diff --git a/partie_legislative/premiere_partie/livre_ier/titre_ier/chapitre_ier/section_1/article_l1111-8.md b/partie_legislative/premiere_partie/livre_ier/titre_ier/chapitre_ier/section_1/article_l1111-8.md index 8d550b6af5..46a8c90a22 100644 --- a/partie_legislative/premiere_partie/livre_ier/titre_ier/chapitre_ier/section_1/article_l1111-8.md +++ b/partie_legislative/premiere_partie/livre_ier/titre_ier/chapitre_ier/section_1/article_l1111-8.md @@ -1,73 +1,85 @@ --- État: MODIFIE Type: AUTONOME -Date de début: 2016-01-28 -Date de fin: 2018-04-01 -Identifiant: LEGIARTI000031929051 -URL: article/LEGI/ARTI/00/00/31/92/90/LEGIARTI000031929051.xml +Date de début: 2018-04-01 +Date de fin: 2024-05-23 +Identifiant: LEGIARTI000033862549 +URL: article/LEGI/ARTI/00/00/33/86/25/LEGIARTI000033862549.xml --- ###### Article L1111-8 -Toute personne qui héberge des données de santé à caractère personnel +I.-Toute personne qui héberge des données de santé à caractère personnel recueillies à l'occasion d'activités de prévention, de diagnostic, de soins ou de suivi social et médico-social, pour le compte de personnes physiques ou -morales à l'origine de la production ou du recueil desdites données ou pour le -compte du patient lui-même, doit être agréée à cet effet. Cet hébergement, quel -qu'en soit le support, papier ou électronique, est réalisé après que la personne -prise en charge en a été dûment informée et sauf opposition pour un motif -légitime.
+morales à l'origine de la production ou du recueil de ces données ou pour le +compte du patient lui-même, réalise cet hébergement dans les conditions prévues +au présent article.
-Les traitements de données de santé à caractère personnel que nécessite -l'hébergement prévu au premier alinéa, quel qu'en soit le support, papier ou -informatique, doivent être réalisés dans le respect des dispositions de la loi -n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux -libertés. La prestation d'hébergement, quel qu'en soit le support, fait l'objet -d'un contrat.
+L'hébergement, quel qu'en soit le support, papier ou numérique, est réalisé +après que la personne prise en charge en a été dûment informée et sauf +opposition pour un motif légitime.
-Les conditions d'agrément des hébergeurs des données, quel qu'en soit le -support, sont fixées par décret en Conseil d'Etat pris après avis de la -Commission nationale de l'informatique et des libertés et des conseils de -l'ordre des professions de santé. Ce décret mentionne les informations qui -doivent être fournies à l'appui de la demande d'agrément, notamment les modèles -de contrats prévus au deuxième alinéa et les dispositions prises pour garantir -la sécurité des données traitées en application de l'article 34 de la loi n° -78-17 du 6 janvier 1978 précitée, en particulier les mécanismes de contrôle et -de sécurité dans le domaine informatique ainsi que les procédures de contrôle -interne. Les dispositions de l'article L. 4113-6 s'appliquent aux contrats -prévus à l'alinéa précédent.
+La prestation d'hébergement de données de santé à caractère personnel fait +l'objet d'un contrat.
-L'agrément peut être retiré, dans les conditions prévues aux articles L. 121-1, -L. 121-2 et L. 122-1 du code des relations entre le public et l'administration, -en cas de violation des prescriptions législatives ou réglementaires relatives à -cette activité ou des prescriptions fixées par l'agrément.
+II.-L'hébergeur de données mentionnées au premier alinéa du I sur support +numérique est titulaire d'un certificat de conformité. S'il conserve des données +dans le cadre d'un service d'archivage électronique, il est soumis aux +dispositions du III.
-Seuls peuvent accéder aux données ayant fait l'objet d'un hébergement les -personnes physiques ou morales à l'origine de la production de soins ou de leur -recueil et qui sont désignées par les personnes concernées. L'accès aux données -ayant fait l'objet d'un hébergement s'effectue selon les modalités fixées dans -le contrat, dans le respect des articles L. 1110-4 et L. 1111-7.
+Ce certificat est délivré par des organismes de certification accrédités par +l'instance française d'accréditation ou l'instance nationale d'accréditation +d'un autre Etat membre de l'Union européenne mentionnée à l'article 137 de la +loi n° 2008-776 du 4 août 2008 de modernisation de l'économie.
-Les hébergeurs tiennent les données de santé à caractère personnel qui ont été -déposées auprès d'eux à la disposition de ceux qui les leur ont confiées. Ils ne -peuvent les utiliser à d'autres fins. Ils ne peuvent les transmettre à d'autres -personnes que celles qui les leur ont confiées.
+Les conditions de délivrance de ce certificat sont fixées par décret en Conseil +d'Etat pris après avis de la Commission nationale de l'informatique et des +libertés et des conseils nationaux de l'ordre des professions de santé.
-Lorsqu'il est mis fin à l'hébergement, l'hébergeur restitue les données aux -personnes qui les lui ont confiées, sans en garder de copie.
+III.-L'hébergeur de données mentionnées au premier alinéa du I est agréé par le +ministre chargé de la culture pour la conservation de ces données sur support +papier ou sur support numérique dans le cadre d'un service d'archivage +électronique.
-Les hébergeurs de données de santé à caractère personnel et les personnes -placées sous leur autorité qui ont accès aux données déposées sont astreintes au -secret professionnel dans les conditions et sous les peines prévues à l'article -226-13 du code pénal.
+Les conditions d'agrément sont fixées par décret en Conseil d'Etat pris après +avis de la Commission nationale de l'informatique et des libertés et des +conseils nationaux de l'ordre des professions de santé.
-Les hébergeurs de données de santé à caractère personnel ou qui proposent cette -prestation d'hébergement sont soumis, dans les conditions prévues aux articles -L. 1421-2 et L. 1421-3, au contrôle de l'Inspection générale des affaires -sociales et des agents mentionnés aux articles L. 1421-1 et L. 1435-7. Les +L'agrément peut être retiré, dans les conditions prévues par les articles L. +121-1, L. 121-2 et L. 122-1 du code des relations entre le public et +l'administration, en cas de violation des prescriptions législatives ou +réglementaires relatives à cette activité ou des prescriptions fixées par +l'agrément.
+ +IV.-La nature des prestations d'hébergement mentionnées aux II et III, les rôles +et responsabilités de l'hébergeur et des personnes physiques ou morales pour le +compte desquelles les données de santé à caractère personnel sont conservées, +ainsi que les stipulations devant figurer dans le contrat mentionné au I sont +précisés par décret en Conseil d'Etat, pris après avis de la Commission +nationale de l'informatique et des libertés et des conseils nationaux de l'ordre +des professions de santé.
+ +V.-L'accès aux données ayant fait l'objet d'un hébergement s'effectue selon les +modalités fixées dans le contrat dans le respect des articles L. 1110-4 et L. +1111-7.
+ +Les hébergeurs ne peuvent utiliser les données qui leur sont confiées à d'autres +fins que l'exécution de la prestation d'hébergement. Lorsqu'il est mis fin à +l'hébergement, l'hébergeur restitue les données aux personnes qui les lui ont +confiées, sans en garder de copie. Les hébergeurs de données de santé à +caractère personnel et les personnes placées sous leur autorité qui ont accès +aux données déposées sont astreints au secret professionnel dans les conditions +et sous les peines prévues à l'article 226-13 du code pénal.
+ +VI.-Les hébergeurs de données de santé à caractère personnel ou qui proposent +cette prestation d'hébergement sont soumis, dans les conditions prévues aux +articles L. 1421-2 et L. 1421-3, au contrôle de l'inspection générale des +affaires sociales et des agents mentionnés aux articles L. 1421-1 et L. 1435-7, +à l'exception des hébergeurs certifiés dans les conditions définies au II. Les agents chargés du contrôle peuvent être assistés par des experts désignés par le ministre chargé de la santé.
-Tout acte de cession à titre onéreux de données de santé identifiantes, +VII.-Tout acte de cession à titre onéreux de données de santé identifiantes directement ou indirectement, y compris avec l'accord de la personne concernée, est interdit sous peine des sanctions prévues à l'article 226-21 du code pénal.