Qui doit recourir à un hébergeur certifié
Le code de la santé publique (article L. 1111-8) impose la certification à toute personne qui héberge des données de santé recueillies lors d’activités de prévention, de diagnostic, de soins ou de suivi social et médico-social, pour le compte de ceux qui les produisent ou les recueillent, ou pour le compte du patient lui-même.
| Situation | Hébergement certifié requis ? |
|---|---|
| Logiciel en ligne qui stocke les dossiers de ses clients | Oui : l’éditeur héberge pour le compte des professionnels. |
| Logiciel installé chez le professionnel, données conservées sur son propre poste | Non pour l’éditeur, tant qu’il n’héberge rien pour son client. |
| Sauvegarde externalisée proposée par l’éditeur | Oui : la sauvegarde est une activité d’hébergement. |
| API qui fait transiter des données sans les conserver | À analyser au cas par cas : un stockage, même temporaire, peut suffire à qualifier un hébergement. |
Ce que couvre la certification
La certification est délivrée par un organisme certificateur accrédité, sur la base d’un référentiel publié par les pouvoirs publics et révisé périodiquement. Elle distingue deux niveaux : l’hébergement de l’infrastructure physique (les centres de données) et l’hébergement infogéreur (mise à disposition et exploitation de l’infrastructure, des plateformes et des sauvegardes).
Les choix d’un éditeur
- Cartographier les donnéesIdentifier où les données de santé sont stockées, sauvegardées et journalisées, y compris dans les outils annexes (supervision, support, analyse).
- Choisir un hébergeur certifiéPour les activités que vous ne portez pas vous-même, avec un certificat qui couvre le bon périmètre.
- Encadrer par contratLe contrat d’hébergement comporte des clauses imposées par le code de la santé publique.
- InformerLe professionnel et le patient doivent être informés du recours à un hébergeur.
HDS et Thérapéo Connect
Côté intégration, Thérapéo Connect limite les données échangées à ce que chaque flux exige, et votre logiciel reste responsable de l’hébergement de ses propres données. Lire aussi RGPD et données de santé.
Statut chez Thérapéo Connect
Ce qui est disponible aujourd’hui, et ce qui ne l’est pas encore.
Questions fréquentes
Faut-il un hébergeur HDS pour une API de santé ?
Si l’API stocke ou sauvegarde des données de santé pour le compte de vos clients, oui. Une API qui transmet sans rien conserver doit être analysée au cas par cas, car un stockage même temporaire peut suffire.
Un professionnel qui conserve ses dossiers sur son propre ordinateur doit-il être certifié ?
Non. La certification concerne celui qui héberge pour le compte d’un tiers. Le professionnel qui conserve lui-même ses données n’est pas hébergeur au sens de la loi.
Thérapéo est-il hébergé chez un hébergeur certifié HDS ?
La migration vers un hébergeur certifié HDS est en cours. Tant qu’elle n’est pas achevée, Thérapéo ne revendique aucun hébergement certifié ; le calendrier est communiqué aux partenaires.
