Qu’est ce que la Certification HDS ?

La certification HDS a pour vocation de renforcer la protection des données de Santé à caractère personnel et de construire un environnement de confiance autour de l'eSanté et du suivi des patients.
Elle s’appuie sur des référentiels incluant le respect de normes iso et permet de délivrer une certification par un organisme indépendant accrédité à toute structure ou organisme hébergeant des données de santé.
Les données personnelles de santé sont des données sensibles. Leur accès est encadré par la loi pour protéger les droits des personnes. L’hébergement de ces données doit en conséquence être réalisé dans des conditions de sécurité adaptées à leur criticité. La règlementation définit les modalités et les conditions attendues.

Renforcer la protection des données de Santé à caractère personnel et construire un environnement de confiance autour de la  e-santé et du suivi des patients.

Quelles utilisations ?

Toute personne physique ou morale qui héberge des données de santé à caractère personnel recueillies à l’occasion d’activités de prévention, de diagnostic, de soins ou de suivi médico-social pour le compte de personnes physiques ou morales à l'origine de la production ou du recueil de ces données ou pour le compte du patient lui-même, doit être agréée ou certifiée à cet effet.

L.1111-8 du code de la santé publique, modifié par la loi n° 2016-41 du 26 janvier 2016

Tous les organismes publics ou privés qui hébergent, exploitent le SI de santé, ou réalisent des sauvegardes pour le compte d’un établissement de santé ou d’un tiers de santé doivent être certifiés HDS. à l’exception des services d'archivages informatiques qui ne sont pas concernés par ces obligations. Les établissements de santé qui gèrent leur propre Système d’Information de santé n’ont pas la nécessité d’être certifié HDS.

La certification HDS donne lieu à l’obtention de deux types de certificats :

  • La certification « Hébergeur d’infrastructure physique  » :
    • la mise à disposition, le maintien en condition opérationnelle de l’infrastructure matérielle du système d’information utilisé pour le traitement de données de santé
    • la mise à disposition, le maintien en condition opérationnelle des sites physiques permettant d’héberger l’infrastructure matérielle du système d’information utilisé pour le traitement des données de santé
  • La certification « hébergeurs infogéreurs » :
    • la mise à disposition et le maintien en condition opérationnelle de l’infrastructure virtuelle du système d’information de santé
    • la mise à disposition et le maintien en condition opérationnelle de la plateforme d’hébergement d’applications du système d’information
    • l’administration et l’exploitation du système d’information contenant les données de santé
    • la sauvegarde externalisée des données de santé

Cette certification vient remplacer l'obtention de l’agrément autrefois nécessaire. Les renouvellements d’agréments sont aujourd’hui soumis à la procédure de certification.

Le décret 2018-137 du 26 février 2018 définit la marche à suivre et organise la transition entre l’agrément et le certificat HDS.

Un arrêté publié le 29 Juin 2018 approuve la mise en application des référentiels d'accréditation et de certification. Il permet d’ouvrir le schéma d'accréditation HDS. Les candidats hébergeurs doivent déposer leur demande de certificat auprès du Comité français d’accréditation (Cofrac), instance unique d’accréditation au niveau national.

La procédure de certification HDS

La procédure de certification repose sur une évaluation de conformité au référentiel de certification.
L’hébergeur choisit un organisme certificateur qui devra être accrédité par le COFRAC (ou équivalent au niveau européen).

L’organisme procède à un audit en deux étapes pour évaluer la conformité de l’hébergeur aux exigences du référentiel de certification. Il vérifie notamment l’équivalence des éventuelles certifications ISO 27001 ou ISO 20000 déjà obtenues par l’hébergeur.

Étape 1 : audit documentaire

L’organisme certificateur réalise une revue documentaire du système d’information du candidat afin de déterminer la conformité documentaire du système par rapport aux exigences du référentiel de certification.

Étape 2 : audit sur site

Les preuves d’audit sont recueillies dans les conditions définies dans le référentiel d’accréditation.
L’hébergeur dispose de trois mois après la fin de l’audit sur site pour corriger les éventuelles non-conformités et faire auditer ses corrections. Passé ce délai et sans action de l’hébergeur, toute la procédure d’audit sur site sera de nouveau réalisée.

Le certificat est délivré pour une durée de trois ans, par l’organisme certificateur et chaque année, un audit de surveillance est effectué.

Les questions que vous vous posez

L’ANS répond aux questions les plus fréquemment posées sur la certification HDS

Quelles sont les obligations pour les détenteurs de données primaires de santé définies par l'EEDS ?

Règlement EEDS, Chapitre 2, Article 3 : 

  • permettre un accès immédiat, gratuit, dans un format facilement lisible, consolidé et accessible des personnes physiques à leur données de santé ;
  • mettre à disposition sous forme électronique des données de santé à caractère personnel ;
  • veiller à ce que les données de santé électroniques à caractère personnel des patients personnes physiques soient mises à jour à l'aide d'informations relatives aux services de santé fournis.

Quelles sont les obligations pour les détenteurs de données secondaires de santé définies par l'EEDS ?

Règlement EEDS, Chapitre 4, Article 41 :

  1. Lorsqu’un détenteur de données est tenu de mettre à disposition des données de santé électroniques en application de l’article 33 ou d’autres dispositions du droit de l’Union ou de la législation nationale transposant le droit de l’Union, il coopère de bonne foi avec les organismes responsables de l’accès aux données de santé, le cas échéant.
  2. Le détenteur de données communique à l’organisme responsable de l’accès aux données de santé une description générale de l’ensemble de données qu’il détient, conformément à l’article 55.
  3. Lorsqu’une étiquette de qualité et d’utilité des données accompagne l’ensemble de données en application de l’article 56, le détenteur de données fournit à l’organisme responsable de l’accès aux données de santé des documents suffisants pour lui permettre de confirmer l’exactitude de l’étiquette.
  4. Le détenteur des données met les données de santé électroniques à la disposition de l’organisme responsable de l’accès aux données de santé dans un délai de deux mois à compter de la réception de la demande dudit organisme responsable de l’accès aux données de santé. Dans des cas exceptionnels, ce délai peut être prolongé par l’organisme responsable de l’accès aux données de santé pour une période supplémentaire de deux mois.
  5. Lorsqu’un détenteur de données a reçu des ensembles de données enrichis à la suite d’un traitement fondé sur une autorisation de traitement de données, il met à disposition le nouvel ensemble de données, sauf s’il le juge inapproprié et en informe l’organisme responsable de l’accès aux données de santé.
  6. Les détenteurs de données de santé électroniques à caractère non personnel donnent accès aux données au moyen de bases de données ouvertes et fiables afin de garantir un accès illimité à tous les utilisateurs ainsi que le stockage et la conservation des données. Les bases de données publiques ouvertes et fiables disposent d’une gouvernance solide, transparente et durable et d’un modèle transparent d’accès des utilisateurs.
  7. La Commission est habilitée à adopter des actes délégués conformément à l’article pour modifier les obligations des détenteurs de données énoncées dans le présent article, afin de tenir compte de l’évolution des activités réalisées par les détenteurs de données.

Quels sont les différents rôles attribués par l’EEDS ?

  • Autorité de santé numérique : elle veille au respect des droits et obligations de l'ensemble des acteurs liés à l'utilisation primaire des données, elle veille au bon déploiement des solutions techniques permettant l'exercice de ces droits et obligations, elle facilite les échanges de DME à l'échelle européenne notamment en coordonnant les points de contacts nationaux et en développant MaSanté@UE, elle surveille le bon fonctionnement du système de partage des DME ou collabore avec les autorités de surveillance du marché.
  • Autorité de surveillance des marchés : elle est chargée de la surveillance du marché des systèmes de DME et veille à ce que les systèmes de DME présents sur le marché ne présentent pas de risque pour la santé ou la sécurité des personnes physiques ou pour d'autres questions relatives à la protection de l'intérêt public (Remarque: il peut s'agir de la même structure que l'autorité de santé numérique).
  • Organisme responsable de l'accès aux données de santé : il accorde l'accès aux données de santé électroniques à des fins d'utilisation secondaire. Ses fonctions sont partagées entre un ou plusieurs organismes publics nationaux, existants ou non.
  • Point de contact national : un portail organisationnel et technique permettant l’utilisation secondaire de données de santé électroniques par-delà les frontières, sous la responsabilité des États membres.
  • Utilisateur de données : toute personne morale ou physique qui dispose d'un accès licite aux données de santé électroniques à caractère personnel ou non personnel à des fins d'utilisation secondaire.
  • Détenteur de données : toute personne morale ou physique qui est une entité ou un organisme du secteur de la santé ou des soins ou qui effectue des recherches dans ces secteurs, ainsi que les institutions, organes et organismes de l’Union qui ont le droit ou l’obligation, conformément au présent règlement, au droit de l’Union applicable ou à la législation nationale le mettant en œuvre, ou, dans le cas de données à caractère non personnel, par le contrôle de la conception technique d’un produit et de services liés, la capacité de mettre à disposition certaines données, y compris de les enregistrer, de les fournir, d’en restreindre l’accès ou de les échanger.

Qu'est-ce que la donnée de santé ?

Le règlement européen sur la protection des données personnelles donne une définition depuis avril 2016. Ce sont les données relatives à la santé physique ou mentale d'une personne physique, y compris la prestation de services de soins de santé, qui révèlent des informations sur l'état de santé de cette personne. Des précisions sont apportées sur le site de la CNIL.
Consultez le site de la CNIL

Qui est concerné par l'Hébergement de Données de Santé ?

Le Ministère de Solidarité et de la Santé précise que les personnes physiques ou morales concernées par l'hébergement de données de santé sont d’une part, les patients qui confient l’hébergement de leurs données de santé à un tiers, et d’autre part les responsables de traitements de données de santé à caractère personnel ayant pour finalité la prévention, la prise en charge sanitaire (soins et diagnostic) ou la prise en charge sociale et médico-sociale de personnes.

Cette page vous a-t-elle été utile ?