Ordonnance n° 2017-27 du 12 janvier 2017 relative à l'hébergement de données de santé à caractère personnel

Application de la Constitution, notamment son article 38 ; de la loi n° 2016-41 du 26 janvier 2016 de modernisation de notre système de santé, notamment son article 204. Modification du code de la santé publique, du code du patrimoine.

Ministère: Ministère des affaires sociales et de la santé
Nature: ORDONNANCE
Identifiant: JORFTEXT000033860770
NOR: AFSZ1626575R
URL: texte/version/JORF/TEXT/00/00/33/86/07/JORFTEXT000033860770.xml
This commit is contained in:
République française 2018-04-01 00:00:00 +02:00
parent 6f6598159c
commit 221757dbc7

View file

@ -1,73 +1,85 @@
--- ---
État: MODIFIE État: MODIFIE
Type: AUTONOME Type: AUTONOME
Date de début: 2016-01-28 Date de début: 2018-04-01
Date de fin: 2018-04-01 Date de fin: 2024-05-23
Identifiant: LEGIARTI000031929051 Identifiant: LEGIARTI000033862549
URL: article/LEGI/ARTI/00/00/31/92/90/LEGIARTI000031929051.xml URL: article/LEGI/ARTI/00/00/33/86/25/LEGIARTI000033862549.xml
--- ---
###### Article L1111-8 ###### Article L1111-8
Toute personne qui héberge des données de santé à caractère personnel I.-Toute personne qui héberge des données de santé à caractère personnel
recueillies à l'occasion d'activités de prévention, de diagnostic, de soins ou recueillies à l'occasion d'activités de prévention, de diagnostic, de soins ou
de suivi social et médico-social, pour le compte de personnes physiques ou de suivi social et médico-social, pour le compte de personnes physiques ou
morales à l'origine de la production ou du recueil desdites données ou pour le morales à l'origine de la production ou du recueil de ces données ou pour le
compte du patient lui-même, doit être agréée à cet effet. Cet hébergement, quel compte du patient lui-même, réalise cet hébergement dans les conditions prévues
qu'en soit le support, papier ou électronique, est réalisé après que la personne au présent article.<br />
prise en charge en a été dûment informée et sauf opposition pour un motif
légitime.<br />
Les traitements de données de santé à caractère personnel que nécessite L'hébergement, quel qu'en soit le support, papier ou numérique, est réalisé
l'hébergement prévu au premier alinéa, quel qu'en soit le support, papier ou après que la personne prise en charge en a été dûment informée et sauf
informatique, doivent être réalisés dans le respect des dispositions de la loi opposition pour un motif légitime.<br />
n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux
libertés. La prestation d'hébergement, quel qu'en soit le support, fait l'objet
d'un contrat.<br />
Les conditions d'agrément des hébergeurs des données, quel qu'en soit le La prestation d'hébergement de données de santé à caractère personnel fait
support, sont fixées par décret en Conseil d'Etat pris après avis de la l'objet d'un contrat.<br />
Commission nationale de l'informatique et des libertés et des conseils de
l'ordre des professions de santé. Ce décret mentionne les informations qui
doivent être fournies à l'appui de la demande d'agrément, notamment les modèles
de contrats prévus au deuxième alinéa et les dispositions prises pour garantir
la sécurité des données traitées en application de l'article 34 de la loi n°
78-17 du 6 janvier 1978 précitée, en particulier les mécanismes de contrôle et
de sécurité dans le domaine informatique ainsi que les procédures de contrôle
interne. Les dispositions de l'article L. 4113-6 s'appliquent aux contrats
prévus à l'alinéa précédent.<br />
L'agrément peut être retiré, dans les conditions prévues aux articles L. 121-1, II.-L'hébergeur de données mentionnées au premier alinéa du I sur support
L. 121-2 et L. 122-1 du code des relations entre le public et l'administration, numérique est titulaire d'un certificat de conformité. S'il conserve des données
en cas de violation des prescriptions législatives ou réglementaires relatives à dans le cadre d'un service d'archivage électronique, il est soumis aux
cette activité ou des prescriptions fixées par l'agrément.<br /> dispositions du III.<br />
Seuls peuvent accéder aux données ayant fait l'objet d'un hébergement les Ce certificat est délivré par des organismes de certification accrédités par
personnes physiques ou morales à l'origine de la production de soins ou de leur l'instance française d'accréditation ou l'instance nationale d'accréditation
recueil et qui sont désignées par les personnes concernées. L'accès aux données d'un autre Etat membre de l'Union européenne mentionnée à l'article 137 de la
ayant fait l'objet d'un hébergement s'effectue selon les modalités fixées dans loi n° 2008-776 du 4 août 2008 de modernisation de l'économie.<br />
le contrat, dans le respect des articles L. 1110-4 et L. 1111-7.<br />
Les hébergeurs tiennent les données de santé à caractère personnel qui ont été Les conditions de délivrance de ce certificat sont fixées par décret en Conseil
déposées auprès d'eux à la disposition de ceux qui les leur ont confiées. Ils ne d'Etat pris après avis de la Commission nationale de l'informatique et des
peuvent les utiliser à d'autres fins. Ils ne peuvent les transmettre à d'autres libertés et des conseils nationaux de l'ordre des professions de santé.<br />
personnes que celles qui les leur ont confiées.<br />
Lorsqu'il est mis fin à l'hébergement, l'hébergeur restitue les données aux III.-L'hébergeur de données mentionnées au premier alinéa du I est agréé par le
personnes qui les lui ont confiées, sans en garder de copie.<br /> ministre chargé de la culture pour la conservation de ces données sur support
papier ou sur support numérique dans le cadre d'un service d'archivage
électronique.<br />
Les hébergeurs de données de santé à caractère personnel et les personnes Les conditions d'agrément sont fixées par décret en Conseil d'Etat pris après
placées sous leur autorité qui ont accès aux données déposées sont astreintes au avis de la Commission nationale de l'informatique et des libertés et des
secret professionnel dans les conditions et sous les peines prévues à l'article conseils nationaux de l'ordre des professions de santé.<br />
226-13 du code pénal.<br />
Les hébergeurs de données de santé à caractère personnel ou qui proposent cette L'agrément peut être retiré, dans les conditions prévues par les articles L.
prestation d'hébergement sont soumis, dans les conditions prévues aux articles 121-1, L. 121-2 et L. 122-1 du code des relations entre le public et
L. 1421-2 et L. 1421-3, au contrôle de l'Inspection générale des affaires l'administration, en cas de violation des prescriptions législatives ou
sociales et des agents mentionnés aux articles L. 1421-1 et L. 1435-7. Les réglementaires relatives à cette activité ou des prescriptions fixées par
l'agrément.<br />
IV.-La nature des prestations d'hébergement mentionnées aux II et III, les rôles
et responsabilités de l'hébergeur et des personnes physiques ou morales pour le
compte desquelles les données de santé à caractère personnel sont conservées,
ainsi que les stipulations devant figurer dans le contrat mentionné au I sont
précisés par décret en Conseil d'Etat, pris après avis de la Commission
nationale de l'informatique et des libertés et des conseils nationaux de l'ordre
des professions de santé.<br />
V.-L'accès aux données ayant fait l'objet d'un hébergement s'effectue selon les
modalités fixées dans le contrat dans le respect des articles L. 1110-4 et L.
1111-7.<br />
Les hébergeurs ne peuvent utiliser les données qui leur sont confiées à d'autres
fins que l'exécution de la prestation d'hébergement. Lorsqu'il est mis fin à
l'hébergement, l'hébergeur restitue les données aux personnes qui les lui ont
confiées, sans en garder de copie. Les hébergeurs de données de santé à
caractère personnel et les personnes placées sous leur autorité qui ont accès
aux données déposées sont astreints au secret professionnel dans les conditions
et sous les peines prévues à l'article 226-13 du code pénal.<br />
VI.-Les hébergeurs de données de santé à caractère personnel ou qui proposent
cette prestation d'hébergement sont soumis, dans les conditions prévues aux
articles L. 1421-2 et L. 1421-3, au contrôle de l'inspection générale des
affaires sociales et des agents mentionnés aux articles L. 1421-1 et L. 1435-7,
à l'exception des hébergeurs certifiés dans les conditions définies au II. Les
agents chargés du contrôle peuvent être assistés par des experts désignés par le agents chargés du contrôle peuvent être assistés par des experts désignés par le
ministre chargé de la santé.<br /> ministre chargé de la santé.<br />
Tout acte de cession à titre onéreux de données de santé identifiantes, VII.-Tout acte de cession à titre onéreux de données de santé identifiantes
directement ou indirectement, y compris avec l'accord de la personne concernée, directement ou indirectement, y compris avec l'accord de la personne concernée,
est interdit sous peine des sanctions prévues à l'article 226-21 du code pénal. est interdit sous peine des sanctions prévues à l'article 226-21 du code pénal.