L'hébergement de données de santé obéit à un cadre strict. Le principe : lorsque des données de santé à caractère personnel, recueillies à l'occasion d'activités de prévention, de diagnostic, de soins ou de suivi social et médico-social, sont hébergées pour le compte d'autrui, l'hébergeur doit être certifié HDS (Hébergeur de Données de Santé).
Qui est concerné ?
- Les hébergeurs et fournisseurs de cloud qui stockent ces données pour leurs clients.
- Les éditeurs de logiciels de santé proposés en mode SaaS.
- Les établissements de santé, cabinets, laboratoires, structures médico-sociales, qui doivent choisir un hébergeur certifié.
- Les sociétés d'e-santé, de télémédecine ou d'objets connectés de santé.
Un acteur qui héberge ses propres données de santé pour son propre usage n'est en principe pas soumis à l'obligation. La situation change dès qu'il héberge pour le compte d'autrui.
Ce que garantit la certification
La certification HDS est délivrée par un organisme accrédité après audit. Elle couvre notamment :
- La sécurité de l'infrastructure et des accès
- La gestion des habilitations et la traçabilité
- La continuité de service et les sauvegardes,
- L'engagement contractuel sur les responsabilités et la réversibilité,
- Un contrôle régulier : la certification est surveillée et renouvelée.
Ce que l'on risque sans certification
L'hébergement de données de santé sans certification expose à des sanctions pénales, pouvant aller jusqu'à plusieurs années d'emprisonnement et des amendes de plusieurs dizaines de milliers d'euros pour l'hébergeur. Pour les établissements qui confieraient leurs données à un acteur non certifié, c'est leur propre responsabilité qui est engagée, avec des risques de contrôle, de mise en cause en cas d'incident et de perte de confiance des patients.
Le bon réflexe
Avant de confier des données de santé à un prestataire, demandez le certificat HDS, vérifiez son périmètre (toutes les activités ne sont pas forcément couvertes) et sa validité.
IAF est certifiée HDS et accompagne les établissements de santé, éditeurs et structures médico-sociales. N'hésitez pas à nous contacter pour vérifier la conformité de votre hébergement actuel.