Décret n° 2018-137 du 26 février 2018 relatif à l'hébergement de données de santé à caractère personnel
Ministère: Ministère des solidarités et de la santé Nature: DECRET Identifiant: JORFTEXT000036650041 NOR: SSAZ1733293D URL: texte/version/JORF/TEXT/00/00/36/65/00/JORFTEXT000036650041.xml
This commit is contained in:
parent
f51c69304c
commit
36aafd8f29
11 changed files with 123 additions and 376 deletions
|
@ -8,6 +8,7 @@ Identifiant: LEGISCTA000006190177
|
|||
|
||||
- [Sous-section 1 : Accès aux informations de santé à caractère personnel.](sous-section_1)
|
||||
- [Sous-section 1 bis : Identifiant national de santé](sous-section_1_bis)
|
||||
- [Sous-section 1 ter : Dispositions générales relatives à l'hébergement de données de santé à caractère personnel](sous-section_1_ter)
|
||||
- [Sous-section 2 : Hébergement des données de santé à caractère personnel sur support numérique soumis à certification](sous-section_2)
|
||||
- [Sous-section 3 : Hébergement des données de santé à caractère personnel sur support papier](sous-section_3)
|
||||
- [Sous-section 4 : Catégories d'incidents et conditions de mise en œuvre du signalement des incidents graves de sécurité des systèmes d'information](sous-section_4)
|
||||
|
|
|
@ -0,0 +1,9 @@
|
|||
---
|
||||
Date de début: 2018-04-01
|
||||
Date de fin: 2999-01-01
|
||||
Identifiant: LEGISCTA000036656703
|
||||
---
|
||||
|
||||
###### Sous-section 1 ter : Dispositions générales relatives à l'hébergement de données de santé à caractère personnel
|
||||
|
||||
- [Article R1111-8-8](article_r1111-8-8.md)
|
|
@ -0,0 +1,32 @@
|
|||
---
|
||||
État: VIGUEUR
|
||||
Type: AUTONOME
|
||||
Date de début: 2018-04-01
|
||||
Date de fin: 2999-01-01
|
||||
Identifiant: LEGIARTI000036656709
|
||||
URL: article/LEGI/ARTI/00/00/36/65/67/LEGIARTI000036656709.xml
|
||||
---
|
||||
|
||||
###### Article R1111-8-8
|
||||
|
||||
I. - L'activité d'hébergement de données de santé à caractère personnel
|
||||
mentionnée au I de l'article L. 1111-8 consiste à héberger les données de santé
|
||||
à caractère personnel recueillies à l'occasion d'activités de prévention, de
|
||||
diagnostic, de soins ou de suivi social et médico-social :<br />
|
||||
|
||||
1° Pour le compte de personnes physiques ou morales, responsables de traitement
|
||||
au sens de la loi n° 78-17 du 6 janvier 1978, à l'origine de la production ou du
|
||||
recueil de ces données ;<br />
|
||||
|
||||
2° Pour le compte du patient lui-même.<br />
|
||||
|
||||
Toutefois, ne constitue pas une activité d'hébergement au sens de l'article L.
|
||||
1111-8, le fait de se voir confier des données pour une courte période par les
|
||||
personnes physiques ou morales, à l'origine de la production ou du recueil de
|
||||
ces données, pour effectuer un traitement de saisie, de mise en forme, de
|
||||
matérialisation ou de dématérialisation de ces données.<br />
|
||||
|
||||
II. - Les responsables de traitement mentionnés au 1° du I, qui confient
|
||||
l'hébergement de données de santé à caractère personnel à un tiers, s'assurent
|
||||
que celui-ci est titulaire du certificat de conformité mentionné au II de
|
||||
l'article L. 1111-8.
|
|
@ -7,10 +7,5 @@ Identifiant: LEGISCTA000036658495
|
|||
###### Sous-section 2 : Hébergement des données de santé à caractère personnel sur support numérique soumis à certification
|
||||
|
||||
- [Article R1111-9](article_r1111-9.md)
|
||||
- [Article R*1111-10](article_r1111-10.md)
|
||||
- [Article R1111-10](article_r1111-10.md)
|
||||
- [Article R1111-11](article_r1111-11.md)
|
||||
- [Article R1111-12](article_r1111-12.md)
|
||||
- [Article R1111-13](article_r1111-13.md)
|
||||
- [Article R1111-14](article_r1111-14.md)
|
||||
- [Article R1111-15](article_r1111-15.md)
|
||||
- [Article R1111-15-1](article_r1111-15-1.md)
|
||||
|
|
|
@ -1,38 +1,28 @@
|
|||
---
|
||||
État: MODIFIE
|
||||
État: VIGUEUR
|
||||
Type: AUTONOME
|
||||
Date de début: 2018-03-01
|
||||
Date de fin: 2018-04-01
|
||||
Identifiant: LEGIARTI000036658429
|
||||
URL: article/LEGI/ARTI/00/00/36/65/84/LEGIARTI000036658429.xml
|
||||
Date de début: 2018-04-01
|
||||
Date de fin: 2999-01-01
|
||||
Identifiant: LEGIARTI000036830430
|
||||
URL: article/LEGI/ARTI/00/00/36/83/04/LEGIARTI000036830430.xml
|
||||
---
|
||||
|
||||
###### Article R*1111-10
|
||||
###### Article R1111-10
|
||||
|
||||
L'agrément nécessaire à l'activité d'hébergement de données de santé à caractère
|
||||
personnel sur support informatique est délivré par le ministre chargé de la
|
||||
santé, qui se prononce après avis de la Commission nationale de l'informatique
|
||||
et des libertés et d'un comité d'agrément placé auprès de lui.<br />
|
||||
I.-Le certificat de conformité mentionné au II de l'article L. 1111-8 est
|
||||
délivré par un organisme de certification sur le fondement d'un référentiel de
|
||||
certification élaboré par le groupement d'intérêt public mentionné à l'article
|
||||
L. 1111-24 et approuvé par arrêté du ministre chargé de la santé, pris après
|
||||
avis de la Commission nationale de l'informatique et des libertés.<br />
|
||||
|
||||
A cet effet, la personne intéressée adresse au ministre chargé de la santé un
|
||||
dossier de demande d'agrément comprenant les éléments mentionnés à l'article R.
|
||||
1111-12. Le ministre transmet le dossier à la Commission nationale de
|
||||
l'informatique et des libertés, qui apprécie les garanties présentées par le
|
||||
candidat à l'agrément en matière de protection des personnes à l'égard des
|
||||
traitements de données de santé à caractère personnel et de sécurité de ces
|
||||
données. La commission rend son avis dans un délai de deux mois à compter de la
|
||||
réception du dossier, délai pouvant être renouvelé une fois sur décision motivée
|
||||
de son président.<br />
|
||||
II.-L'organisme de certification mentionné au II de l'article L. 1111-8 est
|
||||
accrédité par le Comité français d'accréditation ou par tout autre organisme
|
||||
d'accréditation signataire d'un accord de reconnaissance mutuelle multilatéral
|
||||
pris dans le cadre de la coordination européenne des organismes d'accréditation
|
||||
conformément à un référentiel d'accréditation élaboré par le groupement
|
||||
d'intérêt public mentionné à l'article L. 1111-24 en lien avec les organismes
|
||||
d'accréditation concernés et approuvé par arrêté du ministre chargé de la
|
||||
santé.<br />
|
||||
|
||||
Dès que la commission s'est prononcée ou à l'expiration du délai qui lui était
|
||||
imparti, elle transmet la demande d'agrément, accompagnée, le cas échéant, de
|
||||
son avis, au comité d'agrément mentionné au premier alinéa. Ce comité se
|
||||
prononce sur tous les aspects du dossier, en particulier sur les garanties
|
||||
d'ordre éthique, déontologique, technique, financier et économique qu'offre le
|
||||
candidat. Il émet son avis dans le mois qui suit la réception du dossier
|
||||
transmis par la Commission nationale de l'informatique et des libertés. Il peut
|
||||
toutefois demander un délai supplémentaire d'un mois.<br />
|
||||
|
||||
Le ministre chargé de la santé dispose, pour prendre sa décision, d'un délai de
|
||||
deux mois suivant l'avis du comité d'agrément. A l'issue de ce délai, son
|
||||
silence vaut décision d'acceptation.
|
||||
III.-Le groupement d'intérêt public mentionné à l'article L. 1111-24 assure le
|
||||
suivi et la mise à jour de ces référentiels.
|
||||
|
|
|
@ -1,69 +1,81 @@
|
|||
---
|
||||
État: MODIFIE
|
||||
État: VIGUEUR
|
||||
Type: AUTONOME
|
||||
Date de début: 2012-07-01
|
||||
Date de fin: 2018-04-01
|
||||
Identifiant: LEGIARTI000025860082
|
||||
URL: article/LEGI/ARTI/00/00/25/86/00/LEGIARTI000025860082.xml
|
||||
Date de début: 2018-04-01
|
||||
Date de fin: 2999-01-01
|
||||
Identifiant: LEGIARTI000036658473
|
||||
URL: article/LEGI/ARTI/00/00/36/65/84/LEGIARTI000036658473.xml
|
||||
---
|
||||
|
||||
###### Article R1111-11
|
||||
|
||||
I.-Le comité d'agrément mentionné à l'article R. 1111-10 comprend :<br />
|
||||
I.-Le contrat d'hébergement mentionné au dernier alinéa du I de l'article L.
|
||||
1111-8 est conclu entre l'hébergeur et son client. Il contient au moins les
|
||||
clauses suivantes :<br />
|
||||
|
||||
1° Un membre de l'inspection générale des affaires sociales nommé sur
|
||||
proposition du chef de l'inspection générale des affaires sociales ;<br />
|
||||
1° L'indication du périmètre du certificat de conformité obtenu par l'hébergeur,
|
||||
ainsi que ses dates de délivrance et de renouvellement ;<br />
|
||||
|
||||
2° Deux représentants des associations compétentes en matière de santé, agréées
|
||||
au niveau national dans les conditions prévues à l'article L. 1114-1 ;<br />
|
||||
2° La description des prestations réalisées, comprenant le contenu des services
|
||||
et résultats attendus notamment aux fins de garantir la disponibilité,
|
||||
l'intégrité, la confidentialité et l'auditabilité des données hébergées ;<br />
|
||||
|
||||
3° Deux représentants des professions de santé, l'un nommé sur proposition du
|
||||
Conseil national de l'ordre des médecins et l'autre sur proposition de l'Union
|
||||
nationale des professions de santé ;<br />
|
||||
3° L'indication des lieux d'hébergement ;<br />
|
||||
|
||||
4° Trois personnalités qualifiées :<br />
|
||||
4° Les mesures mises en œuvre pour garantir le respect des droits des personnes
|
||||
concernées par les données de santé dont notamment :<br />
|
||||
|
||||
a) Une personne choisie en raison de ses compétences dans les domaines de
|
||||
l'éthique et du droit ;<br />
|
||||
-les modalités d'exercice des droits de portabilité des données ;<br />
|
||||
|
||||
b) Une personne choisie en raison de ses compétences en matière de sécurité des
|
||||
systèmes d'information et de nouvelles technologies ;<br />
|
||||
-les modalités de signalement au responsable de traitement de la violation des
|
||||
données à caractère personnel ;<br />
|
||||
|
||||
c) Une personne choisie en raison de ses compétences dans le domaine économique
|
||||
et financier.<br />
|
||||
-les modalités de conduite des audits par le délégué à la protection des données
|
||||
;<br />
|
||||
|
||||
Le directeur général de la santé, le directeur général de l'offre de soins, le
|
||||
directeur général des patrimoines, le directeur général des entreprises et le
|
||||
directeur général de la concurrence, de la consommation et de la répression des
|
||||
fraudes, ou leurs représentants, assistent aux séances du comité avec voix
|
||||
consultative.<br />
|
||||
5° La mention du référent contractuel du client de l'hébergeur à contacter pour
|
||||
le traitement des incidents ayant un impact sur les données de santé hébergées
|
||||
;<br />
|
||||
|
||||
II.-Les membres du comité d'agrément, dont celui qui, parmi eux, exercera la
|
||||
présidence du comité, sont nommés pour cinq ans par arrêté du ministre chargé de
|
||||
la santé. Leur mandat est renouvelable une fois.<br />
|
||||
6° La mention des indicateurs de qualité et de performance permettant la
|
||||
vérification du niveau de service annoncé, le niveau garanti, la périodicité de
|
||||
leur mesure, ainsi que l'existence ou l'absence de pénalités applicables au
|
||||
non-respect de ceux-ci ;<br />
|
||||
|
||||
Ils sont soumis aux dispositions de l'article L. 1451-1.<br />
|
||||
7° Une information sur les conditions de recours à d'éventuels prestataires
|
||||
techniques externes et les engagements de l'hébergeur pour que ce recours assure
|
||||
un niveau de protection équivalent de garantie au regard des obligations pesant
|
||||
sur l'hébergeur ;<br />
|
||||
|
||||
Des suppléants en nombre égal au nombre de titulaires sont désignés dans les
|
||||
mêmes conditions que ceux-ci. Un membre titulaire empêché ou intéressé par une
|
||||
affaire est remplacé par son suppléant.<br />
|
||||
8° Les modalités retenues pour encadrer les accès aux données de santé à
|
||||
caractère personnel hébergées ;<br />
|
||||
|
||||
Le remplacement d'un membre du comité en cas de cessation de fonction en cours
|
||||
de mandat est réalisé dans les mêmes conditions que sa nomination et pour la
|
||||
durée du mandat restant à courir.<br />
|
||||
9° Les obligations de l'hébergeur à l'égard de la personne physique ou morale
|
||||
pour le compte de laquelle il héberge les données de santé à caractère personnel
|
||||
en cas de modifications ou d'évolutions techniques introduites par lui ou
|
||||
imposées par le cadre légal applicable ;<br />
|
||||
|
||||
Les fonctions de membre du comité ouvrent droit à des indemnités pour frais de
|
||||
déplacement et de séjour dans les conditions prévues par les dispositions
|
||||
législatives et réglementaires applicables aux fonctionnaires civils de
|
||||
l'Etat.<br />
|
||||
10° Une information sur les garanties et les procédures mises en place par
|
||||
l'hébergeur permettant de couvrir toute défaillance éventuelle de sa part ;<br />
|
||||
|
||||
III.-Le comité d'agrément ne peut délibérer que si deux tiers au moins de ses
|
||||
membres sont présents. Dans le cas contraire, une nouvelle séance peut se tenir
|
||||
sans obligation de quorum après un délai de quinze jours.<br />
|
||||
11° La mention de l'interdiction pour l'hébergeur d'utiliser les données de
|
||||
santé hébergées à d'autres fins que l'exécution de l'activité d'hébergement de
|
||||
données de santé ;<br />
|
||||
|
||||
Les avis rendus par le comité sont motivés. Ils sont pris à la majorité des voix
|
||||
exprimées des membres présents. En cas de partage égal des voix, celle du
|
||||
président est prépondérante.<br />
|
||||
12° Une présentation des prestations à la fin de l'hébergement, notamment en cas
|
||||
de perte ou de retrait de certification et les modalités de mise en œuvre de la
|
||||
réversibilité de la prestation d'hébergement de données de santé ;<br />
|
||||
|
||||
IV.-Le comité d'agrément peut être saisi par le ministre chargé de la santé de
|
||||
tout sujet entrant dans son domaine de compétence.
|
||||
13° L'engagement de l'hébergeur de restituer, à la fin de la prestation, la
|
||||
totalité des données de santé au responsable de traitement ;<br />
|
||||
|
||||
14° L'engagement de l'hébergeur de détruire, à la fin de la prestation, les
|
||||
données de santé après l'accord formel du responsable de traitement et sans en
|
||||
garder de copie.<br />
|
||||
|
||||
II.-Lorsque le responsable de traitement de données de santé ou le patient
|
||||
mentionnés au I de l'article R. 1111-8-8 fait appel à un prestataire qui recourt
|
||||
lui-même pour l'hébergement des données à un hébergeur certifié, le contrat qui
|
||||
lie le responsable de traitement ou le patient avec son prestataire reprend les
|
||||
clauses mentionnées au I telles qu'elles figurent dans le contrat liant le
|
||||
prestataire et l'hébergeur certifié.
|
||||
|
|
|
@ -1,48 +0,0 @@
|
|||
---
|
||||
État: ABROGE
|
||||
Type: AUTONOME
|
||||
Date de début: 2006-01-05
|
||||
Date de fin: 2018-04-01
|
||||
Identifiant: LEGIARTI000006908149
|
||||
Ancien identifiant: YXXXXXXXXXX1111R0120XX0A
|
||||
URL: article/LEGI/ARTI/00/00/06/90/81/LEGIARTI000006908149.xml
|
||||
---
|
||||
|
||||
###### Article R1111-12
|
||||
|
||||
Le dossier de demande d'agrément comprend les éléments suivants :<br />
|
||||
|
||||
1° L'identité et l'adresse du responsable du service d'hébergement et, le cas
|
||||
échéant, de son représentant ; pour les personnes morales, les statuts sont
|
||||
produits ;<br />
|
||||
|
||||
2° Les noms, fonctions et qualifications des opérateurs chargés de mettre en
|
||||
oeuvre le service, ainsi que les catégories de personnes qui, en raison de leurs
|
||||
fonctions ou pour les besoins du service, ont accès aux données hébergées ;<br />
|
||||
|
||||
3° L'indication des lieux dans lesquels sera réalisé l'hébergement ;<br />
|
||||
|
||||
4° Une description du service proposé ;<br />
|
||||
|
||||
5° Les modèles de contrats devant être conclus, en application du deuxième
|
||||
alinéa de l'article L. 1111-8, entre l'hébergeur de données de santé et les
|
||||
personnes physiques ou morales qui sont à l'origine du dépôt des données de
|
||||
santé à caractère personnel ; ces modèles sont établis conformément aux
|
||||
dispositions de l'article R. 1111-13 ;<br />
|
||||
|
||||
6° Les dispositions prises pour assurer la sécurité des données et la garantie
|
||||
des secrets protégés par la loi, notamment la présentation de la politique de
|
||||
confidentialité et de sécurité prévue au 2° de l'article R. 1111-9 ;<br />
|
||||
|
||||
7° Le cas échéant, l'indication du recours à des prestataires techniques
|
||||
externes et les contrats conclus avec eux ;<br />
|
||||
|
||||
8° Un document présentant les comptes prévisionnels de l'activité d'hébergement
|
||||
et, éventuellement, les trois derniers bilans et la composition de
|
||||
l'actionnariat du demandeur, ainsi que, dans le cas d'une demande de
|
||||
renouvellement, les comptes de résultat et bilans liés à cette activité
|
||||
d'hébergement depuis le dernier agrément.<br />
|
||||
|
||||
L'hébergeur déjà agréé informe sans délai le ministre chargé de la santé de tout
|
||||
changement affectant les informations mentionnées ci-dessus et de toute
|
||||
interruption, temporaire ou définitive, de son activité.
|
|
@ -1,55 +0,0 @@
|
|||
---
|
||||
État: ABROGE
|
||||
Type: AUTONOME
|
||||
Date de début: 2006-01-05
|
||||
Date de fin: 2018-04-01
|
||||
Identifiant: LEGIARTI000006908150
|
||||
Ancien identifiant: YXXXXXXXXXX1111R0130XX0A
|
||||
URL: article/LEGI/ARTI/00/00/06/90/81/LEGIARTI000006908150.xml
|
||||
---
|
||||
|
||||
###### Article R1111-13
|
||||
|
||||
Les modèles de contrats devant être joints à la demande d'agrément, mentionnés
|
||||
au 5° de l'article R. 1111-12, contiennent obligatoirement au moins les clauses
|
||||
suivantes :<br />
|
||||
|
||||
1° La description des prestations réalisées : contenu des services et résultats
|
||||
attendus ;<br />
|
||||
|
||||
2° Lorsque le contrat est souscrit par la personne concernée par les données
|
||||
hébergées, la description des modalités selon lesquelles les professionnels
|
||||
visés à l'article L. 1110-4 et, le cas échéant, la personne concernée, accèdent
|
||||
à ces données dans le respect des dispositions des articles L. 1110-4 et L.
|
||||
1110-4-1 ;<br />
|
||||
|
||||
3° Lorsque le contrat est souscrit par la personne physique ou morale à
|
||||
l'origine de la production ou du recueil des données de santé mentionnée au
|
||||
premier alinéa de l'article L. 1111-8, la description des modalités
|
||||
d'information de la personne concernée et d'enregistrement de l'absence
|
||||
d'opposition pour motif légitime de cette dernière à l'hébergement de ses
|
||||
données de santé, ainsi que des modalités selon lesquelles les professionnels
|
||||
visés à l'article L. 1110-4 et le cas échéant la personne concernée, accèdent à
|
||||
ces données dans le respect des dispositions des articles L. 1110-4 et L.
|
||||
1110-4-1 ;<br />
|
||||
|
||||
4° La description des moyens mis en œuvre par l'hébergeur pour la fourniture des
|
||||
services ;<br />
|
||||
|
||||
5° La mention des indicateurs de qualité et de performance permettant la
|
||||
vérification du niveau de service annoncé, ainsi que de la périodicité de leur
|
||||
mesure ;<br />
|
||||
|
||||
6° Les obligations de l'hébergeur à l'égard de la personne à l'origine du dépôt
|
||||
des données de santé à caractère personnel en cas de modifications ou
|
||||
d'évolutions techniques introduites par lui ;<br />
|
||||
|
||||
7° Une information sur les conditions de recours à d'éventuels prestataires
|
||||
techniques externes et les engagements de l'hébergeur pour que ce recours assure
|
||||
un niveau équivalent de garantie au regard des obligations pesant sur l'activité
|
||||
d'hébergement ;<br />
|
||||
|
||||
8° Une information sur les garanties permettant de couvrir toute défaillance
|
||||
éventuelle de l'hébergeur ;<br />
|
||||
|
||||
9° Une présentation des prestations à la fin de l'hébergement.
|
|
@ -1,131 +0,0 @@
|
|||
---
|
||||
État: ABROGE
|
||||
Type: AUTONOME
|
||||
Date de début: 2006-01-05
|
||||
Date de fin: 2018-04-01
|
||||
Identifiant: LEGIARTI000006908151
|
||||
Ancien identifiant: YXXXXXXXXXX1111R0140XX0A
|
||||
URL: article/LEGI/ARTI/00/00/06/90/81/LEGIARTI000006908151.xml
|
||||
---
|
||||
|
||||
###### Article R1111-14
|
||||
|
||||
Une présentation de la politique de confidentialité et de sécurité, prévue au 2°
|
||||
de l'article R. 1111-9, doit être fournie à l'appui de la demande d'agrément
|
||||
conformément au 6° de l'article R. 1111-12. Elle comporte notamment les
|
||||
précisions suivantes :<br />
|
||||
|
||||
1° En matière de respect des droits des personnes concernées par les données
|
||||
hébergées :<br />
|
||||
|
||||
a) Les modalités permettant de s'assurer de l'existence de l'information et de
|
||||
l'absence d'opposition pour motif légitime de l'intéressé à l'hébergement des
|
||||
données le concernant ;<br />
|
||||
|
||||
b) Les modalités retenues pour que l'accès aux données de santé à caractère
|
||||
personnel et leur transmission éventuelle soient réalisées dans le respect des
|
||||
dispositions de l'article L. 1110-4 ;<br />
|
||||
|
||||
c) Les conditions dans lesquelles sont présentées et prises en compte les
|
||||
éventuelles demandes de rectification des données de santé à caractère personnel
|
||||
hébergées ;<br />
|
||||
|
||||
d) Les moyens mis en œuvre pour assurer le respect des dispositions de l'article
|
||||
L. 1111-7 relatif à l'accès des personnes à leurs informations de santé,
|
||||
notamment en termes de délais et de modalités de consultation ;<br />
|
||||
|
||||
e) Les procédures de signalement des incidents graves, dont l'altération des
|
||||
données ou la divulgation non autorisée des données personnelles de santé ;<br />
|
||||
|
||||
f) La fourniture à la personne concernée par les données hébergées, à sa
|
||||
demande, de l'historique des accès aux données et des consultations ainsi que du
|
||||
contenu des informations consultées et des traitements éventuellement opérés.<br />
|
||||
|
||||
2° En matière de sécurité de l'accès aux informations :<br />
|
||||
|
||||
a) Les dispositions prises pour garantir la sécurité des accès et des
|
||||
transmissions des données de santé à caractère personnel vis-à-vis des personnes
|
||||
physiques ou morales à l'origine de la production ou du recueil des données de
|
||||
santé et des personnes concernées par ces données ;<br />
|
||||
|
||||
b) Les mesures prises en matière de contrôle des droits d'accès et de
|
||||
traçabilité des accès et des traitements ;<br />
|
||||
|
||||
c) Les conditions de vérification du contenu des traces des accès et des
|
||||
traitements afin de détecter les tentatives d'effraction ou d'accès non
|
||||
autorisés ;<br />
|
||||
|
||||
d) Les modalités de vérification du registre des personnes habilitées à accéder
|
||||
aux données hébergées tenant compte des éventuelles mises à jour ;<br />
|
||||
|
||||
e) Les procédés techniques retenus en matière d'identification et
|
||||
d'authentification ; en ce qui concerne les professionnels de santé, ces
|
||||
procédés techniques doivent être conformes aux référentiels de sécurité
|
||||
mentionnés à l'article L. 1110-4-1.<br />
|
||||
|
||||
3° En matière de pérennité des données hébergées :<br />
|
||||
|
||||
a) Les procédures visant à assurer, au moment du transfert des données vers
|
||||
l'hébergeur, la réception sécurisée des données et l'intégrité de celles-ci,
|
||||
leur prise en compte dans le système d'information de l'hébergeur et le suivi de
|
||||
cette prise en charge ;<br />
|
||||
|
||||
b) Les modalités de prise en compte et d'enrichissement tout au long de la durée
|
||||
de l'hébergement, de l'ensemble des informations concernant les données depuis
|
||||
leur création, telles que les données permettant de les identifier et de les
|
||||
décrire, de les gérer, de déterminer leurs propriétés techniques et d'en assurer
|
||||
la traçabilité ;<br />
|
||||
|
||||
c) Les modalités de surveillance des supports en vue d'anticiper les changements
|
||||
technologiques et, le cas échéant, d'opérer des migrations de supports dans des
|
||||
conditions en garantissant la traçabilité ;<br />
|
||||
|
||||
d) Les procédures liées à la réplication des données sur différents supports
|
||||
informatiques en des lieux distincts ;<br />
|
||||
|
||||
e) Les conditions de mise en œuvre d'une alerte concernant les formats
|
||||
d'encodage des données, destinée à avertir la personne à l'origine du dépôt en
|
||||
cas d'obsolescence de ce format et, éventuellement, les procédures visant à
|
||||
réaliser, avec l'autorisation de la personne à l'origine du dépôt, des
|
||||
migrations de formats des données, si ces derniers ne permettent plus d'assurer
|
||||
la lisibilité des informations et à assurer la traçabilité de ces migrations.<br />
|
||||
|
||||
4° En matière d'organisation et de procédures de contrôle interne en vue
|
||||
d'assurer la sécurité des traitements et des données :<br />
|
||||
|
||||
a) La désignation d'un responsable sécurité et d'un responsable qualité ;<br />
|
||||
|
||||
b) La définition des missions, des pouvoirs et des obligations des personnels de
|
||||
l'hébergeur et de ses éventuels sous-traitants, habilités à traiter les données
|
||||
de santé à caractère personnel ;<br />
|
||||
|
||||
c) Les spécifications techniques des logiciels et des mécanismes de sécurité
|
||||
propres à garantir la confidentialité des transmissions, notamment en ce qui
|
||||
concerne le mode de chiffrement des flux d'information ;<br />
|
||||
|
||||
d) Les modalités retenues pour l'évaluation périodique des risques et l'audit
|
||||
des mesures de protection mises en place afin de garantir la sécurité des
|
||||
données et en vue d'apporter les modifications nécessaires en cas de détection
|
||||
de défaillances ;<br />
|
||||
|
||||
e) Les dispositifs de simulation régulière de défauts de fonctionnement pour
|
||||
vérifier l'efficacité des mécanismes destinés à garantir la continuité des
|
||||
services ;<br />
|
||||
|
||||
f) Les moyens mis en œuvre pour sensibiliser et former le personnel aux mesures
|
||||
de protection mises en place et à leurs obligations en matière de
|
||||
confidentialité et de respect du secret professionnel ;<br />
|
||||
|
||||
g) Les conditions de mise en œuvre de la sécurité physique des sites
|
||||
informatiques, des mesures de protection de l'infrastructure technique,
|
||||
notamment en termes de sécurité des réseaux, des serveurs et des postes de
|
||||
travail ;<br />
|
||||
|
||||
h) Les dispositions prises en ce qui concerne l'exploitation de l'infrastructure
|
||||
technique ;<br />
|
||||
|
||||
i) Les conditions de mise en œuvre du plan de secours informatique comportant
|
||||
notamment les dispositions prises pour informer du déclenchement de ce plan les
|
||||
personnes physiques ou morales à l'origine du dépôt des données de santé à
|
||||
caractère personnel ainsi que les dispositions prises pour la reprise des
|
||||
activités.
|
|
@ -1,33 +0,0 @@
|
|||
---
|
||||
État: ABROGE
|
||||
Type: AUTONOME
|
||||
Date de début: 2011-03-07
|
||||
Date de fin: 2018-04-01
|
||||
Identifiant: LEGIARTI000023664518
|
||||
URL: article/LEGI/ARTI/00/00/23/66/45/LEGIARTI000023664518.xml
|
||||
---
|
||||
|
||||
###### Article R1111-15-1
|
||||
|
||||
Le ministre chargé de la santé, lorsqu'il envisage de procéder au retrait d'un
|
||||
agrément en application du quatrième alinéa de l'article L. 1111-8, communique à
|
||||
l'hébergeur intéressé, par lettre recommandée avec demande d'avis de réception,
|
||||
les motifs de ce projet de retrait et l'appelle à formuler ses observations,
|
||||
écrites ou, à sa demande, orales, dans un délai de deux mois.<br />
|
||||
|
||||
En cas de divulgation non autorisée de données de santé à caractère personnel
|
||||
sur support informatique ou de manquements graves de l'hébergeur à ses
|
||||
obligations mettant notamment en cause l'intégrité, la sécurité et la pérennité
|
||||
des données hébergées, le ministre chargé de la santé peut, à titre
|
||||
conservatoire, dans l'attente qu'il soit statué définitivement sur le projet de
|
||||
retrait d'agrément, prononcer la suspension de l'activité d'hébergement.<br />
|
||||
|
||||
La décision de retrait est notifiée à l'hébergeur intéressé, par lettre
|
||||
recommandée avec demande d'avis de réception. Elle met fin de plein droit à
|
||||
l'hébergement des données confiées à l'hébergeur et entraîne la restitution de
|
||||
ces données aux personnes ayant contracté avec l'hébergeur.<br />
|
||||
|
||||
Les décisions de suspension et de retrait font l'objet de la mesure de publicité
|
||||
prévue à l'article R. 1111-15. Elles sont transmises pour information au comité
|
||||
d'agrément mentionné à l'article R. 1111-10 ainsi qu'à la Commission nationale
|
||||
de l'informatique et des libertés.
|
|
@ -1,25 +0,0 @@
|
|||
---
|
||||
État: ABROGE
|
||||
Type: AUTONOME
|
||||
Date de début: 2011-03-07
|
||||
Date de fin: 2018-04-01
|
||||
Identifiant: LEGIARTI000023676893
|
||||
URL: article/LEGI/ARTI/00/00/23/67/68/LEGIARTI000023676893.xml
|
||||
---
|
||||
|
||||
###### Article R1111-15
|
||||
|
||||
L'agrément est délivré aux hébergeurs de données de santé à caractère personnel
|
||||
sur support informatique pour une durée de trois ans.<br />
|
||||
|
||||
La demande de renouvellement doit être déposée au plus tard six mois avant le
|
||||
terme de la période d'agrément. Elle comprend les documents mentionnés au 8° de
|
||||
l'article R. 1111-12 et un récapitulatif des modifications intervenues depuis la
|
||||
dernière demande d'agrément en ce qui concerne les autres documents mentionnés à
|
||||
cet article, ainsi qu'un audit externe réalisé aux frais de l'hébergeur,
|
||||
attestant de la mise en oeuvre de la politique de confidentialité et de sécurité
|
||||
mentionnée à l'article R. 1111-14. Elle est instruite selon la même procédure
|
||||
que celle applicable à la demande initiale.<br />
|
||||
|
||||
Les décisions d'agrément, ainsi que le renouvellement de cet agrément, sont
|
||||
publiées au Bulletin officiel du ministère de la santé.
|
Loading…
Add table
Reference in a new issue