Hébergement HDS : ce que ça change concrètement pour une officine

"Hébergé chez un hébergeur certifié HDS" : la mention revient dans toutes les plaquettes des éditeurs de santé. Voici ce qu'elle veut dire, et ce qu'il faut vérifier derrière.

D'où vient l'obligation

L'article L.1111-8 du code de la santé publique impose que toute personne qui héberge des données de santé à caractère personnel pour le compte d'un tiers (un professionnel, un établissement, un patient) soit certifiée HDS. La certification est délivrée par des organismes accrédités, sur la base d'un référentiel publié par l'Agence du Numérique en Santé (ANS), qui s'appuie sur la norme ISO 27001 complétée d'exigences propres à la santé. L'ANS tient à jour la liste publique des hébergeurs certifiés.

Ce que la certification garantit

• Un système de management de la sécurité audité régulièrement : contrôle des accès, traçabilité, gestion des incidents, continuité d'activité.
• Des serveurs physiquement et logiquement protégés, avec des engagements de localisation et de réversibilité.
• Un cadre contractuel précis entre l'hébergeur et son client, y compris sur la restitution des données à la fin du contrat.

Ce qu'elle ne garantit pas

La certification porte sur l'hébergeur. Elle ne dit rien de la manière dont l'application qui utilise cet hébergeur protège les données : chiffrement ou non, qui détient les clés, combien de temps les documents sont gardés, qui peut les consulter. Un éditeur peut héberger chez un prestataire HDS et pour autant stocker des documents en clair pendant des années. Les questions à poser au prestataire sont donc :

• Le document est-il chiffré avant d'arriver chez l'hébergeur, et qui détient la clé ?
• Combien de temps est-il conservé, et la suppression est-elle définitive ?
• Chaque accès est-il journalisé, au nom d'une personne identifiée ?
• Un accord de traitement des données (article 28 du RGPD) est-il signé ou intégré aux conditions ?

Le pharmacien est-il lui-même concerné par la certification ?

Non, tant qu'il héberge ses propres données pour son propre compte (son logiciel d'officine sur son serveur, par exemple). L'obligation vise ceux qui hébergent pour le compte d'autrui. En revanche, dès que l'officine externalise des données de santé, chez un éditeur en ligne, une messagerie, un service de dépôt, elle doit s'assurer que le prestataire est certifié. Le guide RGPD de la CNIL et de l'Ordre est explicite : le pharmacien reste responsable du choix de ses sous-traitants.

Vérifier un prestataire en cinq minutes

1. Demander le nom de l'hébergeur et vérifier sa présence sur la liste des hébergeurs certifiés publiée par l'ANS.
2. Demander l'accord de traitement des données et y lire la durée de conservation et la liste des sous-traitants ultérieurs.
3. Demander comment les documents sont chiffrés et qui détient les clés.
4. Vérifier qu'aucune donnée n'est transférée hors de l'Union européenne.
5. Garder ces réponses dans votre registre des traitements : c'est votre preuve en cas de contrôle.

Comment TapNow applique ces principes à la réception des ordonnances