L’article L1111-8 du Code de la Santé Publique prévoit qu’un professionnel de santé, un établissement de santé ou la personne concernée ne peuvent déposer des données de santé qu’auprès d’un hébergeur agréé.

L’agrément est délivré par le Ministère de la Santé selon un processus défini par le décret du 4 janvier 2006, et sur la base du référentiel publié par l’ASIP en mars 2009.

Selon l’article L1115-1 du Code de la Santé Publique, l’hébergement de données de santé sans être titulaire de l’agrément est passible de trois ans d’emprisonnement et de 45000 euros d’amende.