HDS (hébergement de données de santé)
Certification obligatoire en France pour tout prestataire qui héberge des données de santé pour le compte d'un tiers.
Définition complète
La certification HDS (hébergeur de données de santé) est exigée par l'article L.1111-8 du code de la santé publique pour toute personne qui héberge des données de santé à caractère personnel pour le compte d'un établissement, d'un professionnel de santé, d'un éditeur ou du patient lui-même, lorsque ces données sont recueillies à l'occasion d'activités de prévention, de diagnostic, de soins ou de suivi social et médico-social.
La certification comporte deux certificats couvrant six activités : le certificat « hébergeur d'infrastructure physique » (mise à disposition et maintien en condition opérationnelle des sites physiques et du matériel) et le certificat « hébergeur infogéreur » (infrastructure virtuelle, plateforme applicative, administration et exploitation du système, sauvegarde externalisée). Elle est délivrée par des organismes accrédités par le COFRAC, pour une durée de trois ans, et s'appuie sur l'ISO 27001 complétée d'exigences propres.
Un nouveau référentiel de certification a été publié au Journal officiel en mai 2024. Il renforce notamment les exigences sur les transferts de données hors de l'Union européenne. Les hébergeurs déjà certifiés disposaient de 24 mois pour s'y conformer, soit jusqu'au 16 mai 2026.
Exemple concret
Une PME de 20 salariés développe un logiciel de prise de rendez-vous et de dossier patient pour les kinésithérapeutes. Elle héberge les données sur des serveurs loués. Pour signer avec un réseau de centres de rééducation, elle doit prouver que son hébergeur est certifié HDS pour les activités concernées, et obtenir elle-même la certification HDS pour l'administration et l'exploitation de sa plateforme, qu'elle assure en interne.
Comment se protéger
- Déterminer si vous hébergez des données de santé pour le compte d'un tiers, et pour quelles activités
- Vérifier la certification de votre hébergeur et le périmètre exact des activités certifiées
- Contrôler que le contrat d'hébergement comporte les clauses exigées par le code de la santé publique
- Identifier toute possibilité d'accès aux données depuis un pays hors Union européenne
- S'appuyer sur un système de management de la sécurité de type ISO 27001 pour préparer l'audit
- Planifier les audits de surveillance et le renouvellement du certificat
Questions fréquentes
Non. La certification vise l'hébergement pour le compte d'un tiers. En revanche, s'il confie ses données à un logiciel en ligne ou à un prestataire, celui-ci doit être certifié.
Pas toujours. Si l'éditeur administre et exploite lui-même la plateforme applicative ou les sauvegardes, il réalise des activités couvertes par la certification et peut devoir être certifié pour celles-ci.
L'Agence du numérique en santé publie la liste des hébergeurs certifiés HDS sur son site esante.gouv.fr.
Termes liés
ISO 27001
Norme internationale de gestion de la sécurité de l'information.
RGPD
Règlement européen sur la protection des données personnelles.
SecNumCloud
Qualification de l'ANSSI pour les offres cloud au plus haut niveau de sécurité, incluant une protection contre les lois extraterritoriales.
Souveraineté des données (cloud)
Capacité à garder la maîtrise de ses données hébergées dans le cloud, notamment face aux lois étrangères qui permettraient d'y accéder.
Vous avez besoin d'un expert en HDS (hébergement de données de santé) ?
Créez votre compte pour recevoir des réponses de prestataires qualifiés.