FAQ Etablissement de santé

Non, ce n’est pas une obligation. Toutefois, il est recommandé de faire appel à des sous traitants certifiés sur le périmètre qui leur est confié. Cela facilite le respect des exigences de l'ISO 27001 relatives aux fournisseurs.

L'activité d'administration et exploitation du système d'information contenant les données de santé consiste en la maîtrise des interventions sur les ressources mises a la disposition du client de l'Hébergeur. Elle comprend l'intégralité des activités annexes suivantes permettant la gestion, la surveillance et le contrôle des actions réalisées sur le système d'information

• La définition d'un processus d'attribution (gestion des comptes, des droits) et de revue annuelle des droits d'accès consiste à définir le processus et ne comprend pas la mise en œuvre du processus.
• La sécurisation de la procédure d'accès consiste en la mise en œuvre des mesures de sécurité identifiées dans cette procédure.
• La collecte et la conservation des traces des accès effectués et de leurs motifs consiste a mettre en œuvre les mesures de collecte et de conservation des traces d'accès aux données et aux environnements qui les hébergent.
• La validation des interventions consiste à s'assurer qu'elles ne dégradent pas la sécurité de l'information hébergée ni pour le client concerné ni pour les autres clients de l'Hébergeur. Cette validation peut être effectuée dans les cas suivants :
  • a priori, pour les interventions que le client pourrait effectuer en autonomie ;
  • lors de la demande d'intervention lorsqu'il sollicite l'Hébergeur.

Pour rappel, ces activités doivent être réalisées uniquement par un intervenant certifié HDS activité 5.

Un Hébergeur de données de sante doit être certifié sur l'ensemble des activités d'hébergement de données de sante qu'il est susceptible de fournir à ses clients.

Néanmoins, la prestation qu'il fournit à un Client peut ne porter que sur un sous- ensemble de ces activités.

Il convient de rappeler qu'au titre de l'exigence n°18 du référentiel HDS, « le contrat d'hébergement conclu entre l'Hébergeur et son Client doit comporter une clause relative à la description des prestations réalisées ». Le contrat doit préciser quelles prestations sont réellement fournies au client. En outre, le tableau des garanties que l'Hébergeur doit communiquer à ses clients doit « apporter aux clients des Hébergeurs de données de santé davantage de transparence s'agissant du périmètre de la prestation de service couvert par la certification HDS ».

En pratique, certains hébergeurs, notamment les fournisseurs de Cloud Public, sont dans un modèle de responsabilité partagée. Dans ce modèle de responsabilité partagée, ces hébergeurs délèguent au Client les missions ainsi que la responsabilité d'administration et l'exploitation du système d'information contenant les données de Sante.

Il convient pour un Client de s'assurer dans le contrat qui le lie à son Hébergeur si l'activité 5 est présente dans la description des prestations réalisées » ou, si cette prestation n'est pas fournie par l'Hébergeur, le cas échéant, d'être lui-même certifié HDS pour l'activité 5.

Afin d'aider les offreurs de service numérique à déterminer plus rapidement leurs obligations de certification HDS sur le périmètre de l'activité 5, des cas d'usage sont en cours d'élaboration et seront publiés dans la FAQ prochainement.

Il s'agit des activités de suivi réalisées par les établissements et services sociaux et médico-sociaux. Ces établissements et services sont listés de façon exhaustive à l’article L.312-1 du code de l’action sociale et des familles.

Source : https://www.legifrance.gouv.fr/codes/article_lc/LEGIARTI000026799356/2025-01-03/

Cette exclusion couvre uniquement les activités suivantes citées dans le décret : « le traitement de saisie, de mise en forme, de matérialisation ou de dématérialisation de ces données ».

Pour rappel, l’article R. 1111-8-8.-I. alinéa 4 dispose : « Toutefois, ne constitue pas une activité d'hébergement au sens de l'article L. 1111-8, le fait de se voir confier des données pour une courte période par les personnes physiques ou morales, à l'origine de la production ou du recueil de ces données, pour effectuer un traitement de saisie, de mise en forme, de matérialisation ou de dématérialisation de ces données. »

Tout sous-traitant ultérieur réalisant tout ou partie d’une des six activités identifiées dans l’article R1111-9 du Code de la Santé Publique doit figurer dans le tableau des garanties. 

L’hébergeur doit renseigner la liste des réglementations extra communautaires auxquelles il est soumis (FISA, Cloud Act, etc.) dans la documentation à fournir à son client.
S’agissant de la transparence (tableau des garanties publiques), il doit indiquer s'il est soumis ou pas un risque d'accès tel qu’évoqué dans la question et citer le pays concerné.

Le rôle de l’organisme certificateur (OC) est de s’assurer que les éléments attendus sont mis à disposition des clients des hébergeurs et du grand public et non de les évaluer.  

En cas de nécessité, la CNIL est l’autorité compétente pour contrôler la véracité de ces déclarations et sanctionner les éventuels manquements.

Chacun des acteurs qui réalise tout ou partie des 4 sous activités précisées pour l’activité 5 doit être certifié (cf. Chapitre 2.1 du référentiel de certification) : 

• La définition d’un processus d’attribution et de revue annuelle de droits d’accès nominatifs, justifiés et nécessaires ; 
• La sécurisation de la procédure d’accès ; 
• La collecte et la conservation des traces des accès effectués et de leurs motifs ; 
• La validation préalable des interventions (plan d’intervention, processus d’intervention).

Si plusieurs acteurs ont en charge ces sous-activités, tous ces acteurs doivent être certifiés.

Recommandation : la désignation d’un unique acteur (ou d’un nombre réduit d’acteurs) pour la gestion des droits permet de limiter l’obligation de certification à quelques acteurs.

Oui, un hébergeur de données de santé doit être certifié sur toutes les activités concernées par son offre, y compris les activités partiellement ou entièrement sous-traitées.

Exemple de cas d'usage : les coffres forts numériques où l'utilisateur peut stocker des données de santé à caractère personnel.

Les activités de prévention mentionnées dans le CSP sont les actions menées afin éviter l’apparition ou l’aggravation de maladies. Les principales catégories d'activités de prévention incluent :

1. La prévention primaire : ces activités visent à éviter l'apparition de maladies ou d'incidents de santé en réduisant les facteurs de risque. Cela peut inclure i) les vaccinations, ii) les campagnes de sensibilisation (i.e. tabagisme, alimentation, prévention des maladies cardiovasculaires), iii) d'éducation à la santé (promotion des comportements favorables à la santé comme l’activité physique, lutte contre la sédentarité, éducation sur la santé mentale, etc.).
2.  La prévention secondaire : elles concernent le dépistage précoce de maladies ou de conditions afin de les traiter rapidement. Par exemple, le dépistage prénatal, le dépistage néo-natal, dépistages des troubles du développement, le dépistage pour certains cancers ou maladies chroniques, etc.
3.  La prévention tertiaire : ces actions visent à diminuer les complications ou les séquelles d'une maladie déjà installée, souvent en rapport avec des soins ou du suivi de rééducation après un incident de santé ou une intervention médicale (réadaptation), sont concernés les programmes d’éducation thérapeutique du patient (diabète, hypertension, etc.).

Toutes ces activités peuvent nécessiter, par différents moyens, la collecte et l'hébergement de données personnelles de santé.

L’hébergeur doit être certifié sur toutes les activités qui constituent son offre (y compris sur les activités de son offre sous-traitées). 
 

L’article L.1111-8 du code de la santé publique dispose que :

« Toute personne physique ou morale qui héberge des données de santé à caractère personnel recueillies à l’occasion d’activités de prévention, de diagnostic, de soins ou de suivi social ou médico-social pour le compte de personnes physiques ou morales à l'origine de la production ou du recueil de ces données ou pour le compte du patient lui-même, doit être agréée ou certifiée à cet effet ».

La CNIL propose sur son site une mappemonde sur le niveau de protection des données reconnu dans les divers pays du monde qui identifie ceux qui n’ont pas un niveau de protection adéquat et pour ceux qui ont un niveau de protection adéquat mais qui malgré tout, comme les États-Unis par exemple, ont des législations qui permettent un accès non autorisé. 
Le lien, indiqué dans le référentiel, est rappelé ici : https://www.cnil.fr/fr/la-protection-des-donnees-dans-le-monde

Le régime de l'hébergement des données santé prévu par le Code de la santé publique s'applique aux sous-traitants ainsi qu'a l'hébergeur après le rachat.

Par ailleurs, le tableau des garanties et les informations fournies aux clients doivent être mis à jour.