L’article L. 1111-8 du code de la santé publique encadre l’activité d’hébergement des données de santé. Le régime juridique auquel est soumis l’hébergeur de données de santé ne doit pas être confondu avec celui auquel est soumis le sous-traitant.
Les dispositions législatives et réglementaires relatives à l’activité d’hébergement de données de santé s’appliquent à toute personne qui héberge des données de santé à caractère personnel recueillies à l’occasion d’activités de prévention, de diagnostic, de soins ou de suivi social et médico-social, pour le compte de personnes physiques ou morales à l’origine de la production ou du recueil desdites données ou pour le compte du patient lui-même.
Les opérations techniques considérées comme faisant partie de l’activité d’hébergement sont décrites à l’article R. 1111-9 du code de la santé publique.
Remarque
En revanche ne constitue pas une activité d’hébergement le fait de se voir confier des données pour une courte période, par les personnes physiques ou morales, à l’origine de la production ou du recueil de ces données, pour effectuer un traitement de saisie, de mise en forme, de matérialisation ou de dématérialisation de ces données. Cette exception a été adoptée pour exclure du champ d’application et donc des contraintes du texte les opérateurs amenés à héberger temporairement des données de santé à caractère personnel à l’occasion d’une prestation dont la finalité n’est pas l’hébergement proprement dit, telle que la saisie de comptes-rendus médicaux par exemple, effectués pour le compte de l’acteur de santé (C. santé publ., art. R. 1111-8-8 ).
L’hébergement de données de santé recueillies à l’occasion d’activités de prévention, de diagnostic, de soins ou de suivi social et médico-social, sur support papier ou électronique, pour le compte de personnes physiques ou morales à l’origine de la production ou du recueil de ces données pour le compte du patient lui-même, par un tiers agréé à cet effet ne peut avoir lieu qu’après que la personne concernée par les données hébergées en a été informée. Depuis la loi de modernisation de notre système de santé du 26 janvier 2016, le consentement exprès de la personne concernée n’est plus exigé. Son droit d’opposition pour motif légitime est toutefois maintenu. Par ailleurs, les personnes accueillies dans les établissements ou centres où s’exercent ces activités de prévention, de diagnostic et de soins doivent être informées individuellement des mentions prescrites par le RGPD par la remise d’un document ou tout autre moyen approprié leur permettant de prendre connaissance de ces mentions dès lors que leurs données personnelles sont transmises en vue d’un traitement de données de santé (C. santé publ., art. L. 1111-8 ; D. no 2019-536, 29 mai 2019 : JO, 30 mai ).
L’accès aux données ayant fait l’objet d’un hébergement s’effectue selon les modalités fixées dans le contrat d’hébergement dans le respect des articles L. 1110-4 et L. 1111-7 du code de la santé publique.
Les hébergeurs ne peuvent utiliser les données qui leur sont confiées à d’autres fins que l’exécution de la prestation d’hébergement.
Lorsqu’il est mis fin à l’hébergement, l’hébergeur restitue les données aux personnes qui les lui ont confiées, sans en garder de copie. Les hébergeurs de données de santé à caractère personnel et les personnes placées sous leur autorité qui ont accès aux données déposées sont astreints au secret professionnel dans les conditions et sous les peines prévues à l’article 226-13 du code pénal.
Tout acte de cession à titre onéreux de données de santé identifiantes directement ou indirectement, y compris avec l’accord de la personne concernée, est interdit sous peine des sanctions prévues à l’article 226-21 du code pénal, données détenues, à savoir 5 ans d’emprisonnement et 300 000€ d’amende.
Est considérée comme une activité d’hébergement de données de santé à caractère personnel sur support numérique, le fait d’assurer pour le compte du responsable de traitement ou du patient, tout ou partie des activités suivantes (C. santé publ., art. R. 1111-9 ) :
Afin de garantir l’échange, le partage, la sécurité et la confidentialité des données de santé à caractère personnel, les services numériques en santé doivent être conformes aux référentiels d’interopérabilité et de sécurité élaborés par le groupement d’intérêt public chargé du développement des systèmes d’information de santé partagés, pour le traitement de ces données, leur conservation sur support informatique et leur transmission par voie électronique.
Les référentiels sont élaborés en concertation avec les représentants des professions de santé, d’associations d’usagers du système de santé agréées, des établissements de santé, des établissements et services des secteurs médico-social et social ainsi que des opérateurs publics et privés du développement et de l’édition des systèmes d’information et des services et outils numériques en santé. Ils sont approuvés par arrêté du ministre chargé de la santé.
Ces référentiels s’appuient sur des standards ouverts en vue de faciliter l’extraction, le partage et le traitement des données de santé dans le cadre de la coordination des parcours de soins, de l’amélioration de la qualité des soins et de l’efficience du système de santé ou à des fins de recherche clinique, chaque fois que le recours à ces standards est jugé pertinent et possible par le groupement d’intérêt public (GIP) chargé du développement des systèmes d’information de santé partagés (C. santé publ., art. L. 1470-5 ).
La conformité d’un système d’information ou d’un service ou outil numérique en santé aux référentiels d’interopérabilité est attestée dans le cadre d’une procédure d’évaluation et de certification définie par décret en Conseil d’État (C. santé publ., art. L. 1470-6 ).
L’hébergeur de données de santé à caractère personnel sur support numérique doit être titulaire d’un certificat de conformité (C. santé publ., art. L. 1111-8, II).
Ce certificat est délivré par un organisme de certification accrédité par l’instance française d’accréditation, le COFRAC, ou l’instance nationale d’accréditation d’un autre État membre de l’Union européenne mentionnée à l’article 137 de la loi no 2008-776 du 4 août 2008, sur le fondement d’un référentiel de certification élaboré par le GIP chargé du développement des systèmes d'information de santé partagé (C. santé publ., art. L. 1111-8 et R. 1111-10 ).
Les conditions de délivrance de ce certificat sont fixées par décret en Conseil d’État pris après avis de la CNIL et des conseils nationaux de l’ordre des professions de santé.
L’Agence du numérique en santé a publié un référentiel de certification des hébergeurs de données de santé ainsi qu’un référentiel d’accréditation des organismes de certification des hébergeurs. Ces deux référentiels se réfèrent à plusieurs normes ISO complétées par des contraintes spécifiques à l’hébergement des données de santé. Ces référentiels ont été approuvés par arrêté ministériel ( Arr. 11 juin 2018, NOR : SSAZ1807891A : JO, 29 juin).
La procédure d’agrément subsiste pour l’activité d’hébergement des données de santé sur support numérique à des fins d’archivage électronique (C. santé publ., art. L. 1111-8, III).
Remarque
Les conditions d’agrément seront fixées par décret en Conseil d’État pris après avis de la CNIL et des conseils nationaux de l’ordre des professions de santé.
Les hébergeurs qui resteront agréés seront soumis au contrôle de l’inspection générale des affaires sociales ( Ord. no 2017-27, 12 janv. 2017 : JO, 13 janv. ; C. santé publ., art. L. 1111-8, VI.
L’agrément peut être retiré dans les conditions prévues par les articles L. 121-1, L. 121-2 et L. 122-1 du code des relations entre le public et l’administration, en cas de violation des prescriptions législatives ou réglementaires relatives à cette activité ou des prescriptions fixées par l’agrément (C. santé publ., art. L. 1111-8, III).
S’il est mis en œuvre, l’hébergement des données de santé à caractère personnel sur support papier est confié à une personne physique ou morale bénéficiant d’un agrément accordé par le ministre chargé de la culture.
La prestation d’hébergement doit faire l’objet d’un contrat conclu dans le respect des dispositions de la loi no 78-17 du 6 janvier 1978 dont les stipulations sont précisées par décret en Conseil d’État (C. santé publ., art. L. 1111-8, IV).
Le contrat d’hébergement de données de santé conclu entre l’hébergeur et son client devra obligatoirement comporter au moins les clauses suivantes (C. santé publ., art. R. 1111-11 ) :
les mesures mises en œuvre pour garantir le respect des droits des personnes concernées par les données de santé notamment :
Le contrat de prestation d’hébergement contient au moins les clauses suivantes (C. santé publ., art. R. 1111-16 ) :
Est réputée non écrite toute clause tendant à appliquer le droit de rétention aux données de santé à caractère personnel sur support papier (C. santé publ., art. R. 1111-16 ).
Retrouvez dans cet article l'analyse de 2 spécialistes, Guillaume Jagerschmidt, avocat en droit des nouvelles technologies et Zacharie Laïk. avocat au barreau de New York, sur l’impact de l’utilisation de ChatGPT pour le métier des avocats en 2 points : pour une utilisation raisonnée de ChatGPT et faire monter les exigences et les compétences des juristes
L’hébergement de données de santé est en principe réservé aux infrastructures sanitaires disposant de la certification « Hébergeur de données de santé » (HDS). Les établissements de santé qui gèrent leur propre système d’information de santé n’ont cependant pas besoin d’être certifiés HDS. Les services d’archivage informatiques ne sont pas concernés par ces obligations.
La conservation des données de santé à durée indéterminée n’est pas autorisée, il convient de respecter les limites définies par la règlementation. Pour ce faire, la CNIL a établi des référentiels indiquant les durées obligatoires ou préconisées. Par exemple, la durée de conservation en base active des informations du patient d’un cabinet médical est de 5 ans à compter de la dernière intervention, et de 15 ans en base intermédiaire.
