Qu'est-ce que l'HDS, l'hébergement de données de santé ?

HDS veut dire hébergeur de données de santé. C'est une certification obligatoire en France pour toute entreprise qui héberge, pour le compte d'un autre, des données de santé à caractère personnel recueillies lors d'activités de prévention, de diagnostic, de soins ou de suivi social ou médico-social : un dossier patient, des comptes rendus, des résultats d'examens, le suivi d'un traitement.

L'obligation est prévue par le Code de la santé publique. Héberger de telles données sans être certifié est puni de trois ans de prison et de 45 000 € d'amende.

• L'hébergeur : la société qui fournit les serveurs ou le service sur lequel les données sont stockées doit être certifiée HDS.
• L'éditeur de l'application : s'il héberge lui-même les données de ses clients, il doit l'être aussi ; le plus souvent, il s'appuie sur un hébergeur déjà certifié.
• Le professionnel ou l'établissement de santé : il doit choisir des prestataires certifiés pour les données de ses patients, et signer avec eux un contrat d'hébergement.

Une application de bien-être qui ne collecte pas de données dans le cadre d'un soin ou d'un suivi n'entre pas forcément dans ce cadre. Mais si elle traite des données de santé, le RGPD les classe parmi les données sensibles, avec des règles renforcées : la question se pose au moment de concevoir, pas après la mise en ligne.

La certification est délivrée pour trois ans par un organisme accrédité, après un audit sur la sécurité, la disponibilité, la sauvegarde et la traçabilité des accès. La version du référentiel publiée au Journal officiel en mai 2024 renforce la souveraineté des données : elles doivent être stockées dans l'Espace économique européen, et l'hébergeur doit dire si une loi étrangère peut lui imposer d'y donner accès.

Pour un projet, l'essentiel est simple : choisir un hébergeur certifié HDS pour les activités concernées, vérifier son certificat, et signer un contrat qui reprend les mentions prévues par la loi.

• Le choix de l'hébergement se fait avant de développer : il conditionne l'architecture et le budget mensuel.
• Les accès sont limités et tracés : qui a consulté quel dossier, et quand.
• Les données sont chiffrées, sauvegardées et restaurables, avec un plan en cas d'incident.
• Le RGPD s'ajoute : base légale, durée de conservation, information des patients, analyse d'impact quand le traitement présente un risque élevé.

Chez Beaspo, une application ou un SaaS qui manipule des données de santé est conçu dès le départ sur un hébergement certifié HDS, ouvert à votre nom. Le cahier des charges technique aide à poser ces exigences avant le premier devis.