La certification des hébergeurs de données de santé (HDS), telle que définie par le décret n° 2018-137 du 26 février 2018, permet de garantir la sécurité de l’hébergement des données de santé en France. Compte tenu de l’accroissement des risques sécuritaires et de la volonté de la France de défendre sa souveraineté en matière de données de santé, cette certification a fait l’objet d’une modification engagée il y a deux ans. Le 6 mars 2024 marque la fin de la phase de construction des référentiels qui entreront en vigueur en septembre prochain (cf. encadré).
Dans son esprit, observe Xavier Pican, avocat dans le département IP/IT du cabinet Osborne Clarke, “ce nouveau référentiel est dans le droit fil du RGPD. Il part du principe que le RGPD a été digéré par les organisations. Il pousse donc un peu plus loin les exigences en termes de transparence, de niveau de conformité des contrats, de souveraineté”.
Un hébergement forcément en Europe
La version révisée du référentiel HDS ajoute quatre exigences relatives à la souveraineté des données (exigences 28 à 31). La première, la plus contraignante, exige que l’hébergement physique des données de santé soit réalisé exclusivement sur le territoire d’un pays situé au sein de l’EEE (l’Espace Économique Européen, comprenant les pays de l’UE, la Norvège, l’Islande et le Liechtenstein). Laurène Zaggia, avocate au sein du cabinet Osborne Clarke, rappelle qu’avant, “lorsqu’on hébergeait des données de santé dans le cadre d’un parcours de soin, nous avions l’obligation d’avoir recours à des serveurs HDS, mais ces serveurs pouvaient se trouver dans le monde entier.
Rédacteur en chef mind Health
15 ans d'expérience dans le domaine des politiques publiques en santé et dans la tech & santé