Hébergement de données de santé : quelles obligations pour les structures sociales et médico-sociales ?

Comme pour l’ensemble des secteurs, la transformation numérique touche de plein fouet le secteur social et médico-social qui a vu le travail de ses professionnels profondément bouleversé par le déploiement de la digitalisation dans son quotidien. Si les tâches administratives sont simplifiées avec la mise en place des dossiers dématérialisés des patients, le suivi électronique du parcours des usagers ou encore le partage d’informations via la messagerie sécurisée entre professionnels, la protection des données dites « sensibles » reste un enjeu majeur.

Considérées comme particulièrement sensibles par la loi, l’hébergement et la gestion des données de santé doivent répondre à des règles strictes afin de garantir leur confidentialité et leur intégrité.

Tout d’abord, l’hébergement de données de santé désigne toute solution numérique permettant de stocker, sécuriser et traiter des informations personnelles à caractère médical ou médico-social. Il s’agit par exemple des dossiers médicaux des usagers et des patients ou des informations médico-sociales liées à leur parcours et leur accompagnement.

Depuis son entrée en application le 25 mai 2018, le Règlement Général sur la Protection des Données (RGPD) impose à tous les professionnels un strict encadrement du traitement des données, quels que soient leur secteur et leur taille. Conformément au RGPD, toute structure qui les manipule doit donc s’assurer de leur hébergement dans des conditions conformes à la réglementation pour répondre aux trois objectifs imposés par la loi qui vise à :

• Renforcer les droits des personnes,
• Responsabiliser les acteurs traitant des données,
• Crédibiliser la régulation grâce à une coopération renforcée entre les autorités de protection des données.

Au niveau européen, le RGPD agit comme un véritable socle de protection en fixant des règles strictes : transparence, sécurité, limitation des accès, droits renforcés des personnes concernées.

Depuis 2018, la réglementation française impose une exigence supplémentaire : tout prestataire qui héberge des données de santé doit être certifié HDS (Hébergeur de Données de Santé). Il est donc important d’être très vigilant sur cette certification puisqu’un hébergeur cloud classique, même réputé, n’est pas forcément un hébergeur certifié HDS. Pour répondre à cette obligation de conformité, le logiciel OGiRYS a dû répondre aux exigences imposées par la certification HDS lui permettant de traiter ce type de données.

Lors du choix de leur partenaire pour la mise en place du Dossier Unique Informatisé (DUI), les structures doivent alors respecter plusieurs obligations :

• Choisir un prestataire certifié HDS,
• Garantir la confidentialité et l’intégrité des données,
• Assumer la responsabilité juridique,
• Informer les usagers.

En cas de manquement à leurs obligations, ou de défaillance face à ces exigences, les organisations engagent directement leur responsabilité et s’exposent à des sanctions en cas de non-conformité.

Les conséquences peuvent être lourdes pour une structure allant de sanctions juridiques ou financières à l’atteinte à la vie privée des usagers et patients. Aujourd’hui, le phénomène du piratage des données s’élargit à tous les secteurs et érode la confiance des usagers. La conformité n’est donc pas seulement une obligation légale, c’est aussi un gage de crédibilité et de confiance.

Bien que seuls les hébergeurs certifiés puissent légalement assurer l’hébergement de données de santé, il convient malgré tout de vérifier un minimum d’informations avant de sélectionner un partenaire :

• La date de certification HDS pour vérifier la validité,
• Les mesures de sécurité techniques et organisationnelles mises en place,
• L’interopérabilité avec les logiciels métiers existants,
• La continuité de service et l’assistance dédiée.

La sécurisation des données de santé n’est donc pas une option, mais bel et bien un engagement de confiance entre la structure et son partenaire.

Chez SociaNova, nous plaçons la sécurité et la conformité au cœur de nos engagements, et notre DUI OGiRYS est développé pour répondre à ces exigences avec :

• un hébergement conforme aux normes HDS et RGPD,
• une protection optimale des données sensibles,
• une interopérabilité fluide avec les principaux logiciels métiers,
• une interface intuitive, pensée pour et avec les professionnels du social et médico-social.

Notre mission : offrir aux structures des solutions fiables et sécurisées pour qu’elles puissent se concentrer sur l’essentiel : la relation humaine et l’accompagnement des usagers.

L’hébergement de données de santé engage à la fois la conformité légale et la responsabilité éthique des structures sociales et médico-sociales. S’entourer d’un hébergeur certifié HDS est la clé pour protéger les données sensibles et renforcer la relation de confiance avec les usagers.

L’hébergement de données de santé engage à la fois la conformité légale et la responsabilité éthique des structures sociales et médico-sociales. S’entourer d’un hébergeur et d’un infogérant certifiés est un facteur important pour protéger les données sensibles et renforcer la relation de confiance avec les usagers. 3 certifications sont principalement considérées : 

• ISO 27001 : Système de Management de la Sécurité de l’Information – SMSI 
• ISO 27701 : Privacy Information Management System – PIMS 
• HDS : Hébergeur de Données de Santé 

L’hébergement des données de santé des personnes accompagnées ne peut souffrir d’aucun compromis dans le niveau utilisé d’excellence technique.

a) Une continuité de service garantie : L’architecture HD Secure assure une disponibilité exceptionnelle grâce à plusieurs mécanismes de protection. En cas d’inaccessibilité du site principal d’hébergement due à un incendie, une coupure de câble ou toute autre catastrophe naturelle, ce nouveau mode garantit une bascule instantanée et transparente vers un serveur de secours grâce aux zones de disponibilité.  

 

b) Performances optimisées : L’un des défis majeurs des solutions d’hébergement traditionnelles réside dans leur incapacité à s’adapter aux fluctuations de charge. HD Secure résout cette problématique grâce à un système d’ajustement automatique des ressources (auto-scaling) qui analyse en temps réel les besoins et adapte instantanément la puissance de calcul disponible.  

 

c) Sécurité contre les cyber-attaques : La protection des données de santé est un enjeu majeur face à l’augmentation des cyberattaques. Avec HD Secure, elles visent à être entièrement chiffrées et protégées par un cloisonnement réseau qui les rend inaccessibles depuis l’extérieur. Les clés de chiffrement sont alors stockées séparément dans des datacenters français, selon les mêmes principes de sécurité que ceux utilisés par des acteurs de référence comme Doctolib. 

 

d) Récupération rapide en cas d’incident technique : La gestion des incidents techniques est également grandement facilitée avec HD Secure. En cas de bug ou de dysfonctionnement bloquant l’utilisation du système, un mécanisme, dit “rollback”, de retour en arrière automatisé intervient immédiatement. Le système revient à un état stable et fonctionnel en moins d’une minute. L’impact sur l’activité quotidienne des professionnels est ainsi minimisé. Cette récupération express s’appuie sur des sauvegardes incrémentales continues qui conservent un historique détaillé des états du système. 

 

e) Maintenance transparente et planification intelligente : HD Secure révolutionne la maintenance en supprimant les arrêts de service. Les interventions mineures ou majeures se font grâce à l’architecture redondante. Pour les maintenances majeures nécessitant des modifications plus importantes, celles-ci sont minutieusement planifiées, organisées en concertation avec les utilisateurs et exécutées avec un temps de bascule limité à quelques minutes maximum. 

 

f) Résilience des données et haute disponibilité : La protection des données atteint son niveau maximal grâce à une réplication en temps réel : chaque modification de la base principale est instantanément dupliquée sur une réplique synchronisée. Ainsi, en cas de défaillance, la bascule se fait automatiquement, garantissant continuité du service, intégrité des données et performance optimale grâce à la distribution des charges de lecture. 

Incendie, pic de trafic, cyber-attaque, bug technique, maintenance évolutive… HDSecure limite tout impact sur vos données en rendant ces imprévus indolores. 

 

C’est notre engagement.