Conformité · Guide
HDS : ce que la certification prouve, et qui doit l'avoir
HDS veut dire hébergeur de données de santé. C'est une certification qui porte sur l'hébergement des données, pas sur le logiciel que vous utilisez. Elle s'obtient auprès d'un organisme accrédité, elle s'inscrit sur une liste publique, et elle ne se déclare pas soi-même. C'est ce qui la rend facile à vérifier : en une minute, vous savez si un prestataire l'a ou non.
Si vous ne lisez qu'un encadré
- La certification porte sur celui qui héberge, c'est-à-dire celui chez qui les serveurs tournent.
- Un éditeur de logiciel peut être parfaitement en règle sans être certifié lui-même, s'il s'appuie sur un hébergeur qui l'est.
- La vérification se fait sur une liste publique, en cherchant un nom.
- « Nos serveurs sont HDS » n'est pas une preuve. Le nom de l'hébergeur en est une.
Ce que la certification couvre
Le principe est posé par le code de la santé publique : toute personne qui héberge des données de santé pour le compte d'autrui doit être certifiée. Autrement dit, l'obligation vise celui qui détient physiquement les données, pas celui qui écrit le logiciel.
Le référentiel découpe l'hébergement en plusieurs activités : mettre à disposition les machines, mettre à disposition la plateforme qui fait tourner les applications, administrer et exploiter le système qui contient les données, assurer les sauvegardes, et ainsi de suite. Un prestataire peut être certifié pour tout ou partie de ces activités. C'est la raison pour laquelle deux sociétés certifiées ne le sont pas forcément pour la même chose.
Pour vous, praticienne, la conséquence pratique est simple : le nom que vous cherchez sur la liste est celui de l'hébergeur, et vous pouvez regarder au passage sur quelles activités il est certifié.
Pourquoi votre éditeur n'y figure peut-être pas, et pourquoi c'est normal
C'est la confusion la plus fréquente, et elle produit des accusations injustes dans les deux sens. Un éditeur de logiciel construit une application ; il la fait tourner chez un hébergeur. Si cet hébergeur est certifié, les données sont hébergées dans les conditions exigées, même si l'éditeur ne figure lui-même sur aucune liste.
À l'inverse, un éditeur qui se présente lui-même comme hébergeur de vos données doit être certifié. C'est le premier signal à vérifier : s'il se désigne comme hébergeur dans ses mentions légales, son nom doit être sur la liste.
Comment vérifier, concrètement
Deux étapes, une minute.
Trouvez le nom. Il est dans les mentions légales, rubrique hébergeur, ou dans la politique de confidentialité, section hébergement. C'est une mention obligatoire. Si aucun nom n'apparaît nulle part, vous avez déjà votre réponse.
Cherchez ce nom sur la liste. L'Agence du Numérique en Santé publie la liste des hébergeurs certifiés. Soit la société y est, soit elle n'y est pas. Aucune formulation habile ne contourne cette liste, et c'est ce qui en fait le meilleur outil dont vous disposez.
Trois formulations qui ne prouvent rien
« Nos serveurs sont HDS ». La phrase ne nomme personne, donc elle ne se vérifie pas. Demandez le nom de l'hébergeur.
« Hébergement sécurisé en France ». Sécurisé n'est pas certifié, et la France n'est pas une garantie. Un hébergeur français peut très bien ne pas être certifié pour les données de santé.
« Conforme RGPD et HDS ». Ce sont deux choses différentes. Le RGPD est un règlement qui s'applique à tout le monde et qu'on respecte ou non ; HDS est une certification qu'on obtient ou non. On ne se déclare pas « conforme HDS », on est certifié, ou on héberge chez quelqu'un qui l'est.
Le référentiel bouge, et c'est utile à savoir
Le texte de référence a été mis à jour récemment, et une nouvelle version est annoncée. Ce n'est pas un détail administratif : cela veut dire qu'une certification affichée sur un site depuis longtemps ne dit rien de son état actuel. Une certification a une date et une durée de validité, et la liste publique est ce qui fait foi, pas la page d'accueil d'un éditeur.
Ce que cette certification ne dit pas
Elle porte sur l'hébergement. Elle ne dit rien de la qualité du logiciel, ni de ce que l'éditeur fait de vos données une fois qu'elles sont chez lui, ni de qui, dans son équipe, peut les lire.
Un hébergeur certifié est une condition nécessaire, pas une preuve suffisante. Les autres questions à poser sont dans notre grille en neuf questions.
Et Scielle ?
Scielle héberge ses données chez AWS, qui figure sur la liste de l'Agence du Numérique en Santé, dans la région de Paris. Vous pouvez le vérifier vous-même sur la liste, sans nous croire sur parole. Le détail du traitement est sur notre page sécurité et dans l'article sur le traitement de vos données de santé.