Suite à la pandémie de Covid 19, la Commission européenne a réfléchi à la mise en place d’une uniformisation dans le domaine de la santé. Cette démarche s’est concrétisée par la création d’un espace européen des données de santé. Notre experte Marie Pontrucher fait un complet point sur cet espace destiné à devenir le socle d’une Union européenne de la santé forte.
Procédure de certification hébergeur de données de santé (HDS)
Depuis le 1er avril 2018, l’agrément hébergeur de données de santé est officiellement remplacé par la certification HDS. Suite à un précédent article sur l’évolution de la procédure d’agrément, celui-ci propose une présentation de la nouvelle démarche de certification publiée pour se préparer à sa mise en place.
[Mise à jour 23/09/2022] Consultez l’article de notre experte Marie Pontrucher pour tout savoir sur l’adoption et le lancement de l’espace européen des données de santé par la Commission européenne.
Rappel du contexte hébergement de données de santé
Pour rappel, l’hébergement de données de santé est encadré par l’article L.1111-8 du code de la santé publique et l’ordonnance n° 2017-27 relative du 12 janvier 2017 remplace officiellement l’agrément par une certification délivrée par un organisme certificateur (c’est-à-dire accrédité par le COFRAC ou un organisme européen équivalent). Le référentiel de certification sera bientôt publié officiellement, néanmoins une version provisoire a déjà été publiée le 29 novembre 2017. La version définitive comportera des ajustements, mais ils devraient rester mineurs (selon l’ASIP Santé).
La certification hébergement de données de santé concerne tout organisme qui héberge des données de santé pour le compte d’un tiers responsable du traitement sur les activités de prévention, de diagnostic, de soins ou de suivi social ou médicosocial.
Présentation du référentiel HDS actuel
Le référentiel s’appuie sur des normes internationales pour bénéficier d’une démarche de certification existante. Les normes retenues sont la norme 27001 dans son intégralité, complétée par des exigences issues des normes 20000 et 27018. Des exigences spécifiques santé ont également été ajoutées. Ce sont des exigences inédites ou des précisions sur des exigences normatives. Il est à noter la présence d’une seule exigence de la norme 27017, or cette norme évoquée dans le référentiel n’est pas reprise dans les communications ultérieures de l’ASIP Santé.
La nouvelle procédure propose deux types de certification, une certification « hébergeur d’infrastructure physique » et une certification « hébergeur infogérant ». Pour sélectionner le périmètre adéquat, il faut identifier les services HDS fournis parmi les 6 activités types listées par l’ASIP Santé :
- La certification hébergeur d’infrastructure physique couvre les activités :
- Mise à disposition et maintien de locaux pour l’hébergement physique
- Mise à disposition et maintien de l’infrastructure matérielle
- La certification hébergeur infogérant couvrent les activités :
- Mise à disposition et maintien de l’infrastructure virtuelle
- Mise à disposition et maintien de plateforme applicative
- Infogérance du système d’information traitant de données de santé
- Mise à disposition et maintien des sauvegardes externalisées
Pour un service HDS couvrant au moins une activité de chaque périmètre, ce sont les deux certifications qui devront être obtenues.
Présentation des exigences de la certification HDS
Concrètement, la procédure requiert une certification 27001 en complétant l’annexe A par les exigences issues des normes sélectionnées (20000, 27017, 27018) et spécifiques santé. De la sorte, le référentiel comprend 45 exigences complémentaires :
- 4 exigences 20000 sur la conception et la modification de services, la continuité de service et la gestion de la capacité
- 25 exigences 27018 issues de son annexe A en lien avec les principes de vie privée
- 1 exigence 27017, sur la définition explicite des rôles et responsabilités sécurité entre le client et le fournisseur de service HDS
- 11 exigences renforçant des exigences existantes (27001, 20000, 27018 et 27017)
- Et 4 exigences dédiées santé sur le recueil d’un engagement client sur la conformité à la PGSSI, la mise à disposition des rapports d’audit de certification aux clients, l’identification d’un point de contact chez le client et la prise en compte de la langue française.
La certification hébergeur d’infrastructure couvre 40 exigences sur les 45 exigences complémentaires HDS tandis que la certification hébergeur infogérant couvre l’ensemble des 45 exigences.
Il est possible avec la nouvelle procédure de certification de faire prévaloir ces certifications existantes 27001 et 20000. Les points issus de ces certifications seront tout de même vérifiés, mais sans le contrôle requis pour un audit.
Démarche d’implémentation de la certification HDS
Ainsi pour la mise en place de la certification (quel que soit le périmètre), il est pertinent d’adopter une démarche similaire à la mise en place de l’ISO 27701. En résumé, il sera nécessaire de :
- définir le domaine d’application de l’ISO 27001 en intégrant les activités concernées par le service HDS, ainsi que l’engagement et les responsabilités de la direction
- mettre en place la gestion des risques, en incluant les risques spécifiques à l’hébergement de données de santé
- compléter la déclaration d’applicabilité (DdA) avec les 40 ou 45 exigences complémentaires HDS (selon le périmètre), la justification des exclusions et des exigences non applicables
- définir les objectifs de sécurité en spécifiant les objectifs de sécurité liés à l’hébergement de données de santé et les plans pour y parvenir
- définir les processus support du SMSI
- mettre en œuvre les mesures de sécurité et les processus spécifiques du référentiel HDS (20000, 27018, 20017, exigences santé)
- définir les programmes de formation et de sensibilisation avec les contraintes spécifiques aux données de santé
- exploiter, surveiller et suivre le SMSI avec les exigences HDS
- réaliser la demande de certification auprès d’un organisme de certification accrédité conformément au référentiel d’accréditation HDS.
L’un des principaux objectifs d’un SMSI est la préservation d’un niveau de sécurité optimum en accord avec les besoins et les objectifs à la fois de l’organisme et ceux des parties intéressées. Bien sûr, l’implémentation d’un SMSI (HDS ou non) est un vrai projet, parfois complexe à mettre en place. Pour être efficace, il nécessite l’appui de la direction, une organisation claire avec des responsabilités bien identifiées sur les actions à mener.
Sur la même thématique
Je partage
