Hébergement de données de santé - HDS

Non, ce n’est pas une obligation. Toutefois, il est recommandé de faire appel à des sous traitants certifiés sur le périmètre qui leur est confié. Cela facilite le respect des exigences de l'ISO 27001 relatives aux fournisseurs.

L'activité d'administration et exploitation du système d'information contenant les données de santé consiste en la maîtrise des interventions sur les ressources mises a la disposition du client de l'Hébergeur. Elle comprend l'intégralité des activités annexes suivantes permettant la gestion, la surveillance et le contrôle des actions réalisées sur le système d'information

• La définition d'un processus d'attribution (gestion des comptes, des droits) et de revue annuelle des droits d'accès consiste à définir le processus et ne comprend pas la mise en œuvre du processus.
• La sécurisation de la procédure d'accès consiste en la mise en œuvre des mesures de sécurité identifiées dans cette procédure.
• La collecte et la conservation des traces des accès effectués et de leurs motifs consiste a mettre en œuvre les mesures de collecte et de conservation des traces d'accès aux données et aux environnements qui les hébergent.
• La validation des interventions consiste à s'assurer qu'elles ne dégradent pas la sécurité de l'information hébergée ni pour le client concerné ni pour les autres clients de l'Hébergeur. Cette validation peut être effectuée dans les cas suivants :
  • a priori, pour les interventions que le client pourrait effectuer en autonomie ;
  • lors de la demande d'intervention lorsqu'il sollicite l'Hébergeur.

Pour rappel, ces activités doivent être réalisées uniquement par un intervenant certifié HDS activité 5.

Un Hébergeur de données de sante doit être certifié sur l'ensemble des activités d'hébergement de données de sante qu'il est susceptible de fournir à ses clients.

Néanmoins, la prestation qu'il fournit à un Client peut ne porter que sur un sous- ensemble de ces activités.

Il convient de rappeler qu'au titre de l'exigence n°18 du référentiel HDS, « le contrat d'hébergement conclu entre l'Hébergeur et son Client doit comporter une clause relative à la description des prestations réalisées ». Le contrat doit préciser quelles prestations sont réellement fournies au client. En outre, le tableau des garanties que l'Hébergeur doit communiquer à ses clients doit « apporter aux clients des Hébergeurs de données de santé davantage de transparence s'agissant du périmètre de la prestation de service couvert par la certification HDS ».

En pratique, certains hébergeurs, notamment les fournisseurs de Cloud Public, sont dans un modèle de responsabilité partagée. Dans ce modèle de responsabilité partagée, ces hébergeurs délèguent au Client les missions ainsi que la responsabilité d'administration et l'exploitation du système d'information contenant les données de Sante.

Il convient pour un Client de s'assurer dans le contrat qui le lie à son Hébergeur si l'activité 5 est présente dans la description des prestations réalisées » ou, si cette prestation n'est pas fournie par l'Hébergeur, le cas échéant, d'être lui-même certifié HDS pour l'activité 5.

Afin d'aider les offreurs de service numérique à déterminer plus rapidement leurs obligations de certification HDS sur le périmètre de l'activité 5, des cas d'usage sont en cours d'élaboration et seront publiés dans la FAQ prochainement.

Il s'agit des activités de suivi réalisées par les établissements et services sociaux et médico-sociaux. Ces établissements et services sont listés de façon exhaustive à l’article L.312-1 du code de l’action sociale et des familles.

Source : https://www.legifrance.gouv.fr/codes/article_lc/LEGIARTI000026799356/2025-01-03/