Le décret n°2018-137 du 26 février 2018 relatif à l’hébergement de données de santé à caractère personnel, pris en application de l’ordonnance du 12 janvier 2017, a été publié au journal officiel le mercredi 28 février 2018.
Le décret remplace l’agrément pour l’hébergement de données de santé sur support électronique délivré par le Ministère des solidarités et de la santé (après avis d’un comité d’agrément et de la Commission nationale de l’informatique et des libertés) par un certificat délivré par un organisme certificateur accrédité par le Comité français d’accréditation (COFRAC) ou un organisme européen équivalent. Il harmonise également les dispositions du code du patrimoine et celles du code de la santé publique relatives aux conditions d’externalisation des données de santé à caractère personnel. Le dispositif entrera en vigueur au 1er avril 2018.
Le décret précise le champ des activités d’hébergement des données de santé à caractère personnel relevant de la certification. Il détermine les conditions d’application de l’obligation de recourir à un hébergeur certifié ou agréé. Le décret fixe les conditions d’obtention du certificat de conformité. Il explicite les clauses que doit contenir le contrat d’hébergement des données de santé. Il précise enfin les conditions dans lesquelles sont régis les demandes d’agrément déposées et les agréments accordés avec le 31 mars 2018.
Le décret entérine le passage d’un dispositif d’agrément français assuré par l’ASIP Santé à une procédure de certification confiée à des organismes certificateurs accrédités par le COFRAC ou un organisme européen équivalent
Adopté par la section sociale du Conseil d’Etat le 6 février 2018 puis validé le 7 février 2018 par le Secrétariat général du gouvernement, le décret du 26 février 2018 est effectif à compter du jour de sa publication au journal officiel (le mercredi 28 février 2018).
La procédure s’impose à tout type d’hébergeur des données de santé à caractère personnel
A compter du 1er avril 2018, tout organisme hébergeant des données de santé à caractère personnel devra être certifié HDS. Cette obligation s’impose à tout hébergeur recueillant des données « à l’occasion d’activités de prévention, de diagnostic, de soins ou de suivi social et médico-social », « pour le compte de personnes physiques ou morales responsables de traitement » ou « pour le patient lui-même » (Art. R. 1111-8-8 du code de la santé publique introduit par le décret).
Cette procédure de certification s’impose donc aux hôpitaux hébergeant des données de santé pour le compte d’autres établissements de santé, dans le cadre d’un GHT par exemple. Elle s’applique également aux industriels désireux de commercialiser un objet connecté recueillant des données personnelles. Les acteurs de santé doivent vérifier si leur prestataire hébergeur de données de santé est certifié.
Le décret précise le champ d’activités d’hébergement de données de santé à caractère personnel soumises à une certification
Aux termes de l’article R. 1111-9 du code de la santé publique (introduit par le décret), est considérée comme une activité d’hébergement de données de santé à caractère personnel sur support numérique tout ou partie des activités suivantes :
La mise à disposition et le maintien en condition opérationnelle :
- des sites physiques permettant d’héberger l’infrastructure matérielle du système d’information utilisé pour le traitement des données de santé ;
- de l’infrastructure matérielle du système d’information utilisé pour le traitement des données ;
- de l’infrastructure virtuelle du système d’information utilisé pour le traitement des données ;
- de la plateforme d’hébergement d’applications du système d’information.
Sont également concernées tout ou partie des activités suivantes :
- l’administration et l’exploitation du système d’information contenant les données de santé ;
- la sauvegarde des données de santé.
Ces activités sont soumises à une certification.
Le décret précise le mode d’accréditation des organismes de certification
Aux termes du nouvel article R.1111-10 du code de la santé publique, l’organisme de certification doit être accrédité par « le Comité français d’accréditation ou tout autre organisme d’accréditation signataire d’un accord de reconnaissance mutuelle multilatéral pris dans le cadre de la coordination européenne des organismes d’accréditation ».
Cette procédure doit se faire conformément à un référentiel d’accréditation élaboré par le groupement d’intérêt public chargé du développement des systèmes d’information partagés, visé à l’article L.1111-24 du code de la santé publique, en lien avec les organismes d’accréditation concernés.
Le décret précise les clauses minimales que doit comporter le contrat d’hébergement
L’article R.1111-11 du code de la santé publique énumère 14 clauses que le contrat conclu entre l’hébergeur et son clients doit au minimum comporter.
Le décret précise les conditions de traitement des demandes d’agrément déposées avant le 31 mars 2018
Les agréments pour l’hébergement de données sur support numérique délivrés avant le 31 mars 2018 ou à la suite de demandes déposées avant cette date, restent régis jusqu’à leur terme par les dispositions de :
« 1° La sous-section 1 du chapitre Ier du titre Ier du livre Ier de la première partie du code de la santé publique dans leur rédaction avant l’entrée en vigueur de l’article 1er du décret ;
2° La sous-section 2 du chapitre Ier du titre Ier du livre Ier de la première partie du code de la santé publique dans leur rédaction avant l’entrée en vigueur de l’article 2 du décret. »
Par ailleurs, lorsque l’agrément pour l’hébergement de données de santé sur support informatique arrive à son terme avant le 31 mars 2019, la durée de l’agrément est prolongée pour une durée de six mois afin de permettre à l’hébergeur d’effectuer les démarches de certification nécessaires à la poursuite de son activité d’hébergement de données de santé.
La CNIL émettait quelques réserves dans un avis rendu le 12 octobre 2017 sur une version antérieure du projet de décret
Sur la champ d’application de l’article L.1111-8 du CSP
Dans une délibération du 12 octobre 2017 portant sur le projet de décret , la CNIL soulignait que la rédaction de l’article « a conduit de nombreux responsables de traitement à s’interroger sur l’obligation de recourir ou non à un hébergeur de données de santé ». La CNIL expliquait que certains assureurs estimaient avoir l’obligation légale de faire appel à des hébergeurs répondant aux obligations de l’article L.1111-8 lorsqu’ils externalisent l’hébergement de données recueillies dans le cadre de procédures de remboursement. D’autres assureurs ne s’estimaient pas soumis à ces obligations.
Sur le périmètre des activités d’hébergement soumises à certification
La Commission estimait que le projet de décret « devait être modifié pour lever les interrogations subsistantes sur le contour de l’obligation de recourir à un hébergeur de données de santé certifié ».
Le Décret est disponible au téléchargement sur le site du Journal Officiel.