FAQ de l'offre : Ségur du numérique en santé

Vous devez faire un groupement d'éditeurs pour répondre à tout le périmètre des exigences, il faut cocher "OUI".

A noter qu'un composant additionnel ne doit pas faire l’objet d’un coût supplémentaire pour le client. 

Le formulaire et le contenu du test d'intrusion logiciel sont identiques pour les exigences SC.SSI/GEN.18 et SC.PSC.14. Par conséquent, vous ne devrez réaliser qu'un seul test d'intrusion, valable pour tous les profils. Il faudra toutefois fournir le rapport PDF du test en preuve pour chacune des exigences, y compris SC.SSI/GEN.18 pour le profil AHI.

L’exigence SC.SSI/GEN.18 s’applique spécifiquement au profil AHI, car ce dernier n’est pas concerné par le guichet EDC PSC de l’ANS, et donc n’a pas à satisfaire l’exigence SC.PSC.14 qui porte le test d’intrusion logiciel.

Ainsi, le test d’intrusion logiciel, nécessaire pour garantir un niveau minimal de sécurité, est bien requis pour tous les profils :

• À travers SC.SSI/GEN.18 pour le profil AHI ;
• À travers l'exigence SC.PSC.14 pour tous les autres profils du dispositif MS DUI Vague 2.

C'est un scénario nominal possible si les fichiers d'attente ne sont pas synchronisés au sein du logiciel. Si cette situation se produit :

• Côté DMP : La V2 sera stockée (comme version initiale ou de remplacement selon le choix fait à la Question 1).
• Côté MSSanté : Le destinataire ayant reçu la V1, l'émetteur DOIT obligatoirement renvoyer la V2 par MSSanté (selon le principe du "Annule et remplace" exigé en vague 1) afin de garantir que le correspondant dispose de la même information médicale que celle présente sur le DMP du patient.
   

Note : Les éditeurs sont encouragés, dans la mesure du possible, à synchroniser leurs files d'attente DMP et MSSanté pour éviter ces écarts.

Si le DMP n'a jamais reçu la version initiale (V1), toute tentative d'envoi d'une V2 contenant une métadonnée de remplacement (RPLC ou lien vers l'identifiant de la V1) sera refusée par le DMP, car le document à remplacer est inconnu de ses services. Dans ce scénario, le logiciel a deux options, la première étant fortement recommandée :

1. Option privilégiée : Envoyer directement la version finale (V2) au DMP en tant que document initial (V1 pour le DMP). Les modifications intermédiaires restent purement locales au logiciel métier.
2. Option secondaire : Envoyer de manière séquentielle la V1, puis la V2 avec sa requête de remplacement (génère un trafic technique peu utile).

En vertu du RGPD vous devez déjà tracer l’accès aux données de santé à caractère personnel. Le fait de rajouter l’INS à ces données de santé à caractère personnel ne change rien. Il sera simplement vérifié que cette traçabilité est faite. Cette exigence sera vérifiée en s'assurant que lorsqu'un acteur accède au dossier d'un usager - doté ou non d'une INS (ouvre le dossier de cet usager) - cet accès est tracé dans la solution.

L’exigence SC.MSS/va1.15 telle que définie historiquement dans le référentiel client de messagerie MSSanté est erronée depuis sa publication. Elle décrit un mécanisme d’accusé de réception non conforme aux normes RFC. Cette anomalie est présente dans les référentiels de la vague 1 et reprise dans certains REM de la vague 2. Sur le terrain, les éditeurs ont majoritairement implémenté les accusés de réception conformément à la norme RFC.

L’exigence SC.MSS/va1.15 évolue pour s'aligner sur le mécanisme DSN normalisé afin de garantir la bonne émission et réception des accusés de réception par les solutions MSSanté.

La nouvelle version de l'exigences est la suivante : 
Le système DOIT permettre de demander un accusé de réception de type DSN lors de l'émission d'un courrier. Lors de l'envoi du message, le paramètre NOTIFY doit être positionné avec les valeurs SUCCESS,FAILURE,DELAY dans la commande SMTP "RCPT TO:"
Le mécanisme DSN est décrit dans la RFC 3461.
Exemple : RCPT TO: <adresse email> NOTIFY=SUCCESS,FAILURE,DELAY

Les nouveaux scénarios et preuves sont également mis à jour : 

Scénario - Accusé de réception par l'opérateur destinataire
Etapes :

1. Préparer un courriel.
2. Choisir l'option qui permet d'avoir un accusé de réception de type DSN.
3. Envoyer le message.

Preuves : 

• Preuve 1 : Produire des copies d’écran : du courriel envoyé afin de valider la preuve.
• Preuve 2 : Produire des copies d’écran : de l’accusé de réception reçu suite à l’envoi du courriel émis.

Après obtention du plein exercice, l'inscription à l'ordre est obligatoire.
Le professionnel est alors enregistré dans le RPPS comme professionnel pleinement reconnu, avec conservation de son numéro RPPS.
L'employeur ou employé doit fermer l'activité PADHUE dans le Portail RPPS+.
L’inscription à l’ordre doit être réalisée par le professionnel.

Oui. Les ordres auront accès aux données du RPPS via une extraction de l'Annuaire Santé afin d'identifier les PADHUE ayant une activité ouverte dans un établissement.
Cet accès leur permettra d'assurer un premier niveau de suivi et de contrôle, notamment pour les professionnels ayant obtenu le plein exercice.

Non. L'acronyme « PADHUE (Praticiens à Diplôme Hors Union Européenne) – Médecin / Pharmacien / Sage-Femme / Chirurgien-Dentiste » indique qu'il s'agit d'un professionnel à diplôme hors Union Européenne, en cours de procédure d'autorisation d'exercice.
Ce libellé ne doit pas être confondu avec les titulaires d'une autorisation temporaire d'exercice (ATE), qui sont des professionnels pleinement qualifiés.

L'affichage de ce libellé dans le Portail RPPS+ et dans l'Annuaire Santé est volontairement différencié pour éviter toute confusion.