Qu'est-ce que la norme HDS ?
La norme HDS (pour Hébergement de Données de Santé) est aujourd’hui une obligation légale pour toute organisation qui héberge des données de santé à caractère personnel. Pourtant, beaucoup d’établissements, de DSI et de prestataires numériques naviguent encore à vue sur le sujet : qui est vraiment concerné, ce que le référentiel exige concrètement, comment obtenir la certification.
E-Medicom vous propose de faire un tour complet du cadre HDS.
Définition et cadre réglementaire français
La certification HDS a été créée par la loi de modernisation du système de santé de 2016, puis précisée par décret en 2018. Elle définit les conditions dans lesquelles des données de santé à caractère personnel peuvent être hébergées, traitées et restituées de manière sécurisée.
Concrètement, tout hébergeur qu’il s’agisse d’un prestataire cloud, d’un éditeur de logiciel médical ou d’un établissement gérant son propre système d’information doit obtenir cette certification s’il traite des données de santé produites dans le cadre d’activités de prévention, de diagnostic, de soins ou de suivi médico-social. L’accréditation est délivrée par un organisme certificateur agréé par le COFRAC.
HDS, RGPD et données à caractère personnel : les différences clés
Le RGPD et la norme HDS sont complémentaires mais distincts.
Le RGPD encadre le traitement de l’ensemble des données à caractère personnel en Europe. La certification HDS va plus loin sur un périmètre spécifique : les données de santé, considérées comme une catégorie sensible au sens du RGPD, et soumises à des exigences renforcées.
En résumé : le RGPD fixe le cadre général, HDS fixe les conditions techniques et organisationnelles applicables à l’hébergement des données médicales. Les deux obligations s’appliquent simultanément mais l’une ne dispense pas de l’autre.
Qui est concerné par l'obligation d'hébergement HDS ?
Les établissements de santé et EHPAD
Hôpitaux, cliniques privées, EHPAD, centres de soins : dès lors que des données de santé à caractère personnel sont collectées et hébergées dossier patient informatisé, données de suivi médicamenteux, comptes-rendus médicaux l’obligation s’applique. Elle concerne l’hébergeur de ces données, qu’il soit interne (serveurs propres) ou externe (prestataire cloud, éditeur SaaS).
Les prestataires et hébergeurs de données de santé
Un éditeur de logiciel proposant une application de communication familles, un DPI (dossier patient informatisé), ou un outil de gestion administrative qui stocke des données médicales doit être certifié HDS ou s’appuyer sur une infrastructure certifiée. C’est une condition non négociable pour pouvoir proposer ses services à des établissements de santé en France.
Les hébergeurs de données de santé peuvent obtenir la certification sur deux périmètres distincts : la mise à disposition d’infrastructure (IaaS/PaaS) et/ou la gestion et exploitation du système d’information (activités applicatives). Certains périmètres peuvent être cumulés selon l’activité.
Les systèmes d'information et logiciels médicaux
Un système d’information hospitalier (SIH), un logiciel de gestion de soins ou une application mobile connectée à des données patients entre dans le champ de la norme HDS si les données traitées permettent d’identifier un patient et de connaître son état de santé. Le numérique en santé portails patients, télémédecine, applications de suivi est donc pleinement concerné.
Le référentiel de certification HDS : ce qu'il exige concrètement
Les exigences en matière de sécurité et confidentialité
Le référentiel HDS s’appuie sur la norme ISO 27001 (sécurité des systèmes d’information) et la norme ISO 20000 (gestion des services informatiques). Il impose notamment : le chiffrement des données au repos et en transit, des procédures de contrôle d’accès strictes, la traçabilité des accès aux données de santé, et des plans de continuité d’activité en cas d’incident.
La confidentialité des données à caractère personnel est un pilier central : seules les personnes habilitées peuvent accéder aux informations de santé, et tout accès doit être journalisé et auditable.
Les conditions d'audit et d'accréditation
La certification HDS est délivrée après un audit réalisé par un organisme certificateur indépendant, accrédité par le COFRAC. Cet audit vérifie la conformité des pratiques et de l’infrastructure aux exigences du référentiel. En cas de non-conformité, des actions correctives sont imposées avant toute délivrance de la certification.
La certification est valable trois ans, avec des audits de surveillance annuels pour s’assurer du maintien de la conformité dans la durée.
Ce que ça implique pour votre infrastructure SI
Concrètement, une infrastructure certifiée HDS doit garantir la disponibilité, l’intégrité et la confidentialité des données de santé. Cela implique des choix techniques précis : localisation des serveurs sur le territoire européen, redondance des systèmes, gestion rigoureuse des incidents, et documentation exhaustive des procédures. Pour une DSI, c’est un travail de fond qui touche à l’architecture technique, aux processus internes et à la gouvernance des données.
Comment obtenir la certification HDS ?
Choisir un hébergeur certifié HDS
Si vous n’hébergez pas vos données en interne, la première étape est de vous assurer que votre prestataire cloud ou votre éditeur de logiciel est bien certifié HDS. La liste des hébergeurs certifiés est publiée et mise à jour par l’ANS (Agence du Numérique en Santé). C’est une vérification simple mais indispensable avant tout choix de solution numérique en santé.
La procédure de certification pas à pas
Pour un hébergeur souhaitant obtenir la certification, la procédure se déroule en plusieurs phases : analyse des écarts entre les pratiques actuelles et les exigences du référentiel, mise en conformité (technique et organisationnelle), sélection d’un organisme certificateur agréé, audit initial, puis délivrance de la certification si les exigences sont satisfaites.
La durée du processus varie selon la maturité de l’organisation de quelques mois pour une structure déjà bien structurée sur la sécurité SI, à plus d’un an pour une mise à niveau complète.
Durée, coût et renouvellement
La certification est valable trois ans. Des audits de surveillance sont conduits chaque année. Le coût dépend de la taille de l’organisation, du périmètre certifié et de l’organisme certificateur choisi. Il faut également intégrer le coût interne de mise en conformité, qui peut être significatif selon l’état de départ du système d’information.
HDS en pratique : questions fréquentes
Peut-on héberger des données de santé dans le cloud ?
Oui à condition que le prestataire cloud soit certifié HDS. Les grands acteurs du cloud public (AWS, Microsoft Azure, Google Cloud) proposent des offres certifiées HDS sur leurs datacenters européens. L’hébergement cloud n’est donc pas incompatible avec la norme HDS, mais il impose de vérifier précisément le périmètre de certification du prestataire retenu.
Que risque-t-on sans certification HDS ?
Les sanctions sont de deux ordres.
D’une part, les sanctions administratives prévues par le Code de la santé publique pour hébergement non conforme de données de santé.
D’autre part, les sanctions RGPD en cas de violation de données pouvant aller jusqu’à 4 % du chiffre d’affaires annuel mondial. Au-delà du risque juridique, c’est la responsabilité de l’établissement vis-à-vis de ses patients et résidents qui est engagée.
HDS et conformité : par où commencer ?
La première étape est un état des lieux : quelles données de santé sont hébergées, où, et par qui ? Cette cartographie permet d’identifier rapidement les périmètres à sécuriser. Ensuite, un audit de conformité interne ou réalisé avec un prestataire spécialisé permet de mesurer les écarts et de prioriser les actions. La conformité HDS n’est pas un projet ponctuel : c’est un processus continu qui s’intègre dans la gouvernance du système d’information.
En résumé
La norme HDS n’est pas une formalité administrative. C’est un cadre de sécurité exigeant, pensé pour protéger des données parmi les plus sensibles qui soient : les données de santé des patients et des résidents. Pour les établissements de santé et les EHPAD, s’assurer que leurs solutions numériques reposent sur une infrastructure certifiée HDS est une responsabilité légale et un gage de confiance vis-à-vis des personnes accompagnées.
Lors de notre accompagnement, E-Medicom s’appuie sur une infrastructure certifiée HDS pour garantir la conformité de votre communication numérique avec les familles.