Quel est le champ d’application de la législation relative à l’hébergement de données de santé à caractère personnel?

L’obligation de disposer d’un certificat de conformité mentionnée à l’article L.1111-8 du code de la santé publique s’applique à toute entité qui propose un service d’hébergement * portant

sur des données de santé à caractère personnel recueillies à l'occasion d'activités de prévention, de diagnostic, de soins ou de suivi social et médico-social. * pour le compte du

patient ou pour le compte des professionnels de santé, des établissements et services de santé et tout autre organisme réalisant des missions de prévention, de soins, de suivi médico-social

et social à l’origine de ces données. Ces conditions sont cumulatives et l'obligation s'applique à toute personne (physique ou morale), qu’elle relève du droit public ou du droit

privé.  Tout professionnel de santé, tout établissement et service de santé et tout autre organisme réalisant des missions de prévention, de soins, de suivi médico-social et social

(personnes physiques ou morales) doit apprécier au cas par cas si ces données de santé dont il entend confier l’hébergement à un tiers proviennent de son activité de prévention, de

diagnostic, de soins ou de suivi social et médico-social.  En outre, tout projet de système d’information (SI) portant sur l’exploitation des données susmentionnées nécessite de s’interroger

au cas par cas sur l’application de la législation relative à l’hébergement des données de santé. Il incombe donc au responsable du système d’information de veiller au respect de cette

législation dès que l’une des fonctionnalités du SI concerne des données de santé répondant aux critères ci-dessus. Par exemple, un établissement de santé exploitant un DPI est tenu de

recourir à un hébergeur certifié HDS en cas d’externalisation de l’hébergement de ce DPI.