FAQ de l'offre : Conformité (labels, référencements et certifications)

Le mandataire d’une structure peut créer des comptes utilisateurs sur Convergence pour ses collaborateurs. En fonction du besoin du compte à créer et du rôle du collaborateur à créer, le mandataire peut lui créer un de ces trois types de comptes :

• Mandataire : son identité est vérifiée par un processus automatique lors de la création de son compte (vérification de son identité et de l’identité de l’entreprise). Il gère les comptes de son entreprise et peut déléguer ce droit aux Représentants.
• Représentants : représentant désigné par le Mandataire, son identité n’est pas vérifiée par l’ANS, son inscription est validée par le Mandataire dans le FI, il peut être invité par le Mandataire. Il peut créer des comptes mandataires, représentants et salariés et peut gérer les comptes de son entreprise en délégation du mandataire.
• Salarié : son identité n’est pas vérifiée non plus par l’ANS, son inscription est validée par le Mandataire et/ou ses Représentants. Il peut être invité par le Mandataire ou par le Représentant, il ne peut pas gérer les comptes de son entreprise.

Le rôle mandataire du fournisseur d’identité est destiné au représentant légal de cette entreprise. Le mandataire peut désigner des représentants qui héritent des droits du mandataire.

Dans le cas où l'exploitant du DMN au sens de fabricant du DMN a développé un produit qui s'appuie sur des composants principaux développés par des tiers, chacun de ces tiers doit formaliser dans un mandat auprès de l'exploitant précisant qu'il s'engage dans la certification du DMN avec celui-ci dans un groupement dont l'exploitant du DMN  est le chef de file. Le mandat doit être signé par l’ensemble des entités juridiques qui donnent mandat au représentant du groupement, lequel sera l’interlocuteur unique de l’ANS.

La plateforme Convergence est accessible via le lien ci-dessous. 
Un compte sera nécessaire pour effectuer un dépôt de dossier de certification.

Oui : la pseudonymisation n'a pas d'impact sur l'obligation de certification. La nature de la donnée de santé à caractère personnel n'est pas modifiée.

Certaines activités d'hébergement ne rentrent pas dans le périmètre établit à l'article L.1111-18 du Code de la santé publique. Il s'agit de :

• des organismes d’assurance maladie obligatoire et complémentaire dans le cadre de leur activité de prise en charge des frais de santé ; ces organismes manipulent des données de santé mais ils n’en sont pas à l’origine ;
• des organismes de recherche dans le domaine de la santé lorsque leurs bases de données ne sont pas initialement constituées à des fins de prévention, de diagnostic, de soins ou de suivi social et médico-social ;
• des associations qui proposent des activités sportives à des personnes en situation de handicap. Ces associations manipulent des données de santé mais elles n’en sont pas à l’origine.

La responsabilité conjointe de traitement déclarée entre deux organismes ne fait pas disparaître l'obligation de certification HDS si les autres conditions sont remplies. En effet, dans la mesure où la détermination de la responsabilité conjointe de traitement relève de leur appréciation, on ne peut pas considérer qu'ils pourraient décider de se soustraire à l'obligation de certification, par cette seule décision.

L’hébergeur doit être certifié sur toutes les activités qui constituent son offre (y compris sur les activités de son offre sous-traitées). 
 

Cette exclusion couvre uniquement les activités suivantes citées dans le décret : « le traitement de saisie, de mise en forme, de matérialisation ou de dématérialisation de ces données ».

Pour rappel, l’article R. 1111-8-8.-I. alinéa 4 dispose : « Toutefois, ne constitue pas une activité d'hébergement au sens de l'article L. 1111-8, le fait de se voir confier des données pour une courte période par les personnes physiques ou morales, à l'origine de la production ou du recueil de ces données, pour effectuer un traitement de saisie, de mise en forme, de matérialisation ou de dématérialisation de ces données. »

Non, ce n’est pas une obligation. Toutefois, il est recommandé de faire appel à des sous-traitants certifiés sur le périmètre qui leur est confié. Cela facilite le respect des exigences de l'ISO 27001 relative aux fournisseurs.
 
Par ailleurs en tant qu'hébergeur, je dois être certifié sur toutes les activités concernées par mon offre y compris celles confiées à mon sous-traitant.