FAQ des industriels

Le référentiel d'interopérabilité et de sécurité des DMN est traduit en anglais. Il est disponible sur le portail industriel de l'Agence du Numérique en Santé. Les guides de dépôt des différents parcours seront traduits prochainement.

Non. Le bon de commande doit impérativement faire figurer le montant réel, non nul, de la Prestation Ségur. La prise en charge par l'Etat doit être indiquée par la mention « Montant pris en charge par l’Etat au titre du Ségur de la santé » visible sur le bon de commande.  

En particulier, au moment de la demande de solde, une copie de la facture faisant apparaître un montant total de la Prestation Ségur à 0€ sera systématiquement rejetée.

Pour annuler votre demande de financement vous devez contacter le support utilisateur de l'ASP en fournissant : 

 i. une attestation sur l’honneur signée et motivée de votre part si l'annulation est de votre propre chef, pour une erreur effectuée lors de la demande ;

ii.  une attestation sur l'honneur signée et motivée de votre part et une attestation de renonciation du client si l'annulation est en accord avec le client ES/PS. 

Après vérification du périmètre de l'annulation par rapport au périmètre initial et de l'avance perçue le cas échéant : 

Cas 1 : Demande d'annulation de la totalité de la demande de financement concernant le ou tous les bénéficiaires du périmètre initial pour un éditeur ayant déjà perçu l'avance 

• l’ASP annule la demande de financement ;
• l’éditeur rembourse l’avance perçue.

Cas 2 : Demande d'annulation partielle de la demande de financement concernant un ou plusieurs bénéficiaires du périmètre initial pour un éditeur ayant déjà perçu l'avance 

• réouverture et modification de la demande de financement par l'ASP pour supprimer le ou les bénéficiaires OU Annulation par l’ASP et dépôt d’une nouvelle demande sur le bon périmètre par l’éditeur ;
• une régularisation du trop-perçu est effectuée par l’ASP au moment du solde.

Cas 3 : Demande d'annulation de la totalité de la demande de financement concernant le ou tous les bénéficiaires du périmètre initial pour un éditeur n'ayant pas perçu l'avance 

• l’ASP annule la demande de financement.

Cas 4 : Demande d'annulation partielle pour un ou plusieurs bénéficiaires du périmètre initial pour un éditeur n'ayant pas perçu l'avance 

• avant le 17/11 : Rejet par l’ASP et dépôt d’une nouvelle demande sur le bon périmètre par l’éditeur ;
• à partir du 17/11 : Modification de la demande de financement pour suppression du ou des bénéficiaires.

Des modèles d'attestation sont disponibles auprès de l'ASP. 

Pour contacter l’Assistance Utilisateur de l’ASP : https://segurnum.asp-public.fr/segurnum/contacter-assistance 

La CNIL propose sur son site une mappemonde sur le niveau de protection des données reconnu dans les divers pays du monde qui identifie ceux qui n’ont pas un niveau de protection adéquat et pour ceux qui ont un niveau de protection adéquat mais qui malgré tout, comme les États-Unis par exemple, ont des législations qui permettent un accès non autorisé.

En cas de rachat d’un hébergeur ou d’un sous-traitant ultérieur (achat d’un datacenter actuellement détenu par un fonds de pension canadien par un fonds de pension US etc.) que faire ?

La table de correspondance avec SecNumCloud fournie en annexe du référentiel est uniquement fournie à titre indicatif. Elle n’est pas à compléter. 

Tout sous-traitant ultérieur réalisant tout ou partie d’une des six activités identifiées dans l’article R1111-9 du Code de la Santé Publique doit figurer dans le tableau des garanties. 

L’Hébergeur doit renseigner la liste des réglementations extra communautaires auxquelles il est soumis (FISA, Cloud Act, etc.) dans la documentation à fournir à son client.

S’agissant de la transparence (tableau des garanties publiques) il doit indiquer s'il est soumis ou pas un risque d'accès tel qu’évoqué dans la question et citer le pays concerné.

Le rôle de l’organisme certificateur est de s’assurer que les éléments attendus sont mis à disposition des clients des hébergeurs et du grand public et non de les évaluer. En cas de nécessité, la CNIL est l’autorité compétente pour contrôler la véracité de ces déclarations et sanctionner les éventuels manquements.

Chacun des acteurs qui réalise tout ou partie des 4 sous activités précisées pour l’activité 5 doit être certifié (cf. Chapitre 2.1 du référentiel de certification ) : 

• la définition d’un processus d’attribution et de revue annuelle de droits d’accès nominatifs, justifiés et nécessaires ; 
• la sécurisation de la procédure d’accès ; 
• la collecte et la conservation des traces des accès effectués et de leurs motifs ; 
• la validation préalable des interventions (plan d’intervention, processus d’intervention).

Si plusieurs acteurs ont en charge ces sous-activités, tous ces acteurs doivent être certifiés.

Recommandation : la désignation d’un unique acteur (ou d’un nombre réduit d’acteurs) pour la gestion des droits permet de limiter l’obligation de certification à quelques acteurs.

Une période de transition, calculée à compter de la date de publication de l’arrêté du 26/04/2024, a été fixée à 6 mois (soit le 16/11/2024) pour les organismes de certification et à 24 mois pour les hébergeurs déjà certifiés (soit le 16/05/2026). Pour plus d'information, veuillez consulter la note de transition détaillée publiée sur le site du COFRAC

Oui : l'utilisation d'un code d'une nomenclature au lieu d'un libellé n'a pas d'impact sur l'obligation de certification. La nature de la donnée de santé à caractère personnel n'est pas modifiée.

Oui : la pseudonymisation n'a pas d'impact sur l'obligation de certification. La nature de la donnée de santé à caractère personnel n'est pas modifiée.

Oui : le chiffrement n'a pas d'impact sur l'obligation de certification. La nature de la donnée de santé à caractère personnel n'est pas modifiée.

Dans le cadre d’un appel d’offres pour un système d’information nécessitant un hébergement de données de santé à caractère personnel, le titulaire du marché est soumis à l’obligation de certification HDS.
Aussi :

• l'organisme qui lance l'appel d'offre doit prévoir une exigence relative à l'obligation d'être certifié HDS dans son appel d'offre ;
• le titulaire du marché doit obtenir la certification avant l’hébergement des premières données de santé personnelles « réelles ».

Les modalités sont définies dans les Référentiels d’Accréditation et de certification HDS. Ces deux documents sont téléchargeables sur le site de l’ANS.

Il n’y a pas d’obligation de recourir au même organisme de certification qui a délivré la certification ISO 27001.

Pour obtenir la certification HDS, un hébergeur peut recourir au même organisme de certification qui lui a délivré sa certification ISO 27001, si ce dernier est accrédité HDS ou à un autre organisme de certification accrédité HDS.

Pour se prévaloir d’une certification ISO 27001 déjà obtenue, la certification doit respecter les conditions d’équivalence du certificat précisées dans le référentiel d’accréditation HDS et notamment celles relatives au périmètre d’application de la certification déjà obtenue : cette dernière doit inclure le périmètre pour lequel le candidat demande une certification HDS.

Non, ce n’est pas une obligation. Toutefois, il est recommandé de faire appel à des sous traitants certifiés sur le périmètre qui leur est confié. Cela facilite le respect des exigences de l'ISO 27001 relative aux fournisseurs.

Par ailleurs en tant qu'hébergeur , je dois être certifié sur toutes les activités concernées par mon offre y compris celles confiées à mon sous-traitant. 

Oui, un hébergeur de données de santé doit être certifié sur toutes les activités concernées par son offre, y compris les activités partiellement ou entièrement sous-traitées.

L’hébergement exige une information claire et préalable de la personne concernée par les données de santé hébergées et une possibilité pour celle-ci de s’y opposer pour motif légitime. Il appartient à l'hébergeur de déterminer avec son client dans le contrat HDS les modalités de délivrance de cette information.