Certification HDS : tout savoir sur le référentiel et l'engagement de Numspot
La certification HDS (Hébergeur de Données de Santé) est une exigence réglementaire s’appliquant à toutes les organisations hébergeant et exploitant des données de santé à caractère personnel. Elle vise à assurer la sécurité, la confidentialité et la disponibilité de ces données sensibles dans un contexte de numérisation du secteur de la santé.
Numspot, en tant qu’éditeur de plateforme de services cloud, est certifié HDS selon le dernier référentiel (publié au Journal Officiel le 16 mai 2024). Cette certification reflète le cadre de confiance offert par la plateforme Numspot aux établissements de santé, éditeurs et prestataires pour protéger la vie privée des patients et la qualité des services d’hébergement de données.
Qu'est-ce que la certification HDS ?
La certification HDS atteste qu’un hébergeur respecte un référentiel exigeant défini par l’ANS (Agence du Numérique en Santé) et certifié par des organismes accrédités COFRAC. Elle couvre l’hébergement des données issues d’activités de prévention, de diagnostic, de soins ou de suivi médico-social. Elle protège contre les risques de pertes, fuites ou interruptions de service, en imposant des mesures techniques et organisationnelles strictes (chiffrement, contrôle d’accès, plans de reprise d’activité).
Qui est concerné par la certification HDS ?
La certification HDS concerne les établissements de santé (hôpitaux, cliniques, EHPAD), les éditeurs de logiciels de santé / HealthTech MedTech (DMP, SIH, téléconsultation) et les prestataires de service (mutuelles, télémédecine, hébergeurs cloud).
Tout sous-traitant accédant à des données de santé doit être certifié ou s'appuyer sur un hébergeur certifié.
Hébergeurs d'infrastructure physique versus hébergeurs gérant des systèmes d'information
Le référentiel HDS distingue deux catégories d'hébergeurs :
-
Les hébergeurs d’infrastructure physique :
- Ils sont responsables de la mise à disposition et du maintien en condition opérationnelle des sites physiques permettant d’héberger l’infrastructure matérielle du SI utilisé pour le traitement des données de santé et de l’infrastructure matérielle du système d’information utilisé pour le traitement des données de santé.
- Ils sont soumis à des exigences de sécurité physique (vidéosurveillance, biométrie), PRA/PCA géoredondants, certification 27001 pour l'infra.
-
Hébergeurs gérant des systèmes d’information (logiciels) :
- Ils sont en charge de la mise à disposition du maintien en condition opérationnelle de l’infrastructure virtuelle du système d’information de santé, de la plateforme d’hébergement d’applications du système d’information, de l’administration et l’exploitation du système d’information contenant les données de santé, de la sauvegarde externalisée des données de santé.
- Ils sont soumis à des exigences renforcées de patching sécurité, monitoring 24/7, chiffrement applicatif, gestion identités (IAM).
Principes et objectifs de la certification HDS
La certification HDS encadre l’hébergement des données de santé à caractère personnel et vise à instaurer un haut niveau de confiance entre patients, professionnels de santé et prestataires numériques. Basée sur la norme internationale de sécurité des systèmes d’information ISO 27001, elle comporte des exigences supplémentaires liées au domaine de la santé et à la protection des données personnelles, en conformité avec le Règlement Général sur la Protection des Données (RGPD).
Publié en 2024, le référentiel HDS v2 intègre les avancées en cybersécurité et souveraineté numérique, aligné sur ISO 27001. Il s'appliquera obligatoirement à tous les hébergeurs certifiés à partir de mai 2026.
Elle poursuit plusieurs objectifs :
- Assurer la sécurité des données de santé à caractère personnel en garantissant leur confidentialité, intégrité et disponibilité face aux risques de fuites, pertes ou cyberattaques.
- Garantir la qualité et la fiabilité des services d’hébergement et de gestion des données de santé fournis par les prestataires certifiés.
- Fournir un cadre de confiance pour les établissements et professionnels de santé, éditeur de solutions e-santé et acteurs publics ou privés qui externalisent l’hébergement de leurs données.
- Protéger la vie privée des patients et le secret médical.
Procédure d'obtention de la certification HDS
Pour obtenir la certification HDS, une organisation doit se conformer à des exigences spécifiques en suivant plusieurs étapes obligatoires :
- Dépôt d’un dossier auprès d’un organisme certificateur accrédité par le COFRAC.
- Réalisation d’un pré-audit documentaire pour vérifier la conformité du système d’information avec la norme ISO 27001 et les exigences de la certification HDS.
- Audit de certification sur site, portant sur les aspects techniques et organisationnels.
- Examen du rapport d’audit en commission et prise de décision quant à la certification.
- Délivrance de la certification HDS pour une durée de 3 ans, avec un audit de surveillance annuel.
Pourquoi choisir un hébergeur certifié HDS comme Numspot lorsque l’on traite des données de santé ?
Choisir un hébergeur certifié HDS comme Numspot, c’est faire le choix de la sécurité, de la conformité et de la simplicité.
| Critère | Acteur non certifié HDS | Numspot - certifié HDS |
|---|---|---|
| Cadre légal | Risque d’hébergement hors cadre légal | Conforme aux exigences Européennes (HDS, RGPD, Code de la santé publique…) |
| Niveau de sécurité | Niveau de sécurité non contrôlé par un tiers, dépend uniquement des engagements contractuels du prestataire. | Mesures techniques et organisationnelles auditées (ISO 27001 + référentiel HDS), gestion des risques documentée, audits réguliers |
| Données de santé hébergées | Risques de fuites, pertes ou accès non autorisés, sans garanties spécifiques aux données de santé. | Confidentialité, intégrité et disponibilité encadrées par un référentiel dédié aux données de santé. |
| Confiance des autorités et régulateurs | Exposition à des contrôles défavorables, sanctions possibles (amendes, injonctions CNIL, pénalités pénales). | Certification délivrée par un organisme accrédité, reconnaissance explicite par les autorités de santé. |
| Maîtrise des risques | Gestion des risques non standardisée, forte dépendance à la maturité interne de l’acteur. | Analyse de risques formalisée, plan de traitement et amélioration continue imposés par la certification. |
| Risques financiers | Elevés : risque d’amendes pénales, sanctions CNIL et coûts élevés de remédiation ou de migration en urgence. | Limités : réduction des risques d’amende et de coûts de mise en conformité d’urgence. |
Pour aller plus loin
Numspot est disponible via le marché RESAH
Numspot est disponible via le marché C.A.I.H.
Télécharger le guide : protection des données de santé
