Rachat de matériel informatique pour les établissements de santé

Données de santé : pourquoi un poste hospitalier demande un traitement à part

Les données concernant la santé sont, pour le RGPD, les données personnelles relatives à la santé physique ou mentale d'une personne, y compris la prestation de soins, qui révèlent des informations sur son état de santé (art. 4, point 15). Leur traitement est interdit par principe, sauf exceptions prévues par le texte, parce qu'elles figurent parmi les catégories particulières de l'article 9. Un poste mal effacé n'expose donc pas des données ordinaires.

S'y ajoute le secret médical. L'article L1110-4 du code de la santé publique reconnaît à toute personne prise en charge par un établissement ou un professionnel de santé le droit « au respect de sa vie privée et du secret des informations la concernant ». Ce secret couvre « l'ensemble des informations concernant la personne » connues du professionnel comme du personnel de l'établissement, et le même article punit d'un an d'emprisonnement et de 15 000 euros d'amende le fait d'obtenir ou de tenter d'obtenir ces informations en violation de ses règles.

Sur un poste de service, ces informations ne restent pas toutes sur les serveurs du dossier patient. Le guide de la PGSSI-S rappelle que le stockage est souvent effectué par l'équipement « à des fins techniques de manière transparente pour l'utilisateur ». S'y ajoutent les exports, les courriers enregistrés localement et les pièces jointes ouvertes depuis la messagerie. Les obligations générales du RGPD pour un équipement qui quitte le parc sont résumées dans la fiche sur ce que le RGPD impose avant de céder un équipement.

Hébergement de données de santé : ce que la certification HDS couvre, et ce qu'elle ne couvre pas

La certification HDS est l'obligation qui s'impose à toute personne hébergeant des données de santé à caractère personnel pour le compte de ceux qui les produisent ou les recueillent, ou pour le compte du patient : sur support numérique, l'hébergeur doit être titulaire d'un certificat de conformité (code de la santé publique, art. L1111-8). L'article R1111-9 énumère six activités : sites physiques, infrastructure matérielle, infrastructure virtuelle, plateforme d'hébergement d'applications, administration et exploitation du système d'information, sauvegarde des données de santé.

Pour la fin de vie des postes, deux conséquences en découlent. L'ANS précise d'abord que « les établissements de santé qui gèrent leur propre Système d'Information de santé n'ont pas la nécessité d'être certifié HDS ». Ensuite, la reprise et l'effacement d'ordinateurs en fin d'usage n'apparaissent pas dans la liste des six activités. La certification HDS renseigne sur un hébergeur ; un prestataire de reprise se juge sur sa méthode d'effacement et sur ses preuves. Seule nuance : dans un GHT, l'établissement qui héberge les données des autres membres n'échappe à la certification que dans des conditions strictes, fixées par la convention constitutive (FAQ de l'ANS, juillet 2025).

Le cas des serveurs confiés à un hébergeur est différent. Le guide de la PGSSI-S précise que le contrat avec ce tiers doit permettre, « directement ou via une certification HDS », d'obtenir les mêmes garanties de destruction des données que celles qu'il décrit. Le référentiel de certification HDS, en version 2.0 approuvée par l'arrêté du 26 avril 2024, demande d'ailleurs à l'hébergeur un « engagement de destruction de toute copie de ces informations à l'issue de la restitution ». La fin de vie de ces supports se règle donc dans le contrat d'hébergement, pas dans la reprise des postes de travail.

Le guide PGSSI-S « Destruction des données lors du transfert de matériel informatique »

La PGSSI-S est la politique générale de sécurité des systèmes d'information de santé, un corpus de référentiels et de guides publié par l'Agence du numérique en santé. Son guide pratique technique sur la destruction des données, en version 2.0 depuis août 2022, vise expressément « la cession du matériel à un tiers (par exemple don à une association pour réemploi du matériel, vente…) ». Les ordinateurs fixes et portables entrent dans son périmètre. Le guide n'est pas un référentiel opposable, mais il demande que ses règles soient reprises dans les documents de l'établissement : politique de sécurité, charte informatique, contrats d'externalisation (règle O2).

Le guide définit deux paliers. Le palier 1 protège contre des tentatives d'accès « s'appuyant sur des moyens limités » ; le palier 2 contre celles qui s'appuient « sur des moyens importants », comme l'analyse des composants en laboratoire. Le palier 2 est à retenir pour tout matériel susceptible de contenir des données personnelles transféré à un tiers externe, ainsi que pour un matériel qui ne fonctionne plus normalement. Le guide recommande même de l'appliquer systématiquement dès qu'un équipement sort de la structure.

Postes partagés, chariots de soins et écrans : inventorier ce qui stocke des données

Un établissement de santé fait tourner de nombreux postes partagés : postes de soins utilisés par plusieurs équipes, ordinateurs embarqués sur les chariots, postes d'accueil et de consultation. Plusieurs soignants s'y succèdent et chacun laisse des traces. Le guide de la PGSSI-S traite d'ailleurs le changement d'utilisateur au sein de la structure comme un transfert interne, qui exige déjà la suppression des données avant réutilisation.

Pour la reprise, l'inventaire part du numéro de série de chaque unité, pas du service ni de l'utilisateur. Un ordinateur de chariot, un PC all-in-one de couloir ou de consultation et un portable de médecin suivent le même circuit : effacement, audit de 50 points de contrôle, grade de A à B, puis reconditionnement. Les écrans, qui ne gardent aucune donnée, partent avec les postes.

Les dispositifs biomédicaux et les équipements d'imagerie, que le guide inclut aussi dans son périmètre, ne sont pas traités ici. La reprise de Destock Info couvre quatre familles, portables, unités centrales, PC all-in-one et moniteurs ; serveurs et autres matériels s'étudient au cas par cas.

Hôpital public et GHT : à quel échelon organiser le rachat du matériel informatique

Un groupement hospitalier de territoire (GHT) est le dispositif, fondé sur une convention, qui réunit les établissements publics de santé d'un territoire autour d'un établissement support ; chaque établissement public de santé y est partie, sauf dérogation (code de la santé publique, art. L6132-1, issu de la loi n° 2016-41 du 26 janvier 2016). L'établissement support assure pour le compte des membres « la stratégie, l'optimisation et la gestion commune d'un système d'information hospitalier convergent et interopérable » ainsi que « la fonction achats » (art. L6132-3). Il met aussi en œuvre les mesures techniques qui garantissent le respect de la loi Informatique et libertés dans la gestion de ce système.

Lorsque le système d'information et les achats sont mutualisés, la reprise peut l'être aussi : un même cahier des charges pour plusieurs établissements, des enlèvements organisés site par site et des preuves rangées par propriétaire. Le groupement n'est doté de la personnalité morale que sur demande conjointe des directeurs des établissements parties (art. L6132-1) : vérifiez pour chaque poste l'entité qui l'a inscrit à son inventaire, car c'est à son niveau que se décide la réforme.

Un établissement public de santé est une personne publique : un poste en sort après une décision de réforme et une sortie d'inventaire. La fiche consacrée au procès-verbal de réforme et à la cession du matériel public détaille ces étapes. Pour la consultation elle-même, la fiche sur le cahier des charges d'une reprise de matériel informatique propose des lots, des clauses d'effacement et des critères de notation.

Les preuves à archiver pour le DPO et le RSSI

La fiche d'intervention de la règle P6 se constitue à partir de trois pièces remises par Destock Info :

• le bordereau de transfert signé, qui date la remise du matériel et identifie les deux parties, établissement cédant et repreneur ;
• le certificat par unité, qui indique numéro de série, modèle, méthode (Clear, Purge ou destruction), horodatage et résultat, dans un document scellé électroniquement ;
• le bilan de traitement, qui récapitule le devenir du parc, reconditionné ou recyclé en filière DEEE agréée.

Ces pièces rejoignent la documentation de sécurité de l'établissement et le registre des activités de traitement. L'ANSSI va dans le même sens dans ses recommandations de 2023 sur le reconditionnement des ordinateurs, non normatives : un poste sorti du parc doit être consigné avec, entre autres, sa date de sortie et le destinataire de la cession (R29). Les méthodes, le cas des SSD et le contenu détaillé du certificat sont présentés sur la page effacement sécurisé des données avant rachat.

Destock Info exerce ce métier depuis 2008 ; ses 12 techniciens traitent chaque année 24 000 ordinateurs dans l'atelier isérois, sans sous-traitance. Dans le secteur de la santé, le logo du Groupe Hospitalier Mont Saint-Michel est présenté parmi ses références.

Sources

• Destruction des données lors du transfert de matériel informatique, guide pratique technique PGSSI-S, version 2.0 Agence du numérique en santé, août 2022
• Corpus documentaire de la PGSSI-S Agence du numérique en santé
• Certification Hébergeur de données de santé (HDS) Agence du numérique en santé
• Les groupements hospitaliers de territoire peuvent-ils être exemptés de l'obligation de certification HDS ? ANS, FAQ HDS, juillet 2025
• Référentiel de certification HDS, version 2.0 (exigence 27) Agence du numérique en santé, arrêté du 26 avril 2024
• Code de la santé publique, article L1111-8 (hébergement de données de santé) Légifrance, version en vigueur depuis le 1er juillet 2025
• Code de la santé publique, article R1111-9 (activités d'hébergement) Légifrance, version en vigueur depuis le 27 mars 2026
• Recommandations relatives au reconditionnement des ordinateurs de bureau ou portables (ANSSI-PA-097) ANSSI, 2023
• Règlement (UE) 2016/679 (RGPD), article 4, point 15, et article 9 EUR-Lex
• Code de la santé publique, article L6132-1 (groupements hospitaliers de territoire) Légifrance, version en vigueur depuis le 29 décembre 2023
• Code de la santé publique, article L6132-3 (fonctions de l'établissement support) Légifrance, version en vigueur depuis le 1er janvier 2022
• Code de la santé publique, article L1110-4 (secret des informations de santé) Légifrance, version en vigueur depuis le 4 août 2021