FAQ des industriels

L’article L.1111-8 du code de la santé en public distingue trois grandes catégories de services d’hébergement de données de santé :

• l’hébergement de données de santé sur support papier dans le cadre d'un service d'archivage, qui doit être réalisé par un hébergeur agréé par le ministre de la culture ;
• l’hébergement de données de santé sur support numérique (hors cas d’un service d’archivage électronique) qui doit être réalisé par un hébergeur certifié HDS ;
• l’hébergement de données de santé sur support numérique dans le cadre d’un service d’archivage électronique, qui doit être réalisé par un hébergeur certifié HDS et agréé par le ministre de la culture dans des conditions qui seront définies par décret en Conseil d’Etat pris après avis de la Commission nationale de l’informatique et des libertés et des conseils des ordres des professions de santé.

Exemple de cas d'usage : les coffres forts numériques où l'utilisateur peut stocker des données de santé à caractère personnel.

Il s'agit des activités de suivi réalisées par les établissements et services sociaux et médico-sociaux. Ces établissements et services sont listés de façon exhaustive à l’article L.312-1 du code de l’action sociale et des familles.

Les activités de prévention mentionnées dans le CSP sont les actions menées afin éviter l’apparition ou l’aggravation de maladies. Les principales catégories d'activités de prévention incluent :

1. la prévention primaire : ces activités visent à éviter l'apparition de maladies ou d'incidents de santé en réduisant les facteurs de risque. Cela peut inclure : 

• les vaccinations,
• les campagnes de sensibilisation (i.e. tabagisme, alimentation, prévention des maladies cardiovasculaires),
• d'éducation à la santé (promotion des comportements favorables à la santé comme l’activité physique, lutte contre la sédentarité, éducation sur la santé mentale, etc.) ;

2. la prévention secondaire : elles concernent le dépistage précoce de maladies ou de conditions afin de les traiter rapidement. Par exemple, le dépistage prénatal, le dépistage néo-natal, dépistages des troubles du développement, le dépistage pour certains cancers ou maladies chroniques, etc ;

3. la prévention tertiaire : ces actions visent à diminuer les complications ou les séquelles d'une maladie déjà installée, souvent en rapport avec des soins ou du suivi de rééducation après un incident de santé ou une intervention médicale (réadaptation), sont concernés les programmes d’éducation thérapeutique du patient (diabète, hypertension, etc.).

Toutes ces activités peuvent nécessiter, par différents moyens, la collecte et l'hébergement de données personnelles de santé.

L’hébergeur doit être certifié sur toutes les activités qui constituent son offre (y compris sur les activités de son offre sous-traitées).

La responsabilité conjointe de traitement déclarée entre deux organismes ne fait pas disparaître l'obligation de certification HDS si les autres conditions sont remplies. En effet, dans la mesure où la détermination de la responsabilité conjointe de traitement relève de leur appréciation, on ne peut pas considérer qu'ils pourraient décider de se soustraire à l'obligation de certification, par cette seule décision.

L’article L.1111-8 du code de la santé publique dispose que : « Toute personne physique ou morale qui héberge des données de santé à caractère personnel recueillies à l’occasion d’activités de prévention, de diagnostic, de soins ou de suivi social ou médico-social pour le compte de personnes physiques ou morales à l'origine de la production ou du recueil de ces données ou pour le compte du patient lui-même, doit être agréée ou certifiée à cet effet ».

Certaines activités d'hébergement ne rentrent pas dans le périmètre établit à l'article L.1111-18 du Code de la santé publique. Il s'agit de (liste non exhaustive) :

• des organismes d’assurance maladie obligatoire et complémentaire dans le cadre de leur activité de prise en charge des frais de santé ; ces organismes manipulent des données de santé mais ils n’en sont pas à l’origine ;
• des organismes de recherche dans le domaine de la santé lorsque leurs bases de données ne sont pas initialement constituées à des fins de prévention, de diagnostic, de soins ou de suivi social et médico-social ;
• des associations qui proposent des activités sportives à des personnes en situation de handicap. Ces associations manipulent des données de santé mais elles n’en sont pas à l’origine.

L’obligation de disposer d’un certificat de conformité mentionnée à l’article L.1111-8 du code de la santé publique s’applique à toute entité qui propose un service d’hébergement : 

1. portant sur des données de santé à caractère personnel recueillies à l'occasion d'activités de prévention, de diagnostic, de soins ou de suivi social et médico-social ; 
2. pour le compte du patient ou pour le compte des professionnels de santé, des établissements et services de santé et tout autre organisme réalisant des missions de prévention, de soins, de suivi médico-social et social à l’origine de ces données.

Ces conditions sont cumulatives et l'obligation s'applique à toute personne (physique ou morale), qu’elle relève du droit public ou du droit privé.

Tout professionnel de santé, tout établissement et service de santé et tout autre organisme réalisant des missions de prévention, de soins, de suivi médico-social et social (personnes physiques ou morales) doit apprécier au cas par cas si ces données de santé dont il entend confier l’hébergement à un tiers proviennent de  son activité de prévention, de diagnostic, de soins ou de suivi social et médico-social.

En outre, tout projet de système d’information (SI) portant sur l’exploitation des données susmentionnées nécessite de s’interroger au cas par cas sur l’application de la législation relative à l’hébergement des données de santé. Il incombe donc au responsable du système d’information de veiller au respect de cette législation dès que l’une des fonctionnalités du SI concerne des données de santé répondant aux critères ci-dessus.

Par exemple, un établissement de santé exploitant un DPI est tenu de recourir à un hébergeur certifié HDS en cas d’externalisation de l’hébergement de ce DPI. 

Le règlement européen sur la protection des données personnelles donne une définition depuis avril 2016. Ce sont les données relatives à la santé physique ou mentale d'une personne physique, y compris la prestation de services de soins de santé, qui révèlent des informations sur l'état de santé de cette personne.

Des précisions sont apportées par la CNIL.

Si vous êtes une entreprise innovante du secteur de la e-santé, vous pouvez nous contacter afin que nous puissions analyser vos besoins et vous faire un retour sur notre capacité à vous appuyer, que ce soit au travers de l'offre d'accompagnement Innovation ou des autres accompagnements proposés par l'ANS. Afin que nous puissions vous recontacter dans les plus brefs délais, adressez-nous une demande par mail à l'adresse innovation@esante.gouv.fr en précisant les éléments suivants :

• Nom de la société
• Date de création
• Description du/des produit(s) et de son statut (recherche/conception/commercialisation/déploiement à l'international/...)
• Principaux besoins relatifs au numérique en santé (interopérabilité, cybersécurité, etc.)

L'offre d'accompagnement de l'équipe Innovation de l'ANS s'adresse aux entreprises innovantes (startups, PME, etc. proposant un nouveau service) du numérique en santé implantées sur le territoire. Les entreprises adressées en priorité par cette offre sont les entreprises proposant un service numérique à destination du professionnel de santé, du patient ou d'un acteur de santé, échangeant des données de santé, et dont le produit est en conception/développement, finalisé ou déjà en phase de déploiement. Cet accompagnement spécifique est en effet davantage pertinent auprès des entreprises ayant passé une phase amont de recherche. 

Le premier point de contact pour vous assurer de la pertinence de cette offre est l'Espace Authentifié ou via l'adresse innovation@esante.gouv.fr, qui vous proposera une séance de deep-dive pour apprendre à se connaitre. Les rencontres en présentiel sont privilégiées, cependant elles peuvent être menées en distanciel pour les entreprises n'étant pas basées à Paris.

L'ANS soutient le déploiement des entreprises innovantes qu'elle accompagne sur ses sujets d'expertise. Au-delà des contenus déjà disponibles et des sessions collectives générales organisées tout au long de l'année, l'équipe Innovation organise ainsi pour les entreprises innovantes qui maîtrisent déjà les fondamentaux sur certains sujets des sessions individuelles avec des experts de l'ANS, afin de répondre aux questions et consolider une stratégie d'approche pertinente.

Si vous découvrez le sujet, l'ANS met déjà à votre disposition une plateforme de formation, les enregistrements de webinaires ou encore des fiches synthétiques d'initiation aux sujets du numérique en santé.

Pour toute question relative à votre accompagnement en tant qu'entreprise innovante et les sessions individuelles de ce type, vous pouvez formuler votre demande à innovation@esante.gouv.fr. 

Votre entreprise ne bénéficie pas encore de l'offre d'accompagnement de l'équipe innovation de l'ANS ?

Les liens d'inscription aux sessions collectives dispensées par l'ANS sont partagés régulièrement via LinkedIn ou l'agenda d'e-santé. Suivez-nous sur Linkedin pour rester informés ! 

Votre entreprise innovante bénéficie de l'offre d'accompagnement de l'équipe innovation de l'ANS ? 

Une fois que votre entreprise innovante est accompagnée à travers de cette offre Innovation, si vous y êtes inscrits, vous recevez deux fois par mois une NewsLetter listant les actualités de la e-santé ainsi que les formations proposées par l'ANS. Pour vous inscrire aux formations dispensées par les experts de l'ANS, il vous suffit de suivre les liens partagés dans le mail. En tant que bénéficiaire de l'offre d'accompagnement, vous pouvez-également bénéficier de sessions individuelles avec un expert sur des sujets d'expertise de l'ANS (cybersécurité, interopérabilité, ...). Les liens d'inscription sont également disponibles dans la Newsletter !