Qu’est-ce qu’un hébergeur de données de santé ?

Les données de santé relèvent de la vie privée et ne peuvent pas être confiées à n’importe qui. Lorsqu’un prestataire les conserve pour le compte d’un professionnel ou d’un établissement de santé, il doit être certifié « hébergeur de données de santé » (HDS). Cet article explique ce que cela recouvre, qui est concerné et comment se déroule la certification.

Qu’est-ce qu’un hébergeur de données de santé ?

L’hébergement de données de santé est encadré par l’article L.1111-8 du Code de la santé publique et ses textes d’application. Toute personne ou organisation qui héberge des données de santé à caractère personnel recueillies lors d’activités de prévention, de diagnostic, de soins ou de suivi social et médico-social, pour le compte de tiers, doit être certifiée HDS. Cela concerne par exemple les services proposés à un établissement de santé, un établissement social ou médico-social, ou un professionnel libéral.

La loi qualifie donc d’hébergement de données de santé le fait de confier à un prestataire tiers la conservation d’informations sanitaires d’un patient. Il ne s’agit pas du médecin qui garde sur son propre ordinateur le dossier de ses patients, ni de deux médecins qui s’échangent des données d’un patient dans le cadre de la télémédecine : ces cas ne relèvent pas de la définition. La règle s’applique dès qu’un tiers héberge les données, ou qu’un professionnel de santé utilise un outil mis à disposition par un prestataire qui les stocke.

Qui doit être certifié HDS ?

• un fournisseur de cloud ou de stockage en ligne qui héberge les dossiers patients d’une clinique,
• l’éditeur d’un logiciel de dossier médical ou de prise de rendez-vous en ligne qui stocke les données sur ses serveurs,
• un prestataire de sauvegarde externalisée pour un laboratoire d’analyses,
• une plateforme de téléconsultation qui conserve les échanges et documents des patients.

À l’inverse, un cabinet qui garde ses fichiers sur son propre serveur, sans prestataire, n’a pas à être certifié HDS, même s’il reste soumis au RGPD. En cas de doute sur votre situation, demandez conseil à un juriste ou au délégué à la protection des données.

Ce qui est considéré comme une donnée de santé

La loi définit comme donnée de santé toute information relative à l’état de santé physique ou mentale d’une personne, actuel, passé ou futur. On les regroupe généralement en trois catégories :

• les données de santé par nature : handicap, résultats d’une analyse sanguine, traitements, antécédents, suivi d’une maladie chronique, etc. ;
• les données qui le deviennent par croisement avec d’autres informations : poids croisé avec le nombre de pas, tension croisée avec la mesure de l’effort, etc. ;
• les données qui le deviennent par leur destination, parce qu’elles sont utilisées dans un cadre médical.

Les règles de protection applicables

Du fait de leur caractère intime, ces données sont soumises à des règles renforcées. Le Règlement général sur la protection des données (RGPD) fixe la responsabilité des organismes publics et privés qui les traitent, et la loi française Informatique et Libertés le complète. Le Conseil national de l’Ordre des médecins a publié un guide pratique à ce sujet, dont l’essentiel peut se résumer ainsi :

• les patients doivent être informés de l’utilisation de leurs données, par exemple au moyen d’une affiche en salle d’attente ;
• les fichiers doivent être protégés contre la perte et les intrusions (mots de passe personnels, chiffrement, sauvegardes) ;
• si le médecin recourt à un hébergeur, celui-ci doit être certifié HDS et offrir un niveau de sécurité élevé ;
• en cas de traitement à grande échelle, la désignation d’un délégué à la protection des données (DPO) peut être obligatoire ;
• les patients disposent de droits garantis par le RGPD : accès, rectification, limitation du traitement.

La certification HDS

La certification HDS atteste que l’hébergeur respecte un référentiel d’exigences de sécurité et de qualité de service. Elle est délivrée par un organisme certificateur accrédité par le COFRAC (ou son équivalent européen). Le référentiel a été révisé (version 2), notamment pour renforcer les exigences sur la localisation des données dans l’Espace économique européen ; une période de transition existe pour les hébergeurs déjà certifiés. Consultez le site de l’Agence du numérique en santé pour connaître le calendrier à jour.

À quoi sert le certificat HDS

Son objectif premier est de protéger les patients contre la fuite, l’altération ou la perte de leurs données : l’hébergeur doit garantir leur intégrité, leur confidentialité, leur disponibilité et leur traçabilité.

Il protège aussi les organismes de santé. Les données de santé intéressent les cybercriminels, qui cherchent à les revendre, et le secteur est régulièrement visé. Un établissement qui confierait ses données à un hébergeur non certifié s’exposerait à des sanctions en cas d’incident.

Le processus de certification

L’hébergeur dépose une demande auprès d’un organisme certificateur accrédité, qui réalise un audit documentaire puis un audit sur site. En cas de réussite, la certification est délivrée pour trois ans, avec un audit de surveillance chaque année pour la maintenir. À l’issue des trois ans, l’hébergeur doit reprendre le processus pour la renouveler.

Cet article n’est pas exhaustif. Pour plus de détails, consultez les pages officielles :

https://esante.gouv.fr/produits-services/hds

https://esante.gouv.fr/offres-services/hds/faq