Certification HDS : le guide pas à pas de l'hébergement de données de santé

L'obligation est posée par l'article L.1111-8 du code de la santé publique. Il vise toute personne qui héberge des données de santé à caractère personnel recueillies à l'occasion d'activités de prévention, de diagnostic, de soins ou de suivi social et médico-social, pour le compte des personnes physiques ou morales qui les ont produites ou recueillies, ou pour le compte du patient lui-même. Quand cet hébergement se fait sur support numérique, l'hébergeur doit être titulaire d'un certificat de conformité.

Le dispositif a changé de nature en 2018. Jusque-là, chaque hébergeur obtenait un agrément du ministre, instruit dossier par dossier. L'ordonnance du 12 janvier 2017 et le décret du 26 février 2018 l'ont remplacé, à partir du 1er avril 2018, par une certification délivrée par des organismes indépendants, eux-mêmes accrédités, sur la base d'un référentiel public. La démarche ressemble donc désormais à une certification ISO, que les équipes sécurité connaissent déjà.

Qui fait quoi ?

• L'Agence du numérique en santé (ANS) rédige les référentiels de certification et d'accréditation, approuvés par arrêté du ministre chargé de la santé, et publie la liste des hébergeurs certifiés.
• Les organismes certificateurs, accrédités en France par le Comité français d'accréditation (Cofrac) ou par l'organisme équivalent d'un autre État membre, auditent les hébergeurs et délivrent les certificats.
• Les hébergeurs demandent la certification pour les activités qu'ils réalisent et se soumettent aux audits.
• Les clients (établissements, professionnels, éditeurs) vérifient, avant de confier leurs données, que l'hébergeur est bien certifié (article R.1111-8-8).

Le cadre a beaucoup bougé en deux ans : un référentiel entièrement revu en 2024, une loi qui étend l'obligation à l'archivage, puis un décret qui ajoute des règles de localisation et de transparence. Voici les dates à retenir.

Le code et le référentiel fixent des exigences, pas une méthode. Les chapitres de ce guide suivent l'ordre dans lequel les questions se posent : on ne peut choisir son périmètre qu'après avoir établi qu'on héberge des données de santé, ni rédiger ses contrats sans savoir quelles activités on réalise.

1. Étape 1 Savoir si l'on est concerné Ce qu'est une donnée de santé, les trois conditions de l'article L.1111-8, les cas des éditeurs, des établissements et des GHT.
2. Étape 2 Délimiter ses activités Les six activités de l'article R.1111-9 et la répartition entre centre de données, cloud, éditeur et infogéreur.
3. Étape 3 Comprendre le référentiel ISO 27001 comme socle, exigences propres à la santé, version 2.0 en vigueur et version 2.1 attendue.
4. Étape 4 Adapter contrats et localisation Stockage dans l'UE ou l'EEE, accès depuis un pays tiers, cartographie publique et clauses obligatoires.
5. Étape 5 Passer l'audit Organisme accrédité, audit en deux étapes, non-conformités, certificat de trois ans et audits de surveillance.
6. Étape 6 Choisir et suivre ses hébergeurs Vérifier un certificat sur la liste de l'ANS, contrôler le contrat, suivre ses prestataires dans la durée.

Pour une vue d'ensemble plus courte, lisez notre article HDS : tout comprendre de la certification hébergeur de données de santé. Les termes employés sont définis dans le glossaire.

Pour rendre chaque étape concrète, ce guide suit un éditeur fictif. Le cas de l'éditeur en SaaS est celui qui soulève le plus de questions : il ne possède souvent aucun serveur, mais il exploite au quotidien l'application qui contient les données de ses clients.

Une démarche HDS réutilise beaucoup de briques de la gouvernance, de la gestion des risques et de la conformité : un système de management de la sécurité de l'information conforme à ISO 27001, une analyse de risques, une déclaration d'applicabilité, l'AIPD du RGPD et l'évaluation des fournisseurs.