Hébergement des données de santé

L’article L.1111-8 du code de la santé publique dispose que « Toute personne qui héberge des données de santé à caractère personnel recueillies à l'occasion d'activités de prévention, de diagnostic, de soins ou de suivi social et médico-social, pour le compte de personnes physiques ou morales à l'origine de la production ou du recueil desdites données ou pour le compte du patient lui-même, doit être agréée à cet effet.[…]» .
 
L’obligation de recourir à un hébergeur agréé pèse donc sur tout responsable de traitement de données de santé à caractère personnel « recueillies à l’occasion d’activités de prévention, de diagnostic ou de soins ou de suivi social et médico-social » qui souhaiterait en confier la conservation à un tiers.
 
Lorsque le responsable d’un traitement de données de santé à caractère personnel recueillies ou produites à l’occasion d’activités de prévention, de diagnostic, de soins ou de suivi médico-social conserve par ses propres moyens.lesdites données, il n’est pas soumis à l’agrément prévu à l’article L.1111-8 du code de la santé publique (il reste toutefois tenu, au titre de l’article 34 de la loi n°78-17 du 6 janvier 1978 modifiée dite « Informatique et Libertés », de « prendre toutes précautions utiles, au regard de la nature des données et des risques présentés par le traitement, pour préserver la sécurité des données et, notamment, empêcher qu’elles soient déformées, endommagées, ou que des tiers non autorisés y aient accès »). En revanche, lorsque ce même responsable de traitement décide de confier la conservation des données de santé à un prestataire tiers, ce tiers doit être titulaire de l’agrément prévu à cet effet.

Source : http://esante.gouv.fr/services/hebergeurs-de-donnees-de-sante/faq-de-demande-d-agrement-hds#3