Hébergement de données de santé (HDS) : définition, obligations et enjeux pour votre pratique

Qu’est-ce que l’hébergement de données de santé HDS ?

La certification HDS (Hébergeur de Données de Santé) s’inscrit dans le cadre défini notamment par l’article L.1111-8 du Code de la santé publique.2

Elle concerne l’hébergement de données de santé à caractère personnel réalisé pour le compte de tiers lorsque les conditions prévues par la réglementation sont réunies.

Pour obtenir cette certification, l’hébergeur doit satisfaire aux exigences du référentiel HDS et faire l’objet d’une évaluation par un organisme certificateur accrédité.3

Un point est important : la certification porte sur des activités et un périmètre déterminés. Il ne suffit donc pas qu’une entreprise indique utiliser un datacenter sécurisé ou un cloud reconnu pour pouvoir affirmer que l’ensemble d’un service répond aux exigences HDS.

Qui est concerné par la certification HDS ?

Les données de santé d’un cabinet peuvent être confiées à de nombreux services numériques : dossier patient informatisé, agenda, facturation, téléservices, messagerie, échange de documents ou services cloud.

Selon l’organisation du service, plusieurs acteurs peuvent intervenir : éditeur de logiciel, hébergeur cloud, opérateur d’infrastructure ou prestataire d’infogérance.

Il est donc important de comprendre qui intervient dans leur hébergement et dans quelles conditions.

Les hébergeurs et prestataires réalisant des activités couvertes par HDS

La certification concerne les acteurs qui réalisent les activités d’hébergement entrant dans son champ d’application. Il faut notamment distinguer l’éditeur du logiciel de l’hébergeur.

Concrètement, lorsqu’un médecin ou un cabinet médical confie l’hébergement des données de ses patients à un prestataire externe, il doit vérifier que les activités d’hébergement concernées sont couvertes par la certification HDS requise.

L’éditeur conçoit et exploite le logiciel utilisé par le médecin, mais il n’héberge pas nécessairement lui-même les données. L’infrastructure peut être opérée par l’éditeur ou par un autre prestataire auquel il fait appel.

Ce qui compte est donc la chaîne réelle d’hébergement et le périmètre couvert par la certification HDS.

Les médecins et cabinets doivent vérifier les conditions d’hébergement

Un médecin ou un cabinet n’a pas à être lui-même certifié HDS simplement parce qu’il utilise un logiciel médical hébergé.

Pour le cabinet, l’enjeu est surtout de vérifier les conditions dans lesquelles les données confiées à ses prestataires sont hébergées.4

Que garantit concrètement la certification HDS ?

HDS ne signifie pas simplement « des serveurs sécurisés ».

La certification repose sur un ensemble d’exigences techniques et organisationnelles contrôlées dans le cadre d’audits.

• la sécurité des systèmes d’information ;
• la protection et la confidentialité des données ;
• la gestion des accès et la traçabilité ;
• la maîtrise des infrastructures ;
• la continuité opérationnelle et le maintien du service ;
• la gestion des incidents ;
• l’organisation et les responsabilités des différents acteurs.

La certification constitue ainsi un élément du cadre de confiance entourant l’hébergement des données de santé.

Elle ne signifie toutefois pas qu’une panne ou une cyberattaque devient impossible. Elle atteste que l’hébergeur satisfait, pour son périmètre certifié, aux exigences du référentiel applicable.

HDS : concrètement, qu’est-ce que cela change pour votre cabinet ?

C’est probablement la question la plus importante pour un médecin : quelles conséquences l’hébergement HDS a-t-il réellement sur la gestion de mon cabinet ?

Combien va me coûter l’hébergement HDS ?

Les modèles tarifaires peuvent varier selon les éditeurs.

Lorsque vous comparez deux logiciels médicaux, ne regardez donc pas uniquement leur tarif mensuel : vérifiez si l’hébergement HDS nécessaire au service est compris dans l’abonnement ou facturé en supplément.

Quelles contraintes au quotidien pour mon cabinet ?

Pour le médecin, l’hébergement HDS n’entraîne pas, en lui-même, de gestion technique particulière dans l’utilisation quotidienne de son logiciel médical.

La certification concerne avant tout les acteurs qui assurent l’hébergement.

Le médecin n’a donc pas à administrer l’infrastructure technique nécessaire à cet hébergement.

Quelles démarches juridiques ou administratives pour mon cabinet médical ?

Vous n’avez pas de certification HDS à demander ni d’audit HDS à faire réaliser pour votre cabinet simplement parce que vous utilisez un logiciel médical hébergé.

Au moment de choisir votre solution, vérifiez principalement qui héberge vos données et si les activités concernées sont couvertes par une certification HDS.

Si votre éditeur vous informe ensuite d’une évolution importante des conditions d’hébergement (par exemple un changement d’hébergeur ou de localisation des données) c’est également le bon moment pour vérifier à nouveau ces éléments.

Les 5 questions à poser à votre éditeur de logiciel médical

Avant de choisir ou de renouveler votre logiciel médical, posez ces cinq questions :

HDS et RGPD : quelle différence ?

Les deux sont complémentaires, mais ne couvrent pas les mêmes sujets :

Ce qu’il faut retenir pour votre pratique

Pour un médecin ou un cabinet, l’essentiel peut se résumer à quatre réflexes :

• Identifier l’hébergeur de vos données de santé
• vérifier sa certification HDS et le périmètre couvert
• comprendre quelles mesures sont prises en charge par l’hébergeur, l’éditeur et le cabinet
• savoir où vos données sont hébergées

Vous devez pouvoir obtenir ces informations auprès de votre éditeur sans avoir à devenir vous-même spécialiste de l’infrastructure technique.

Et chez Surgica, comment sont hébergées vos données de santé ?

Surgica a fait le choix d’intégrer l’hébergement HDS directement à son service afin que sa gestion reste transparente pour les médecins spécialistes et leurs équipes.

Ainsi, le cabinet peut savoir qui intervient dans l’hébergement de ses données, dans quel cadre et ce qui est compris dans son abonnement.

C’est aussi notre approche du logiciel médical : la technologie doit simplifier les conditions d’exercice du médecin spécialiste, pas lui ajouter une nouvelle complexité.

FAQ : hébergement de données de santé

Qu’est-ce que la certification HDS et depuis quand est-elle obligatoire ?

La certification HDS (Hébergement de Données de Santé) est une obligation légale française qui encadre les prestataires hébergeant des données de santé à caractère personnel. Elle découle de l’article L.1111-8 du Code de la santé publique et a été précisée par le décret n° 2018-137 du 26 février 2018, qui a remplacé l’ancien régime d’agrément par un dispositif de certification, plus exigeant et audité régulièrement. Concrètement, tout prestataire technique qui stocke, héberge ou exploite des données de santé pour le compte d’un professionnel ou d’un établissement de santé doit être certifié HDS.

Qui est concerné par l’obligation d’hébergement des données de santé ?

Sont directement concernés les hébergeurs et infogérants qui stockent ou exploitent des données de santé pour le compte de tiers : hébergeurs cloud, éditeurs de logiciels métier (comme les logiciels de gestion de cabinet), plateformes de téléconsultation, etc. Un médecin ou un cabinet n’a pas besoin d’être lui-même certifié HDS, mais dès lors qu’il confie ses données patients à un logiciel ou un service tiers, ce prestataire doit l’être.

Comment savoir si mon logiciel médical est hébergé en conformité HDS ?

Le plus simple est de demander directement à l’éditeur son certificat HDS ou l’identité de son hébergeur certifié, et de vérifier ce nom sur la liste officielle publiée par l’Agence du Numérique en Santé (esante.gouv.fr). Un éditeur sérieux affiche généralement cette information sur son site ou dans ses conditions contractuelles ; l’absence de réponse claire sur ce point est un signal d’alerte. Chez Surgica, cette question ne se pose pas : vos données sont hébergées en conformité avec la certification HDS, dans le respect des exigences réglementaires en vigueur.

Que risque un cabinet médical qui n’utilise pas un hébergement conforme au cadre HDS ?

Le risque principal n’est pas tant pour le médecin lui-même (l’obligation de certification pèse sur l’hébergeur) que pour la sécurité et la conformité de ses données patients : un hébergement non certifié n’offre aucune garantie sur la sécurité, la traçabilité des accès ou la continuité de service en cas d’incident. En cas de contrôle ou de litige, un médecin ayant choisi un prestataire manifestement non conforme peut également voir sa responsabilité questionnée au titre de son obligation de vigilance dans le choix de ses sous-traitants (RGPD).

Un cabinet médical doit-il lui-même être certifié HDS ?

Non. La certification HDS s’adresse aux hébergeurs et prestataires techniques, pas aux professionnels de santé eux-mêmes. Le médecin reste toutefois responsable du choix de ses outils et doit s’assurer que les logiciels et services auxquels il confie ses données patients respectent bien cette obligation.

Quelle différence entre un hébergeur HDS et un éditeur de logiciel médical ?

Un hébergeur HDS est le prestataire technique certifié qui héberge physiquement ou virtuellement les données (datacenter, infrastructure, sauvegardes). Un éditeur de logiciel de santé, comme Surgica, conçoit et exploite le logiciel utilisé par le médecin au quotidien, mais s’appuie lui-même sur un hébergement certifié HDS pour garantir la conformité de ses services. Le médecin n’a donc pas de relation directe avec l’hébergeur : c’est à l’éditeur de garantir cette conformité en amont, ce que Surgica assure pour l’ensemble de ses utilisateurs.