Temps de lecture estimé : 19 minutes
Les données de santé sont des informations sensibles à caractère personnel qui font l'objet de réglementations spécifiques concernant leur exploitation, leur partage et leur conservation.
Si le cadre pour leur collecte et leur usage par des professionnels de santé était déjà défini dans le Code de la santé publique, l'hébergement de données de santé par des tiers fait l'objet de nouvelles règles au niveau européen qui sont définies par le RGPD (Règlement Général sur la Protection des Données).
01. La donnée de santé : comment est-elle définie ?
02. Quelles situations correspondent à l'hébergement de données de santé ?
03. Règles à suivre par les hébergeurs de données de santé
04. Les règles pour l'échange et le partage des données de santé
Le RGPD (Règlement Général sur la Protection des Données) définit le cadre à suivre, au niveau européen, concernant le traitement et la circulation des données à caractère personnel.
Depuis 2016, c'est donc le RGPD qui établit la définition exacte de la donnée de santé. Cette notion regroupe l'ensemble des informations relatives à la santé physique ou mentale d'une personne physique. Cela inclut les prestations de services en soins de santé du moment qu'elles révèlent des informations sur la santé d'une personne physique.
Selon le Code de la santé publique (article L.1111-8), sont concernées les personnes physiques ou morales qui hébergent des données de santé pour le compte d'autres personnes physiques ou morales ou pour le patient concerné.
Ces données à caractère personnel ont pu être recueillies lors de prestations de prévention, de diagnostic ou de soin. Elles peuvent aussi avoir été récupérées pendant des activités de suivi médico-social ou social.
Les personnes physiques ou morales demandant l'hébergement doivent également être à l'origine du recueil ou de la production de ces données. Les personnes physiques ou morales hébergeant ces données de santé sont dans l'obligation de posséder les agréments ou certifications requis.
Il est possible de définir deux catégories concernant la conservation des données de santé :
Les hébergeurs proposant des prestations d'infogérance sont concernés par cette réglementation quand leur offre de services comprend :
La législation relative à l'hébergement ne concerne pas systématiquement l'ensemble des professionnels manipulant des données de santé.
Lorsque les données sont conservées en interne par une personne responsable de cette activité mais appartenant à la structure ayant collecté les données, il ne s'agit pas de sous-traitance de l'hébergement.
C'est le cas notamment des services de santé au travail en entreprise. Par ailleurs, la conservation des informations contenues dans le dossier médical, par un médecin ou un établissement de santé notamment, est réglementée par le Code de la santé publique.
Enfin, l'obligation de recourir à un prestataire détenteur de la certification ou de l'agrément HDS (Hébergement des Données de Santé) ne s'applique pas pour :
Dans le cas où des données de santé d'un patient font l'objet d'un hébergement, la personne concernée doit être informée de façon claire et préalable. Elle a ainsi le droit de s'opposer à cet hébergement. C'est l'hébergeur qui a la responsabilité de cette information.
Il doit donc définir dans le contrat HDS de quelle manière le patient va pouvoir être informé, que ce soit par l'hébergeur lui-même ou par le client ayant demandé l'hébergement.
À condition qu'il ne s'agisse pas d'une activité d'archivage numérique, les hébergeurs doivent posséder la certification HDS, qui remplace l'actuel agrément HDS.
L'organisme certificateur procède à un audit en 2 étapes :
Cet organisme va vérifier également la possible équivalence des certifications ISO 27001 (norme internationale relative à la gestion des risques liés à la sécurité de l'information) et ISO/IEC 20000 (norme internationale concernant les systèmes d'information).
Suite à l'audit sur site, l'organisme certificateur peut éventuellement notifier des non-conformités. Dans ce cas, l'hébergeur audité doit procéder aux corrections dans un délai maximum de 3 mois puis faire auditer ces corrections.
Si au-delà de cette période, l'entreprise auditée n'a pris aucune action, la procédure d'audit sur site est annulée et doit de nouveau être réalisée.
Si l'audit sur site aboutit favorablement, directement ou après correction de non-conformités, le certificat HDS est délivré. Il est valide pour une durée de 3 ans. Pendant cette période de 36 mois, l'organisme certificateur va réaliser un audit de surveillance annuel.
Sur le site gouvernemental de l'Agence du Numérique en Santé (ANS), vous pouvez accéder à la liste des hébergeurs certifiés qui est régulièrement mise à jour.
Les entreprises certifiées y sont classées par ordre alphabétique. Pour chacune d'entre elles, vous savez rapidement quels services sont certifiés grâce à des codes numériques (1 à 6) et quel est l'organisme qui les a certifiés. Les services sont classifiés de la manière suivante :
Exodata est depuis début 2020, certifiée HDS.
Le gouvernement a défini une liste précise d'organismes pouvant délivrer les certificats HDS.
Ces entreprises, après avoir obtenu une recevabilité technique d'un organisme d'accréditation (la COFRAC en France ou tout organisme équivalent au niveau européen), sont habilitées à délivrer des certificats HDS pendant 9 mois à partir de la date d'accréditation. Leur liste est également disponible sur le site gouvernemental de l'ANS.
L'échange et le partage de données de santé se basent sur :
Cet échange et ce partage de données de santé peuvent s'opérer entre professionnels faisant partie ou pas de la même équipe de soin afin d'assurer la continuité des soins, la coordination ou un suivi médico-social.
Un article du Code de la santé publique (L.1110-4-1) est entièrement consacré à ce sujet. Il prévoit notamment que les systèmes d'information utilisés pour la conservation et la transmission des données de santé doivent être conformes à des référentiels qui sont :
Avant de confier l'hébergement de données de santé à un tiers, vous devez vous assurer de trouver une entreprise certifiée HDS.
Vous êtes ainsi certain que l'hébergeur répond à tous les critères légaux requis pour assurer la protection de ces données sensibles.
Vous souhaitez découvrir davantage sur l'hébergement de données de santé ? Écoutez notre podcast ! Notre expert Gauthier Thomas vous en dit plus sur la certification HDS ! Vous pouvez également consulter notre article spécialisé.