Une application utilisée par un établissement de santé ou médico-social doit être hébergée chez un hébergeur certifié HDS dès qu’elle stocke des données de santé à caractère personnel collectées lors d’activités de soins ou de suivi social et médico-social, pour le compte de l’établissement ou des professionnels. Depuis le référentiel révisé de 2024, cet hébergement doit se faire physiquement dans l’Espace économique européen. Au-delà de l’hébergement, la CNIL attend des habilitations documentées, une traçabilité des accès, des durées de conservation définies et une analyse d’impact. Le bon projet ne remplace pas le dossier usager : il construit autour de lui les outils qui manquent.
Cet article s’adresse aux directions d’établissements sanitaires, d’EHPAD, de structures du handicap et de services à domicile, ainsi qu’aux associations gestionnaires qui envisagent une application métier.
Quand une application relève-t-elle de l’hébergement HDS ?
L’article L. 1111-8 du Code de la santé publique encadre l’hébergement des données de santé. D’après la FAQ de l’Agence du Numérique en Santé, l’obligation vise toute personne, publique ou privée, qui héberge des données de santé à caractère personnel recueillies lors d’activités de prévention, de diagnostic, de soins ou de suivi social et médico-social, pour le compte de la personne concernée ou des professionnels et organismes qui les ont produites. Ces conditions sont cumulatives.
En pratique, trois questions suffisent pour qualifier un projet :
- L’application contient-elle des données de santé d’une personne identifiable (pathologie, traitement, autonomie, régime médical, compte rendu) ?
- Ces données sont-elles issues d’une activité de soins, de prévention ou d’accompagnement social et médico-social ?
- Un tiers les héberge-t-il pour le compte de l’établissement ou du professionnel (cloud, prestataire, éditeur) ?
Trois « oui » : l’hébergeur doit être certifié. Un planning de personnel, un outil de gestion des achats ou un intranet sans données d’usagers n’entrent pas dans ce périmètre. Un module d’animation qui mentionne les régimes alimentaires médicaux des résidents, lui, y entre.
Les six activités du périmètre HDS
La certification ne porte pas sur « le cloud » en général mais sur des activités précises, listées à l’article R. 1111-9 du même code et rappelées par CMS Francis Lefebvre :
| Activité | Exemple de prestataire concerné |
|---|---|
| 1. Mise à disposition des sites physiques | Exploitant du centre de données |
| 2. Mise à disposition de l’infrastructure matérielle | Fournisseur de serveurs dédiés |
| 3. Mise à disposition de l’infrastructure virtuelle | Fournisseur de machines virtuelles |
| 4. Mise à disposition de la plateforme d’hébergement d’applications | Fournisseur de plateforme managée, bases de données managées |
| 5. Administration et exploitation du système d’information | Prestataire qui exploite l’application et ses données |
| 6. Sauvegarde des données de santé | Prestataire de sauvegarde externalisée |
Ce tableau évite un malentendu fréquent : choisir un fournisseur cloud certifié HDS ne suffit pas si un autre prestataire administre l’application qui contient les données. Chaque maillon doit être couvert, par sa propre certification ou par celle d’un partenaire qui assure l’activité.
Ce que change le référentiel HDS de 2024
Le référentiel de certification a été révisé par un arrêté du 26 avril 2024, publié au Journal officiel le 16 mai 2024. Les hébergeurs déjà certifiés avaient 24 mois pour s’y conformer, soit jusqu’au 16 mai 2026 ; les nouveaux candidats sont évalués selon ce référentiel depuis le 16 novembre 2024, selon CMS Francis Lefebvre.
Les principaux changements concernent la souveraineté :
- Hébergement physique dans l’EEE. Les données de santé doivent être hébergées exclusivement dans l’Espace économique européen.
- Transparence sur les accès extra-européens. Si un accès depuis un pays tiers est possible, ou si l’hébergeur est soumis à une législation extra-européenne, il doit en informer son client dans le contrat, avec les risques et les mesures prises.
- Cartographie publique des transferts. L’hébergeur publie la cartographie des transferts de données vers des pays hors EEE.
Pour un établissement, la conséquence est simple : avant de signer, demandez le certificat en vigueur, son périmètre d’activités, et lisez la cartographie des transferts. La liste des hébergeurs certifiés est publiée par l’ANS. Notre article sur l’hébergement des applications métier compare HDS, SecNumCloud et cloud public.
Les exigences de la CNIL pour le secteur social et médico-social
La CNIL a adopté en 2021 un référentiel dédié aux traitements de données pour l’accueil, l’hébergement et l’accompagnement des personnes âgées, des personnes en situation de handicap et des personnes en difficulté. Il n’est pas obligatoire au sens strict, mais s’en écarter suppose de justifier ses choix. Plusieurs de ses exigences se traduisent directement en fonctions d’application, d’après le référentiel publié par la CNIL :
- Accès limité aux personnes habilitées, dans la stricte limite de leurs attributions. Les habilitations doivent être documentées et revues chaque année.
- Traçabilité des accès. Le référentiel prévoit un système de journalisation, l’information des utilisateurs sur son existence et la protection des journaux.
- Durées de conservation. Il recommande de ne pas conserver les données d’accompagnement en base active au-delà de deux ans après le dernier contact de la personne, sauf texte contraire, avec un archivage intermédiaire justifié.
- Analyse d’impact obligatoire. Les traitements d’accompagnement social et médico-social doivent systématiquement faire l’objet d’une AIPD préalable.
- Hébergeur certifié. Le référentiel rappelle l’obligation HDS quand un prestataire héberge des données de santé pour le compte de l’organisme.
Côté conception, ces exigences deviennent des choix concrets : des profils par fonction (soignant, éducateur, cadre, administratif, famille), un journal consultable de qui a lu quoi, des purges automatiques, un registre des traitements tenu à jour. Nos articles sur la gestion des droits d’accès et la journalisation détaillent la mise en œuvre.
Le dossier usager, et tout ce qui l’entoure
Le programme ESMS numérique, piloté par la CNSA, vise à généraliser un dossier usager informatisé (DUI) interopérable ; son objectif à fin 2025 était d’avoir embarqué environ 34 000 établissements et services. Le financement est conditionné au choix d’une solution référencée Ségur, qui garantit le respect de règles de sécurité et d’interopérabilité, notamment avec le dossier médical partagé et la messagerie sécurisée de santé.
Notre conseil est donc clair : ne développez pas votre propre DUI. Choisissez une solution référencée, et réservez le sur-mesure à ce que le DUI ne couvre pas, ou couvre mal pour votre organisation.
| Besoin | Approche recommandée |
|---|---|
| Dossier de l’usager, projet personnalisé, transmissions de soins | Solution DUI référencée Ségur |
| Coordination entre plusieurs établissements d’une même association | Application sur mesure reliée aux DUI |
| Planning des intervenants à domicile, tournées, temps de trajet | Application sur mesure ou outil spécialisé |
| Portail des familles (animations, menus, documents, rendez-vous) | Extranet sur mesure, données de santé exclues ou très encadrées |
| Qualité : événements indésirables, plaintes, plans d’action | Application qualité sur mesure ou outil du marché selon la complexité |
| Transport des usagers, astreintes, remplacements | Application sur mesure |
| Tableaux de bord de direction multi-établissements | Entrepôt de données et tableau de bord intégré |
Comment concevoir une application qui sert les équipes de terrain
Les équipes soignantes et éducatives n’ont pas de temps à perdre devant un écran. Une application qui ajoute de la saisie sans retirer de papier sera contournée. Quelques principes, tirés de nos projets d’intranet et d’extranet :
- Observer avant de concevoir. Passer une journée avec une équipe de nuit, un cadre de santé, une auxiliaire de vie à domicile révèle plus de besoins qu’un cahier des charges.
- Saisir une seule fois. Ce qui est déjà dans le DUI ou l’outil RH doit être lu, pas ressaisi. L’interopérabilité passe par des API ou des échanges standardisés.
- Penser mobile et mode dégradé. Au domicile, en chambre, en sous-sol, le réseau manque. L’application doit permettre de saisir hors connexion et de synchroniser ensuite : voir notre comparatif application mobile ou PWA.
- Afficher le minimum utile. Une aide-soignante n’a pas besoin de l’historique médical complet pour préparer un repas adapté.
- Tracer sans surveiller. La journalisation des accès protège les usagers et les professionnels ; elle se présente comme telle aux équipes.
- Prévoir la réversibilité. Les données de l’établissement doivent pouvoir être récupérées dans un format exploitable en fin de contrat.
Par où commencer ?
Commencez par une cartographie courte : quelles données de santé circulent, dans quels outils, qui y accède, où elles sont hébergées. Cette cartographie sert à la fois votre AIPD, le choix de l’hébergeur et la priorisation des projets. Le plus souvent, le premier chantier n’est pas un nouvel outil mais la suppression d’un tableur partagé qui contient des données de santé sans habilitations ni traçabilité.
Notre page santé et médico-social présente les outils que nous construisons pour ce secteur. Pour un premier avis sur votre projet, et sur le niveau d’hébergement qu’il impose, utilisez notre diagnostic de projet : deux minutes suffisent pour décrire votre besoin.
