FAQ de l'offre : Conformité (labels, référencements et certifications)

Oui : le chiffrement n'a pas d'impact sur l'obligation de certification. La nature de la donnée de santé à caractère personnel n'est pas modifiée.

Le règlement européen sur la protection des données personnelles donne une définition depuis avril 2016. Ce sont les données relatives à la santé physique ou mentale d'une personne physique, y compris la prestation de services de soins de santé, qui révèlent des informations sur l'état de santé de cette personne.

Des précisions sont apportées par la CNIL en suivant ce lien : https://www.cnil.fr/fr/quest-ce-ce-quune-donnee-de-sante

Le régime de l'hébergement des données santé prévu par le Code de la santé publique s'applique aux sous-traitants ainsi qu'a l'hébergeur après le rachat.

Par ailleurs, le tableau des garanties et les informations fournies aux clients doivent être mis à jour.

Dans le cadre d’un appel d’offres pour un système d’information nécessitant un hébergement de données de santé à caractère personnel, le titulaire du marché est soumis à l’obligation de certification HDS.
Aussi :

• l'organisme qui lance l'appel d'offre doit prévoir une exigence relative à l'obligation d'être certifié HDS dans son appel d'offre ;
• le titulaire du marché doit obtenir la certification avant l’hébergement des premières données de santé personnelles « réelles ».

Cette exclusion couvre uniquement les activités suivantes citées dans le décret : « le traitement de saisie, de mise en forme, de matérialisation ou de dématérialisation de ces données ».

Pour rappel, l’article R. 1111-8-8.-I. alinéa 4 dispose : « Toutefois, ne constitue pas une activité d'hébergement au sens de l'article L. 1111-8, le fait de se voir confier des données pour une courte période par les personnes physiques ou morales, à l'origine de la production ou du recueil de ces données, pour effectuer un traitement de saisie, de mise en forme, de matérialisation ou de dématérialisation de ces données. »

L'hébergeur d'un système d'archivage électronique de données de santé à caractère personnel doit être certifié HDS dès lors que les données de santé à caractère personnel ont été recueillies à l'occasion d'activité de prévention, de diagnostic, de soins ou de suivi social et médico-social et que cet hébergement est réalisé pour le compte de la personne concernée ou des professionnels de santé, des établissements et services de santé et tout autre organisme réalisant des missions de prévention, de soins, de suivi médico-social et social à l’origine de ces données.

Exemple de cas d'usage : les coffres forts numériques où l'utilisateur peut stocker des données de santé à caractère personnel.

L’article L.1111-8 du code de la santé publique dispose que :

« Toute personne physique ou morale qui héberge des données de santé à caractère personnel recueillies à l’occasion d’activités de prévention, de diagnostic, de soins ou de suivi social ou médico-social pour le compte de personnes physiques ou morales à l'origine de la production ou du recueil de ces données ou pour le compte du patient lui-même, doit être agréée ou certifiée à cet effet ».

En effet, lorsqu'un produit est DMP compatible, l'interface avec le DMP est mise en œuvre dans le respect des spécifications du CI-SIS selon les distinctions suivantes pour les 3 profils.

DMP compatibilité pour le profil « Administration », indiquez :

• dans les questions de qualification, que le produit est une infrastructure de partage de documents de santé ;
• dans le questionnaire « Interopérabilité », que le produit atteint le niveau vert à la question A08.4.3 Mise en œuvre interopérable du service Gestion de Dossiers Patient Partagés.

DMP compatibilité pour le profil « Alimentation », indiquez :

• dans les questions de qualification, que le produit interagit avec une infrastructure de partage de documents de santé,
• dans le questionnaire « Interopérabilité », indiquez que :
  • le produit atteint le niveau vert à la question A08.3.1 Connexion synchrone avec d'autres SI,
  • le produit atteint le niveau vert à la question A08.4.1 Mise en œuvre interopérable du service Partage de Documents de Santé,
  • le produit atteint le niveau vert à la question A08.5.01 Partage et/ou échange de documents (producteur de documents CDA) - structuration minimale (sauf si c'est un connecteur qui prend les documents produits par d'autres).

DMP compatibilité pour le profil « Consultation », indiquez :

• dans les questions de qualification, que le produit interagit avec une infrastructure de partage de documents de santé,
• dans le questionnaire « Interopérabilité », indiquez que :
  • le produit atteint le niveau vert à la question A08.3.1 Connexion synchrone avec d'autres SI,
  • le produit atteint le niveau vert à la question A08.4.1 Mise en œuvre interopérable du service Partage de Documents de Santé,
  • le produit atteint au moins le niveau jaune à la question A08.5.23 Partage et/ou échange de documents (consommateur de documents CDA) - structuration minimale.

Pour indiquer que l'entreprise ou un produit a participé à un connectathon, il est possible d'utiliser les champs de saisie libre comme :

• le champ « certifications » du questionnaire d’identification (étape 1) de l’ajout d’un produit ;
• les espaces de commentaires dans le questionnaire « Interopérabilité ».