FAQ des industriels

L’article L.1111-8 du code de la santé en public distingue trois grandes catégories de services d’hébergement de données de santé :

• l’hébergement de données de santé sur support papier dans le cadre d'un service d'archivage, qui doit être réalisé par un hébergeur agréé par le ministre de la culture ;
• l’hébergement de données de santé sur support numérique (hors cas d’un service d’archivage électronique) qui doit être réalisé par un hébergeur certifié HDS ;
• l’hébergement de données de santé sur support numérique dans le cadre d’un service d’archivage électronique, qui doit être réalisé par un hébergeur certifié HDS et agréé par le ministre de la culture dans des conditions qui seront définies par décret en Conseil d’Etat pris après avis de la Commission nationale de l’informatique et des libertés et des conseils des ordres des professions de santé.

Exemple de cas d'usage : les coffres forts numériques où l'utilisateur peut stocker des données de santé à caractère personnel.

Il s'agit des activités de suivi réalisées par les établissements et services sociaux et médico-sociaux. Ces établissements et services sont listés de façon exhaustive à l’article L.312-1 du code de l’action sociale et des familles.

Les activités de prévention mentionnées dans le CSP sont les actions menées afin éviter l’apparition ou l’aggravation de maladies. Les principales catégories d'activités de prévention incluent :

1. la prévention primaire : ces activités visent à éviter l'apparition de maladies ou d'incidents de santé en réduisant les facteurs de risque. Cela peut inclure : 

• les vaccinations,
• les campagnes de sensibilisation (i.e. tabagisme, alimentation, prévention des maladies cardiovasculaires),
• d'éducation à la santé (promotion des comportements favorables à la santé comme l’activité physique, lutte contre la sédentarité, éducation sur la santé mentale, etc.) ;

2. la prévention secondaire : elles concernent le dépistage précoce de maladies ou de conditions afin de les traiter rapidement. Par exemple, le dépistage prénatal, le dépistage néo-natal, dépistages des troubles du développement, le dépistage pour certains cancers ou maladies chroniques, etc ;

3. la prévention tertiaire : ces actions visent à diminuer les complications ou les séquelles d'une maladie déjà installée, souvent en rapport avec des soins ou du suivi de rééducation après un incident de santé ou une intervention médicale (réadaptation), sont concernés les programmes d’éducation thérapeutique du patient (diabète, hypertension, etc.).

Toutes ces activités peuvent nécessiter, par différents moyens, la collecte et l'hébergement de données personnelles de santé.

L’hébergeur doit être certifié sur toutes les activités qui constituent son offre (y compris sur les activités de son offre sous-traitées).

La responsabilité conjointe de traitement déclarée entre deux organismes ne fait pas disparaître l'obligation de certification HDS si les autres conditions sont remplies. En effet, dans la mesure où la détermination de la responsabilité conjointe de traitement relève de leur appréciation, on ne peut pas considérer qu'ils pourraient décider de se soustraire à l'obligation de certification, par cette seule décision.

L’article L.1111-8 du code de la santé publique dispose que : « Toute personne physique ou morale qui héberge des données de santé à caractère personnel recueillies à l’occasion d’activités de prévention, de diagnostic, de soins ou de suivi social ou médico-social pour le compte de personnes physiques ou morales à l'origine de la production ou du recueil de ces données ou pour le compte du patient lui-même, doit être agréée ou certifiée à cet effet ».

Certaines activités d'hébergement ne rentrent pas dans le périmètre établit à l'article L.1111-18 du Code de la santé publique. Il s'agit de (liste non exhaustive) :

• des organismes d’assurance maladie obligatoire et complémentaire dans le cadre de leur activité de prise en charge des frais de santé ; ces organismes manipulent des données de santé mais ils n’en sont pas à l’origine ;
• des organismes de recherche dans le domaine de la santé lorsque leurs bases de données ne sont pas initialement constituées à des fins de prévention, de diagnostic, de soins ou de suivi social et médico-social ;
• des associations qui proposent des activités sportives à des personnes en situation de handicap. Ces associations manipulent des données de santé mais elles n’en sont pas à l’origine.

L’obligation de disposer d’un certificat de conformité mentionnée à l’article L.1111-8 du code de la santé publique s’applique à toute entité qui propose un service d’hébergement : 

1. portant sur des données de santé à caractère personnel recueillies à l'occasion d'activités de prévention, de diagnostic, de soins ou de suivi social et médico-social ; 
2. pour le compte du patient ou pour le compte des professionnels de santé, des établissements et services de santé et tout autre organisme réalisant des missions de prévention, de soins, de suivi médico-social et social à l’origine de ces données.

Ces conditions sont cumulatives et l'obligation s'applique à toute personne (physique ou morale), qu’elle relève du droit public ou du droit privé.

Tout professionnel de santé, tout établissement et service de santé et tout autre organisme réalisant des missions de prévention, de soins, de suivi médico-social et social (personnes physiques ou morales) doit apprécier au cas par cas si ces données de santé dont il entend confier l’hébergement à un tiers proviennent de  son activité de prévention, de diagnostic, de soins ou de suivi social et médico-social.

En outre, tout projet de système d’information (SI) portant sur l’exploitation des données susmentionnées nécessite de s’interroger au cas par cas sur l’application de la législation relative à l’hébergement des données de santé. Il incombe donc au responsable du système d’information de veiller au respect de cette législation dès que l’une des fonctionnalités du SI concerne des données de santé répondant aux critères ci-dessus.

Par exemple, un établissement de santé exploitant un DPI est tenu de recourir à un hébergeur certifié HDS en cas d’externalisation de l’hébergement de ce DPI. 

Le règlement européen sur la protection des données personnelles donne une définition depuis avril 2016. Ce sont les données relatives à la santé physique ou mentale d'une personne physique, y compris la prestation de services de soins de santé, qui révèlent des informations sur l'état de santé de cette personne.

Des précisions sont apportées par la CNIL.

Vous pouvez décomposer votre offre de services en autant de produits que vous souhaitez pour renseigner la plateforme. La segmentation de votre offre adéquate doit être trouvée au regard de votre activité et les parcours et démarches proposés par la plateforme.

Il est notamment nécessaire de décliner en plusieurs produits les versions associées à des supports ou devices différents dès lors que ces derniers ont une incidence sur le niveau de maturité.

Afin de faciliter l’identification des produits, chacune des éditions et versions des produits commercialisés est à renseigner. Nous vous proposons notamment de respecter la nomenclature suivante pour le nommage du produit [NomDuProduit] [OS] [Appareil] avec :

• appareil qui peut prendre pour valeur « Mobile » ou « Site Web »
• OS qui peut prendre pour valeur « iOS », « Android », « Windows », « Linux » ou tout autre système d'exploitation.

Également, dans le cadre du référencement Mon espace santé : vous devez ajouter comme produit la solution qui est visible pour le citoyen dans le catalogue de services. Le nom commercial doit être le même que celui visible du citoyen.

La plateforme Convergence vous accompagne dans le développement de votre activité et la définition de votre plan de mise en conformité à la réglementation spécifique au secteur de la e-santé.

Pour cela, la plateforme est organisée autour de deux parcours :

• doctrine du numérique en santé ;
• Mon espace santé.

Chacun de ces parcours est décliné en démarches :

• doctrine du numérique en santé est décliné en 4 démarches : Evaluation et projection socles, Téléconsultation, Téléexpertise, Télésoin ;
• Mon espace santé est quant à lui décliné en 2 démarches : Référencement sans échange de données, Référencement avec échange de données.

Les démarches regroupent des questionnaires dont la complétion vous permet d’évaluer la maturité et/ou la conformité de vos produits à la doctrine du numérique en santé ou les évaluations nécessaires au référencement Mon espace santé.

Il existe deux principaux profils d’utilisateur dans la plateforme Convergence :

• Responsable : c’est soit le Mandataire social, soit une personne habilitée par le Mandataire social ; il est habilité à ajouter de nouveaux contributeurs, à créer des produits et à donner des droits aux contributeurs de son entreprise ;
• Contributeur : il est habilité à créer des comptes d’autres contributeurs, à créer des produits, à compléter des questionnaires dans la limite des droits qui lui sont attribués.

Des permissions d’accès sont données aux contributeurs afin qu’ils accèdent aux questionnaires des produits déjà créés au sein de la plateforme et aux questionnaires relatifs à la stratégie globale.

Les contributeurs qui n’ont pas le droit de validation des questionnaires peuvent uniquement enregistrer des brouillons pour les questionnaires auxquels ils ont accès.
 

Pour se lancer dans la complétion de la plateforme il est nécessaire en premier lieu d'identifier un responsable qui pilotera les opérations de complétion. Ce responsable peut ensuite inventorier les produits qui devront intégrer le périmètre de saisie et lister les ressources à mobiliser : responsables de produits, experts techniques, fonctionnels… Malgré les efforts de contextualisation des questions, des connaissances sur l'interopérabilité des SI de santé, la sécurité, et sur les ambitions de la doctrine du numérique en santé sont un prérequis.

Un temps de lecture des questionnaires en groupe peut ensuite être organisé. A partir de la complétion d'un premier produit, la lecture des questionnaires permet d'identifier les sujets maîtrisés comme les sujets à instruire.

Ensuite, le pilote peut proposer à l'ensemble des responsables de produits des points réguliers afin de suivre l'avancement de la saisie, garantir la cohérence des réponses et partager les retours des experts.

A la suite de la demande d’inscription de votre entreprise sur la plateforme Convergence, nous vous sollicitons afin que vous nous fournissiez les pièces justificatives (copie de votre pièce d’identité et Kbis de moins de 3 mois) nous permettant de vérifier l’identité de votre entreprise et de nous assurer que le responsable est habilité à représenter l’entreprise qui a été déclarée.

La vérification des entreprises enregistrées sur la plateforme Convergence est nécessaire pour prévenir l’usurpation d’identité et la saisie de données erronées.

Pour nous confirmer l’identité de votre entreprise, nous vous contactons à la suite de votre demande d’inscription et vous invitons à envoyer les pièces justificatives à une adresse dédiée.

Au sein de la plateforme, vous pouvez compléter les questionnaires pour :

• les solutions, services ou dispositifs numériques en santé que vous proposez en les renseignant dans la section intitulée « vos produits » ;
• votre stratégie globale, soit l’ensemble des actions transverses que vous appliquez aux produits de votre catalogue.

Décrivez ainsi votre catalogue de produits puis choisissez les parcours et les démarches dans lesquels vous souhaitez les inscrire afin d’évaluer leur maturité et construire votre stratégie réglementaire.

La plateforme est structurée autour de ces notions que l’on retrouve :

• sur le tableau de bord après connexion ;
• dans la barre de navigation.

La plateforme Convergence accompagne les acteurs de la e-santé à se conformer à la réglementation et à accélérer leur développement. Elle adresse tous les produits (solutions, services, dispositifs…) numériques de santé ou de bien être déployés en production ou dans le cadre d’expérimentations concernés par la feuille de route du numérique en santé.

Plus particulièrement Convergence vise les produits pour lesquels :

• vous souhaitez réaliser une autoévaluation de maturité à la doctrine du numérique en santé ;
• vous désirez construire leur trajectoire de mise en conformité ;
• vous voulez évaluer la conformité aux référentiels fonctionnels de Télésanté ;
• vous avez l’intention de les faire référencer au catalogue de services de Mon espace santé ;
• vous candidatez au référencement Ségur du numérique en santé.

Les produits qui sont en cours de développement ne sont pas concernés, excepté si leur mise en production et déploiement doivent intervenir très prochainement.