La sécurité est un des piliers de la “maison” du numérique en santé. La manière dont on se connecte à un service numérique en santé est essentielle, à la fois pour développer les usages et pour renforcer la sécurité des données de santé. 

Le Ministère des Solidarités et de la Santé et l’Agence du Numérique en Santé ont travaillé depuis plus d’un an à construire un référentiel opposable sur ce sujet. Deux concertations publiques se sont tenues, ainsi que de nombreux échanges avec les acteurs de l’écosystème (représentants des établissements de santé, des éditeurs, etc.) et avec la CNIL et l’ANSSI, pour trouver le juste équilibre entre, d’une part, la nécessaire sécurité dans le traitement des données de santé et, d’autre part, la réalité des usages par les professionnels qui prennent en charge les patients. 

Ce référentiel définit des exigences sur les connexions à des services numériques traitant des données de santé. Concrètement, cela consiste notamment à imposer l’utilisation de mots de passe suffisamment forts, des seconds facteurs d’authentification (code à usage unique, etc.) et à se baser sur des informations d’identification des utilisateurs vérifiées et issues des répertoires de référence (INS, RPPS, FINESS). 

Il inclut trois volets, relatifs aux catégories d’utilisateurs des services numériques en santé : les usagers, les professionnels et les structures.

Il décrit des paliers successifs à atteindre, entre le 1er juin 2022 et le 31 décembre 2025. Le respect des exigences correspondantes est obligatoire pour les acteurs concernés. 

Pour les usagers, il promeut l’usage de FranceConnect, désormais également accessible aux fournisseurs de services numériques privés et qui intégrera la future application carte vitale (ApCV), et impose dès le 1er juin 2022 une authentification à deux facteurs.

Pour les professionnels, il promeut – et, pour certains services sensibles, impose (1er janvier 2023) - l’implémentation de Pro Santé Connect, téléservice permettant de se connecter via les moyens d’identification électroniques fournis gratuitement par la puissance publique (application mobile e-CPS et les cartes CPS). Cela permet aux professionnels d’utiliser toujours la même méthode de connexion pour les différents services qu’ils sont amenés à utiliser.

Dans la continuité des usages existants, le référentiel permet également l’utilisation d’autres moyens de connexion locaux, délivrés par les structures à leur personnel ou par les services numériques à leurs utilisateurs. Des exigences leur sont néanmoins fixées à court terme (1er juin 2022), comme par exemple l’implémentation d’une authentification à deux facteurs pour les accès à distance, qui permet de se prémunir contre des utilisations frauduleuses. En effet, ces accès ont parfois été impliqués dans des violations de données constatées ces dernières années. 
D’ici à 2026, pour continuer d’être utilisés, ces moyens d’identification électronique locaux devront être homologués par les structures ou services, ou qualifiés par l’ANSSI (niveau substantiel eIDAS).

Ce référentiel est le premier chapitre de la ‘politique générale de sécurité des systèmes d’information en santé’ (PGSSI-S) à être rendu opposable par arrêté ministériel (arrêté du 28 mars 2022). 
 
Responsable de la définition et de la promotion de la PGSSI-S, l’ANS se mobilise pour accompagner les acteurs dans leurs démarches de mise en conformité à ce référentiel. Outre les exigences relatives à Pro Santé Connect, au RPPS et à l’INS qui figuraient en vague 1 du financement à l’équipement du Ségur Numérique, il est notamment prévu que la conformité des logiciels à certaines exigences du référentiel sur l’identification électronique soient vérifiées dans le cadre des référencements des logiciels pour la vague 2.