Ce qu'il faut retenir
- L'hébergement de données de santé est un enjeu majeur pour tout professionnel du secteur médical manipulant ces informations en France.
- Toute information relative à la santé physique ou mentale d'une personne identifiée ou identifiable est une donnée de santé au sens du RGPD ; son hébergement pour le compte de tiers relève du Code de la santé publique.
- L'article L. 1111-8 du Code de la santé publique impose à toute personne qui héberge des données de santé pour le compte de tiers d'être certifiée ; le décret n° 2018-137 du 26 février 2018 en a organisé la mise en œuvre.
- La certification HDS a remplacé l'ancien agrément pour l'hébergement sur support numérique le 1er avril 2018 ; elle est délivrée par un organisme certificateur accrédité par le COFRAC ou un organisme d'accréditation européen équivalent.
- Un hébergeur certifié doit garantir la sécurité physique et logique, la protection contre la perte des fichiers, la traçabilité des accès et la gestion des incidents.
- La conformité ne se limite pas à la certification HDS : le RGPD impose l'identification des finalités, la limitation des accès et des durées de conservation documentées.
L’hébergement de données de santé représente un enjeu majeur pour tout professionnel du secteur médical ou toute organisation manipulant ce type d’information en France. Entre la certification HDS, qui a remplacé l’ancien agrément hébergeur de données de santé, les impératifs de conformité réglementaire et la pression exercée par le RGPD, il peut être difficile de s’y retrouver face à la multitude des exigences à respecter. Démêlons ensemble les points clés pour renforcer la sécurité des données de santé et limiter les risques juridiques.
Le cadre légal de l’hébergement des données de santé
La gestion numérique des données de santé est régie par un ensemble strict de textes législatifs et réglementaires. Dès lors qu’une information relative à la santé physique ou mentale concerne une personne identifiée ou identifiable, elle constitue une donnée de santé au sens du RGPD (article 4, point 15), qui la range parmi les catégories particulières de données (article 9). Son hébergement pour le compte de tiers relève en outre du Code de la santé publique.
L’article L. 1111-8 du Code de la santé publique impose à toute personne qui héberge des données de santé recueillies lors d’activités de prévention, de diagnostic, de soins ou de suivi social et médico-social, pour le compte de tiers ou du patient lui-même, d’être titulaire d’un certificat de conformité. Le décret n° 2018-137 du 26 février 2018 a fixé les modalités de cette certification, et les responsables de traitement qui confient l’hébergement à un tiers doivent s’assurer qu’il est certifié (article R. 1111-8-8 du Code de la santé publique). Cette mesure vise essentiellement à protéger le droit fondamental au respect de la vie privée et à assurer une sécurité des données de santé adaptée aux enjeux actuels.
Certification HDS et agrément hébergeur de données de santé : quelles différences ?
La certification HDS (hébergeur de données de santé) a succédé à l’ancien système d’agrément le 1er avril 2018 pour l’hébergement sur support numérique. Tout acteur qui héberge ces données pour le compte de tiers doit désormais obtenir un certificat auprès d’un organisme certificateur accrédité par le Comité français d’accréditation (COFRAC) ou par un organisme d’accréditation européen équivalent. Un agrément du ministre chargé de la culture reste requis pour la conservation de ces données dans le cadre d’un service d’archivage électronique ou sur support papier. Depuis le 26 septembre 2026, le stockage de données de santé par un hébergeur certifié doit en outre être réalisé exclusivement dans l’Union européenne ou l’Espace économique européen (article R. 1111-9-1 du Code de la santé publique).
Si votre structure manipule régulièrement des dossiers patients ou propose des solutions e-santé, il peut s'avérer utile de recourir à des services juridiques experts dans le domaine de l’e-santé afin de sécuriser vos contrats et l’encadrement de l’hébergement des données sensibles. Ce passage de l’agrément gouvernemental à la certification indépendante a pour objectif de renforcer la confiance en imposant un référentiel de certification précis consacré à la sûreté et la sécurité des données de santé.
Quelles sont les étapes pour obtenir la certification HDS ?
Un hébergeur souhaitant prouver sa conformité réglementaire doit engager une démarche structurée. Elle comprend une analyse détaillée des processus internes, la rédaction d’un dossier administratif complet et le choix d’un organisme certificateur accrédité, qui évalue la conformité au référentiel HDS en tenant compte, le cas échéant, des certifications ISO 27001 déjà obtenues.
L’organisme procède à un audit de conformité en deux étapes : une revue documentaire, puis un audit sur site. L’hébergeur dispose de trois mois après l’audit sur site pour corriger les éventuelles non-conformités. Le résultat conditionne la délivrance de la certification HDS, valable trois ans, avec un audit de surveillance chaque année.
Quels critères distinguent un hébergeur certifié ?
Les hébergeurs de données de santé certifiés doivent répondre à des niveaux d’exigence élevés qui couvrent l’ensemble du cycle de vie des informations traitées :
- Sécurité physique et logique des infrastructures
- Protection contre la perte, le vol ou la corruption des fichiers
- Garanties d’identification forte et traçabilité des accès
- Mécanismes continus de sauvegarde et de restauration
- Gestion des incidents et notification rapide en cas de violation
Chaque critère repose sur le référentiel de certification élaboré par le groupement d’intérêt public mentionné à l’article L. 1111-24 du Code de la santé publique et approuvé par arrêté du ministre chargé de la santé. Ce référentiel intègre le respect de normes internationales comme les exigences ISO 27001 relatives à la sécurité des systèmes d’information.
En quoi consiste la conformité RGPD pour les données de santé ?
La conformité réglementaire ne se limite pas à la seule certification HDS. Le Règlement Général sur la Protection des Données apporte également un socle essentiel de garanties pour chaque « sous-traitant » et « responsable du traitement » au sens du texte européen. Face à la complexité du RGPD, faire appel à un cabinet spécialisé en matière de protection des données personnelles permet d’être accompagné efficacement dans toutes les démarches de mise en conformité.
Il impose l’identification claire des finalités du traitement, la stricte limitation des accès et la définition des durées maximales de conservation des dossiers. Toute manipulation de données sensibles doit pouvoir être justifiée et documentée, notamment à travers le registre des traitements exigé par le RGPD.
Quelles mesures techniques exigées par le RGPD ?
La sécurisation des flux entrants et sortants passe par de nombreux outils technologiques :
- Chiffrement systématique durant le stockage et le transit
- Mise en place d’alertes automatiques en cas d’accès anormal
- Revue périodique des habilitations utilisateurs
- Tests réguliers d’intrusion et plans de réponse adaptés
Pour toute violation de données de santé, une procédure de notification à la CNIL et, selon la gravité de l’incident, aux personnes concernées, vient compléter cet arsenal préventif et correctif.
Comment intégrer sécurité et conformité dans la gestion quotidienne ?
Il est recommandé à chaque employeur ou prestataire de former ses équipes aux risques liés à la confidentialité des informations manipulées. L’élaboration de chartes internes précisant les responsabilités individuelles, couplée à des audits de conformité annuels, renforce le niveau global de protection.
L’organisation régulière de mises à jour logicielles, couplée à la segmentation précise des droits d’accès, permet d’éviter les failles humaines ou techniques les plus fréquentes en matière de sécurité des données de santé.
Comparatif des obligations de certification HDS et des exigences RGPD
Afin de mieux visualiser les spécificités propres à chacune des obligations encadrant l’hébergement de données de santé, ce tableau rassemble les principales différences entre certification HDS et conformité RGPD.
| Obligations | Certification HDS | RGPD |
|---|---|---|
| Champ d’application | Les acteurs qui hébergent des données de santé pour le compte de tiers ou du patient | Les responsables de traitement et sous-traitants établis dans l’Union, ainsi que ceux établis hors de l’Union qui ciblent ou suivent des personnes situées dans l’Union (article 3 du RGPD) |
| Référentiel principal | Référentiel de certification HDS intégrant la norme ISO 27001 | Règlement Général sur la Protection des Données |
| Audit/Contrôles | Audit initial puis audits annuels par l’organisme certificateur | Contrôle de la CNIL, mise à jour du registre des traitements |
| Pénalité en cas de manquement | Hébergement sans certificat de conformité : trois ans d’emprisonnement et 45 000 € d’amende (article L. 1115-1 du Code de la santé publique) | Amendes jusqu’à 20 millions d’euros ou 4 % du chiffre d’affaires annuel mondial, le montant le plus élevé étant retenu (article 83 du RGPD) |
| Durée de validité | 3 ans avec surveillance annuelle | Dépend du maintien réel de la conformité |
Cette synthèse visuelle facilite la compréhension des différentes strates de contrôle entourant la sécurité des données de santé. Chaque acteur se doit d’articuler ces deux cadres afin d’assurer une couverture maximale contre les risques juridiques et opérationnels.
FAQ pratiques sur la conformité et l’agrément d’hébergement des données de santé
Qui doit obligatoirement choisir un hébergeur certifié HDS ?
Les établissements de santé, laboratoires, cabinets libéraux, éditeurs de solutions numériques et autres professionnels de santé qui confient à un tiers l’hébergement de données de santé recueillies lors d’activités de prévention, de diagnostic, de soins ou de suivi social et médico-social doivent s’assurer que ce tiers est certifié HDS. L’obligation de certification pèse sur l’hébergeur : une structure qui héberge elle-même ses propres données de santé n’a pas à être certifiée.
Héberger des données de santé pour le compte de tiers sans être titulaire du certificat de conformité est puni de trois ans d’emprisonnement et de 45 000 € d’amende (article L. 1115-1 du Code de la santé publique). Le responsable de traitement qui confie ses données à un hébergeur non certifié manque, pour sa part, à l’obligation de vérification prévue à l’article R. 1111-8-8 du même code.
Quelles démarches suivre pour obtenir la certification HDS ?
Pour être reconnu conforme, un hébergeur doit s’adresser à un organisme certificateur ayant reçu une accréditation officielle. Les étapes principales incluent :
- Constitution d’un dossier technique démontrant les procédures internes et la politique de sécurité
- Évaluation documentaire et analyse des processus existants
- Audit sur site réalisé par des experts indépendants au regard du référentiel de certification
- Suivi annuel par le même organisme et renouvellement intégral tous les trois ans
Un suivi rigoureux des évolutions réglementaires reste nécessaire tout au long de la période de certification pour demeurer éligible.
Quel rôle joue la certification ISO 27001 dans ce contexte ?
La norme ISO 27001 est un standard international de sécurité de l’information, non propre à la santé, sur lequel s’appuie le référentiel HDS pour définir les exigences en matière de sécurité des données de santé. Elle impose l’établissement d’un système de management de la sécurité de l’information assurant confidentialité, intégrité et disponibilité des données.
Elle sert de point d’appui lors de l’audit de conformité : l’organisme certificateur vérifie notamment l’équivalence des certifications ISO 27001 déjà obtenues par l’hébergeur au regard du référentiel de certification HDS, qui comporte en outre des exigences propres à l’hébergement de données de santé.
Comment se préparer à un audit de conformité en vue de l’hébergement de données de santé ?
Anticiper ce contrôle nécessite la création d’un plan de préparation structuré. Les points essentiels à valider avant l’arrivée de l’auditeur comprennent :
- L’inventaire des actifs informatiques concernés
- La mise à jour des politiques de sécurité internes
- La documentation exhaustive de tous les traitements de données réalisés
- La sensibilisation active du personnel impliqué
Recourir à un diagnostic préalable par un cabinet spécialisé peut permettre de corriger rapidement les écarts éventuels repérés sur le référentiel applicable.
