Un arrêté modificatif, publié au Journal officiel de la République française (JORF) ce jour, précise les modalités de mise en œuvre des contrôles a posteriori de certains dispositifs « Systèmes Ouverts et Non Sélectifs » (SONS) de la Vague 1 du Ségur numérique dans le secteur sanitaire (LGC, SGL, RIS et PFI).
Rappel du cadre réglementaire des dispositifs SONS Vague 1
Les dispositifs SONS ont été mis en place pour équiper les établissements et professionnels de santé avec des logiciels conformes aux exigences du Ségur numérique. Ces logiciels devaient répondre à plusieurs critères, tels que la conformité aux services socles du numérique en santé (INS, Pro Santé Connect, DMP-compatibilité, Ordonnance numérique, ApCV), la capacité à qualifier l'INS des patients et la capacité à partager des documents de santé vers Mon espace santé et via la Messagerie Sécurisée de Santé (MSSanté).
Le cadre réglementaire prévoyait trois niveaux de contrôle :
- Vérification de la conformité technique des logiciels par l’Agence du Numérique en Santé (ANS) lors du référencement ;
- Contrôles des demandes de financement par l’Agence de services et de paiement (ASP) ;
- Contrôles a posteriori pour vérifier l’atteinte de seuils d’usage minimum après le versement du solde.
Nécessité de précisions pour les contrôles a posteriori
Les contrôles a posteriori, lancés début 2024, visent à vérifier que les prestations financées par l’État ont été correctement réalisées. Cependant, certaines situations spécifiques ont révélé la nécessité de clarifier les modalités de ces contrôles. Par exemple, des cas de non-atteinte des seuils d’usage, non imputables aux éditeurs de logiciels, ont été identifiés.
Les modalités définies en 2021, avant la création de Mon espace santé, se sont également avérées parfois insuffisamment précises, nécessitant une adaptation du cadre réglementaire.
Modifications apportées par l’arrêté
L’arrêté modificatif apporte plusieurs précisions pour faciliter la mise en œuvre des contrôles, obtenir un contrôle conforme et confirmer ainsi le paiement correspondant.
Dispositif LGC Vague 1
- Révision du seuil d'envoi de documents vers le DMP (sur la base des statistiques de l’Assurance maladie) : au moins 10 documents doivent être envoyés vers le DMP ;
- Vérification de traces d'appels au téléservice INSi (sur la base des statistiques du GIE Sesam-Vitale) en cas de non-alimentation de Mon espace santé : la présence d’appels au téléservice INSi sera vérifiée afin de valider le caractère fonctionnel du logiciel ;
- Possibilité de fournir un justificatif signé par le médecin attestant que la prestation a bien été effectivement réalisée avec un logiciel pleinement fonctionnel.
Dispositifs SGL, RIS et PFI Vague 1
- Vérification des envois en fonction des scénarios d'installation choisis par le Client :
- au moins 10 documents doivent être envoyés vers le DMP (sur la base des statistiques de l’Assurance maladie) ;
- au moins 10 messages doivent être envoyés par MSSanté vers des professionnels (sur la base des statistiques de l’espace de confiance MSSanté) ;
- un message vers l’adresse de messagerie citoyenne de test ou un message vers la messagerie Mon espace santé d’un patient (de type XXX@patient.mssante.fr).
Ce texte réglementaire révisé permet une meilleure prise en compte des réalités terrain et simplifie les démarches pour les opérateurs concernés.
Nouvelle version de l'Annexe 3
La nouvelle version de l'Annexe 3 "Appel à Financement" ainsi modifiée est disponible en téléchargement via les liens suivants, ainsi que sur les pages pages dédiées de chaque Dispositif :
Conformément à la réglementation européenne et française sur la protection des données personnelles, l'Editeur est informé que des données à caractère personnel sont susceptibles d'être traitées par l'ANS. Le traitement mis en œuvre a pour finalité l'instruction et le suivi du processus de référencement et de financement, le pilotage du programme de financement et du déploiement auprès des établissements et professionnels de santé des logiciels référencés par l’ANS, la gestion des sollicitations adressées par l’ANS à l’éditeur dans le cadre du pilotage du programme de référencement et de financement (par ex. des sondages ou questionnaires), le contrôle du bon usage des fonds publics versés à l’éditeur ainsi que la réalisation d'indicateurs statistiques. Des données à caractère personnel sont susceptibles d'être communiquées, dans le cadre des finalités précitées, aux partenaires de l’ANS en charge avec elle du pilotage du dispositif Ségur de financement à l’équipement (CNDA, CNAM, ministère de la santé, ASP, CNSA, CNOP, etc.). La communication de données personnelles, si elle est sollicitée par l'ANS, est nécessaire à l'instruction de la demande de référencement ou à la réalisation des autres finalités précitées. Les données collectées sont conservées pendant la durée du référencement dont bénéficie l'Editeur ainsi que pour les durées d'archivage exigées par la réglementation applicable. L'Editeur dispose d’un droit d’accès, de rectification de ses données ainsi que, dans certains cas, d’effacement, de portabilité, de limitation, et d’opposition. Les coordonnées du Délégué à la protection des données personnelles de l'ANS sont les suivantes : GIP Agence du Numérique en Santé (Délégué à la protection des données) - 2-10 Rue d'Oradour-sur-Glane 75015 Paris ou par messagerie électronique, à l'adresse suivante : dpo@esante.gouv.fr. L'Editeur dispose également du droit d'introduire éventuellement une réclamation auprès de la Commission nationale de l’informatique et des libertés (CNIL).
Il est par ailleurs rappelé à l’éditeur, ce que ce dernier reconnait et accepte, qu’il lui appartient de respecter, pour les traitements de données personnelles qu’il met en œuvre, les dispositions du Règlement (UE) 2016-679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données et celles de la loi n°78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés. En particulier, il appartient à l’éditeur d’assurer l’information de ses clients (établissements et professionnels de santé) sur la communication éventuelle à l’ANS ou ses partenaires, de certaines de leurs données personnelles dans le cadre de la gestion du programme de financement.
Les établissements ou professionnels de santé ayant signé un bon de commande Ségur sont par ailleurs informés que des données à caractère personnel les concernant sont susceptibles d’être communiquées à l’ANS par des éditeurs candidats à un financement Ségur ou par l’ASP. Le traitement mis en œuvre a pour finalité l'instruction et le suivi du processus de financement, le pilotage du programme de financement et du déploiement auprès des établissements et professionnels de santé des logiciels référencés par l’ANS, les éventuelles sollicitations adressées par l’ANS à un établissement ou professionnel de santé ayant signé un bon de commande Ségur, le contrôle du bon usage des fonds publics versés à l’éditeur ainsi que la réalisation d'indicateurs statistiques. Des données à caractère personnel sont susceptibles d'être communiquées, aux partenaires de l’ANS en charge avec elle du pilotage du dispositif Ségur de financement à l’équipement (CNDA, CNAM, ministère de la santé, ASP, CNSA, CNOP, etc.), ce à des fins exclusives de gestion et de pilotage du programme de financement. La communication de données personnelles, si elle est sollicitée par l'ANS, est nécessaire à l'instruction de la demande de financement ou à la réalisation des autres finalités précitées. Les données collectées sont conservées pendant la durée du référencement dont bénéficie l'Editeur ainsi que pour les durées d'archivage exigées par la réglementation applicable. L’établissement ou le professionnel de santé dont des données à caractère personnel sont collectées ou traitées par l’ANS dispose d’un droit d’accès, de rectification de ses données ainsi que, dans certains cas, d’effacement, de portabilité, de limitation, et d’opposition. Les coordonnées du Délégué à la protection des données personnelles de l'ANS sont les suivantes : GIP Agence du Numérique en Santé (Délégué à la protection des données) - 2-10 Rue d'Oradour-sur-Glane 75015 Paris ou par messagerie électronique, à l'adresse suivante : dpo@esante.gouv.fr. L’établissement ou le professionnel de santé est par ailleurs invité à se rapprocher de l’éditeur auprès duquel un bon de commande Ségur a été signé, lequel éditeur reste tenu à titre principal au respect des droits que ses clients tiennent des dispositions figurant dans le RGPD ou la loi française de protection des données. L’établissement ou le professionnel de santé dispose également du droit d'introduire éventuellement une réclamation auprès de la Commission nationale de l’informatique et des libertés (CNIL).