Evolution de la procédure d`agrément des hébergeurs de données

Evolution de la procédure d’agrément
des hébergeurs de données de santé
UN DISPOSITIF PREVU PAR LA LOI
NECESSITE D’EVOLUTION DE LA PROCEDURE
Les conditions d’hébergement de données de santé à
caractère personnel sont encadrées par l’article L.11118 du code de la santé publique, modifié par la loi n°
2016-41 du 26 janvier 2016 de modernisation de notre
système de santé :
L’actuelle procédure d’agrément a fait émerger des
offres d’hébergement de données de santé qui concourent à la protection des données de santé.


Le retour d’expérience de la procédure actuelle a conduit le législateur à proposer une évolution de la procédure d’agrément en se fixant les objectifs suivants :
toute personne physique ou morale qui
héberge des données de santé à caractère
personnel recueillies à l’occasion d’activités
de prévention, de diagnostic, de soins ou de
suivi médico-social pour le compte d'un
tiers, doit être agréée à cet effet ;

garantir le maintien, a minima, du niveau
actuel de protection des données de santé à
caractère personnel ;

renforcer la transparence et le caractère
prédictible de la procédure en la fondant sur
un référentiel d’exigences public, auditable et
plus souple (référentiel évolutif grâce à la mise
en place d’un cycle de vie du référentiel) ;

préserver le caractère impartial de la
procédure (aujourd’hui garanti par la
participation de la CNIL, du CAH et ensuite
du ministère de la Santé) : certification
délivrée par des organismes certificateurs
accrédités par le COFRAC (comité français
d’accréditation) ;

confier à l’hébergeur et à l’organisme de
certification la maîtrise des délais de
procédure ;

s’appuyer autant que possible sur les
normes existantes en matière de sécurité de
l’information ;

prendre
en
compte
le
caractère
potentiellement
international
de
l’hébergement (prestataire d’hébergement de
droit international, activité d’hébergement
exercée en dehors du territoire national).
l’’hébergement exige une information claire et
préalable de la personne concernée par les
données de santé hébergées et une possibilité
pour celle-ci de s’y opposer pour motif légitime.
LA PROCEDURE ACTUELLE
1
Le décret n° 2006-6 du 4 janvier 2006 est venu préciser
l’article L.1111-8. Il définit le déroulement de la procédure d’agrément pour l’hébergement de données de
santé sur support informatique et les exigences à respecter :


le décret fixe le contenu du dossier de demande
d’agrément. Sont ainsi évalués la capacité
financière du candidat, le type de prestation
proposée, le niveau de sécurité et les conditions
du respect des principes de la protection des
données personnelles et des droits des
personnes :
l’agrément est délivré pour une durée de
trois ans par le ministre chargé de la Santé
après avis de la CNIL et du comité d’agrément
des hébergeurs (CAH - organe consultatif créé
par le décret précité). Si l’hébergeur agréé
souhaite poursuivre son activité d’hébergement
au-delà des trois ans initiaux, il doit effectuer
une demande de renouvellement d’agrément
qui sera instruite comme la demande initiale.
Entre 2009 et mai 2016, près de 280 dossiers de demande
d’agrément ont été reçus et près de 100 décisions d’agrément
2
sont actuellement cours .
1
Décret codifié aux articles R.1111-9 à R.1111-15-1 du code de la santé
publique
2
L’écart entre ces deux chiffres comprend les dossiers en cours d’analyse, les
dossiers retirés, les refus d’agrément et les dossiers de renouvellement.
Mai 2016
1
o
PROJET DE NOUVELLE PROCEDURE DE
CERTIFICATION
La nouvelle procédure de certification pour
l’hébergement de données de santé est définie par
la DSSIS (Délégation à la stratégie des systèmes
d’information de santé) avec l’appui opérationnel de
l’ASIP Santé.
Dispositif envisagé
Le projet de nouvelle procédure prévoit d’encadrer
l’activité d’hébergement de données de santé par
une évaluation de conformité à un référentiel de
certification, délivrée par un organisme certificateur
accrédité par le COFRAC (ou équivalent au niveau
européen) et choisi par l’hébergeur.
Le certificat est délivré pour une durée de trois ans,
par l’organisme certificateur, lorsqu’aucune nonconformité n’est constatée.
Un audit de surveillance annuel est effectué par
l’organisme certificateur.
Référentiel de certification
Le référentiel proposé est basé sur des normes
internationales existantes :

les exigences de la norme ISO/CEI 27001
« système de gestion de la sécurité des
systèmes d’information »,

des exigences de la norme ISO/CEI 20000
« système de gestion de la qualité des
services»,

des exigences de la norme ISO/CEI 27018
« protection
des
données
à
caractère
personnel »,

et des exigences spécifiques à l’hébergement
de données de santé.
POINT DE SITUATION (MAI 2016)
Une première version du dispositif (référentiel de
certification, procédure, etc.) a été produite.
Cette version est actuellement en cours de concertation
restreinte avec les acteurs institutionnels et les représentants des industriels (AFHADS, ASINHPA, FEIMA,
LESSIS, SNITEM et SYNTEC).
A l’issue de cette concertation restreinte, les documents
seront publiés sur le site de l’ASIP Santé pour une
concertation publique.
Les mesures visant à remplacer la procédure
d’agrément par une évaluation de conformité technique
seront prises par ordonnance (cf. article 204 de la loi de
modernisation de notre système de santé) et seront
précisées par des textes règlementaires
Procédure de certification
La procédure de certification se fonde sur le processus
standard de type système de management décrit dans
la norme ISO/CEI 17021 :

l’hébergeur choisit un organisme certificateur
accrédité par le COFRAC (ou équivalent au
niveau européen) ;

le cas échéant, l’organisme certificateur vérifie
l’équivalence des éventuelles certifications
ISO/CEI 27001 ou ISO/CEI 20000 déjà
obtenues par l’hébergeur ;

un audit en deux étapes conformes aux
normes en vigueur est alors effectué :
Etape 2 : audit sur site.
L’organisme certificateur exécute l’audit
de certification en recueillant et vérifiant
des informations. Les preuves d’audit
sont recueillies dans les conditions
définies
dans
l’ISO/CEI
27006.
L’hébergeur dispose de trois mois après
la fin de l’audit sur site pour corriger les
éventuelles non-conformités et faire
auditer les corrections par l’organisme
certificateur. Passé ce délai et sans
action de l’hébergeur celui-ci devra
recommencer une nouvelle procédure
de certification.
DOCUMENTATION
o
Les documents relatifs à la procédure
d’agrément actuelle sont disponibles à partir
de la page
Etape 1 : audit documentaire.
Avant d’intervenir sur le(s) site(s) où les
données de santé seront hébergées,
l’organisme certificateur réalise une
revue
documentaire
du
système
d’information du candidat afin de
déterminer la conformité documentaire
du système par rapport aux exigences
du référentiel de certification.
http://esante.gouv.fr/services/referentiels/securit
e/le-referentiel-de-constitution-des-dossiers-dedemande-d-agrement-des
Les documents relatifs à la nouvelle procédure
seront publiés sur le site de l’ASIP Santé.
Mai 2016
2