HDS (Hébergement de Données de Santé)

En France, tout hébergeur de données de santé à caractère personnel recueillies à l’occasion d’activités de prévention, de diagnostic, de soins ou de suivi social et médico-social doit être certifié HDS (Hébergement de Données de Santé) — une obligation légale (Code de la santé publique, article L.1111-8), contrôlée par des organismes accrédités par le COFRAC.

Qui est concerné

Le périmètre est large : hébergeurs de données brutes, infogéreurs, éditeurs de logiciels de santé qui hébergent eux-mêmes les données de leurs clients, prestataires cloud proposant des offres pour le secteur santé (IaaS/PaaS/SaaS). Un éditeur de logiciel médical qui sous-traite son hébergement à un cloud public doit s’assurer que ce sous-traitant est lui-même certifié HDS.

Les activités couvertes par la certification

Hébergement d’infrastructure physique (locaux, matériel).
Infogérance de l’infrastructure (administration système, exploitation).
Sauvegarde des données de santé.
Mise à disposition d’une plateforme applicative hébergeant les données (PaaS/SaaS).

Un acteur peut être certifié pour tout ou partie de ces activités ; en pratique, une chaîne de sous-traitance (éditeur → hébergeur PaaS → hébergeur infrastructure) doit voir chaque maillon pertinent certifié pour son propre périmètre d’activité.

Le socle de la certification

La certification HDS s’appuie sur des normes internationales déjà connues, avec des exigences additionnelles spécifiques santé :

ISO 27001 pour le management de la sécurité de l’information.
ISO 20000-1 pour la gestion des services informatiques (uniquement pour les activités d’infogérance/plateforme).
ISO 27018 pour la protection des données personnelles hébergées dans le cloud.
Des exigences complémentaires propres à HDS : traçabilité renforcée, réversibilité des données en cas de changement d’hébergeur, localisation et souveraineté des données.

Pourquoi ça compte au-delà de la contrainte légale

Au-delà de l’obligation, la certification HDS sert de critère de sélection de facto dans les appels d’offres du secteur santé : un établissement de santé ou un éditeur médical n’a généralement pas le choix contractuel d’un hébergeur non certifié pour ce type de données. Vérifier la certification (et son périmètre exact) d’un prestataire cloud est donc une étape obligatoire avant tout projet impliquant des données de santé.