Ordonnance n° 2017-27 du 12 janvier 2017 relative à l'hébergement de données de santé à caractère personnel

Application de la Constitution, notamment son article 38 ; de la loi n° 2016-41 du 26 janvier 2016 de modernisation de notre système de santé, notamment son article 204. Modification du code de la santé publique, du code du patrimoine.

Ministère: Ministère des affaires sociales et de la santé
Nature: ORDONNANCE
Identifiant: JORFTEXT000033860770
NOR: AFSZ1626575R
URL: texte/version/JORF/TEXT/00/00/33/86/07/JORFTEXT000033860770.xml
This commit is contained in:
République française 2018-04-01 00:00:00 +02:00
parent 6f6598159c
commit 221757dbc7

View file

@ -1,73 +1,85 @@
---
État: MODIFIE
Type: AUTONOME
Date de début: 2016-01-28
Date de fin: 2018-04-01
Identifiant: LEGIARTI000031929051
URL: article/LEGI/ARTI/00/00/31/92/90/LEGIARTI000031929051.xml
Date de début: 2018-04-01
Date de fin: 2024-05-23
Identifiant: LEGIARTI000033862549
URL: article/LEGI/ARTI/00/00/33/86/25/LEGIARTI000033862549.xml
---
###### Article L1111-8
Toute personne qui héberge des données de santé à caractère personnel
I.-Toute personne qui héberge des données de santé à caractère personnel
recueillies à l'occasion d'activités de prévention, de diagnostic, de soins ou
de suivi social et médico-social, pour le compte de personnes physiques ou
morales à l'origine de la production ou du recueil desdites données ou pour le
compte du patient lui-même, doit être agréée à cet effet. Cet hébergement, quel
qu'en soit le support, papier ou électronique, est réalisé après que la personne
prise en charge en a été dûment informée et sauf opposition pour un motif
légitime.<br />
morales à l'origine de la production ou du recueil de ces données ou pour le
compte du patient lui-même, réalise cet hébergement dans les conditions prévues
au présent article.<br />
Les traitements de données de santé à caractère personnel que nécessite
l'hébergement prévu au premier alinéa, quel qu'en soit le support, papier ou
informatique, doivent être réalisés dans le respect des dispositions de la loi
n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux
libertés. La prestation d'hébergement, quel qu'en soit le support, fait l'objet
d'un contrat.<br />
L'hébergement, quel qu'en soit le support, papier ou numérique, est réalisé
après que la personne prise en charge en a été dûment informée et sauf
opposition pour un motif légitime.<br />
Les conditions d'agrément des hébergeurs des données, quel qu'en soit le
support, sont fixées par décret en Conseil d'Etat pris après avis de la
Commission nationale de l'informatique et des libertés et des conseils de
l'ordre des professions de santé. Ce décret mentionne les informations qui
doivent être fournies à l'appui de la demande d'agrément, notamment les modèles
de contrats prévus au deuxième alinéa et les dispositions prises pour garantir
la sécurité des données traitées en application de l'article 34 de la loi n°
78-17 du 6 janvier 1978 précitée, en particulier les mécanismes de contrôle et
de sécurité dans le domaine informatique ainsi que les procédures de contrôle
interne. Les dispositions de l'article L. 4113-6 s'appliquent aux contrats
prévus à l'alinéa précédent.<br />
La prestation d'hébergement de données de santé à caractère personnel fait
l'objet d'un contrat.<br />
L'agrément peut être retiré, dans les conditions prévues aux articles L. 121-1,
L. 121-2 et L. 122-1 du code des relations entre le public et l'administration,
en cas de violation des prescriptions législatives ou réglementaires relatives à
cette activité ou des prescriptions fixées par l'agrément.<br />
II.-L'hébergeur de données mentionnées au premier alinéa du I sur support
numérique est titulaire d'un certificat de conformité. S'il conserve des données
dans le cadre d'un service d'archivage électronique, il est soumis aux
dispositions du III.<br />
Seuls peuvent accéder aux données ayant fait l'objet d'un hébergement les
personnes physiques ou morales à l'origine de la production de soins ou de leur
recueil et qui sont désignées par les personnes concernées. L'accès aux données
ayant fait l'objet d'un hébergement s'effectue selon les modalités fixées dans
le contrat, dans le respect des articles L. 1110-4 et L. 1111-7.<br />
Ce certificat est délivré par des organismes de certification accrédités par
l'instance française d'accréditation ou l'instance nationale d'accréditation
d'un autre Etat membre de l'Union européenne mentionnée à l'article 137 de la
loi n° 2008-776 du 4 août 2008 de modernisation de l'économie.<br />
Les hébergeurs tiennent les données de santé à caractère personnel qui ont été
déposées auprès d'eux à la disposition de ceux qui les leur ont confiées. Ils ne
peuvent les utiliser à d'autres fins. Ils ne peuvent les transmettre à d'autres
personnes que celles qui les leur ont confiées.<br />
Les conditions de délivrance de ce certificat sont fixées par décret en Conseil
d'Etat pris après avis de la Commission nationale de l'informatique et des
libertés et des conseils nationaux de l'ordre des professions de santé.<br />
Lorsqu'il est mis fin à l'hébergement, l'hébergeur restitue les données aux
personnes qui les lui ont confiées, sans en garder de copie.<br />
III.-L'hébergeur de données mentionnées au premier alinéa du I est agréé par le
ministre chargé de la culture pour la conservation de ces données sur support
papier ou sur support numérique dans le cadre d'un service d'archivage
électronique.<br />
Les hébergeurs de données de santé à caractère personnel et les personnes
placées sous leur autorité qui ont accès aux données déposées sont astreintes au
secret professionnel dans les conditions et sous les peines prévues à l'article
226-13 du code pénal.<br />
Les conditions d'agrément sont fixées par décret en Conseil d'Etat pris après
avis de la Commission nationale de l'informatique et des libertés et des
conseils nationaux de l'ordre des professions de santé.<br />
Les hébergeurs de données de santé à caractère personnel ou qui proposent cette
prestation d'hébergement sont soumis, dans les conditions prévues aux articles
L. 1421-2 et L. 1421-3, au contrôle de l'Inspection générale des affaires
sociales et des agents mentionnés aux articles L. 1421-1 et L. 1435-7. Les
L'agrément peut être retiré, dans les conditions prévues par les articles L.
121-1, L. 121-2 et L. 122-1 du code des relations entre le public et
l'administration, en cas de violation des prescriptions législatives ou
réglementaires relatives à cette activité ou des prescriptions fixées par
l'agrément.<br />
IV.-La nature des prestations d'hébergement mentionnées aux II et III, les rôles
et responsabilités de l'hébergeur et des personnes physiques ou morales pour le
compte desquelles les données de santé à caractère personnel sont conservées,
ainsi que les stipulations devant figurer dans le contrat mentionné au I sont
précisés par décret en Conseil d'Etat, pris après avis de la Commission
nationale de l'informatique et des libertés et des conseils nationaux de l'ordre
des professions de santé.<br />
V.-L'accès aux données ayant fait l'objet d'un hébergement s'effectue selon les
modalités fixées dans le contrat dans le respect des articles L. 1110-4 et L.
1111-7.<br />
Les hébergeurs ne peuvent utiliser les données qui leur sont confiées à d'autres
fins que l'exécution de la prestation d'hébergement. Lorsqu'il est mis fin à
l'hébergement, l'hébergeur restitue les données aux personnes qui les lui ont
confiées, sans en garder de copie. Les hébergeurs de données de santé à
caractère personnel et les personnes placées sous leur autorité qui ont accès
aux données déposées sont astreints au secret professionnel dans les conditions
et sous les peines prévues à l'article 226-13 du code pénal.<br />
VI.-Les hébergeurs de données de santé à caractère personnel ou qui proposent
cette prestation d'hébergement sont soumis, dans les conditions prévues aux
articles L. 1421-2 et L. 1421-3, au contrôle de l'inspection générale des
affaires sociales et des agents mentionnés aux articles L. 1421-1 et L. 1435-7,
à l'exception des hébergeurs certifiés dans les conditions définies au II. Les
agents chargés du contrôle peuvent être assistés par des experts désignés par le
ministre chargé de la santé.<br />
Tout acte de cession à titre onéreux de données de santé identifiantes,
VII.-Tout acte de cession à titre onéreux de données de santé identifiantes
directement ou indirectement, y compris avec l'accord de la personne concernée,
est interdit sous peine des sanctions prévues à l'article 226-21 du code pénal.