Hébergement de données de santé : ce que la certification impose vraiment

La règle de départ tient en une phrase du code de la santé publique : toute personne qui héberge des données de santé à caractère personnel recueillies à l'occasion d'activités de prévention, de diagnostic, de soins ou de suivi social et médico-social, pour le compte d'un tiers, doit être certifiée. La certification a remplacé l'ancien régime d'agrément, et elle s'obtient auprès d'un organisme accrédité, pas auprès de l'administration.

Six activités, deux certificats

Le référentiel découpe l'hébergement en six activités numérotées. Les deux premières couvrent la mise à disposition et le maintien en condition opérationnelle de l'infrastructure physique : les locaux, l'énergie, le refroidissement, puis le matériel qui y est installé. Les quatre suivantes couvrent la couche logique et l'exploitation : mise à disposition de l'infrastructure virtuelle, mise à disposition de la plateforme d'hébergement applicatif, administration et exploitation, et enfin sauvegarde externalisée des données.

De ce découpage naissent deux certificats distincts. Le certificat d'hébergeur d'infrastructure physique couvre les activités 1 et 2. Le certificat d'hébergeur infogéreur couvre les activités 3 à 6. Un acteur peut détenir l'un, l'autre, ou les deux. Cette distinction explique la confusion la plus fréquente du marché : un prestataire certifié pour l'infrastructure physique n'est pas certifié pour l'exploitation applicative, et réciproquement.

Un référentiel adossé à des normes existantes

Le référentiel ne réinvente pas un système de management. Il s'appuie sur des normes déjà répandues, au premier rang desquelles la norme de management de la sécurité de l'information, complétée par la norme de management des services et par les textes relatifs à la protection des données à caractère personnel dans les services d'informatique en nuage. Il y ajoute des exigences propres au domaine de la santé, notamment sur la traçabilité des accès, sur la restitution des données et sur la désignation d'un référent identifié.

La conséquence pratique est simple : une organisation déjà certifiée sur le management de la sécurité de l'information a fait une bonne part du chemin, et l'écart à combler se concentre sur les exigences additionnelles. Une organisation qui part de zéro doit d'abord construire un système de management, ce qui se compte en trimestres et non en semaines.

Ce que le certificat couvre, et ce qu'il ne couvre pas

Un certificat est délivré pour un cycle de trois ans, avec des audits de surveillance annuels et un audit de renouvellement au terme. Il porte sur un périmètre nommé : des sites géographiques précis, des services précis. Un hébergeur peut donc être certifié pour une offre et pas pour une autre, ou pour deux centres de données sur les quatre qu'il exploite. La première question à poser n'est jamais « êtes-vous certifié », mais « quel est le périmètre exact figurant sur votre certificat, et quels sites y sont nommés ».

La certification ne dispense d'aucune autre obligation. Le règlement général sur la protection des données s'applique intégralement en parallèle, avec son contrat de sous-traitance, son registre et son analyse d'impact quand elle est requise. La certification ne dit rien non plus de la sécurité du logiciel métier lui-même : un applicatif vulnérable hébergé chez un prestataire certifié reste un applicatif vulnérable.

La frontière avec l'éditeur, là où ça coince

Le point de friction récurrent se situe entre l'éditeur du logiciel et l'hébergeur. Quand l'éditeur propose son logiciel en service, il devient lui-même hébergeur au sens du texte pour les activités qu'il assure, même s'il loue l'infrastructure ailleurs. Il ne peut pas se contenter de renvoyer au certificat de son fournisseur de centre de données. Inversement, un hébergeur infogéreur qui administre les systèmes ne répond pas de la logique applicative.

Le partage se documente donc activité par activité, dans une matrice de responsabilités annexée au contrat, et cette matrice doit être opposable. C'est exactement la démarche que nous recommandons pour la lecture des engagements de service, décrite dans notre décorticage d'un SLA d'infogérance ligne à ligne, où l'absence de matrice explique la moitié des litiges.

Comment cela s'articule avec le reste

La certification santé n'est pas la seule qualification qui structure le marché français de l'hébergement. La qualification délivrée par l'agence nationale de la sécurité des systèmes d'information poursuit un objectif différent, avec des exigences propres sur le droit applicable et la protection contre les accès extraterritoriaux. Nous en détaillons la portée exacte dans notre analyse de ce que la qualification SecNumCloud couvre vraiment, et les deux dispositifs se cumulent plus souvent qu'ils ne se remplacent.

Enfin, les obligations de gestion des risques et de notification issues de la directive européenne sur la cybersécurité descendent la chaîne de sous-traitance par le contrat, y compris chez des prestataires qui ne se croyaient pas concernés. Nous avons traité ce mouvement dans notre note sur ce que NIS2 fait retomber sur les prestataires d'infrastructure.