Certification HDS et télésecrétariat médical : tout comprendre

La certification HDS (Hébergeur de Données de Santé) est l’un des critères les plus importants pour choisir un prestataire de télésecrétariat médical, et pourtant l’un des moins bien compris par les praticiens. Beaucoup de médecins ne savent pas précisément ce qu’est cette certification, pourquoi elle est obligatoire, ni comment vérifier qu’un prestataire la détient réellement. Ce guide vous donne toutes les informations nécessaires pour comprendre la certification HDS et l’intégrer dans votre décision.

Qu’est-ce que la certification HDS ?

La certification HDS est un dispositif de certification créé par la loi française pour encadrer le traitement des données de santé à caractère personnel par des prestataires externes. Elle est définie par l’article L. 1111-8 du Code de la santé publique. Toute personne physique ou morale qui héberge des données de santé à caractère personnel recueillies lors d’activités de prévention, de diagnostic ou de soins doit être certifiée HDS.

La certification HDS est délivrée par des organismes de certification accrédités par le COFRAC sur la base d’un référentiel publié par l’ANS. Ce référentiel couvre six activités d’hébergement, dont l’infogérance de systèmes d’information de santé. Les prestataires de télésecrétariat médical qui enregistrent ou traitent des données de santé doivent être certifiés sur les activités correspondant à leur périmètre opérationnel.

La certification HDS n’est pas une simple déclaration : c’est le résultat d’un audit conduit par un organisme indépendant qui vérifie que le prestataire respecte effectivement le référentiel. L’audit couvre la sécurité des systèmes d’information, la gestion des accès, la traçabilité des opérations, les plans de continuité et de reprise d’activité, et les procédures de gestion des incidents. La certification est valable trois ans et fait l’objet de surveillances intermédiaires annuelles.

Pourquoi c’est obligatoire pour votre prestataire de télésecrétariat

Quand un patient appelle votre cabinet et décrit ses symptômes à votre secrétaire externalisée, les informations échangées constituent des données de santé à caractère personnel. Le nom du patient, son numéro de téléphone, le motif de l’appel et les informations médicales transmises lors de l’appel tombent dans le périmètre de la réglementation HDS dès lors qu’ils sont collectés dans le cadre d’une activité de soins.

Si votre prestataire enregistre les appels, stocke les messages dans un système informatique ou traite ces données de quelque manière que ce soit, il entre dans le champ d’application de l’obligation HDS. Un prestataire non certifié qui traite ces données n’est pas en conformité avec la loi française, et vous, en tant que responsable du traitement, vous engagez votre responsabilité en lui confiant ces données de santé.

Comment vérifier la certification HDS d’un prestataire

La vérification de la certification HDS d’un prestataire est simple et prend moins de cinq minutes. L’ANS maintient un catalogue des hébergeurs certifiés HDS accessible en ligne sur esante.gouv.fr. Ce catalogue liste tous les prestataires certifiés avec le périmètre de leur certification, la date d’obtention et la date d’échéance. Vous pouvez rechercher un prestataire par nom et vérifier que sa certification est en cours de validité.

Demandez également l’attestation de certification directement au prestataire. Un prestataire certifié peut vous fournir son attestation à tout moment. Si votre prestataire ne peut pas vous fournir cette attestation, ou si elle n’est plus dans sa période de validité, c’est un signal d’alerte qui doit vous conduire à reconsidérer votre choix.

HDS et ISO 9001 : deux certifications complémentaires

Certains prestataires, comme Medicall, détiennent à la fois la certification HDS et la certification ISO 9001. Ces deux certifications sont complémentaires : la certification HDS garantit la conformité légale pour le traitement des données de santé, tandis que la certification ISO 9001 atteste de la qualité des processus opérationnels. Un prestataire certifié ISO 9001 a formalisé l’ensemble de ses processus, les fait auditer régulièrement par un organisme indépendant, et dispose d’un système de management de la qualité qui identifie et corrige les dysfonctionnements. Pour vous, cela se traduit concrètement par moins d’erreurs dans le traitement de vos appels et une traçabilité accrue de toutes les opérations réalisées pour votre compte.

Questions fréquentes

La certification HDS doit-elle être renouvelée ?

Oui. La certification HDS est valable trois ans à compter de la date de délivrance. Elle fait l’objet de surveillances intermédiaires annuelles conduites par l’organisme de certification. À l’issue des trois ans, un audit de renouvellement est nécessaire pour maintenir la certification. Un prestataire dont la certification est expirée n’est plus conforme et ne peut plus légalement traiter des données de santé au sens de la réglementation française.

Puis-je demander un contrat de sous-traitance RGPD à mon prestataire HDS ?

Oui, et vous devez le faire. La certification HDS ne dispense pas votre prestataire de signer un contrat de sous-traitance conforme à l’article 28 du RGPD. Ce contrat définit les modalités précises du traitement des données, les obligations de confidentialité et les procédures en cas de violation. Tout prestataire sérieux comme Medicall dispose d’un modèle de contrat de sous-traitance RGPD prêt à être signé dès le démarrage de la collaboration.