Quelles sont les 205 sociétés certifiées pour l’hébergement des données de santé (HDS) ?

À l’été 2018, le groupement régional d’appui au développement de la e-santé (GRADeS) dans le Grand Est, baptisé Pulsy, l’un des 17 GRADeS de France – structures chargées de coordonner la numérisation du secteur à l’échelle locale -, est né de la fusion de GCS Alsace e-santé, e-santé Champagne-Ardenne et Télésanté Lorraine. Cette dernière disposait depuis 2016 de l’agrément pour l’hébergement des données de santé. 

“Lorsque cet agrément est arrivé à expiration, nous avons été placés face au choix de solliciter une certification. Il se trouve que nous traitons des données de santé pour le compte de tiers, donc nous faisons partie de la chaîne de responsabilité. Cela nous a demandé beaucoup d’efforts, témoigne le directeur de Pulsy, Jonathan Lotz. Nous avons été accompagnés par un cabinet, Adven, qui nous a aidés dans l’analyse des risques; la formalisation de nos processus, la définition de nos indicateurs de suivi de la sécurité et dans la rédaction de nos politiques et procédures. Nous avons recruté un responsable sécurité des systèmes d’information, qui pilote notre amélioration continue.” Pulsy a obtenu cette certification à l’automne 2020. “Nous poursuivons nos efforts sur de nombreux domaines. Même si c’est exigeant sur le plan financier et la mise en œuvre, c’est très structurant. Cela nous a permis de développer des réflexes qui nous font progresser”, poursuit Jonathan Lotz.

Le nombre de sociétés certifiées HDS a doublé depuis juillet 2020

Au total, 205 sociétés étaient certifiées pour l’hébergement de données de santé en avril 2022, contre une centaine en juillet 2020. L’analyse de leur positionnement principal confirme qu’une grande diversité d’acteurs ont obtenu le précieux sésame. Les plus représentés demeurent ceux de l’hébergement / infogérance puisqu’ils sont 78, soit 38 % – dont Amazon Web Services, Google Cloud, IBM Cloud, Oracle, OVHCloud, etc. -, devant les entreprises de services numérique (ESN, ex-SSII), qui sont 37 – dont Atos, Capgemini, Enovacom, etc. -, et les éditeurs de logiciels santé, qui sont 31 – dont Berger-Levrault, Softway Medical, Maincare Solutions, etc.

Comme nous le constations déjà mi-2020, nombre d’utilisateurs finaux ont également obtenu cette certification. Nous avons ainsi dénombré 11 établissements de santé (AP-HP et AP-HM, les CHU de Nantes et de Rennes, ou encore les groupes de cliniques privées Almaviva et Vivalto), quatre GRADeS, dont Pulsy, et deux groupements d’intérêt publics dédiés aux systèmes d’information hospitaliers (SIB et SILPC). Pour rappel, les établissements de santé qui choisissent d’héberger uniquement leurs propres données de santé ne sont pas soumis à la certification. Mais ils doivent l’obtenir dès lors qu’ils hébergent celles de patients dont ils n’assurent pas la prise en charge, une activité qui leur permet de générer des revenus. De même, dans le cadre de la mise en place des groupements hospitaliers de territoire (GHT), les établissements-support qui voudraient héberger les données de l’ensemble des établissements du GHT doivent disposer de la certification.

Quelles sont les activités les plus couvertes par la certification ? 

La certification HDS couvre six activités différentes (sites physiques, infrastructure matérielle ou virtuelle, administration, sauvegarde…  voir encadré ci-dessous), mais il est possible de ne l’obtenir que pour une partie d’entre elles seulement. Chaque activité est en moyenne couverte à 82 %. Les activités les plus couvertes sont celles ayant trait aux plateformes d’hébergement et infrastructures virtuelles, puisque 179 sociétés les ont choisies, soit 87 % d’entre elles. Elles devance la sauvegarde des données (83 %).

57 % des hébergeurs certifiés le sont pour les six activités, contre 63,5 % en 2020. C’est notamment le cas du GRADeS Pulsy : “Nous avons fait le choix de solliciter l’agrément sur la totalité des volets, y compris l’hébergement et l’infogérance, car nous disposons de notre propre infrastructure, avec trois salles de serveurs : deux pour la continuité d’activité des services en production, une pour la reprise d’activité en cas d’incident critique sur la production, explique Jonathan Lotz. Nous nous sommes demandés s’il fallait réinvestir dans la montée en version, la mise en conformité des salles, ou la sous-traitance à un hébergeur tiers. Économiquement, il s’avérait plus intéressant de continuer à porter ce rôle. Les éditeurs de logiciels santé ont des stratégies variées, du tout SaaS au tout on-premise (sur site). Être hébergeur nous permet de mettre leurs solutions en cohérence avec le socle régional : annuaire, single-sign on (SSO), bureau applicatif métiers, entrepôt de données statistiques… Pour certains services métiers comme la cancérologie et la gestion d’urgence, il n’existe pas d’alternative SaaS.”

Enovacom, la filiale santé numérique d’Orange Business Services (OBS) depuis 2020, a également opté pour les six activités : “OBS est historiquement spécialisé dans l’infogérance, avec les infrastructures et les services associés. Avec Orange Cyber Défense, le groupe dispose aussi d’une histoire forte dans la sécurité informatique. Enfin, avec le rachat en 2018 d’Enovacom, spécialisé dans les solutions d’interopérabilité du système de santé, nous couvrons toutes les activités mentionnées dans la certification”, explique Olivier Méry, chef de produit – interopérabilité chez Enovacom.

3 sociétés certifiées sur 4 sont françaises

11 acteurs ne sont certifiés que pour une activité – contre quatre il y a deux ans – , dont 10 sociétés spécialisées dans l’hébergement et l’infogérance, généralement certifiés pour la gestion de sites physiques, et une compagnie d’assurance, VYV 3IT, pour l’administration et l’exploitation d’un système d’information.

Comme en 2020, trois sociétés certifiées sur quatre sont françaises et un peu plus d’une sur dix sont américaines, dont les géants du cloud Amazon Web Services, Google Cloud, Microsoft et Oracle, déjà cités, ainsi que des éditeurs de logiciels santé – Brightinsight, Cerner Corporation, Foresight, Veeva Systems -, des fabricants de dispositifs médicaux – St Jude Medical (Abbott), Medtronic, Boston Scientific Corporation -, ou encore des éditeurs de logiciels qui ne se destinent pas spécifiquement à la santé – Zendesk, Salesforce, Selligent.