Ordonnance n° 2017-27 du 12 janvier 2017 relative à l'hébergement de données de santé à caractère personnel
Application de la Constitution, notamment son article 38 ; de la loi n° 2016-41 du 26 janvier 2016 de modernisation de notre système de santé, notamment son article 204. Modification du code de la santé publique, du code du patrimoine. Ministère: Ministère des affaires sociales et de la santé Nature: ORDONNANCE Identifiant: JORFTEXT000033860770 NOR: AFSZ1626575R URL: texte/version/JORF/TEXT/00/00/33/86/07/JORFTEXT000033860770.xml
This commit is contained in:
parent
6f6598159c
commit
221757dbc7
1 changed files with 63 additions and 51 deletions
|
@ -1,73 +1,85 @@
|
|||
---
|
||||
État: MODIFIE
|
||||
Type: AUTONOME
|
||||
Date de début: 2016-01-28
|
||||
Date de fin: 2018-04-01
|
||||
Identifiant: LEGIARTI000031929051
|
||||
URL: article/LEGI/ARTI/00/00/31/92/90/LEGIARTI000031929051.xml
|
||||
Date de début: 2018-04-01
|
||||
Date de fin: 2024-05-23
|
||||
Identifiant: LEGIARTI000033862549
|
||||
URL: article/LEGI/ARTI/00/00/33/86/25/LEGIARTI000033862549.xml
|
||||
---
|
||||
|
||||
###### Article L1111-8
|
||||
|
||||
Toute personne qui héberge des données de santé à caractère personnel
|
||||
I.-Toute personne qui héberge des données de santé à caractère personnel
|
||||
recueillies à l'occasion d'activités de prévention, de diagnostic, de soins ou
|
||||
de suivi social et médico-social, pour le compte de personnes physiques ou
|
||||
morales à l'origine de la production ou du recueil desdites données ou pour le
|
||||
compte du patient lui-même, doit être agréée à cet effet. Cet hébergement, quel
|
||||
qu'en soit le support, papier ou électronique, est réalisé après que la personne
|
||||
prise en charge en a été dûment informée et sauf opposition pour un motif
|
||||
légitime.<br />
|
||||
morales à l'origine de la production ou du recueil de ces données ou pour le
|
||||
compte du patient lui-même, réalise cet hébergement dans les conditions prévues
|
||||
au présent article.<br />
|
||||
|
||||
Les traitements de données de santé à caractère personnel que nécessite
|
||||
l'hébergement prévu au premier alinéa, quel qu'en soit le support, papier ou
|
||||
informatique, doivent être réalisés dans le respect des dispositions de la loi
|
||||
n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux
|
||||
libertés. La prestation d'hébergement, quel qu'en soit le support, fait l'objet
|
||||
d'un contrat.<br />
|
||||
L'hébergement, quel qu'en soit le support, papier ou numérique, est réalisé
|
||||
après que la personne prise en charge en a été dûment informée et sauf
|
||||
opposition pour un motif légitime.<br />
|
||||
|
||||
Les conditions d'agrément des hébergeurs des données, quel qu'en soit le
|
||||
support, sont fixées par décret en Conseil d'Etat pris après avis de la
|
||||
Commission nationale de l'informatique et des libertés et des conseils de
|
||||
l'ordre des professions de santé. Ce décret mentionne les informations qui
|
||||
doivent être fournies à l'appui de la demande d'agrément, notamment les modèles
|
||||
de contrats prévus au deuxième alinéa et les dispositions prises pour garantir
|
||||
la sécurité des données traitées en application de l'article 34 de la loi n°
|
||||
78-17 du 6 janvier 1978 précitée, en particulier les mécanismes de contrôle et
|
||||
de sécurité dans le domaine informatique ainsi que les procédures de contrôle
|
||||
interne. Les dispositions de l'article L. 4113-6 s'appliquent aux contrats
|
||||
prévus à l'alinéa précédent.<br />
|
||||
La prestation d'hébergement de données de santé à caractère personnel fait
|
||||
l'objet d'un contrat.<br />
|
||||
|
||||
L'agrément peut être retiré, dans les conditions prévues aux articles L. 121-1,
|
||||
L. 121-2 et L. 122-1 du code des relations entre le public et l'administration,
|
||||
en cas de violation des prescriptions législatives ou réglementaires relatives à
|
||||
cette activité ou des prescriptions fixées par l'agrément.<br />
|
||||
II.-L'hébergeur de données mentionnées au premier alinéa du I sur support
|
||||
numérique est titulaire d'un certificat de conformité. S'il conserve des données
|
||||
dans le cadre d'un service d'archivage électronique, il est soumis aux
|
||||
dispositions du III.<br />
|
||||
|
||||
Seuls peuvent accéder aux données ayant fait l'objet d'un hébergement les
|
||||
personnes physiques ou morales à l'origine de la production de soins ou de leur
|
||||
recueil et qui sont désignées par les personnes concernées. L'accès aux données
|
||||
ayant fait l'objet d'un hébergement s'effectue selon les modalités fixées dans
|
||||
le contrat, dans le respect des articles L. 1110-4 et L. 1111-7.<br />
|
||||
Ce certificat est délivré par des organismes de certification accrédités par
|
||||
l'instance française d'accréditation ou l'instance nationale d'accréditation
|
||||
d'un autre Etat membre de l'Union européenne mentionnée à l'article 137 de la
|
||||
loi n° 2008-776 du 4 août 2008 de modernisation de l'économie.<br />
|
||||
|
||||
Les hébergeurs tiennent les données de santé à caractère personnel qui ont été
|
||||
déposées auprès d'eux à la disposition de ceux qui les leur ont confiées. Ils ne
|
||||
peuvent les utiliser à d'autres fins. Ils ne peuvent les transmettre à d'autres
|
||||
personnes que celles qui les leur ont confiées.<br />
|
||||
Les conditions de délivrance de ce certificat sont fixées par décret en Conseil
|
||||
d'Etat pris après avis de la Commission nationale de l'informatique et des
|
||||
libertés et des conseils nationaux de l'ordre des professions de santé.<br />
|
||||
|
||||
Lorsqu'il est mis fin à l'hébergement, l'hébergeur restitue les données aux
|
||||
personnes qui les lui ont confiées, sans en garder de copie.<br />
|
||||
III.-L'hébergeur de données mentionnées au premier alinéa du I est agréé par le
|
||||
ministre chargé de la culture pour la conservation de ces données sur support
|
||||
papier ou sur support numérique dans le cadre d'un service d'archivage
|
||||
électronique.<br />
|
||||
|
||||
Les hébergeurs de données de santé à caractère personnel et les personnes
|
||||
placées sous leur autorité qui ont accès aux données déposées sont astreintes au
|
||||
secret professionnel dans les conditions et sous les peines prévues à l'article
|
||||
226-13 du code pénal.<br />
|
||||
Les conditions d'agrément sont fixées par décret en Conseil d'Etat pris après
|
||||
avis de la Commission nationale de l'informatique et des libertés et des
|
||||
conseils nationaux de l'ordre des professions de santé.<br />
|
||||
|
||||
Les hébergeurs de données de santé à caractère personnel ou qui proposent cette
|
||||
prestation d'hébergement sont soumis, dans les conditions prévues aux articles
|
||||
L. 1421-2 et L. 1421-3, au contrôle de l'Inspection générale des affaires
|
||||
sociales et des agents mentionnés aux articles L. 1421-1 et L. 1435-7. Les
|
||||
L'agrément peut être retiré, dans les conditions prévues par les articles L.
|
||||
121-1, L. 121-2 et L. 122-1 du code des relations entre le public et
|
||||
l'administration, en cas de violation des prescriptions législatives ou
|
||||
réglementaires relatives à cette activité ou des prescriptions fixées par
|
||||
l'agrément.<br />
|
||||
|
||||
IV.-La nature des prestations d'hébergement mentionnées aux II et III, les rôles
|
||||
et responsabilités de l'hébergeur et des personnes physiques ou morales pour le
|
||||
compte desquelles les données de santé à caractère personnel sont conservées,
|
||||
ainsi que les stipulations devant figurer dans le contrat mentionné au I sont
|
||||
précisés par décret en Conseil d'Etat, pris après avis de la Commission
|
||||
nationale de l'informatique et des libertés et des conseils nationaux de l'ordre
|
||||
des professions de santé.<br />
|
||||
|
||||
V.-L'accès aux données ayant fait l'objet d'un hébergement s'effectue selon les
|
||||
modalités fixées dans le contrat dans le respect des articles L. 1110-4 et L.
|
||||
1111-7.<br />
|
||||
|
||||
Les hébergeurs ne peuvent utiliser les données qui leur sont confiées à d'autres
|
||||
fins que l'exécution de la prestation d'hébergement. Lorsqu'il est mis fin à
|
||||
l'hébergement, l'hébergeur restitue les données aux personnes qui les lui ont
|
||||
confiées, sans en garder de copie. Les hébergeurs de données de santé à
|
||||
caractère personnel et les personnes placées sous leur autorité qui ont accès
|
||||
aux données déposées sont astreints au secret professionnel dans les conditions
|
||||
et sous les peines prévues à l'article 226-13 du code pénal.<br />
|
||||
|
||||
VI.-Les hébergeurs de données de santé à caractère personnel ou qui proposent
|
||||
cette prestation d'hébergement sont soumis, dans les conditions prévues aux
|
||||
articles L. 1421-2 et L. 1421-3, au contrôle de l'inspection générale des
|
||||
affaires sociales et des agents mentionnés aux articles L. 1421-1 et L. 1435-7,
|
||||
à l'exception des hébergeurs certifiés dans les conditions définies au II. Les
|
||||
agents chargés du contrôle peuvent être assistés par des experts désignés par le
|
||||
ministre chargé de la santé.<br />
|
||||
|
||||
Tout acte de cession à titre onéreux de données de santé identifiantes,
|
||||
VII.-Tout acte de cession à titre onéreux de données de santé identifiantes
|
||||
directement ou indirectement, y compris avec l'accord de la personne concernée,
|
||||
est interdit sous peine des sanctions prévues à l'article 226-21 du code pénal.
|
||||
|
|
Loading…
Add table
Reference in a new issue