Temps de lecture estimé : 16 minutes
Comme les données de santé sont des informations critiques, les différents traitements dont elles sont l'objet, comme le stockage, l'échange, la gestion, sont encadrés par des réglementations spécifiques.
C'est pourquoi, si vous envisagez de confier à un prestataire la conservation des données de santé à caractère personnel (DSCP) de vos patients, vous êtes dans l'obligation de choisir un hébergeur certifié HDS (Hébergeur de Données de Santé). Découvrez les avantages de cette solution en matière de sécurité et de conformité aux lois en vigueur.
01. Les réglementations relatives au traitement des données de santé
02. Qui sont les hébergeurs de données de santé ?
03. Faire appel à un hébergeur : quels sont les avantages ?
En tant que détenteur de DSCP, les professionnels de santé ont plusieurs types d'obligations dont le but ultime est de concilier les droits des personnes concernées et la sécurité de ces données.
Depuis la mise en place du RGPD (Règlement Général sur la Protection des Données) au printemps 2018, des nouvelles formalités sont à suivre et remplacent les précédentes obligations définies par la Loi Informatique et Libertés et la CNIL (Commission Nationale de l'Informatique et des Libertés). La personne définie comme responsable des traitements doit :
De plus, une analyse d'impact est parfois nécessaire. C'est le cas lorsque les traitements peuvent engendrer des risques élevés ou quand ils sont effectués à grande échelle.
L'obligation de déclaration à la CNIL disparaît à condition que le traitement remplisse un de ces critères :
Le responsable du traitement des données est obligé d'assurer la sécurité des DSCP. Pour cela, il se doit de mettre en œuvre des mesures protégeant ces informations critiques contre la destruction, la divulgation et la modification, que ce soit suite à une action malveillante ou un accident. Pour respecter cette obligation de moyen, et pas de résultat, il est nécessaire d'instaurer des mesures organisationnelles comme techniques.
Différentes mesures organisationnelles sont possibles :
Concernant les mesures techniques, les plus courantes sont :
Cet ensemble de mesures peut être complexe à mettre en œuvre, notamment pour de petites structures. C'est pourquoi il peut être utile de se tourner vers des prestataires spécialisés afin de leur confier le traitement de vos données de santé, c'est-à-dire la gestion du stockage, des échanges et du management de ces informations.
Le RGPD s'appliquant dans toute l'Union européenne, les transferts entre pays membres ne sont pas problématiques. Par contre, hors de l'UE, seule la garantie d'une protection équivalente à celle fournie par le droit européen permet de réaliser des transferts. Les professionnels de santé doivent donc vérifier que toutes les mesures de protection requises par l'UE sont assurées par le pays vers lequel ils souhaiteraient transférer des RGPD sous peine de poursuites légales.
Dans ce cadre juridique, il est donc fortement recommandé de choisir un prestataire HDS situé au moins dans l'UE et, si possible, en France. En effet, il est toujours plus simple de communiquer sur des sujets aussi sensibles avec des personnes qui ont la même langue maternelle et travaillent sur les mêmes plages horaires. Quant au volet légal et contractuel de la sous-traitance, il est également simplifié lorsque l'hébergeur est soumis à la même loi que le professionnel de santé lui confiant ses DSCP.
Depuis 2018, afin de pouvoir héberger des DSCP, les sociétés spécialisées sont dans l'obligation d'obtenir la certification HDS. Auparavant, en France, un agrément HADS (Hébergeurs Agréé des Données de Santé) était requis. Toutes les entreprises ayant un agrément HADS valide peuvent encore exercer leurs activités. Cependant, lorsqu'il aura expiré, elles devront passer le processus de certification HDS.
Obtenir le certificat HDS est un processus exigeant qui se base sur des normes internationales existantes telles que l'ISO 27001 (concernant les systèmes d'information), l'ISO 27018 (relative à la sécurité des DSCP dans le Cloud) et l'ISO 20000 (relative à la gestion des systèmes informatiques). La certification HDS inclut également des critères spécifiques aux données de santé et à leur traitement.
La certification HDS est délivrée par un organisme certificateur indépendant alors que l'agrément HDS était donné suite à l'étude de documents fournis par le candidat lui-même. Après la réalisation de deux audits (documentaire et sur site) et en l'absence de non-conformités, le certificat HDS est attribué pour une durée de 3 ans. Les organismes certificateurs doivent informer au moins une fois par mois les autorités compétentes des éventuelles évolutions de l'état des certificats : nouvelles émissions, suspensions et retraits. Le site de l'Agence du Numérique en Santé (ANS) met à disposition de tous la liste à jour des entreprises certifiées HDS ainsi que le détail du périmètre couvert par la certification.
En confiant l'hébergement de vos données de santé à un prestataire certifié HDS, vous bénéficiez de plusieurs avantages :
Sous-traiter l'hébergement des DSCP à une société certifiée HDS est donc non seulement une obligation légale mais aussi la meilleure manière de vous assurer que ces informations critiques sont traitées et conservées de manière sécurisée tout en respectant les droits de vos patients.
Vous souhaitez découvrir davantage sur l'hébergement de données de santé ? Écoutez notre podcast ! Notre expert Gauthier Thomas vous en dit plus sur la certification HDS ! Vous pouvez également consulter notre article spécialisé.