L’identifiant national se trouve sur la première ligne de votre CPx et se compose de 12 chiffres : 

• en 1^ère position, le chiffre "8" ;
• suivi des 11 chiffres de votre numéro RPPS.

Image

Toutes les modalités sont définies dans le Référentiel d’Accréditation HDS et dans le document "Exigences spécifiques pour l’accréditation des organismes procédant à la certification de systèmes de management dans le domaine des technologies de l’information" émis par le COFRAC. Ces deux documents, ainsi que des référentiels d’exigences spécifiques, sont téléchargeables dans notre espace Documentation.

Consultez la liste des organismes certifiés :

Il existe 6 types d’activités pour lesquelles un hébergeur de données santé peut être certifié : 

1. la mise à disposition et le maintien en condition opérationnelle des sites physiques permettant d’héberger l’infrastructure matérielle du système d’information utilisé pour le traitement des données de santé ; 
2. la mise à disposition et le maintien en condition opérationnelle de l’infrastructure matérielle du système d’information utilisé pour le traitement de données de santé ; 
3. la mise à disposition et le maintien en condition opérationnelle de la plateforme d’hébergement d’applications du système d’information ; 
4. la mise à disposition et le maintien en condition opérationnelle de l’infrastructure virtuelle du système d’information utilisé pour le traitement des données de santé ; 
5. l’administration et l’exploitation du système d’information contenant les données de santé ; 
6. la sauvegarde de données de santé. 

Vous pouvez consulter la liste complète des HDS certifiés, avec les activités concernées, sur notre site :

Seul un exploitant peut candidater sur la plateforme Convergence. Un exploitant peut être le fabricant (si possède une entité en France) ou un distributeur (dans le cas ou le fabricant ne peut pas être l'exploitant, c'est à dire qu'il ne possède pas entité juridique en France). 

Si le distributeur ne peut pas obtenir de certificat, alors c'est le fabricant qui sera remboursé et le distributeur devra passer un accord de distribution avec le fabricant.

Vous disposez de deux moyens de recherche sur le site de l’annuaire santé : 

• une recherche par mots-clés (Qui ? Quoi ? Où ?) qui vous permet de trouver les professionnels de santé et les établissements correspondants ;
• une recherche avancée par critères détaillés (profession, spécialité ordinale, compétence, identifiant, lieu d'exercice...) qui vous permet de cibler la recherche soit sur les professionnels de santé, soit sur les établissements. 

L'accès restreint s'effectue en cliquant sur "connectez-vous" du site de l’annuaire santé.

Une authentification par carte de la famille CPS est requise :

• si vous êtes porteur d'une carte de Directeur d'établissement (CDE) ou d'une carte de professionnel de santé (CPS) exerçant en libéral, vous pouvez automatiquement accéder aux informations auxquelles vous avez droit (cf article 7 de l'arrêté du 6 février 2009 modifié) ;
• dans les autres cas, l'accès par carte CPx nécessite un enrôlement préalable par l'ANS. Vous devez remplir une fiche de demande de droits d'accès au RPPS et préciser le numéro de votre carte CPx.

Par ailleurs, pour pouvoir vous authentifier par carte de la famille CPS, vous devez disposer d'un lecteur de carte et avoir installé sur votre poste les composants nécessaires à l'accès à la carte. Ces composants sont disponibles sur l'espace CPS. Pour les professionnels de santé, la configuration requise pour l'accès au DMP permet d'accéder à l'annuaire santé. En cas de problème, vous pouvez vérifier la configuration de votre poste accédant à l'outil de diagnostic des postes.

Une fois authentifié, vous visualisez toutes les informations sur les professionnels de santé autorisées pour votre catégorie d'utilisateur (en consultation ou en extraction). 

Si vous disposez de plusieurs profils, il vous sera demandé au titre de quel profil vous souhaitez accéder au service.

Sauf cas exceptionnel, un DMN ne doit candidater que sur un seul parcours (ligne générique ou nom de marque). Par contre, dans le cas ou un DMN traite de plusieurs pathologies (dont une incluse dans les lignes génériques), l'industriel peut candidater sur les deux parcours. Les différents dossiers correspondants sont indépendants et peuvent être déposés simultanément. Dans le cas où des preuves seraient communes, merci de le signaler à l'ANS afin de pouvoir optimiser le traitement des dossiers.

L'ANS a 60 jours calendaires pour certifier conforme une solution à partir du moment où l'ensemble des preuves aura été déposé, hors allers/retours éventuels en cas de preuves KO ou incomplètes. Il est donc difficile de donner un délai, qui dépend également de la réactivité de l'Entreprise du Numérique en Santé.

L'attribution d'un certificat de conformité se fait après la validation du formulaire de recevabilité, et l'analyse par l'ANS des preuves déposées dans Convergence. Une fois le certificat de conformité attribué, l'ANS se réserve le droit d'effectuer (ou de faire effectuer par un prestataire) des audits de conformité aux ENS certifiés.

Ces audits se déroulent en général dans un environnement de test.

Dans le cadre d'une prestation de télésurveillance faisant intervenir un prestataire, c'est bien au fournisseur de la machine de ventilation de déposer un dossier pour la certification de conformité pour une inscription en ligne générique.

Le prestataire n'a généralement pas le rôle d'un opérateur, mais il pourrait potentiellement être amené à facturer à la place de l’exploitant s’il assume toute les responsabilités qui lui incombe dans le cadre de la délégation de tâche.

Il est malgré tout préférable qu'il y ait un code par solution numérique, et donc que ce soit le fabricant qui fasse la démarche simplifiée pour un code individuel.

En résumé, une activité de télésurveillance c'est :

• un forfait opérateur (donc à obtenir par l'opérateur de télésurveillance) ;
• un forfait technique (à obtenir par le fabriquant).

Pour tout complément d'information, nous vous invitons à poser vos questions à l'adresse suivante : dss-sd1c@sante.gouv.fr.

Si la modification apportée ne remet pas en cause la conformité du DMN aux Exigences (par ex. patch correctif, etc.), la certification bénéficie au Logiciel modifié, sans qu’il soit nécessaire de déposer une nouvelle demande de certification relative à celui-ci ou de procéder à une quelconque notification auprès de l’Agence du numérique en santé. Si la modification apportée affecte la conformité du DMN aux Exigences, l’Agence du Numérique en Santé doit en être notifiée par l’Editeur dans un délai de 15 jours. Cette information est accompagnée de tout élément permettant de documenter la nature de la modification et les Exigences de conformité impactées. En réponse, l’ANS peut demander à l’Editeur de déposer une nouvelle demande de certification dans un délai d’un mois.

L’obligation de disposer d’un agrément ou d’un certificat de conformité mentionnée à l’article L.1111-8 du code de la santé publique s’applique à toute entité qui propose un service d’hébergement :

• portant sur des données de santé à caractère personnel recueillies à l'occasion d'activités de prévention, de diagnostic, de soins ou de suivi social et médico-social ;
• pour le compte du patient ou pour le compte des professionnels de santé, des établissements et services de santé et tout autre organisme réalisant des missions de prévention, de soins, de suivi médico-social et social à l’origine de ces données.

Dans le cas d'un dispositif médical numérique dont les établissements de santé, le client de l'exploitant du DMN héberge lui-même les données de santé à caractère personnel et n'est pas obligé d'avoir un certificat hébergeur de données de santé. (voir : question 2 Explicitation du champ d’application du cadre juridique de l’hébergement de données de santé par le ministère chargé de la Santé, représenté par la Délégation à la stratégie des systèmes d’information de santé.

Les sanctions seront graduées en fonctions des manquements constatés, de plus la LFSS 2023 va renforcer le pouvoir de sanction de l’agence en y ajoutant la possibilité de sanctions financières.

Afin d’optimiser le temps d’obtention du certificat de conformité au référentiel des DMN de l’ANS, l’entreprise de numérique en santé peut anticiper un certain nombre de démarches, qui seront nécessaires lors du dépôt des preuves. Il s’agit des démarches en vue de l’homologation CNDA au téléservice INSi, dans le cas où le DMN est référentiel d’identité. Il faut, en amont de la certification de conformité :

• Commander des cartes CPs/CPE de test, le cas échéant
  Téléchargez le formulaire
• Commander un certificat logiciel, le cas échéant
  Téléchargez le formulaire
• Demander l’homologation auprès du CNDA
  Consultez le site du CNDA

En aval de la certification, il faudra ensuite :

• Déposer un dossier auprès de la CNEDIMS le cas échéant (pour les demande en nom de marque)
  Rendez-vous sur le site de la HAS
• Faire la demande d’obtention du code de remboursement auprès du ministère sur le site
  Consultez le site des démarches simplifiées

Afin d'optimiser les temps de traitement et de sécuriser l'ensemble de la conformité de la candidature, il est recommandé de n'en déposer qu'une seule. Dans ce cas, il vous faut déposer une preuve par application le cas échéant, si les interfaces et les fonctionnalités sont différentes.

Oui, il est possible de répondre aux exigences du référentiel grâce à une solution tierce. En effet, par exemple, l'homologation CNDA pour l'appel au téléservice INSi peut être obtenue par une application tierce complémentaire à votre dispositif médical numérique.

L'intégration d'autres moyens d'authentification est à l'étude, cependant nous n'avons pas de visibilité sur leur date de disponibilité.

En règle générale, si un tiers héberge des données de santé pour le compte d’un établissement, celui-ci doit recevoir une certification HDS.  

En revanche, si deux entités sont coresponsables, comme c’est le cas pour les GHT, cette obligation peut être levée.  

La Direction Générale de l’Offre de Soins (DGOS) requiert un avenant à la convention constitutive du GHT. Il doit préciser “les conditions, les périmètres de traitement des données, et les établissements parties prenantes de la coresponsabilité." Un établissement support qui peut héberger les données santé pour le compte des autres établissements du GHT est alors commissionné. 

Sont aussi exclus de l’obligation de recourir à un prestataire agréé ou certifié HDS :  

• les organismes d’Assurance Maladie obligatoire et complémentaire dans le cadre de leur activité de prise en charge des frais de santé ; ces organismes manipulent des données de santé mais ils n’en sont pas à l’origine ;  
• les organismes de recherche dans le domaine de la santé, si leurs bases de données ne sont pas constituées à des fins de prévention, de diagnostic, de soins ou de suivi social et médico-social ; 
• les associations qui proposent des activités sportives à des personnes handicapées. 

Les conditions d’exemption sont détaillées dans le référentiel Maturin-H, publié début 2022. 

Selon votre métier d’hébergement, il existe deux périmètres de certification :  

1. Mon activité concerne la disposition de locaux d’hébergement physique et d’infrastructure matérielle.
   Il vous faut un certificat Hébergeur d’infrastructure physique.
   Ce certificat couvre les deux types d’activités (cf image 1)
2. Mon activité concerne la mise à disposition d’une infrastructure virtuelle, de mise à disposition de plateforme logicielle, d’administration-exploitation et/ou de sauvegarde externalisée.
   Il vous faut un certificat Hébergeur infogéreur.
   Il comprend 4 types d’activités (cf image 2)

Important : Si votre activité d’hébergeur s’inscrit dans les deux types d’activité, l’hébergeur doit obtenir les deux certifications. 

Les principales étapes de l’accréditation pour les organismes de certification sont les suivantes : 

• Etape 1 : Dossier de candidature
  Vous complétez et envoyez le dossier de candidature à l’accréditation HDS auprès du COFRAC ou de l’organisme équivalent au niveau européen.
• Etape 2 : Examen du dossier
  Le Cofrac vérifier que le dossier de candidature est complet et le cas échéant, conclut un contrat avec l’organisme demandeur.
• Etape 3 : Recevabilité technique
  Le Cofrac vérifie que les exigences d’accréditation sont respectées.
  Durée: entre 1 et 6 mois.
• Etape 4 : Autorisation
  En cas de décision favorable du Cofrac, la demande d'accréditation est prononcée : vous êtes autorisé à délivrer des certificats HDS pendant 9 mois.
• Etape 5 : Mise en œuvre
  Vous disposez d’un délai de 9 mois pour finaliser votre accréditation. Le Cofrac réalise une évaluation siège et une observation d’audit sur site. L’accréditation est délivrée pour une durée de 4 ans après l’évaluation siège.
• Etape 6 : Renouvellement
  Une observation d’audit a lieu tous les ans. Pour les cycles suivants, l’accréditation est délivrée pour une durée de 5 ans avec une évaluation siège et une observation tous les 15 mois.