Hébergement HDS : ce que la certification garantit, et qui héberge quoi
La certification HDS est obligatoire pour tout hébergeur de données de santé à caractère personnel pour le compte de tiers (article L1111-8 du code de la santé publique). Elle porte sur l'hébergeur, pas sur le logiciel : l'éditeur reste responsable du chiffrement, des accès et des durées de conservation. Voir la protection des données de santé dans Achyl.
Qu'est-ce que la certification HDS ?
L'article L1111-8 du code de la santé publique impose à toute personne qui héberge des données de santé à caractère personnel sur support numérique, pour le compte d'un professionnel, d'un établissement ou du patient lui-même, d'être titulaire d'un certificat de conformité. Ce certificat est délivré par un organisme certificateur accrédité, selon un référentiel publié par l'Agence du numérique en santé.
Le certificat est délivré pour trois ans, avec un audit de surveillance chaque année. Il est attribué pour une ou plusieurs activités d'hébergement définies par le référentiel.
| Activité | Ce qu'elle recouvre |
|---|---|
| 1 | Mise à disposition et maintien en condition opérationnelle des sites physiques |
| 2 | Mise à disposition et maintien en condition opérationnelle de l'infrastructure matérielle |
| 3 | Mise à disposition et maintien en condition opérationnelle de la plateforme d'hébergement d'applications |
| 4 | Mise à disposition et maintien en condition opérationnelle de l'infrastructure virtuelle |
| 5 | Administration et exploitation du système d'information contenant les données de santé |
| 6 | Sauvegarde des données de santé |
Est-elle obligatoire pour un logiciel de podologie ?
Dès qu'un logiciel en ligne conserve les dossiers de vos patients sur des serveurs qui ne sont pas les vôtres, ces données sont hébergées pour votre compte : l'hébergeur doit être certifié. C'est le cas de tout logiciel de podologie accessible par navigateur. La question à poser à un éditeur n'est donc pas « êtes-vous certifié ? », mais « qui héberge mes données, et pour quelles activités cet hébergeur est-il certifié ? ».
Qui héberge les données d'Achyl ?
| Donnée | Hébergeur | Localisation | Garantie |
|---|---|---|---|
| Application et base de données : dossiers, comptes-rendus, transcriptions | Scalingo | France | Certificat HDS n° 38436 |
| Fichiers : audio, documents importés, PDF signés, pièces jointes | Amazon Web Services | France, région Paris | Certification HDS (activités 1 à 6) ; fichiers chiffrés par Achyl avant envoi, clés conservées hors d'AWS |
La transcription des enregistrements est confiée à Mistral AI, la rédaction des documents à Mistral AI ou à Microsoft (Azure), dans l'Union européenne, sous contrat de traitement des données : ces prestataires ne sont pas l'hébergeur du dossier, et la rédaction ne reçoit que des textes pseudonymisés. Chaque prestataire figure dans la liste des sous-traitants.
Ce que HDS couvre, et ce qui reste à l'éditeur
| Sujet | Couvert par la certification de l'hébergeur | À la charge de l'éditeur (Achyl) |
|---|---|---|
| Locaux, matériel, infrastructure | Oui, selon les activités certifiées | Choisir un hébergeur certifié pour les bonnes activités |
| Chiffrement des données dans l'application | Non | Chiffrement au repos des données de santé, chiffrement des fichiers avant envoi |
| Droits d'accès des utilisateurs | Non | Cloisonnement par compte et par cabinet, journal des accès |
| Données envoyées à l'IA | Non | Pseudonymisation avant toute rédaction |
| Durées de conservation | Non | Suppression de l'audio 30 jours après la transcription, purge des archives d'export |
| Contrat avec le praticien | Non | L'accord de traitement des données (DPA), au sens de l'article 28 du RGPD |
Comment vérifier un certificat HDS ?
- Demandez à l'éditeur le nom de chaque hébergeur de vos données, et pas seulement du principal.
- Consultez la liste des hébergeurs certifiés publiée par l'Agence du numérique en santé.
- Vérifiez les activités couvertes par le certificat et sa date de validité.
- Contrôlez que la liste des sous-traitants de l'éditeur mentionne bien ces hébergeurs et leur localisation.
Questions fréquentes
Un logiciel peut-il être « certifié HDS » ?
La certification porte sur l'hébergeur et ses activités d'hébergement. Un éditeur peut s'appuyer sur un hébergeur certifié, ou être lui-même certifié s'il exerce une activité d'hébergement.
Mistral AI est-il l'hébergeur des dossiers ?
Non. Les dossiers sont hébergés chez Scalingo et Amazon Web Services. Mistral AI transcrit et rédige — Microsoft (Azure) peut aussi rédiger —, dans l'Union européenne, sous contrat de traitement des données.
Combien de temps un certificat HDS est-il valable ?
Trois ans, avec un audit de surveillance annuel par l'organisme certificateur.