Deux logiques cohabitent dans les projets numériques en santé, et les confondre coûte cher. L'hébergement des données de santé relève d'un régime propre, applicable aux hébergeurs qui traitent ces données pour le compte d'un responsable de traitement. La qualification SecNumCloud est une décision de l'ANSSI portant sur un service cloud au regard d'un référentiel de sécurité. L'une ne vaut pas l'autre, et aucune ne dit comment un infirmier ouvre une session sur un poste partagé à sept heures du matin.
Cet article propose une lecture opérationnelle et ne constitue pas un avis juridique. Le régime applicable à l'hébergement de vos données de santé et l'articulation avec une éventuelle qualification doivent être confirmés avec vos conseils et avec le responsable de traitement concerné.
Deux régimes distincts, deux questions différentes
Le premier régime répond à « qui a le droit d'héberger ces données, et sous quelles garanties ? ». Le second répond à « ce service atteint-il un niveau d'exigence de sécurité vérifié par une autorité publique ? ». Un hébergeur peut relever du premier sans relever du second.
La qualification repose sur un référentiel d'exigences techniques et organisationnelles, un audit mené par un évaluateur, puis une décision de l'ANSSI. Elle est exigeante sur le contrôle d'accès et l'authentification des accès d'administration du prestataire, le cloisonnement, la journalisation, la protection et la localisation des données et des opérations, et sur la protection face à des législations extra-européennes à portée extraterritoriale. Son usage comme critère de sélection est détaillé dans la lecture transverse de SecNumCloud. Ce qui suit part du terrain hospitalier.
Les briques externalisées et les parcours qu'elles exposent
Un établissement ou un groupement consomme une constellation de services hébergés : dossier patient dans certaines de ses fonctions, portail patient et prise de rendez-vous, téléconsultation, imagerie et échange d'examens, biologie, outils d'éditeurs métier passés en SaaS. Chacun ouvre un parcours d'authentification propre, avec sa population : soignants, secrétariats médicaux, administratifs, patients, professionnels de ville, prestataires biomédicaux.
Ces briques ont été choisies pour des raisons métier, souvent par des directions différentes, avec chacune sa propre gestion des comptes. La qualification d'un fournisseur ne réduit pas cette fragmentation : elle sécurise l'hébergement d'une brique, pas la cohérence de l'ensemble.
| Brique hébergée à l'extérieur | Parcours d'authentification exposé | Ce que la qualification du prestataire ne règle pas | Ce que vous devez pouvoir démontrer |
|---|---|---|---|
| Portail patient et prise de rendez-vous | Création de compte et récupération d'accès par le patient | La robustesse de la récupération de compte, principal point d'entrée | Qu'un accès au dossier a bien été demandé par la personne concernée |
| Téléconsultation | Identification du professionnel et du patient à distance | La preuve d'une intention humaine au moment de l'acte | Qui a réalisé l'acte, depuis quel contexte |
| Application métier d'éditeur en SaaS | Comptes soignants, souvent hors de votre annuaire | La reprise du compte au départ d'un agent | Que les droits ont été retirés en même temps que le contrat de travail |
| Échange d'imagerie entre établissements | Accès croisés au sein d'un groupement | La cohérence des identités entre entités | Quel établissement a consulté quel examen |
| Maintenance biomédicale à distance | Accès distant d'un prestataire à un équipement | La nominativité et la fenêtre d'intervention | Qui est intervenu sur quel dispositif, et quand |
| Sauvegarde et archivage | Restitution en fin de contrat | Le délai réel de reprise | Que la continuité des soins reste assurée |
Le poste de soins : là où les modèles théoriques cèdent
Aucun référentiel ne décrit la réalité d'un poste partagé en unité de soins. Plusieurs professionnels s'y succèdent en quelques minutes, l'équipe tourne en trois-huit, des intérimaires arrivent pour quelques gardes, et la session reste ouverte parce que la refermer coûte du temps de soin. Le résultat est connu : comptes partagés, identifiants affichés à proximité, imputation impossible.
Trois principes tiennent mieux que les autres. Séparer l'ouverture de session de la validation d'un acte sensible : réauthentifier au moment d'une prescription ou d'un accès protégé est plus réaliste qu'un parcours long à chaque poste. Choisir des méthodes compatibles avec les gants, l'urgence et l'absence de téléphone personnel en service. Traiter l'urgence vitale comme un mécanisme à part entière : le « bris de glace » ne doit pas être un contournement toléré mais une procédure nominative, journalisée et revue a posteriori.
Ces principes relèvent de vous, quel que soit le niveau de qualification de vos hébergeurs. C'est aussi pourquoi une approche passwordless est souvent mieux acceptée en unité de soins qu'une politique de mots de passe durcie.
Réversibilité et continuité des soins
Dans un établissement, la sortie d'un contrat cloud ne se négocie pas comme un changement d'outil de gestion : elle touche à la continuité des soins. Que récupérez-vous, et sous quel format ? Les identités et les habilitations sont-elles restituées, ou faudra-t-il reconstruire tous les comptes des professionnels ? Combien de temps un service peut-il rester indisponible sans dégrader la prise en charge, et quelle procédure papier prend le relais ? Une qualification rassure sur la sécurité de l'hébergement ; elle ne répond à aucune de ces questions.
La sensibilité des données de santé rend par ailleurs structurante la localisation des données et des opérations d'administration. HIAsecure est conçue, développée et hébergée en France, avec une architecture décentralisée, une biométrie traitée localement et aucune donnée identifiante détenue ; la société est engagée dans une démarche de qualification SecNumCloud, aujourd'hui en cours.
Par où commencer
- Recensez les services hébergés donnant accès à des données de santé, y compris ceux souscrits directement par un service clinique.
- Vérifiez pour chacun le régime applicable à l'hébergement avec vos conseils, avant de discuter de qualification.
- Reprenez les parcours de récupération de compte des portails patients : le maillon le plus exposé.
- Alignez les départs — agents, intérimaires, prestataires — avec la fermeture effective des comptes chez les éditeurs.
- Formalisez le bris de glace : qui peut l'utiliser, avec quelle trace, revue par qui.
- Écrivez la clause de réversibilité en termes de continuité des soins, pas de restitution de fichiers.
FAQ
Un hébergeur de données de santé est-il nécessairement qualifié SecNumCloud ?
Non. Les deux dispositifs répondent à des logiques différentes et ne se déduisent pas l'un de l'autre. Le régime applicable à votre hébergement doit être vérifié avec vos conseils, indépendamment de toute qualification.
Comment concilier accès en urgence vitale et authentification forte ?
En traitant l'urgence comme un parcours dédié plutôt que comme une exception subie. Un accès nominatif, immédiat, systématiquement journalisé et revu après coup protège mieux qu'un compte générique partagé, tout en restant compatible avec la prise en charge.
Nos éditeurs métier passent en SaaS : que leur demander ?
Le périmètre exact de leur hébergement, la localisation des données et des opérations d'administration, la liste de leurs sous-traitants, les méthodes d'authentification qu'ils autorisent pour vos comptes, et les modalités de restitution des identités et des journaux.
La qualification règle-t-elle le problème des postes partagés ?
Non, ce problème est entièrement de votre côté. Les sessions partagées, la rotation des équipes et la réauthentification sur acte sensible relèvent de votre organisation et de vos choix de méthodes.
Aller plus loin : le pilier : authentification cognitive · SecNumCloud, critère de sélection · RGPD et santé · l'AiTM en établissement