Ce que vous allez apprendre dans cet article :
- Comprendre ce qu’est l’hébergement HDS et pourquoi il est essentiel pour les applications e-santé.
- Les exigences légales et réglementaires associées à l’hébergement HDS.
- Comment choisir un partenaire HDS adapté à vos besoins.
Qu’est-ce que l’hébergement HDS ?
Définition et importance
La certification HDS (Hébergeur de Données de Santé) a été créée pour renforcer la protection des données de santé. Cette certification est essentielle pour toute application e-santé car elle assure la sécurité et la confidentialité des données sensibles des patients.
Les cas d’application de l’HDS
Le cadre légal en France concernant l’hébergement HDS est très strict. Selon l’article L.1111-8 du Code de la santé publique, modifié par la loi n°2016-41 du 26 janvier 2016 :
Toute personne physique ou morale qui héberge des données de santé à caractère personnel recueillies à l’occasion d’activités de prévention, de diagnostic, de soins ou de suivi médico-social pour le compte de personnes physiques ou morales à l’origine de la production ou du recueil de ces données ou pour le compte du patient lui-même, doit être agréée ou certifiée à cet effet.
En résumé, tout système exploitant des données de santé doit être certifié HDS.
Qui doit être certifié HDS ?
Il est crucial de comprendre que la certification HDS ne se limite pas seulement à l’hébergeur. HDS comporte plusieurs niveaux qui doivent tous être couverts. Une erreur commune est de chercher uniquement un hébergeur HDS en pensant que cela suffit, mais il y a 6 niveaux à couvrir :
Les 6 activités du référentiel HDS
Ce qu’on appelle souvent les « 6 niveaux » sont en réalité les 6 activités d’hébergement définies par le référentiel HDS (version approuvée par l’arrêté du 26 avril 2024) :
- Mise à disposition et maintien en condition opérationnelle des sites physiques qui hébergent l’infrastructure matérielle.
- Mise à disposition et maintien en condition opérationnelle de l’infrastructure matérielle.
- Mise à disposition et maintien en condition opérationnelle de l’infrastructure virtuelle.
- Mise à disposition et maintien en condition opérationnelle de la plateforme d’hébergement d’applications.
- Administration et exploitation du système d’information contenant les données de santé.
- Sauvegarde externalisée des données de santé.
Ces activités se répartissent en deux certificats : l’hébergeur d’infrastructure physique (activités 1 et 2) et l’hébergeur infogéreur (activités 3 à 6). Depuis l’arrêté de 2024, l’hébergement physique des données de santé doit se faire au sein de l’Espace économique européen, un point clé pour la souveraineté de vos données.
Mise en œuvre de l’HDS dans la pratique
Dois-je obtenir la certification HDS en tant qu’éditeur ?
Actuellement, il n’existe pas de certification spécifique pour les éditeurs, bien que des discussions soient en cours à ce sujet. En attendant, les éditeurs doivent s’assurer de leur conformité au RGPD et collaborer avec des partenaires certifiés HDS qui couvrent les six niveaux requis. Il est crucial de noter que même si vous optez pour un hébergement certifié HDS, vous ne serez pas conforme si le gestionnaire de votre infogérance n’est pas également certifié.
Faut-il être à la fois certifié HIPAA et HDS ?
L’HIPAA (Health Insurance Portability and Accountability Act) est l’équivalent américain de l’HDS, mais les deux reposent sur des contextes et approches différents. L’HDS exige une certification officielle pour garantir la conformité, tandis que l’HIPAA ne nécessite pas de certification formelle. Aux États-Unis, les organisations doivent simplement prouver leur conformité aux réglementations lors d’un audit.
Obtenir la certification HDS : par où commencer ?
Si vous souhaitez obtenir la certification HDS, la première étape consiste à obtenir la certification ISO 27001, qui constitue la majeure partie des exigences de l’HDS. Ensuite, il est important de se conformer aux normes ISO 27017 et 27018 ainsi qu’aux exigences spécifiques de l’HDS. Plusieurs organismes peuvent vous accompagner dans ce processus, mais il est important de souligner que cela nécessite un investissement significatif, équivalent à au moins un Équivalent Temps Plein (ETP). Par conséquent, dans de nombreux cas, s’appuyer sur des partenaires certifiés peut être une solution plus accessible et pragmatique.
Choisir les bons partenaires HDS
Critères de sélection
Pour choisir le bon fournisseur partenaire HDS, il est crucial de vérifier leurs certifications et les niveaux couverts. Assurez-vous que tous les aspects de l’hébergement, de la sécurité à la gestion de la plateforme, sont couverts par des certifications appropriées.
Quels hébergeurs sont certifiés HDS ?
Les grands acteurs du cloud sont certifiés : OVHcloud, Scaleway, Outscale, AWS, Microsoft Azure, Google Cloud ou encore Cloud Temple. Attention toutefois : la certification est délivrée par activité. Un hébergeur peut n’être certifié que sur certaines des six activités. Vérifiez donc le périmètre exact de son certificat, pas seulement le fait qu’il soit « certifié HDS ».
La liste évolue en permanence (plusieurs centaines d’hébergeurs certifiés). Nous vous recommandons de la vérifier sur l’annuaire officiel de l’Agence du Numérique en Santé.
Étude de cas et exemples concrets
Par exemple, si vous êtes une startup et partez de zéro, vous pourriez être tenté d’utiliser les offres cloud d’AWS qui sont certifiées HDS. Cependant, même en externalisant un maximum sur AWS, vous ne couvrirez que 4 des 6 niveaux requis. Il restera au moins la plateforme logicielle et l’infogérance à couvrir.
Créer une application conforme HDS complète sans exploser votre budget
Chez Sooyoos, notre expérience de longue date dans les projets HDS nous a permis de développer une approche optimisée. Nous concevons et opérons des plateformes e-santé pour des acteurs exigeants, comme Phil Web dans le diabète ou Skin AnalysIA. Grâce à notre réseau de partenaires stratégiques, nous sommes en mesure de proposer des solutions HDS complètes tout en maîtrisant les coûts. Nous avons même trouvé un moyen de réduire ces coûts d’entrée pour développer des MVP (Minimum Viable Product) pour les startups.
Questions à poser aux fournisseurs potentiels
Il est important de poser les bonnes questions pour évaluer un fournisseur potentiel :
- Quelles sont leurs certifications ?
- Comment garantissent-ils la conformité aux réglementations ?
- Quelle est leur expérience avec des projets similaires ?
- Comment sont gérés les backups ?
- Quelle est la procédure d’intervention sur des incidents en production ?
Au-delà du HDS : la conformité de votre application e-santé
Le HDS concerne le lieu et les conditions d’hébergement de vos données. Il ne suffit pas, à lui seul, à rendre une application e-santé conforme. Selon votre usage, votre application doit aussi respecter les référentiels portés par l’Agence du Numérique en Santé dans le cadre du Ségur du numérique en santé :
- INS (Identité Nationale de Santé) : référencer chaque donnée de santé avec l’identifiant national du patient.
- MSSanté : échanger des données de santé entre professionnels via une messagerie sécurisée.
- Mon espace santé et le DMP : alimenter l’espace numérique du patient et le Dossier Médical Partagé.
- PGSSI-S : appliquer la politique de sécurité des systèmes d’information de santé (authentification, identification, imputabilité).
En résumé, le HDS répond à la question « où sont hébergées les données ? », tandis que ces référentiels répondent à « comment l’application les manipule, les sécurise et les partage ? ». C’est cette vision d’ensemble que nous portons sur les projets du secteur santé et pharma.
FAQ
Qu’est-ce que l’hébergement HDS ?
L’hébergement HDS (Hébergeur de Données de Santé) est une certification française qui encadre l’hébergement des données de santé à caractère personnel. Elle garantit leur sécurité et leur confidentialité.
L’hébergement HDS est-il obligatoire pour une application e-santé ?
Oui. Tout système qui héberge des données de santé à caractère personnel doit être certifié HDS, conformément à l’article L.1111-8 du Code de la santé publique.
Combien de niveaux la certification HDS couvre-t-elle ?
La certification HDS comporte six niveaux, qui doivent tous être couverts. Se limiter à un hébergeur certifié HDS ne suffit pas à être conforme.
Un éditeur d’application e-santé doit-il être certifié HDS ?
Il n’existe pas aujourd’hui de certification HDS dédiée aux éditeurs. Vous devez assurer votre conformité au RGPD et vous appuyer sur des partenaires certifiés couvrant les six niveaux.
Quelle différence entre HDS et HIPAA ?
L’HDS est la certification française, l’HIPAA son équivalent américain. L’HDS exige une certification officielle, tandis que l’HIPAA demande de prouver sa conformité lors d’un audit, sans certification formelle.
Comment obtenir la certification HDS ?
La première étape est la certification ISO 27001, qui couvre l’essentiel des exigences. Il faut ensuite se conformer aux normes ISO 27017 et 27018, ainsi qu’aux exigences spécifiques de l’HDS.
Héberger son application sur AWS suffit-il à être conforme HDS ?
Non. Les offres cloud d’AWS certifiées HDS ne couvrent que quatre des six niveaux requis. La plateforme logicielle et l’infogérance restent à couvrir.
Quelle différence entre HDS et RGPD ?
Le RGPD est le cadre général de protection des données personnelles. Le HDS est un référentiel de sécurité spécifique aux données de santé. Les deux s’appliquent ensemble : être certifié HDS ne dispense pas de la conformité au RGPD.
Combien coûte un hébergement HDS ?
Il faut distinguer le coût de la certification, supporté par l’hébergeur, du coût de l’hébergement HDS facturé à l’éditeur. Ce dernier dépend du périmètre couvert et des ressources. S’appuyer sur des partenaires déjà certifiés reste souvent plus accessible que de viser sa propre certification.
