HDS - Hébergement de Données de Santé

1. Définition et enjeux

Qu'est-ce que la certification HDS ?

La certification HDS (Hébergement de Données de Santé) est une certification délivrée par des organismes accrédités qui atteste qu'un hébergeur de données de santé respecte les exigences de sécurité, de confidentialité et de traçabilité définies par le référentiel HDS établi par l'ASIP Santé (devenue l'Agence du Numérique en Santé - ANS).

Depuis le 1er avril 2018, la certification HDS est devenue obligatoire pour tout prestataire qui héberge des données de santé à caractère personnel pour le compte de personnes physiques ou morales (établissements de santé, ESMS, professionnels de santé libéraux, éditeurs de logiciels, etc.).

Données de santé concernées

La certification HDS s'applique à l'hébergement de données de santé à caractère personnel, définies par l'article L.1111-8 du Code de la santé publique comme :

• Données issues du DUI (Dossier Usager Informatisé)
• Données issues des systèmes d'information de santé
• Données recueillies lors d'activités de prévention, de diagnostic, de soins ou de suivi social et médico-social
• Données issues de dispositifs médicaux et d'objets connectés de santé
• Données d'imagerie médicale
• Données biologiques et génétiques

Enjeux pour les ESMS

Pour les établissements et services médico-sociaux, la certification HDS concerne :

• Logiciels métiers : DUI, gestion des projets personnalisés, transmissions
• Messageries sécurisées de santé : MSSanté
• Plateformes de télémédecine : téléconsultation, téléexpertise
• Solutions de sauvegarde : archivage des dossiers usagers
• Services cloud : stockage documentaire de données de santé

2. Obligations et exigences

Qui doit être certifié HDS ?

Doivent obligatoirement être certifiés HDS tous les acteurs qui hébergent des données de santé à caractère personnel pour le compte de tiers :

• Hébergeurs d'infrastructures physiques : datacenters, fournisseurs cloud (AWS, Azure, OVH, etc.)
• Hébergeurs d'applications de santé : éditeurs de logiciels métiers (DUI, facturation, etc.)
• Prestataires infogérants : infogérance, maintenance applicative
• Opérateurs de sauvegarde : solutions de backup et d'archivage
• Gestionnaires de messageries sécurisées de santé

Les 6 activités du référentiel HDS

Le référentiel HDS définit 6 activités pouvant faire l'objet d'une certification (une ou plusieurs) :

Exigences du référentiel HDS

Le référentiel HDS 2018 impose des exigences organisationnelles, techniques et juridiques :

• Organisation et pilotage : gouvernance de sécurité, gestion des risques, politique de sécurité
• Locaux et infrastructures : sécurité physique des datacenters, contrôle d'accès, vidéosurveillance
• Architecture technique : cloisonnement, redondance, disponibilité, plan de continuité
• Sécurité logique : authentification, gestion des habilitations, traçabilité, chiffrement
• Exploitation et supervision : monitoring, détection d'incidents, gestion des correctifs
• Sauvegarde : fréquence, chiffrement, tests de restauration
• Ressources humaines : habilitation du personnel, formation, sensibilisation
• Contractualisation : clauses obligatoires dans les contrats avec les clients
• Sous-traitance : maîtrise de la chaîne d'hébergement, exigences HDS pour les sous-traitants

Obligations contractuelles

Le contrat d'hébergement de données de santé doit obligatoirement comporter :

• Les mentions obligatoires prévues par le Code de la santé publique
• Les clauses RGPD lorsque l'hébergeur agit en tant que sous-traitant
• Les engagements de niveau de service (SLA)
• Les modalités de réversibilité et de restitution des données
• Les conditions de notification des incidents de sécurité
• La localisation géographique des données (Union Européenne)

3. Mise en conformité et certification

Processus de certification

La certification HDS est délivrée par des organismes certificateurs accrédités par le COFRAC (Comité Français d'Accréditation). Le processus comprend :

1. Pré-audit ou audit à blanc : évaluation préparatoire (optionnelle)
2. Audit documentaire : examen de la documentation (politique de sécurité, procédures, analyses de risques)
3. Audit sur site : visite des locaux, interviews, tests techniques
4. Délivrance du certificat : si conformité totale, certificat valable 3 ans
5. Audits de surveillance : audits annuels pour maintenir la certification
6. Renouvellement : nouvel audit complet tous les 3 ans

Organismes certificateurs accrédités

En France, plusieurs organismes sont accrédités par le COFRAC pour délivrer la certification HDS :

• BSI Group France (British Standards Institution)
• AFNOR Certification
• DEKRA Certification
• Bureau Veritas Certification
• SGS ICS

Coût de la certification

Le coût de la certification HDS varie selon :

• Le nombre d'activités certifiées (1 à 6)
• La taille et la complexité de l'organisation
• Le nombre de sites à auditer
• L'organisme certificateur choisi

À titre indicatif, le coût initial (audit + certification) peut varier de 15 000€ à 50 000€, avec des audits de surveillance annuels compris entre 5 000€ et 15 000€.

Liste des hébergeurs certifiés

L'Agence du Numérique en Santé (ANS) publie la liste officielle des hébergeurs certifiés HDS, régulièrement mise à jour. Cette liste est consultable en ligne et permet aux ESMS de vérifier la certification de leurs prestataires.

4. Cadre réglementaire

Textes fondateurs

• Article L.1111-8 du Code de la santé publique ↗ - Hébergement des données de santé
• Articles R.1111-8-8 à R.1111-8-11 du CSP ↗ - Modalités de certification
• Arrêté du 4 janvier 2018 ↗ - Référentiel de certification des hébergeurs
• Décret n° 2018-137 du 26 février 2018 ↗ - Adaptation du régime juridique de certification

Évolution réglementaire

Le cadre réglementaire de la certification HDS a connu plusieurs évolutions majeures :

• 2006 : Création du régime d'agrément des hébergeurs (procédure d'agrément par le ministère)
• 2018 : Passage d'un régime d'agrément à un régime de certification par des organismes accrédités
• 2018 : Publication du nouveau référentiel HDS avec 6 activités distinctes
• Période transitoire 2018-2020 : Coexistence agrément/certification
• Depuis 2020 : Certification HDS obligatoire pour tous les nouveaux hébergeurs

Sanctions pénales

L'article L.1111-8 du Code de la santé publique prévoit des sanctions pénales pour :

• Exercice illégal de l'activité d'hébergeur de données de santé sans certification : 1 an d'emprisonnement et 15 000€ d'amende
• Violation du secret professionnel : 1 an d'emprisonnement et 15 000€ d'amende (article 226-13 du Code pénal)
• Non-respect des obligations RGPD : sanctions administratives de la CNIL

5. Ressources utiles

Sites officiels

Documentation officielle

Organismes certificateurs

• BSI Group France ↗
• AFNOR Certification ↗
• DEKRA Certification ↗
• Bureau Veritas Certification ↗

Contact

6. Services liés

Sécurité et conformité