La loi du 26 janvier 2016 de "modernisation de notre système de santé" a remplacé la procédure d'agrément des hébergeurs de données de santé par une certification délivrée par un organisme certificateur accrédité par le Comité français d'accréditation (Cofrac), obligatoire depuis 2018, rappelle-t-on. En raison de la crise sanitaire, l'agrément a cependant été prorogé au-delà de la fin de l'état d'urgence sanitaire.

Concernant les établissements de santé, il existe "deux cas de figure", a résumé la DGOS.

Dans le premier cas, "un tiers héberge les données de santé [pour le compte des établissements], auquel cas, le tiers doit être certifié HDS".

L'Agence du numérique en santé (ANS) recense plus de 140 hébergeurs certifiés, dont des éditeurs de logiciels, des sociétés spécialisées dans l'hébergement, des groupes de cliniques et des CHU.

Dans le deuxième cas de figure, "si deux entités sont coresponsables, elles n'ont pas d'obligation d'être certifiées HDS". Ce cas s'applique aux GHT, a précisé la DGOS.

Cette notion de coresponsabilité a été introduite par le règlement général sur la protection des données (RGPD).