ICT fournisseur de logiciels / systèmes d’information sous forme d’application hébergée :
- CHORUS pour les équipes de soins pluriprofessionnelles, les professionnels de santé isolés ou les centres de santé
- CHRYSALIDE pour les établissements de santé

Informations générales

Cadre institutionnel et législatif relatif aux systèmes d’informations en santé

Textes législatifs
- Confidentialité :
Article L1110-4 du CSP, Décret confidentialité du 15 mai 2007
- Hébergement des données de santé à caratère personnel : Article L1111-8 CSP, Décret 4 janvier 2006
- Loi informatique et Liberté du 6 janvier 1978

Acteurs institutionnels
- ASIP Santé
- CNDA
- CNIL
- GIE SESAM-Vitale
- ANSSI


Article L1110-4 du CSP

La confidentialité des données médicales est régie par l’Article L1110-4 du Code de la santé publique, créé par la loi du 4 mars 2002 relative aux droits des malades et à la qualité du système de santé. Il stipule que :


« Toute personne prise en charge par un professionnel, un établissement, un réseau de santé ou tout autre organisme participant à la prévention et aux soins a droit au respect de sa vie privée et du secret des informations la concernant.


Excepté dans les cas de dérogation, expressément prévus par la loi, ce secret couvre l’ensemble des informations concernant la personne venues à la connaissance du professionnel de santé, de tout membre du personnel de ces établissements ou organismes et de toute autre personne en relation, de par ses activités, avec ces établissements ou organismes. Il s’impose à tout professionnel de santé, ainsi qu’à tous les professionnels intervenant dans le système de santé.


Deux ou plusieurs professionnels de santé peuvent toutefois, sauf opposition de la personne dûment avertie, échanger des informations relatives à une même personne prise en charge, afin d’assurer la continuité des soins ou de déterminer la meilleure prise en charge sanitaire possible.


Lorsque la personne est prise en charge par une équipe de soins dans un établissement de santé, les informations la concernant sont réputées confiées par le malade à l’ensemble de l’équipe.


(NDLR: le paragraphe suivant a été ajouté par l’article 2 de la loi du 10 aout 2011, dite Loi Fourcade)

Les informations concernant une personne prise en charge par un professionnel de santé au sein d’une maison ou d’un centre de santé sont réputées confiées par la personne aux autres professionnels de santé de la structure qui la prennent en charge, sous réserve :


1° Du recueil de son consentement exprès, par tout moyen, y compris sous forme dématérialisée. Ce consentement est valable tant qu’il n’a pas été retiré selon les mêmes formes ;


2° De l’adhésion des professionnels concernés au projet de santé mentionné aux
articles L. 6323-1[NDLR : centres de santé] et L. 6323-3 [NDLR: maisons de santé].


La personne, dûment informée, peut refuser à tout moment que soient communiquées des informations la concernant à un ou plusieurs professionnels de santé.


Afin de garantir la confidentialité
des informations médicales mentionnées aux alinéas précédents, leur conservation sur support informatique, comme leur transmission par voie électronique entre professionnels, sont soumises à des règles définies par décret en Conseil d’Etat pris après avis public et motivé de la Commission nationale de l’informatique et des libertés. Ce décret détermine les cas où l’utilisation de la carte de professionnel de santé mentionnée au dernier alinéa de l’article L. 161-33 du code de la sécurité sociale ou un dispositif équivalent agréé par l’organisme chargé d’émettre la carte de professionnel de santé est obligatoire. La carte de professionnel de santé et les dispositifs équivalents agréés sont utilisés par les professionnels de santé, les établissements de santé, les réseaux de santé ou tout autre organisme participant à la prévention et aux soins [NDLR: cette dernière phrase a été ajoutée par art. 132 de la loi HPST juillet 2009].


Le fait d’obtenir ou de tenter d’obtenir la communication de ces informations en violation du présent article est puni d’un an d’emprisonnement et de 15 000 euros d’amende.


En cas de diagnostic ou de pronostic grave,
le secret médical ne s’oppose pas à ce que la famille, les proches de la personne malade ou la personne de confiance définie à l’article L. 1111-6 reçoivent les informations nécessaires destinées à leur permettre d’apporter un soutien direct à celle-ci, sauf opposition de sa part. Seul un médecin est habilité à délivrer, ou à faire délivrer sous sa responsabilité, ces informations.


Le secret médical ne fait pas obstacle à ce que les informations concernant une personne décédée soient délivrées à ses ayants droit, dans la mesure où elles leur sont nécessaires pour leur permettre de connaître les causes de la mort, de défendre la mémoire du défunt ou de faire valoir leurs droits, sauf volonté contraire exprimée par la personne avant son décès. »


Source : Article L1110-4 du Code de la santé publique



Décret confidentialité du 15 mai 2007


Le décret du 15 mai 2007 définit les règles relatives à la conservation sur support informatique des informations médicales et à leur transmission par voie électronique entre professionnels afin de garantir leur confidentialité. Ce décret détermine les cas où l’utilisation de la carte de professionnel de santé est obligatoire. Il crée trois articles réglementaires : Articles R1110-1, R1110-2, R1110-3.


Article R1110-1

La conservation sur support informatique des informations médicales mentionnées aux trois premiers alinéas de l’article L. 1110-4 par tout professionnel, tout établissements et tout réseau de santé ou tout autre organisme intervenant dans le système de santé est soumise au respect de référentiels définis par arrêtés du ministre chargé de la santé, pris après avis de la Commission nationale de l’informatique et des libertés. Ces référentiels s’imposent également à la transmission de ces informations par voie électronique entre professionnels.


Les référentiels déterminent les fonctions de sécurité nécessaires à la conservation ou à la transmission des informations médicales en cause et fixant le niveau de sécurité requis pour ces fonctions.


Ils décrivent notamment :


1° Les mesures de sécurisation physique des matériels et des locaux ainsi que les dispositions prises pour la sauvegarde des fichiers ;


2° Les modalités d’accès aux traitements, dont les mesures d’identification et de vérification de la qualité des utilisateurs, et de recours à des dispositifs d’accès sécurisés ;

3° Les dispositifs de contrôle des identifications et habilitations et les procédures de traçabilité des accès aux informations médicales, ainsi que l’histoire des connexions ;

4° En cas de transmission par voie électronique entre professionnels, les mesures mises en œuvre pour garantir la confidentialité des informations échangées, le cas échéant, par le recours à un chiffrement en tout ou partie de ces informations.


Article R1110-2


Pour chaque traitement mis en œuvre par les personnes et les organismes mentionnés à l’article R. 1110-1 et comportant des informations médicales à caractère personnel, le dossier de déclaration ou de demande d’autorisation auprès de la Commission nationale de l’informatique et des libertés décrit les moyens retenus afin d’assurer la mise en conformité de ce traitement avec le référentiel le concernant.


Le responsable du traitement, au sens de l’article 3 de la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, est chargé de veiller au respect du référentiel. Il lui appartient notamment de :


1° Gérer la liste nominative des professionnels habilités à accéder aux informations médicales relevant de ce traitement et la tenir à la disposition des personnes concernées par ces informations ;


2° Mettre en œuvre les procédés assurant l’identification et la vérification de la qualité des professionnels de santé dans les conditions garantissant la cohérence entre les données d’identification gérées localement et celles recensées par le groupement d’intérêt public mentionné à l’article R. 161-54 du code de la sécurité sociale ;

3° Porter à la connaissance de toute personne concernée par les informations médicales relevant du traitement les principales dispositions prises pour garantir la conformité au référentiel correspondant.


Article R1110-3 (Obligation d’utilisation carte CPS)


En cas d’accès par des professionnels de santé aux informations médicales à caractère personnel conservées sur support informatique ou de leur transmission par voie électronique, l’utilisation de la carte de professionnel de santé mentionnée au dernier alinéa de l’article L. 161-33 du code de la sécurité sociale est obligatoire.

Source : Décret 15 mai 2007


Article L1111-8 CSP

L’Article L1111-8 du Code de la santé publique relatif à l’hébergement des données médicales à caractère personnel a été créé par l’article 11 de la loi du 4 mars 2002. Il stipule que :


«
Les professionnels de santé ou les établissements de santé ou la personne concernée peuvent déposer des données de santé à caractère personnel, recueillies ou produites à l’occasion des activités de prévention, de diagnostic ou de soins, auprès de personnes physiques ou morales agréées à cet effet. Cet hébergement de données, quel qu’en soit le support, papier ou informatique, ne peut avoir lieu qu’avec le consentement exprès de la personne concernée.


Les traitements de données de santé à caractère personnel que nécessite l’hébergement prévu au premier alinéa, quel qu’en soit le support, papier ou informatique, doivent être réalisés dans le respect des dispositions de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés. La prestation d’hébergement, quel qu’en soit le support, fait l’objet d’un contrat. Lorsque cet hébergement est à l’initiative d’un professionnel de santé ou d’un établissement de santé, le contrat prévoit que l’hébergement des données, les modalités d’accès à celles-ci et leurs modalités de transmission sont subordonnées à l’accord de la personne concernée.


Les conditions d’agrément des hébergeurs des données, quel qu’en soit le support, sont fixées par décret en Conseil d’Etat pris après avis de la Commission nationale de l’informatique et des libertés et des conseils de l’ordre des professions de santé. Ce décret mentionne les informations qui doivent être fournies à l’appui de la demande d’agrément, notamment les modèles de contrats prévus au deuxième alinéa et les dispositions prises pour garantir la sécurité des données traitées en application de l’article 34 de la loi n° 78-17 du 6 janvier 1978 précitée, en particulier les mécanismes de contrôle et de sécurité dans le domaine informatique ainsi que les procédures de contrôle interne. Les dispositions de l’article L. 4113-6 s’appliquent aux contrats prévus à l’alinéa précédent.


La détention et le traitement sur des supports informatiques de données de santé à caractère personnel par des professionnels de santé, des établissements de santé ou des hébergeurs de données de santé à caractère personnel sont subordonnés à l’utilisation de systèmes d’information conformes aux prescriptions adoptées en application de l’article L. 1110-4 et aux référentiels d’interopérabilité et de sécurité arrêtés par le ministre chargé de la santé après avis du groupement mentionné à l’article L. 1111-24 (1).


Les professionnels et établissements de santé peuvent, par dérogation aux dispositions de la dernière phrase des deux premiers alinéas du présent article, utiliser leurs propres systèmes ou des systèmes appartenant à des hébergeurs agréés, sans le consentement exprès de la personne concernée dès lors que l’accès aux données détenues est limité au professionnel de santé ou à l’établissement de santé qui les a déposées, ainsi qu’à la personne concernée dans les conditions prévues par l’article L. 1111-7.


L’agrément peut être retiré, dans les conditions prévues par l’article 24 de la loi n° 2000-321 du 12 avril 2000 relative aux droits des citoyens dans leurs relations avec les administrations, en cas de violation des prescriptions législatives ou réglementaires relatives à cette activité ou des prescriptions fixées par l’agrément.


Seuls peuvent accéder aux données ayant fait l’objet d’un hébergement les personnes que celles-ci concernent et les professionnels de santé ou établissements de santé qui les prennent en charge et qui sont désignés par les personnes concernées, selon des modalités fixées dans le contrat prévu au deuxième alinéa, dans le respect des dispositions des articles L. 1110-4 et L. 1111-7.


Les hébergeurs tiennent les données de santé à caractère personnel qui ont été déposées auprès d’eux à la disposition de ceux qui les leur ont confiées. Ils ne peuvent les utiliser à d’autres fins. Ils ne peuvent les transmettre à d’autres personnes que les professionnels de santé ou établissements de santé désignés dans le contrat prévu au deuxième alinéa.


Lorsqu’il est mis fin à l’hébergement, l’hébergeur restitue les données qui lui ont été confiées, sans en garder de copie, au professionnel, à l’établissement ou à la personne concernée ayant contracté avec lui.


Les hébergeurs de données de santé à caractère personnel et les personnes placées sous leur autorité qui ont accès aux données déposées sont astreintes au secret professionnel dans les conditions et sous les peines prévues à l’article 226-13 du code pénal.


Les hébergeurs de données de santé à caractère personnel ou qui proposent cette prestation d’hébergement sont soumis, dans les conditions prévues aux articles L. 1421-2 et L. 1421-3, au contrôle de l’Inspection générale des affaires sociales et des agents mentionnés aux articles L. 1421-1 et L. 1435-7. Les agents chargés du contrôle peuvent être assistés par des experts désignés par le ministre chargé de la santé.


Tout acte de cession à titre onéreux de données de santé identifiantes, directement ou indirectement, y compris avec l’accord de la personne concernée, est interdit sous peine des sanctions prévues à l’article 226-21 du code pénal.



Décret du 4 janvier 2006

Le décret du 4 janvier 2006 fixe les conditions réglementaires d’agrément des hébergeurs des données santé à caractère personnel. Il décrit la procédure d’agrément des hébergeurs, y compris la composition et le fonctionnement du comité d’agrément et les éléments devant être fournis par le candidat dans le dossier de demande d’agrément. Les dossiers doivent être transmis au ministre chargé de la santé, ce dernier délivrant les agréments pour une durée de trois ans.
Les référentiels pour la mise en oeuvre de ce décret ont été publié en mars 2009 par l’ASIP Santé.

Cette procédure spécifique et préalable s’applique sans préjudice des dispositions propres à la loi n° 78-17 du 6 janvier 1978 modifiée en 2004 relative à l’informatique, aux fichiers et aux libertés, auxquelles restent soumis les organismes, qui, en leur qualité de responsables de traitements automatisés de données à caractère personnel, font héberger des données de santé à caractère personnel chez des hébergeurs agréés.

Source : Décret n°2006-6 du 4 janvier 2006 relatif à l’hébergement de données de santé à caractère personnel et modifiant le code de la santé publique (dispositions réglementaires)



La loi Informatique et Libertés du 6 janvier 1978 encadre la collecte et le traitement des données de santé. Elle a pour objet de les protéger, dans la mesure où leur divulgation ou leur mauvaise utilisation est susceptible de porter atteinte aux droits et libertés des personnes, ou à l’intimité de leur vie privée. Elle assure une protection renforcée aux informations de santé considérées comme « sensibles ».


Elle est applicable dès lors qu’il existe un traitement, automatisé ou manuel (c’est-à-dire un fichier informatique ou un fichier « papier ») contenant des informations relatives à des personnes physiques. Elle définit les principes à respecter lors de la collecte, du traitement et de la conservation de ces données et garantit un certain nombre de droits pour les personnes.


Sécurité


La loi Informatique et Libertés impose au responsable de fichiers de garantir la sécurité des informations. Elle stipule dans son article 34 : « Le responsable du traitement est tenu de prendre toutes précautions utiles, au regard de la nature des données et des risques présentés par le traitement, pour préserver la sécurité des données et, notamment, empêcher qu’elles soient déformées, endommagées, ou que des tiers non autorisés y aient accès. »

Source : Loi informatique et Liberté (texte en vigueur)



ASIP Santé (Agence des Systèmes d’Information Partagés de Santé)

Le GIP-DMP devient Agence des Systèmes d’Information Partagés de santé (ASIP Santé) en juillet 2009.


Les missions de cette agence d’Etat sont :


la maîtrise d’ouvrage des projets qui lui sont délégués par ses membres ;


la réalisation et le déploiement du Dossier Médical Personnel (DMP) et, en particulier, la maîtrise d’ouvrage de l’hébergement du DMP ;


la définition, la promotion et l’homologation de référentiels, standards, produits ou services contribuant à l’interopérabilité, à la sécurité et à l’usage des systèmes d’information de santé et de la télésanté, ainsi que la surveillance de leur bonne application ;


la maîtrise d’ouvrage et la gestion, dans le cadre des missions qui lui sont déléguées, des annuaires et référentiels nationaux regroupant les identités et informations associées relatives aux professionnels de santé, ainsi qu’aux services et établissements de santé et du secteur médico-social ;


la certification, la production, la gestion et le déploiement de la carte de professionnel de santé et, plus généralement, de dispositifs assurant les fonctions d’identification, d’authentification, de signature et de chiffrement permettant aux professionnels de santé de faire reconnaître, dans les conditions de sécurité et de confidentialité requises, leur identité et leurs qualifications professionnelles par les systèmes d’information et d’échanges électroniques qu’ils utilisent ;


l’accompagnement et l’encadrement des initiatives publiques et privées concourant à son objet, notamment sous forme de conventions d’assistance à maîtrise d’ouvrage, de conventions de partenariat ou de mise à disposition de services permettant de garantir la bonne utilisation, la cohérence, l’interopérabilité et la sécurité des systèmes d’échange et de partage des données de santé ;


la participation à la préparation et à l’application des accords ou projets internationaux dans le domaine des systèmes de partage et d’échange de l’information de santé, à la demande du ministre ou des ministres compétents.

Source : ASIP Santé & GIP DMP devient ASIP Santé


CNDA (Centre National de Dépôt et d’Agrément)

Le CNDA exerce une mission déléguée de la CNAMTS, dans le cadre de SESAM-Vitale et pour le compte de l’ensemble des Régimes d’Assurance-maladie obligatoire (AMO) et complémentaire (AMC).


Le premier volet de cette mission consiste à délivrer pour l’ensemble de ces Régimes, les agréments des logiciels permettant d’émettre des factures électroniques et d’en garantir la conformité au cahier des charges SESAM-Vitale et à ses additifs.


Le deuxième volet consiste à délivrer des certificats qualité aux logiciels équipant les établissements de santé afin de garantir la qualité des flux électroniques émanant de ces établissements.


Dans les deux cas, l’objectif est de s’assurer de la conformité des flux reçus au travers du Réseau SESAM-Vitale (RSV) afin de garantir :


des délais de remboursement rapides et un traitement égal à tous les assurés ;


le paiement des prestations Tiers-Payant aux professionnels de santé ;


un taux de rejet minimum pour les régimes d’Assurance-maladie ;


une procédure unique de référencement connue et reconnue aux éditeurs de logiciels.


Mais le CNDA assure aussi :


la validation des différents composants logiciels élaborés par le GIE SESAM-Vitale ;


la diffusion des API de lecture de la carte Vitale ;


le référencement des logiciels intégrant l’Identifiant National de Santé Calculé (INS-C).

Source : CNDA


CNIL (Commission nationale de l’informatique et des libertés)

Autorité administrative indépendante, la CNIL est chargée d’assurer le respect des dispositions de la loi Informatique et Libertés.


Les rôles de la CNIL sont :


conseil et information des personnes et des organismes qui envisagent de mettre en œuvre des fichiers informatiques ;


contrôle de la conformité des fichiers à la loi lors de l’instruction des demandes d’autorisation de fichiers et à tout moment. La CNIL reçoit les plaintes concernant le non-respect de la loi ;


pouvoir de sanction.

Source : CNIL


GIE SESAM-Vitale

Le GIE SESAM-Vitale est un Groupement d’Intérêt Economique constitué en 1993 par les organismes d’Assurance-maladie obligatoire et complémentaire pour concevoir et mettre en œuvre des solutions techniques d’échanges avec les professionnels de santé. C’est l’architecte et l’opérateur de solutions mutualisées pour le système d’information de santé.


Les missions du GIE SESAM-Vitale sont :


la dématérialisation des échanges d’information entre les professionnels de santé et les organisations d’Assurance maladie (obligatoire ou complémentaire).
La mise en œuvre d’une infrastructure d’échanges commune a été rendue indispensable. La diffusion de cartes à puce individuelles comme support d’identification et d’authentification des assurés a été un choix fondateur stratégique dès le lancement du programme SESAM-Vitale ;


opérateur de l’infrastructure d’échanges mutualisée. Dans ce cadre, le GIE SESAM-Vitale assure :

. la conception générale de l’architecture de l’infrastructure d’échanges ;


. la conception des spécifications techniques de la carte Vitale ou des cartes spécifiques aux complémentaires santé (dites « cartes associées ») ;


. le pilotage du processus industriel de fabrication et de diffusion des cartes aux assurés (cartes Vitale et Cartes Européennes d’Assurance Maladie) ;


. l’élaboration et diffusion des cahiers des charges et référentiels de spécifications à destination des industriels fournisseurs de solutions pour professionnels de santé. Homologation des solutions ;


. la conception et mise en œuvre d’une infrastructure de mise à jour des cartes Vitale ;


. la maîtrise d’œuvre des infrastructures de sécurisation et routage des services en ligne ;


. la maîtrise d’ouvrage du « Réseau SESAM-Vitale », réseau télécom d’échanges entre le GIE SESAM-Vitale et les organisations d’Assurance-maladie obligatoire et complémentaire ;


. la supervision quotidienne des flux d’échanges et garantie de qualité de services.


Source
:
GIE SESAM-Vitale & infrastructure et bouquet de services


ANSSI (Agence nationale de la sécurité des systèmes d’information)

L’Agence nationale de la sécurité des systèmes d’information (ANSSI) a été créée par décret en juillet 2009.


L’ANSSI assure la mission d’autorité nationale en matière de sécurité des systèmes d’information (SSI). À ce titre elle est chargée de proposer les règles à appliquer pour la protection des systèmes d’information de l’État et de vérifier l’application des mesures adoptées.


En outre, elle a une mission de conseil et de soutien aux administrations et aux opérateurs d’importance vitale, ainsi que celle de contribuer à la sécurité de la société de l’information, notamment en participant à la recherche et au développement des technologies de sécurité et à leur promotion.

Source : ANSSI


Droits réservés 2011 - International Cross Talk
Mentions légales | Accueil | Actus | Politique Générale | Caractéristiques Techniques | Ateliers | Contact