Certification HDS : qui doit l'obtenir (et qui n'en a pas besoin) ?

La question revient sans cesse : « dois-je être certifié HDS ? ». La réponse dépend d'un critère simple, mais souvent mal compris. Faisons le tri.

Le critère qui décide de tout

La certification HDS s'impose dès qu'on héberge des données de santé à caractère personnel pour le compte d'un tiers. Deux conditions doivent être réunies : il s'agit bien de données de santé, et vous les hébergez pour quelqu'un d'autre, pas seulement pour votre propre activité de soins.

C'est le mot « hébergement pour le compte de tiers » qui fait basculer d'un côté ou de l'autre. Cadre légal : l'article L.1111-8 du Code de la santé publique.

Les cas où HDS s'impose

• Les hébergeurs cloud et datacenters qui stockent des données de santé pour leurs clients.
• Les éditeurs de logiciels santé en SaaS (dossier patient, télémédecine, prise de rendez-vous médical) qui hébergent eux-mêmes les données de leurs clients, ou qui exploitent le système contenant ces données.
• Les prestataires d'infogérance qui administrent un système d'information de santé.

Dès que la donnée de santé transite ou séjourne durablement chez vous pour le compte d'un autre, la question se pose sérieusement.

Les cas où elle ne s'applique pas

• Le professionnel de santé qui héberge lui-même les données de ses propres patients, dans le cadre de sa prise en charge, n'est pas soumis à la certification pour cet usage. En revanche, s'il confie ces données à un prestataire, ce prestataire doit être certifié.
• L'éditeur qui n'héberge pas : si votre logiciel s'appuie sur un hébergeur tiers déjà certifié HDS, ce n'est pas à vous d'être certifié, mais à lui. Vous devez alors vous assurer contractuellement de cette certification.

Le réflexe si vous êtes éditeur

C'est la situation la plus fréquente et la plus source de confusion. Posez-vous une seule question : qui héberge physiquement les données ? Si c'est un hébergeur tiers certifié, vous êtes couvert, à condition de le prouver dans vos contrats. Si c'est vous, directement, alors la certification vous concerne. Beaucoup de startups e-santé choisissent la première voie pour éviter la lourdeur de la certification.

Attention à la sous-traitance en cascade

Comme pour le RGPD et l'article 28, la chaîne compte. Si votre hébergeur certifié s'appuie lui-même sur d'autres prestataires, la couverture doit rester cohérente sur toute la chaîne. Un maillon non certifié fragilise l'ensemble.

En résumé

HDS s'impose à qui héberge des données de santé pour le compte d'un tiers : hébergeurs, éditeurs SaaS santé qui hébergent, infogéreurs. Le professionnel de santé qui gère ses propres données de patients n'y est pas soumis, et l'éditeur qui s'appuie sur un hébergeur déjà certifié est couvert par ce dernier. La bonne question est toujours : qui héberge réellement les données ?

FAQ

Je développe une app de santé, dois-je être certifié HDS ? Seulement si vous hébergez vous-même les données. Si vous passez par un hébergeur certifié, c'est lui qui porte la certification ; vous devez le prouver par contrat.

Un professionnel de santé doit-il être certifié HDS ? Non, pour les données de ses propres patients qu'il gère lui-même. Mais s'il externalise l'hébergement, le prestataire doit l'être.

Que risque-t-on à héberger des données de santé sans certification ? C'est une infraction pénale (article L.1111-8 du Code de la santé publique), passible de sanctions lourdes, jusqu'à trois ans d'emprisonnement et 45 000 euros d'amende.