisées pour la recherche documentaire, l’entraînement ou l’inférence, confirmez que les traitements restent dans le périmètre certifié et que les accès sont encadrés.
| Critère | Vérification utile | Risque en cas d’oubli |
|---|---|---|
| Certification | Activités et entité couvertes | Service hors périmètre certifié |
| Localisation | Sites, sauvegardes et accès distants | Exposition juridique mal évaluée |
| Résilience | Sauvegardes et tests de reprise | Restauration incertaine après incident |
| Réversibilité | Formats, délais et assistance de sortie | Dépendance technique au fournisseur |
Selon les exigences HDS, le périmètre certifié doit correspondre aux opérations d’hébergement concernées ; comparez donc les offres à périmètre égal. Cette méthode révèle plus clairement les coûts complets et les capacités qui compteront lorsque votre service évoluera.
Transformer l’analyse en décision
Les meilleures décisions reposent sur un cadre compréhensible, quelques critères vérifiables et une étape suivante clairement définie. Testez la méthode à petite échelle, mesurez le résultat puis ajustez avant de généraliser.
Votre checklist
- Définir le résultat attendu
- Identifier trois critères prioritaires
- Prévoir une mesure de contrôle
- Fixer une date de réévaluation
