FAQ de l'offre : Moyens d'identification électroniques

Dans le cadre du Ségur numérique programme SONS, des exigences sont en cours de définition à destination des éditeurs concernant notamment la mise en conformité avec le référentiel d'identification électronique.
Les structures peuvent obtenir des financements lorsqu'elles mettent en oeuvre des solutions référencées Segur.
En particulier, les DPI référencés Segur mettront à disponibilité les services nécessaires aux structures pour leur mise en conformité.

L'ANS propose de consulter en détail la présente Foire Aux Questions concernant le référentiel d'identification électronique, et renvoie les personnes intéressées aux webinaires déjà disponibles consacrés aux trois volets du référentiel.
L'ANS met de plus à disposition sur son site un formulaire de contact permettant en particulier de faire remonter des remarques concernant les référentiels de la PGSSI-S.

L'ANS met à disposition sur son site différents vecteurs de support aux structures de santé devant appliquer ses référentiels : Guides associés aux documents de la PGSSI-S, webinaires, foire aux questions, …
A consulter sur : https://esante.gouv.fr/ et https://industriels.esante.gouv.fr/

Le référentiel d'identification électronique s'adresse conjointement :
- aux structures de santé et aux professionnels de santé responsables d'un service numérique en santé, devant appliquer le référentiel pour l'accès à ces services
- aux structures de santé qui délivre des moyens d'authentification aux utilisateurs de services numériques en santé, chargées de vérifier l'adéquation de ces moyens avec les exigences du référentiel
- aux professionnels de santé qui se connectent à des services numériques en santé couverts par ce référentiel, en tant qu'utilisateurs devant employer des moyens d'authentification conformes.

Les structures concernées sont toutes celles responsables de services numériques visés par le référentiel ou délivrant des moyens d'identification électronique pour accéder à ce type de service, que ces services soient à destination de professionnels de santé (personnes physiques ou morales) ou d'usagers.
Parmi ces structures se trouvent :
- des établissements de santé ;
- des établissements exerçant du secteur médico-social ;
- des centres de santé ;
- des maisons de santé ;
- des services de médecine du travail ;
- des professions libérales en santé ;
- des ambulanciers ;
- ...
Les éditeurs de logiciel ne sont pas concernées à moins qu'elles proposent des services en mode SaaS aux professionnels de santé.

Le référentiel d'identification électronique adresse les catégories d'utilisateurs suivantes :
- les professionnels de santé personne physique : ceci inclut, sans s'y limiter, toutes les professions incluses dans le répertoire RPPS (et RPPS+), ainsi que celles présentes dans le répertoire ADELI, y compris les personnels en formation et les personnels de secrétariat. De manière générale tous les professionnels accédant aux services numériques de santé.
- les professionnels de santé personne morale, désignées comme structures de santé dans la PGSSI-S : le référentiel s'applique aux connexions réalisées sur un SI par des serveurs ou des services applicatifs s'identifiant en tant que personne morale ou service numérique d'une personne morale.
- les usagers : ceci inclut les patients, les assurés ou leurs responsables légaux, les aidants, etc.
Le référentiel est décomposé en trois volets, chacun adressant l'une de ces catégories d'utilisateurs.

Le référentiel d'identification électronique est pris en application de l'ordonnance n°2021-581 du 12 mai 2021 relative à l’identification électronique des utilisateurs de services numériques en santé et des bénéficiaires de l’assurance maladie. L'article L. 1470-1 du code de la santé publique, issu de cette ordonnance, stipule que les services numériques concernés sont les systèmes d’information ou les services ou outils numériques mis en œuvre par des personnes physiques ou morales de droit public ou de droit privé, y compris les organismes d’assurance maladie, proposés par voie électronique, qui concourent à des activités de prévention, de diagnostic, de soin ou de suivi médical ou médico-social, ou à des interventions nécessaires à la coordination de plusieurs de ces activités. Le référentiel d'identification électronique est scindé en trois volets selon la catégorie d'utilisateurs : - les professionnels de santé personne physique ; - les professionnels de santé personne morale ; - les usagers. Chacun des 3 volets apporte des précisions sur les services concernés et les exigences qui s'y appliquent. Les organismes d’AMC font partie du périmètre pour tous les services numériques qu’ils proposent hors stricte prise en charge "assurance maladie".

Chaque structure doit tout d'abord vérifier si elle est concernée par le référentiel en identifiant l'ensemble des services numériques en santé dont elle est responsable, et en étudiant le périmètre application pour chaque catégorie d'utilisateurs de ces services.
En synthèse, les premières obligations depuis le 1/06/2022 sont :
- Volet ASPP : mettre en conformité les moyens d'identification électronique avec au moins les exigences des MIE de transition (à deux facteurs sauf pour un accès en interne) ;
- Volet ASPM : utiliser des certificats électroniques de l'IGC Santé pour l'identification électronique auprès d'une autre personne morale ;
- Volet Usagers : mettre en conformité les moyens d'identification électronique avec au moins les exigences des MIE de transition (à deux facteurs).
Toutes les structures concernées par le référentiel doivent de plus préparer un engagement de sécurisation de l'identification électronique (intégrant un plan de mise en conformité) pour le 31/05/2023 au plus tard.

Le référentiel d'identification électronique est rendu opposable par arrêté des ministres chargés de la santé, de l’action sociale et de la défense, conformément au code de la santé publique, Art. L. 1470-1. à Art. L. 1470-6 (arrêté du 28 mars 2022).
Le respect du référentiel d'identification électronique engage dès lors la responsabilité des responsables de traitement assujettis à ce référentiel. En particulier, la Commission Nationale de l'Informatique et des Libertés (CNIL) peut diligenter des audits et sanctionner les établissements pour un défaut d'application du référentiel d'identification électronique.

L'Identité Nationale de Santé (INS) est composée d'un matricule INS (NIR ou NIA) et de cinq traits d'identité d'une personne physique qui permettent d'identifier un usager de façon univoque. Elle est utilisée pour le référencement de données de santé décrit dans le référentiel INS sur https://esante.gouv.fr/offres-services/referentiel-ins.
Le référentiel d'identification électronique régit les moyens d'identification électronique autorisés pour l'accès aux services numériques en santé par leurs utilisateurs. L'identifiant privilégié d'un usager d'un service numérique est son matricule INS.