Confier des données de santé à un prestataire ne se résume pas à choisir un espace de stockage. La certification HDS encadre les organisations qui hébergent ces informations personnelles pour le compte de tiers.
Pour un établissement ou un éditeur de logiciel médical, elle touche autant aux choix techniques qu’aux contrats et aux responsabilités. Comprendre son périmètre, ses audits et ses exigences aide à sélectionner un hébergeur certifié et à préparer son projet.
A retenir :
- Protection renforcée des données de santé confiées à un tiers
- Périmètre adapté aux activités réellement exercées
- Audits réguliers et preuves documentées de conformité
- Vérification des risques d’accès depuis des pays tiers
Certification HDS : périmètre et activités couvertes
Ce cadre général prend tout son sens lorsqu’on distingue les données concernées des services effectivement fournis. La Certification HDS s’applique à l’hébergement de données de santé à caractère personnel pour le compte d’autres acteurs.
Hébergement de données de santé : obligation et objectifs
Pour préciser cette obligation, l’article L. 1111-8 du Code de la santé publique prévoit un cadre spécifique pour l’hébergement de ces informations. Selon cet article, les acteurs concernés doivent respecter les exigences applicables à leur activité d’hébergement.
La sécurité des données, leur disponibilité et leur confidentialité sont au cœur de la démarche. Selon le référentiel HDS V2, les exigences s’appuient sur ISO/IEC 27001:2022 et ajoutent des dispositions adaptées au secteur de la santé.
Les activités et périmètres de certification HDS
À partir de ces objectifs, le périmètre doit correspondre aux services réellement rendus, plutôt qu’au seul intitulé commercial d’une offre. Le référentiel distingue notamment l’hébergeur d’infrastructure physique de l’hébergeur infogéreur.
Les activités couvertes peuvent aller des locaux hébergeant les équipements à l’exploitation de plateformes, en passant par l’administration et la sauvegarde. Un prestataire qui sous-traite une partie du service doit donc examiner précisément ses responsabilités et celles de ses partenaires.
La grille ci-dessous aide à repérer les grandes familles de services à clarifier avant l’audit. Leur application dépend toutefois du rôle précis de chaque prestataire dans la chaîne d’hébergement.
Activité d’hébergement
Exemple de périmètre à examiner
Locaux physiques
Mise à disposition de sites accueillant les infrastructures
Infrastructure matérielle
Fourniture ou maintien des équipements informatiques
Plateforme d’hébergement
Mise à disposition des environnements nécessaires au traitement
Administration et exploitation
Gestion opérationnelle des systèmes hébergeant les données
Sauvegarde
Conservation et gestion des copies de données hébergées
La cartographie des activités fixe ainsi le périmètre à auditer ; reste ensuite à organiser les preuves et les équipes qui démontreront la conformité.
Activités à cartographier :
- Localisation des infrastructures et des données hébergées
- Responsabilités propres et services sous-traités
- Accès aux systèmes et modalités d’administration
- Dispositifs de sauvegarde et de continuité
La définition du périmètre prépare directement l’évaluation : les auditeurs doivent pouvoir confronter les documents aux pratiques observées sur le terrain.
Audit de conformité HDS : étapes et préparation
Une fois les activités délimitées, l’organisation peut bâtir son parcours d’évaluation. L’audit de conformité examine à la fois le système documentaire et la mise en œuvre concrète des mesures annoncées.
Préparation, revue documentaire et audit sur site
Dans cette première étape, l’auditeur prend connaissance des spécificités du prestataire et prépare le déroulement des vérifications. La revue documentaire porte notamment sur les politiques, les procédures, les audits internes et les décisions de direction.
La phase sur site confronte ensuite ces documents aux pratiques, aux entretiens avec le personnel et aux preuves disponibles. Une procédure écrite ne suffit pas si les équipes ne l’appliquent pas ou si les traces manquent.
Décision, surveillance et renouvellement du certificat
Après les vérifications, les constats sont consignés dans un rapport et examinés avant toute décision de certification. Selon l’Agence du numérique en santé, le référentiel HDS V2 constitue le cadre de référence applicable à cette évaluation.
Le certificat est délivré pour trois ans dans le parcours décrit par les informations fournies, avec des audits de suivi annuels et un renouvellement à l’échéance. L’organisation doit donc maintenir ses preuves à jour, plutôt que préparer uniquement la visite initiale.
Le tableau distingue les étapes et les éléments à préparer, sans confondre contrôle ponctuel et amélioration continue. Une personne responsable du suivi facilite la circulation des informations entre équipes techniques, juridiques et métiers.
Étape
Travail attendu
Éléments examinés
Recevabilité
Définir le périmètre et le programme d’audit
Activités, sites et responsabilités
Revue documentaire
Évaluer la préparation du système de management
Politiques, procédures et audits internes
Évaluation sur site
Vérifier les pratiques et leur efficacité
Entretiens, observations et preuves
Décision
Examiner les constats avant délivrance
Rapport d’audit et écarts éventuels
Surveillance
Maintenir la conformité dans le temps
Évolution des mesures et suivi des constats
Préparation des audits :
- Cartographie des systèmes et des flux de données
- Procédures accessibles aux équipes concernées
- Preuves de contrôle et suivi des incidents
- Responsables identifiés pour chaque exigence
Un audit bien préparé révèle les écarts avant qu’ils ne fragilisent la certification ; la gestion des risques doit ensuite rester intégrée aux opérations courantes.
Une certification obtenue ne règle pas, à elle seule, toutes les questions de gouvernance : l’organisation doit aussi vérifier où résident les données et qui peut y accéder.
Conformité réglementaire et choix d’un hébergeur certifié
Au-delà de l’audit, la certification influence les achats, les contrats et la relation de confiance avec les patients. Pour un établissement, choisir un hébergeur certifié suppose d’examiner les garanties réelles derrière le certificat.
Localisation, accès et protection des données
Dans ce choix, la localisation physique des données dans l’Espace économique européen et la transparence sur les accès extra-européens méritent une vérification contractuelle. Il faut aussi examiner les sous-traitants, les procédures d’incident et les conditions de restitution des informations.
Pour un éditeur de logiciel médical, par exemple, une offre cloud ne suffit pas à démontrer que chaque composant entre dans le périmètre certifié. Il doit rapprocher les services utilisés du certificat, puis clarifier les responsabilités avec son fournisseur.
Certification HDS, ISO 27001 et décisions d’achat
En complément de cette vérification, la certification HDS s’appuie sur ISO/IEC 27001:2022, ce qui peut faciliter le travail d’une organisation déjà engagée dans cette démarche. Elle ne remplace toutefois pas l’analyse des exigences propres à la santé ni celle des risques liés au service choisi.
La certification peut aussi devenir un critère de sélection dans les appels d’offres d’établissements de santé. Pour comparer deux offres, l’acheteur gagne à demander le périmètre certifié, la validité du certificat et les modalités de gestion des accès.
Vérifications avant contractualisation :
- Périmètre du certificat et services réellement couverts
- Localisation des données et transparence des accès
- Répartition des responsabilités entre client et prestataire
- Modalités de notification, restitution et suppression des données
La conformité réglementaire se construit ainsi dans la durée, au croisement du certificat, du contrat et des pratiques quotidiennes de protection des données.
Source : Code de la santé publique, article L. 1111-8 ; Agence du numérique en santé, Référentiel de certification HDS V2.
Comprendre son ordinateur comme un système, pas une boîte noire
Qu'il s'agisse de choisir un processeur, d'ajouter de la mémoire ou de sécuriser sa connexion réseau, chaque décision mérite d'être comprise plutôt que subie. Saisir les contraintes réelles de chaque composant permet d'en tirer des bénéfices concrets : performance, fiabilité et longévité de la machine.
Pour aller plus loin
- Vérifier l'adéquation entre vos usages réels et la configuration matérielle envisagée
- Comparer les technologies de stockage selon vitesse, fiabilité et coût
- Sécuriser l'accès et les sauvegardes de vos données sensibles
- Anticiper le refroidissement dès la conception d'une configuration
