Mise à jour le 18/02/2025
29 résultats
Comment s’organise la transition avec la nouvelle version du référentiel ?
Une période de transition, calculée à compter de la date de publication de l’arrêté du 26/04/2024, a été fixée à 6 mois (soit le 16/11/2024) pour les organismes de certification et à 24 mois pour les hébergeurs déjà certifiés (soit le 16/05/2026).
Pour plus d'information, veuillez consulter la note de transition détaillée publiée sur le site du COFRAC :
https://www.cofrac.fr/actualites/actualites-et-evenements/certification-des-hebergeurs-de-donnees-de-sante-hds-transition-vers-la-version-2-des-referentiels
Y a-t-il une liste officielle des pays qui sont considérés comme à risque ?
La CNIL propose sur son site une mappemonde sur le niveau de protection des données reconnu dans les divers pays du monde qui identifie ceux qui n’ont pas un niveau de protection adéquat et pour ceux qui ont un niveau de protection adéquat mais qui malgré tout, comme les États-Unis par exemple, ont des législations qui permettent un accès non autorisé.
Le lien, indiqué dans le référentiel, est rappelé ici : https://www.cnil.fr/fr/la-protection-des-donnees-dans-le-monde
Je suis par exemple un hébergeur américain, je suis obligé de mettre ma soumission au FISA, au Cloud Act, etc. ?
L’Hébergeur doit renseigner la liste des réglementations extra communautaires auxquelles il est soumis (FISA, Cloud Act, etc.) dans la documentation à fournir à son client.
S’agissant de la transparence (tableau des garanties publiques), il doit indiquer s'il est soumis ou pas un risque d'accès tel qu’évoqué dans la question et citer le pays concerné.
Qui s’assure de la véracité du tableau des garanties ? Est-ce l’OC ?
Le rôle de l’organisme certificateur (OC) est de s’assurer que les éléments attendus sont mis à disposition des clients des hébergeurs et du grand public et non de les évaluer. En cas de nécessité, la CNIL est l’autorité compétente pour contrôler la véracité de ces déclarations et sanctionner les éventuels manquements.
En cas de rachat d’un hébergeur ou d’un sous-traitant ultérieur que faire ?
Le régime de l'hébergement des données santé prévu par le Code de la santé publique s'applique aux sous-traitants ainsi qu'a l'hébergeur après le rachat.
Par ailleurs, le tableau des garanties et les informations fournies aux clients doivent être mis à jour.
Sous-traitant ultérieur : jusqu’à quel niveau de sous-traitance aller ?
Tout sous-traitant ultérieur réalisant tout ou partie d’une des six activités identifiées dans l’article R1111-9 du Code de la Santé Publique doit figurer dans le tableau des garanties.
S’agissant de la table de correspondance SecNumcloud, comment la compléter ? Qui va l’auditer ?
La table de correspondance avec SecNumCloud fournie en annexe du référentiel est uniquement fournie à titre indicatif. Elle n’est pas à compléter.
Si j’héberge des données de santé chiffrées, suis-je soumis à l’obligation de certification HDS ?
Oui : le chiffrement n'a pas d'impact sur l'obligation de certification. La nature de la donnée de santé à caractère personnel n'est pas modifiée.
Dans quelle mesure la co-responsabilité de traitement entraîne-t-elle une dérogation à l’obligation de recourir à un HDS ?
« La responsabilité conjointe de traitement déclarée entre deux organismes ne fait pas disparaître l'obligation de certification HDS si les autres conditions sont remplies. En effet, dans la mesure où la détermination de la responsabilité conjointe de traitement relève de leur appréciation, on ne peut pas considérer qu'ils pourraient décider de se soustraire à l'obligation de certification, par cette seule décision.»
Dans quelle situation parle-t-on d'hébergement de donnée de santé ?
L’article L.1111-8 du code de la santé publique dispose que :
« Toute personne physique ou morale qui héberge des données de santé à caractère personnel recueillies à l’occasion d’activités de prévention, de diagnostic, de soins ou de suivi social ou médico-social pour le compte de personnes physiques ou morales à l'origine de la production ou du recueil de ces données ou pour le compte du patient lui-même, doit être agréée ou certifiée à cet effet ».