Le Ministère des Solidarités et de la Santé précise un certain nombre de situations qui ne sont pas concernées par l'hébergement de données de santé. A titre d’exemple, sont exclues de l’obligation de recourir à un prestataire agréé ou certifié HDS : les organismes d’assurance maladie obligatoire ou complémentaire dans le cadre de leur activité de prise en charge des frais de santé, les organismes de recherche dans le domaine de la santé, les fabricants / fournisseurs / distributeurs de dispositifs médicaux en dehors du cas où ils interviennent dans des activités de télésurveillance, les associations qui proposent des activités sportives à des personnes handicapées, etc.

Le règlement d’accréditation, le dossier de candidature, ainsi que le document d’exigences spécifiques pour le schéma de certification HDS sont à disposition sur le site internet du Cofrac. Les référentiels d’accréditation et de certification HDS dits « référentiels HDS » publiés au Journal Officiel sont disponibles sur le site de l’Agence du Numérique en Santé.

Le schéma d’accréditation des OC HDS a ouvert le 15 juillet 2018. Les modalités d’accréditation sont définies dans le référentiel d’accréditation HDS, et dans le document « exigences spécifiques pour l’accréditation des organismes procédant à la certification de systèmes de management dans le domaine des technologies de l’information » émis par le Cofrac.

En synthèse, les principales étapes de l’accréditation des organismes de certification sont les suivantes:

• L’organisme complète et envoie le dossier de candidature à l’accréditation HDS auprès du Cofrac ;

• Le Cofrac examine la complétude du dossier de candidature (phase de recevabilité administrative) et le cas échéant, conclut un contrat avec l’organisme ;

• Le Cofrac étudie le respect par l’organisme des exigences d’accréditation (phase de recevabilité technique). Cette phase dure en moyenne de 1 à 6 mois ;

• Dès que la recevabilité technique favorable de la demande d'accréditation est prononcée par le Cofrac, l’organisme est autorisé à délivrer des certificats HDS pendant 9 mois ;

• L’organisme de certification dispose d’un délai de neuf mois pour finaliser son accréditation, qui se matérialise par une évaluation au siège de l’organisme, et une observation d’audit sur site par le Cofrac.

L’accréditation est délivrée pour une durée de 4 ans avec une évaluation siège, ainsi qu’une observation d’audit tous les 12 mois. Pour les cycles suivants, l’accréditation est délivrée pour une durée de 5 ans avec une évaluation siège et une observation tous les 15 mois.

• L’hébergeur choisit un organisme certificateur accrédité par le Cofrac (ou autre instance nationale d’accréditation au niveau européen) ;
•  L’organisme procède à un audit documentaire du système d’information du candidat afin de déterminer la conformité documentaire du système par rapport aux exigences du référentiel de certification ;
• L’organisme procède à un audit sur site du système dans les conditions définies dans le référentiel d’accréditation.

Deux cas sont possibles :

• Cas 1 : L’hébergeur est en mesure de démontrer l’application de son système de management de la sécurité de l’information HDS (SMSI), pour l’hébergement d’autres types de données que celles visées dans le décret HDS. La certification HDS est délivrée en évaluant le SMSI de l’hébergeur appliqué à l’hébergement de ces autres données.
• Cas 2 : L’hébergeur n’est pas en mesure de démontrer l’application de son système de management de la sécurité HD. La certification HDS est délivrée après un audit restreint sur les éléments disponibles. Les éléments non audités devront l’être dès que possible et au plus tard lors du premier audit de surveillance annuel.

L’hébergeur de données de santé a le choix.

• L’hébergeur peut recourir à un sous-traitant non certifié s’il respecte les exigences relatives à la gestion des relations avec les fournisseurs prévues dans les normes. Le cas échéant, l’hébergeur doit, notamment :

  • prendre en compte les relations avec les fournisseurs dans sa politique de sécurité de l’information et intégrer des exigences de sécurité dans les contrats avec ses fournisseurs ;

  • mettre en place une surveillance et auditer ses fournisseurs.

• L’hébergeur peut recourir à un sous-traitant certifié. Ce sous-traitant doit :

  • être certifié sur un périmètre de certification qui recouvre le périmètre de la soustraitance ;

  • avoir un certificat valide.

Il n’y a pas d’obligation.

Pour obtenir la certification HDS, un hébergeur peut recourir au même organisme de certification qui lui a délivré sa certification ISO 27001, si ce dernier est accrédité HDS ou à un autre organisme de certification accrédité HDS.

Pour se prévaloir d’une certification ISO 27 001 déjà obtenue, la certification doit respecter les conditions d’équivalence du certificat précisées au point 7.2 du référentiel d’accréditation HDS et notamment celle relative au périmètre d’application de la certification déjà obtenue : cette dernière doit inclure le périmètre pour lequel le candidat demande une certification HDS.

La décision de suspension de l’accréditation est notifiée à l’organisme de certification par le Cofrac (ou équivalent au niveau européen). La décision de suspension précise :

• la portée de la suspension de l’accréditation ;
• les motivations de la décision de suspension ; 
• les conditions de levée de la suspension.

L’organisme de certification doit en informer ses clients hébergeurs (déjà certifiés ou en cours de certification) et cesser ses activités de certification HDS pendant la durée de la suspension. Pendant la période de suspension, il ne peut pas réaliser d’audit ni rendre de décisions relatives à la certification HDS.

Nota bene : pendant la période de suspension, les certificats HDS déjà délivrés par l’organisme certificateur restent valides.

Le Cofrac notifie le retrait d’accréditation à l’organisme de certification et à l’Agence du Numérique en Santé. L’organisme de certification doit en informer ses clients hébergeurs afin que ces derniers transfèrentleur certification à un autre organisme de certification. L’Agence du Numérique en Santé tient à jour la liste des OC accrédités qui lui est transmise par le COFRAC. NB : un retrait d’accréditation est prononcé à la suite d’une suspension.

Lorsque des modifications pouvant affecter la certification HDS dont bénéficie un organisme interviennent (par exemple : un changement d’adresse, une cession de fonds de commerce, etc.), l’hébergeur certifié est tenu par le contrat le liant à son organisme certificateur, de les signaler à ce dernier.
La norme ISO/IEC 17021-1 prévoit la réalisation d’audit avec un préavis très court si l’organisme certificateur doit vérifier la mise en place des modifications sur le site de l’hébergeur certifié. Le certificat peut être retiré en fonction des résultats de cet audit.
 

Il résulte d’une interprétation des textes réalisée par le ministère chargé de la santé que les Groupements hospitaliers de territoire peuvent être exemptés de l’obligation de certification HDS s’ils respectent les trois conditions cumulatives décrites ci-après. 

1. La convention GHT doit prévoir explicitement la délégation d’activité d’hébergement à l’établissement hébergeur (cet établissement hébergeur peut être l’établissement support du GHT et/ou tout autre établissement membre du GHT   en accord toutefois avec l’établissement support qui doit assurer la gestion commune du système d’information). En effet, dans une telle hypothèse, l’ensemble des établissements parties à la convention GHT peuvent être considérées comme co-responsables de traitement au sens du RGPD. Autrement dit, l’établissement hébergeur du GHT est exempté de l’obligation de certification HDS si et seulement si la convention constitutive du GHT établit la co-responsabilité et lui en confie l’hébergement.
2.  En outre, un accord de co-responsabilité de traitement doit être conclu entre l’ensemble des membres du GHT, conformément aux dispositions de l’article 26 du RGPD.  Si les modalités pratiques de cette délégation peuvent être prévues dans le règlement intérieur du GHT, elles doivent être détaillées dans une convention de co-traitance qui répartit les rôles et responsabilités de chacun. La co-responsabilité de traitement implique qu’en cas de manquements aux dispositions du RGPD sur l’activité d’hébergement, l’ensemble des membres du GHT sont susceptibles de voir leur responsabilité engagée. 
3. Enfin, des mesures doivent être prises pour assurer la sécurité et la confidentialité des données hébergées ainsi que, d’une manière plus générale, le respect du RGPD. Pour rappel, un palier de sécurité dit « hébergement de données de santé » est défini dans le cadre du dispositif de certification SI. L’établissement hébergeur peut garantir ce palier de sécurité soit en recourant à un hébergeur externe de données de santé certifié HDS, soit en assurant lui-même la conformité requise.