FAQ des industriels

Rappel de l'exigence : Lors de la visualisation d’un document au format HL7 CDA R2, le Système DOIT le rendre lisible par un humain (l'entête et le corps) avec la feuille de style envoyée par le producteur si elle existe, sinon avec la feuille de style du consommateur (un lien pour obtenir une feuille de style d'exemple est fournie dans le scénario).

Scénario - Vérifier la lisibilité par l'utilisateur des données d'un document au format HL7 CDA R2 N1
Prérequis : Un document au format HL7 CDA R2 N1 est reçu par le système.
Etapes du scénario : 

• intégrer un document H7 CDA R2 niv 1 ;
• afficher les données de l'en-tête d'un document au format CDA R2 N1.

Il est recommandé au consommateur de vérifier et de nettoyer la feuille de style du producteur afin de se prémunir des attaques de type injection, Cross Site Scripting, déni de service...etc. Si la feuille de style du producteur présente un quelconque risque de sécurité, le système doit utiliser sa propre feuille de style pour afficher le document.

Pour être conforme à l'exigence ETH.08, il est suffisant que le système offre la possibilité au patient de sélectionner le type de lieu où il se situe lors de la téléconsultation. Cela peut inclure des options comme le domicile, une officine, un EPHAD, ou tout autre lieu approprié. L'exigence ne nécessite pas que le patient fournisse son adresse exacte. L'objectif principal de cette exigence est de garantir que le système permette d'identifier le lieu général de la consultation pour des raisons de traçabilité et de sécurité, sans imposer la saisie d'une adresse précise. 

Par contre, l’ETHT.02 impose que le patient puisse saisir son adresse précise où a lieu la téléconsultation : « Le Système DOIT afficher une interface de saisie du lieu où se situe le patient (adresse, code postal, géolocalisation, ...)… ».

La version v15 apporte des clarifications et un point de contrôle en moins qui est la vérification antivirus lors de upload de fichier. Selon le cas il est possible :

• soit l'ENS a déjà réalisé le test d’intrusion sur la base d’une version plus ancienne du formulaire alors l'ENS peut poursuivre sur cette base ; il n'est donc pas nécessaire de relancer un audit complet sur le nouveau formulaire. Si l'ENS a une non conformité sur le point de contrôle qui a été retiré de la nouvelle version du formulaire test d'intrusion v15, ce point n'est pas considéré comme bloquant.
• soit l' ENS n'a pas encore réalisé le test d’intrusion et il faut alors obligatoirement partir sur la nouvelle version du formulaire v15.

Pour les sociétés de Téléconsultation proposant des mises en relation avec un médecin sans rendez-vous, le principe de la territorialité s’applique selon les scénarios établis par le référentiel. 

Pour les sociétés de Téléconsultation proposant des mises en relation avec un médecin avec rendez-vous, le principe de territorialité s’applique également selon les scénarios établis par le référentiel. 

Pour le cas où la société de téléconsultation propose les 2 cas d’usage de mise en relation avec un médecin avec et sans rendez-vous, et dans le cas spécifique où le « sans rendez-vous » n’est proposé au patient qu’après lui avoir proposé des rendez-vous, alors il est possible que seuls les scénarios de prise de rendez-vous soient conformes au principe de territorialité. En effet, dans ce cas particulier, un médecin du territoire aura été proposé au patient suivant l’algorithme proposé dans l’exigence ETHT.02. 

A noter que, dans tous les cas, si le patient décide de ne pas saisir sa localité (ayant comme conséquence le non applicabilité du principe de territorialité), il doit avoir été préalablement informé des conséquences sur la prise en charge de l’acte via l’affichage du message d’information (ETHT.01).

Le parcours téléphonique ne rentre pas dans le périmètre du référentiel d’interopérabilité, de sécurité et d’éthique des SI de téléconsultation. 

Néanmoins, si le parcours téléphonique peut se transformer en téléconsultation avec flux vidéo et audio (par exemple, envoi d’un lien de connexion à l’issu de l’échange téléphonique), alors le système d’information incluant le parcours téléphonique doit respecter le principe de territorialité suivant :

• ETHT 01 : en rappelant le principe de territorialité à l'usager en informant les messages de territorialité :
  "Votre localisation vous est demandée afin de vous mettre prioritairement en relation avec un médecin proche de chez vous. Cette proximité doit permettre d’optimiser la qualité de votre prise en charge. Dans tous les cas, le médecin évaluera et facilitera le renvoi vers une consultation en présentiel si votre état de santé le nécessite. Pour en savoir plus sur les conditions de prise en charge des téléconsultations l’Assurance Maladie : https://www.ameli.fr/assure/remboursements/rembourse/consultations-telemedecine/telemedecine/teleconsultation".
• ETHT 02 : le patient doit pouvoir renseigner sa localisation afin que le principe de territorialité s’applique, comme énoncé dans l’ETHT.02.

On appelle Système d'Intelligence Artificielle (SIA) un logiciel, développé à l'aide d'une ou de plusieurs des techniques et approches énumérées ci-dessous, capable de calculer à partir d’éléments reçus en entrée des résultats représentant des prédictions, des recommandations ou des propositions de décisions susceptibles d'influencer des environnements, physiques ou virtuels, avec lesquels le SIA interagit. Les différents systèmes d'IA varient en fonction de leur niveau d'autonomie et de leur capacité d'adaptation après leur déploiement.

Les techniques et approches considérées sont les suivantes :

• les approches d'apprentissage automatique (AAA) encore appelé apprentissage machine, notamment les apprentissages supervisés, non supervisé ou par renforcement, pouvant utiliser une grande variété de techniques, y compris l'apprentissage profond. Les systèmes d’IA générative utilisent ce type d’approche et s'appuient sur des réseaux neuronaux numériques profonds pour générer leurs résultats. Les AAA permettent aux SIA d’identifier des motifs, des structures, ou des relations dans les données puis de les utiliser pour produire un résultat.
• les approches logiques et fondées sur les connaissances, intégrant le raisonnement (symbolique), les bases de connaissances, les moteurs d'inférence notamment déductifs, la programmation inductive (logique) et les systèmes experts.
• Les approches statistiques, l'estimation bayésienne, les méthodes de recherche et d'optimisation.

L'exigence ETH.17.1 précise « SI le Système intègre une intelligence artificielle, que ce soit pour l'aide à la décision du professionnel médical ou un chatbot interagissant avec le patient ALORS le Système DOIT informer les utilisateurs (professionnels médicaux et/ou patients) qu'ils interagissent avec une solution d'intelligence artificielle, s’assurer de leur bonne compréhension, et recueillir leur consentement. ». Elle s'applique uniquement aux solutions de téléconsultation intégrant une intelligence artificielle. 

Cette exigence est donc considérée "Non applicable" pour une solution de téléconsultation qui n’intègre pas d’intelligence artificielle. Dans ce cas, une déclaration sur l'honneur justifiée, datée et signée par le responsable légal de l'entreprise, devra être fournie en preuve.

Il en est de même pour l'exigence ETH.18.1 : « SI le Système met en œuvre un traitement algorithmique des données issues de la téléconsultation intégrant une intelligence artificielle ALORS le Système DOIT documenter et rendre consultable par tous, le niveau de performance et les biais algorithmiques de la solution d'intelligence artificielle. ».

Pour rappel l’exigence ETH.11.1.2 est la suivante : « En cas de réutilisation des données issues de la téléconsultation, le Système DOIT mettre en œuvre des mécanismes permettant de garantir que les patients ont été informés de la réutilisation de leurs données pour servir des finalités secondaires, de la finalité poursuivie, de l’identité du responsable de traitement (si différent du SI de téléconsultation), et des droits RGPD des personnes, qu'ils l'ont bien compris et qu’ils y consentent. ». Le consentement au recueil de données au cours d’une téléconsultation est inclus dans le consentement à la téléconsultation. Pour le traitement des données servant une finalité secondaire, il faudra autant de consentements que de finalités secondaires.

Par exemple dans le cas particulier de la recherche, il peut y avoir plusieurs recherches et dans ce cas, si la société de TLC a obtenu une autorisation générique recherche, un seul consentement à la ré-utilisation des données pour la recherche suffira en plus du consentement à la téléconsultation qui lui sera obtenu à chaque téléconsultation. Si la société de TLC n’a pas obtenu d’autorisation générique recherche, il faudra autant de consentements que de finalités de recherche, en plus du consentement à la téléconsultation, à chaque téléconsultation.

Dans le cas du critère ETH.11.1.2 « En cas de réutilisation des données issues de la téléconsultation, le Système DOIT mettre en œuvre des mécanismes permettant de garantir que les patients ont été informés de la réutilisation de leurs données pour servir des finalités secondaires, de la finalité poursuivie, de l’identité du responsable de traitement (si différent du SI de téléconsultation), et des droits RGPD des personnes, qu'ils l'ont bien compris et qu’ils y consentent », une finalité secondaire peut être par exemple d’améliorer le service, de servir la recherche, la commercialisation des données ou des résultats d’analyse des données, l’utilisation des données pour alimenter les statistiques propres à l’éditeur, etc.

L'exigence ETH.11.1.2 précise qu' « en cas de réutilisation des données issues de la téléconsultation, le Système DOIT mettre en œuvre des mécanismes permettant de garantir que les patients ont été informés de la réutilisation de leurs données pour servir des finalités secondaires, de la finalité poursuivie, de l’identité du responsable de traitement (si différent du SI de téléconsultation), et des droits RGPD des personnes, qu'ils l'ont bien compris et qu’ils y consentent ». Une analyse d’un groupe de patients (au moins 10) pourrait répondre à l'exigence, à condition que ce soit un panel représentatif de la population d’usagers ciblées par la téléconsultation (en termes par exemple d'âge, de sexe, de handicap, de niveau de littératie, de catégorie socio professionnelle…).

L'exigence ETH.09.1 « SI la téléconsultation est enregistrée, le Système DOIT en informer le patient (l'information doit être claire et facilement accessible), et le Système DOIT permettre au patient de consentir à l'enregistrement de la téléconsultation ou de mettre fin à la téléconsultation ? » s'applique uniquement aux solutions de téléconsultation proposant l'enregistrement des téléconsultations. 

Cette exigence est donc considérée "Non applicable" pour les solutions de téléconsultation qui n’enregistrent pas les téléconsultations. Dans ce cas, une déclaration sur l'honneur justifiée, datée et signée par le responsable légal de l'entreprise, devra être fournie en preuve.

L'exigence ETH.07.1 « Le Système DOIT permettre au patient lors de la téléconsultation d'accéder aux informations suivantes : la civilité, le titre, le nom, le prénom, la spécialité, le niveau de formation du professionnel de santé à la téléconsultation (formation interne de la société de téléconsultation, formation réalisée par une société savante, formation du Développement Professionnel Continu, formation par une organisation de Formation Médicale Continue, ...) et s'il a un exercice médical en présentiel, l'adresse de son cabinet. » implique que les informations du professionnel médical soient mises à disposition du patient. Si le professionnel médical exerce également en présentiel, l'adresse de son lieu d’exercice doit être accessible au patient. Il est accepté de ne renseigner que la ville ou le code postal du lieu d'exercice.

L’exigence ETH.03 « Le Système DOIT permettre au professionnel de santé d'évaluer la capacité du patient à consentir à l'acte de téléconsultation. ». 

Ainsi, le professionnel médical doit s’assurer que le patient dispose d’une capacité de discernement lui permettant d’apprécier que le patient est en capacité de consentir à la téléconsultation. La case à cocher ne suffit pas (cf preuves ETH .03.01.01).

L’exigence ETH.04 « Le Système DOIT permettre au patient de confirmer son libre choix au recours à la téléconsultation. Le recueil de cette information est tracé. ».

Ainsi, le patient doit obligatoirement indiquer son consentement à la téléconsultation, à chaque téléconsultation.

Dans le cadre par exemple de l'exigence ETH.24.1 « SI les données recueillies au cours de la téléconsultation sont traitées pour servir une finalité secondaire, ALORS les données DOIVENT être traitées de façon à ne pas permettre la réidentification directe des patients ? », il est conseillé de suivre les règles de la CNIL : il est attendu de votre système une démonstration de sa performance à anonymiser / pseudonymiser (échantillonnage, process d’évaluation et de qualification - par exemple score d’anonymisation) :

• dans le cas d'une anonymisation, il ne doit pas y avoir de moyen de réidentifier l'usager ; 
• dans celui d'une pseudonymisation, il ne doit pas être possible de réidentifier l'usager directement.

Pour rappel l’exigence ETH.29.1 est la suivante : « Le Système DOIT être développé en Responsive Web Design (RWD) permettant une adaptation automatique de l’affichage à la taille de l’écran du terminal qui le lit [...] ».

Le Responsive Web Design (RWD) doit permettre une adaptation automatique de l'affichage à la taille de l'écran du terminal qui le lit à la fois pour le patient mais aussi pour le professionnel médical. Si une charte impose l'utilisation d'un dispositif spécifique pour le professionnel médical, l'affichage doit être optimisé pour ce dernier. Il n'est pas imposé d'optimiser l'affichage automatique de l'écran pour les autres dispositifs.

L’exigence ETH.33 « Le Système DOIT intégrer dans son cycle de vie une démarche globale de développement durable. » concerne la société de TLC au sens large alors que l’exigence ETH.34 « Le Système DOIT mettre en œuvre des pratiques d'écoconception afin de réduire l’impact environnemental du service. » concerne le logiciel.

Au sujet de la démarche globale, il est attendu de prouver l’engagement de la société dans sa préoccupation au sujet de l’impact environnemental du numérique dans la TLC. Vous devez démontrer une démarche d’évaluation, par exemple avoir un écolabel par un organisme indépendant, faire une autoévaluation, fournir un rapport annuel RSE avec description des activités, transmettre le pourcentage de salariés formés à l’écoconception. 

L’écoconception concerne les méthodes de codage du SI.

Oui. L’ANS met à votre disposition sa plateforme de formation e-santé, avec plusieurs vidéos d'accompagnement concernant la cybersécurité. Vous y trouverez, notamment, comment demander un audit de cybersurveillance, comment signaler un incident grave de sécurité SI, comment améliorer vos mots de passe, ou comment identifier les emails malveillants.

Le ministère a lancé un portail de signalement des événements sanitaires indésirables destinés aux particuliers, professionnels de santé, et entreprises. 

Le CERT Santé assure le traitement des signalements des incidents de sécurité les jours ouvrés de 9h à 18h. En dehors de ces heures, il est possible de contacter l’ANSSI.

CERT Santé
+33 (0)9 72 43 91 25
Agence du Numérique en Santé
2-10 Rue d'Oradour-sur-Glane
75015 Paris

Il est nécessaire de :

• préciser les standards d'authentification sécurisés utilisés pour l'authentification des utilisateurs (exemple : OAuth2, SAML etc.…) ; 
• préciser les mécanismes mis en place pour authentifier les parties communicantes (exemple : certificats numériques x.509) ; 
• préciser les noms et les versions des protocoles de communication utilisés pour la transmission des flux vidéo (webRTC, RTP etc.…) et les mécanismes de protection de ces protocoles le cas échéant ; 
• préciser les mécanismes mis en place pour assurer l'intégrité des données transmises (algorithmes SHA-256, HMAC etc.…) ; 
• éventuellement, fournir un schéma d'architecture montrant comment les flux vidéo sont protégés de bout en bout, pour appuyer les éléments précédents ; 
• préciser les protocoles ne pouvant être chiffrés, le cas échéant.

Le référentiel de télésanté pose les exigences liées aux fonctionnalités nécessaires ou utiles à la réalisation d’un acte de téléconsultation, téléexpertise ou de télésoin. Il couvre notamment :

• la gestion et l’administration des identités ;
• la planification et la préparation d’un acte de téléconsultation, de téléexpertise et de télésoin ;
• la réalisation, la conclusion, le paiement et la facturation d’un acte de téléconsultation, de téléexpertise et de télésoin ;
• l’administration, la sécurisation et la traçabilité des données du système.