Certification des Hébergeurs de Données de Santé : ce qui change en 2024

Qu’est-ce que la certification HDS ?

La certification HDS est une exigence réglementaire en France pour les prestataires d’hébergement de données de santé. Elle renforce la sécurité des données et aligne les pratiques avec des normes internationales. La nouvelle version du référentiel intègre des évolutions majeures.

La nouvelle version du référentiel HDS

Les versions révisées du référentiel de certification et du référentiel d’accréditation des Hébergeurs de Données de Santé (HDS) ont été publiées au Journal Officiel le 16 mai 2024. Cette mise à jour intervient cinq ans après la première application de la certification HDS. La Délégation du Numérique en Santé et l'Agence du Numérique en Santé ont initié cette révision pour mieux encadrer la sécurité et la protection des données de santé.

À compter du 16 novembre 2024, les référentiels HDS V2 et d’accréditation HDS V2 deviendront obligatoires pour les hébergeurs de données de santé et les organismes de certification, conformément à l'arrêté du 26 avril 2024. Une période de transition de six mois est prévue pour les organismes de certification, et de 24 mois pour les hébergeurs déjà certifiés, soit jusqu'au 16 mai 2026.

Cadre légal de l’Hébergement des Données de Santé

Les données de santé sont des informations sensibles protégées par la loi. Selon le décret n°2018-137 du 26 février 2018, l'hébergement de ces données nécessite une certification spécifique. Depuis juillet 2018, cette certification évalue la conformité à un référentiel établi par un organisme accrédité par le COFRAC.

Échéances et transition vers les nouveaux référentiels

Les principales échéances à retenir sont :

- 16 novembre 2024 : fin des audits initiaux basés sur la version 1.1 de mai 2018.

- 16 mai 2026 : transition obligatoire vers la nouvelle version pour tous les certificats HDS.

Catégories de services d’hébergement

L’article L.1111-8 du code de la santé publique distingue trois catégories principales de services d’hébergement :

1. Hébergement de données sur support papier
2. Hébergement de données sur support numérique pour archivage électronique
3. Hébergement de données sur support numérique (hors archivage électronique), nécessitant une certification spécifique.

Périmètre de la certification HDS

La certification HDS couvre six activités d’hébergement :

1. Mise à disposition et maintien des sites physiques.
2. Mise à disposition et maintien de l’infrastructure matérielle.
3. Mise à disposition et maintien de l’infrastructure virtuelle.
4. Mise à disposition et maintien de la plateforme d'hébergement d’applications.
5. Administration et exploitation du système d’information.
6. Sauvegarde des données de santé.

Référentiel de certification

Le référentiel de certification s’appuie principalement sur les normes internationales, notamment :

- ISO 27001 pour la sécurité des systèmes d’information.

- ISO 20000-1 pour la qualité des services.

Processus de certification

Le processus de certification suit le modèle décrit par la norme ISO 17021 :

1. Sélection d’un organisme certificateur accrédité par le COFRAC.
2. Audit documentaire pour évaluer la conformité du système d’information.
3. Audit sur site pour collecter des preuves d’audit. Les non-conformités doivent être corrigées dans les trois mois suivant l’audit.
4. Le certificat, valide pour trois ans, est délivré si aucune non-conformité n'est constatée. Un audit de surveillance annuel est ensuite réalisé.

Les atouts de la certification HDS

Les avantages de cette certification incluent :

- La professionnalisation de l’offre d’hébergement.

- La création d’un environnement de confiance en e-santé.

- L’adhésion à des pratiques sécurisées et transparentes basées sur les normes ISO.

- L’obtention des certificats ISO 27001 et HDS, valorisant la sécurité des données au niveau international.

Le passage à la nouvelle version du référentiel HDS est crucial pour tous les hébergeurs de données de santé en France. Cette transition, bien que complexe, renforcera la protection des données de santé et assurera une conformité accrue aux standards internationaux.

Préiso reste disponible pour toute information complémentaire sur les démarches de certification et les exigences de la nouvelle version du référentiel HDS.