Garantir la sécurité, la conformité et la continuité
La Fabrique est certifiée Hébergeur de données de santé sur l'ensemble des périmètres de la certification HDS. Depuis 2022, nous accompagnons des structures publiques ou privées sur tout ou partie de leur projet, depuis la phase de conception jusqu'à l'exploitation au quotidien de ces environnements particulièrement sensibles.
Nos équipes "Compliance" et "Sécurité" sont garantes de la conformité réglementaire et veillent à la sécurité de vos données. Elles travaillent aux côtés de vos DPO (Délégué à la Protection des Données) et RSSI (Responsable Sécurité des Systèmes d'Information) pour garantir la stricte conformité aux exigences du RGPD et de l’Agence du Numérique en Santé. Avec un haut niveau de technicité, une supervision active et un cadre contractuel engageant, nous faisons de l’hébergement un véritable pilier de fiabilité et de performance pour vos projets numériques sensibles.
Notre approche
Nos offres
Nos partenaires et certifications
On en discute ?
Vous cherchez un partenaire de confiance pour héberger vos données de santé en toute conformité ? Nos experts HDS sont disponibles pour comprendre vos enjeux et construire la solution la plus adaptée. Parlons-en !
Qu’est-ce que la certification HDS et depuis quand est-elle obligatoire ?
La certification HDS (Hébergeur de Données de Santé) encadre les prestataires qui hébergent des données de santé à caractère personnel sur support numérique. Elle vise à garantir un niveau de sécurité adapté à la sensibilité de ces données. La certification HDS a remplacé progressivement l’ancien dispositif d’agrément ministériel à partir de 2018. Le décret du 26 février 2018 a défini la nouvelle procédure de certification et l’ouverture du schéma d’accréditation HDS a marqué la transition vers ce nouveau dispositif.
La certification repose notamment sur un audit réalisé par un organisme certificateur accrédité, avec un audit de surveillance annuel. Le certificat est délivré pour une durée de trois ans.
Qui est concerné par l’hébergement HDS ?
L’obligation HDS concerne les hébergeurs qui réalisent des activités d’hébergement de données de santé à caractère personnel entrant dans le champ défini par le Code de la santé publique et le référentiel HDS. Elle peut notamment concerner des acteurs tels que les établissements de santé, les laboratoires, les services de téléconsultation, les éditeurs de solutions e-santé ou les prestataires proposant des services d’hébergement pour des données de santé.
Le besoin de recourir à un hébergeur certifié HDS doit être évalué en fonction de la nature des données, des activités réalisées par le prestataire et du périmètre d’hébergement concerné. L’Agence du Numérique en Santé précise les activités et les périmètres concernés par la certification.
Qu’est-ce qu’une donnée de santé au sens du RGPD ?
Une donnée de santé est une donnée à caractère personnel relative à la santé physique ou mentale d’une personne, y compris les informations concernant la prestation de services de soins. Le RGPD considère les données concernant la santé comme une catégorie particulière de données personnelles, soumise à des exigences renforcées en matière de protection et de traitement.
La qualification d’une donnée comme donnée de santé dépend de sa nature et de son contexte de traitement. Elle peut notamment concerner des informations médicales, des résultats d’examens, des données issues d’un parcours de soins ou certaines données collectées par des services numériques de santé.
Quelles sont les exigences de sécurité d’un hébergement HDS ?
Un hébergement HDS doit répondre à un référentiel de certification reposant notamment sur les exigences de la norme ISO 27001 et sur des exigences spécifiques liées à l’hébergement des données de santé. La conformité est évaluée par un organisme certificateur accrédité. Les exigences portent notamment sur la gestion de la sécurité de l’information, la protection des données, la gestion des risques, la continuité d’activité et les mesures de sécurité mises en œuvre par l’hébergeur.
Le niveau de sécurité doit également être adapté à la criticité des environnements hébergés et aux besoins de l’organisation.
La certification HDS suffit-elle pour héberger des données de santé ?
La certification HDS est une exigence importante pour les activités d’hébergement entrant dans son champ d’application, mais elle ne constitue pas à elle seule une garantie de conformité globale d’un projet de santé. La conformité dépend également de la manière dont les données sont collectées, traitées et utilisées, des responsabilités entre les différents acteurs, des mesures de sécurité mises en œuvre et du respect des obligations liées au RGPD et au Code de la santé publique.
Il est donc important de choisir un hébergeur dont le périmètre de certification correspond précisément aux services nécessaires et de définir clairement les responsabilités de chaque partie.
Comment assurer la conformité RGPD et HDS des données de santé hébergées ?
La certification HDS contribue à sécuriser l’hébergement des données de santé, mais elle ne signifie pas à elle seule qu’un projet est entièrement conforme au RGPD. La conformité dépend également des traitements réalisés, des responsabilités de chaque acteur et des mesures organisationnelles et techniques mises en œuvre. Une démarche de conformité peut notamment impliquer les équipes en charge de la protection des données et de la sécurité des systèmes d’information, avec l’intervention du DPO (Délégué à la Protection des Données) et du RSSI (Responsable de la Sécurité des Systèmes d’Information).
L’hébergeur doit également respecter les exigences contractuelles et de sécurité applicables à son périmètre de prestation. La Fabrique Orange Business dispose d’une certification HDS couvrant l’ensemble des périmètres de la certification. Ses équipes Compliance et Sécurité accompagnent les organisations dans la conception, le déploiement et l’exploitation d’environnements dédiés aux données de santé.
Où trouver la liste des hébergeurs certifiés HDS ?
La liste officielle des hébergeurs certifiés HDS est publiée et régulièrement mise à jour par l’Agence du Numérique en Santé. Elle permet notamment de vérifier qu’un prestataire dispose bien d’une certification HDS et d’identifier le périmètre de ses activités certifiées. Avant de confier des données de santé à un prestataire, il est donc recommandé de vérifier la validité de sa certification et son adéquation avec les prestations nécessaires à votre projet.
Comment choisir un hébergeur de données de santé certifié HDS ?
Le choix d’un hébergeur HDS ne doit pas se limiter à vérifier l’existence d’une certification. Il est important de vérifier que le certificat couvre bien les activités d’hébergement nécessaires à votre projet et d’évaluer le niveau de sécurité et d’accompagnement proposé. Plusieurs critères peuvent être pris en compte :
- le périmètre exact de la certification HDS ;
- la sécurité et la localisation des infrastructures ;
- la supervision et la disponibilité des services ;
- les dispositifs de sauvegarde et de continuité d’activité ;
- les modalités d’administration et d’exploitation de l’infrastructure ;
- les garanties contractuelles et les responsabilités de chaque partie ;
- la capacité du prestataire à accompagner l’évolution du projet.
Il est également recommandé de vérifier la validité de la certification auprès de la liste officielle des hébergeurs certifiés publiée par l’Agence du Numérique en Santé.