Hébergeur de données de santé (HDS) : définition

Ce qu'il faut comprendre

L'obligation est posée par l'article L.1111-8 du Code de la santé publique. Toute personne qui héberge des données de santé à caractère personnel recueillies à l'occasion d'activités de prévention, de diagnostic, de soins ou de suivi social et médico-social, pour le compte d'un tiers, doit être titulaire d'une certification. Elle est délivrée par un organisme certificateur accrédité, selon un référentiel officiel.

Sont concernés les prestataires qui fournissent l'infrastructure physique, l'hébergement des serveurs, l'infogérance ou l'exploitation d'applications contenant ces données. Un éditeur de dossier de soins en ligne pour EHPAD doit être certifié HDS ou recourir lui-même à un hébergeur certifié pour les activités concernées. La certification couvre des activités précises : un certificat limité à l'hébergement physique ne couvre pas l'exploitation de l'application.

L'exigence HDS s'ajoute au RGPD, elle ne le remplace pas. L'établissement reste responsable de traitement : il doit signer un contrat de sous-traitance et vérifier l'étendue exacte de la certification de son prestataire. Erreur fréquente : stocker des données de soins sur un service de partage de fichiers grand public, non certifié, pour faciliter le travail des équipes.

Exemple concret

Un service de soins infirmiers à domicile souhaite passer à un logiciel de transmissions accessible sur tablette. Avant de signer, la directrice demande à l'éditeur son certificat HDS, vérifie qu'il couvre les activités d'hébergement concernées, contrôle que les données restent dans l'Union européenne et fait annexer au contrat les clauses de l'article 28 du RGPD.

Textes de référence

• Code de la santé publique, art. L.1111-8
• RGPD, art. 9
• RGPD, art. 28

Le texte intégral du règlement : où lire le RGPD et comment s'y repérer.