Décret n° 2018-137 du 26 février 2018 relatif à l'hébergement de données de santé à caractère personnel

Ministère: Ministère des solidarités et de la santé
Nature: DECRET
Identifiant: JORFTEXT000036650041
NOR: SSAZ1733293D
URL: texte/version/JORF/TEXT/00/00/36/65/00/JORFTEXT000036650041.xml
This commit is contained in:
République française 2018-04-01 00:00:00 +02:00
parent f51c69304c
commit 36aafd8f29
11 changed files with 123 additions and 376 deletions

View file

@ -8,6 +8,7 @@ Identifiant: LEGISCTA000006190177
- [Sous-section 1 : Accès aux informations de santé à caractère personnel.](sous-section_1)
- [Sous-section 1 bis : Identifiant national de santé](sous-section_1_bis)
- [Sous-section 1 ter : Dispositions générales relatives à l'hébergement de données de santé à caractère personnel](sous-section_1_ter)
- [Sous-section 2 : Hébergement des données de santé à caractère personnel sur support numérique soumis à certification](sous-section_2)
- [Sous-section 3 : Hébergement des données de santé à caractère personnel sur support papier](sous-section_3)
- [Sous-section 4 : Catégories d'incidents et conditions de mise en œuvre du signalement des incidents graves de sécurité des systèmes d'information](sous-section_4)

View file

@ -0,0 +1,9 @@
---
Date de début: 2018-04-01
Date de fin: 2999-01-01
Identifiant: LEGISCTA000036656703
---
###### Sous-section 1 ter : Dispositions générales relatives à l'hébergement de données de santé à caractère personnel
- [Article R1111-8-8](article_r1111-8-8.md)

View file

@ -0,0 +1,32 @@
---
État: VIGUEUR
Type: AUTONOME
Date de début: 2018-04-01
Date de fin: 2999-01-01
Identifiant: LEGIARTI000036656709
URL: article/LEGI/ARTI/00/00/36/65/67/LEGIARTI000036656709.xml
---
###### Article R1111-8-8
I. - L'activité d'hébergement de données de santé à caractère personnel
mentionnée au I de l'article L. 1111-8 consiste à héberger les données de santé
à caractère personnel recueillies à l'occasion d'activités de prévention, de
diagnostic, de soins ou de suivi social et médico-social :<br />
1° Pour le compte de personnes physiques ou morales, responsables de traitement
au sens de la loi n° 78-17 du 6 janvier 1978, à l'origine de la production ou du
recueil de ces données ;<br />
2° Pour le compte du patient lui-même.<br />
Toutefois, ne constitue pas une activité d'hébergement au sens de l'article L.
1111-8, le fait de se voir confier des données pour une courte période par les
personnes physiques ou morales, à l'origine de la production ou du recueil de
ces données, pour effectuer un traitement de saisie, de mise en forme, de
matérialisation ou de dématérialisation de ces données.<br />
II. - Les responsables de traitement mentionnés au 1° du I, qui confient
l'hébergement de données de santé à caractère personnel à un tiers, s'assurent
que celui-ci est titulaire du certificat de conformité mentionné au II de
l'article L. 1111-8.

View file

@ -7,10 +7,5 @@ Identifiant: LEGISCTA000036658495
###### Sous-section 2 : Hébergement des données de santé à caractère personnel sur support numérique soumis à certification
- [Article R1111-9](article_r1111-9.md)
- [Article R*1111-10](article_r1111-10.md)
- [Article R1111-10](article_r1111-10.md)
- [Article R1111-11](article_r1111-11.md)
- [Article R1111-12](article_r1111-12.md)
- [Article R1111-13](article_r1111-13.md)
- [Article R1111-14](article_r1111-14.md)
- [Article R1111-15](article_r1111-15.md)
- [Article R1111-15-1](article_r1111-15-1.md)

View file

@ -1,38 +1,28 @@
---
État: MODIFIE
État: VIGUEUR
Type: AUTONOME
Date de début: 2018-03-01
Date de fin: 2018-04-01
Identifiant: LEGIARTI000036658429
URL: article/LEGI/ARTI/00/00/36/65/84/LEGIARTI000036658429.xml
Date de début: 2018-04-01
Date de fin: 2999-01-01
Identifiant: LEGIARTI000036830430
URL: article/LEGI/ARTI/00/00/36/83/04/LEGIARTI000036830430.xml
---
###### Article R*1111-10
###### Article R1111-10
L'agrément nécessaire à l'activité d'hébergement de données de santé à caractère
personnel sur support informatique est délivré par le ministre chargé de la
santé, qui se prononce après avis de la Commission nationale de l'informatique
et des libertés et d'un comité d'agrément placé auprès de lui.<br />
I.-Le certificat de conformité mentionné au II de l'article L. 1111-8 est
délivré par un organisme de certification sur le fondement d'un référentiel de
certification élaboré par le groupement d'intérêt public mentionné à l'article
L. 1111-24 et approuvé par arrêté du ministre chargé de la santé, pris après
avis de la Commission nationale de l'informatique et des libertés.<br />
A cet effet, la personne intéressée adresse au ministre chargé de la santé un
dossier de demande d'agrément comprenant les éléments mentionnés à l'article R.
1111-12. Le ministre transmet le dossier à la Commission nationale de
l'informatique et des libertés, qui apprécie les garanties présentées par le
candidat à l'agrément en matière de protection des personnes à l'égard des
traitements de données de santé à caractère personnel et de sécurité de ces
données. La commission rend son avis dans un délai de deux mois à compter de la
réception du dossier, délai pouvant être renouvelé une fois sur décision motivée
de son président.<br />
II.-L'organisme de certification mentionné au II de l'article L. 1111-8 est
accrédité par le Comité français d'accréditation ou par tout autre organisme
d'accréditation signataire d'un accord de reconnaissance mutuelle multilatéral
pris dans le cadre de la coordination européenne des organismes d'accréditation
conformément à un référentiel d'accréditation élaboré par le groupement
d'intérêt public mentionné à l'article L. 1111-24 en lien avec les organismes
d'accréditation concernés et approuvé par arrêté du ministre chargé de la
santé.<br />
Dès que la commission s'est prononcée ou à l'expiration du délai qui lui était
imparti, elle transmet la demande d'agrément, accompagnée, le cas échéant, de
son avis, au comité d'agrément mentionné au premier alinéa. Ce comité se
prononce sur tous les aspects du dossier, en particulier sur les garanties
d'ordre éthique, déontologique, technique, financier et économique qu'offre le
candidat. Il émet son avis dans le mois qui suit la réception du dossier
transmis par la Commission nationale de l'informatique et des libertés. Il peut
toutefois demander un délai supplémentaire d'un mois.<br />
Le ministre chargé de la santé dispose, pour prendre sa décision, d'un délai de
deux mois suivant l'avis du comité d'agrément. A l'issue de ce délai, son
silence vaut décision d'acceptation.
III.-Le groupement d'intérêt public mentionné à l'article L. 1111-24 assure le
suivi et la mise à jour de ces référentiels.

View file

@ -1,69 +1,81 @@
---
État: MODIFIE
État: VIGUEUR
Type: AUTONOME
Date de début: 2012-07-01
Date de fin: 2018-04-01
Identifiant: LEGIARTI000025860082
URL: article/LEGI/ARTI/00/00/25/86/00/LEGIARTI000025860082.xml
Date de début: 2018-04-01
Date de fin: 2999-01-01
Identifiant: LEGIARTI000036658473
URL: article/LEGI/ARTI/00/00/36/65/84/LEGIARTI000036658473.xml
---
###### Article R1111-11
I.-Le comité d'agrément mentionné à l'article R. 1111-10 comprend :<br />
I.-Le contrat d'hébergement mentionné au dernier alinéa du I de l'article L.
1111-8 est conclu entre l'hébergeur et son client. Il contient au moins les
clauses suivantes :<br />
1° Un membre de l'inspection générale des affaires sociales nommé sur
proposition du chef de l'inspection générale des affaires sociales ;<br />
L'indication du périmètre du certificat de conformité obtenu par l'hébergeur,
ainsi que ses dates de délivrance et de renouvellement ;<br />
2° Deux représentants des associations compétentes en matière de santé, agréées
au niveau national dans les conditions prévues à l'article L. 1114-1 ;<br />
2° La description des prestations réalisées, comprenant le contenu des services
et résultats attendus notamment aux fins de garantir la disponibilité,
l'intégrité, la confidentialité et l'auditabilité des données hébergées ;<br />
3° Deux représentants des professions de santé, l'un nommé sur proposition du
Conseil national de l'ordre des médecins et l'autre sur proposition de l'Union
nationale des professions de santé ;<br />
3° L'indication des lieux d'hébergement ;<br />
4° Trois personnalités qualifiées :<br />
4° Les mesures mises en œuvre pour garantir le respect des droits des personnes
concernées par les données de santé dont notamment :<br />
a) Une personne choisie en raison de ses compétences dans les domaines de
l'éthique et du droit ;<br />
-les modalités d'exercice des droits de portabilité des données ;<br />
b) Une personne choisie en raison de ses compétences en matière de sécurité des
systèmes d'information et de nouvelles technologies ;<br />
-les modalités de signalement au responsable de traitement de la violation des
données à caractère personnel ;<br />
c) Une personne choisie en raison de ses compétences dans le domaine économique
et financier.<br />
-les modalités de conduite des audits par le délégué à la protection des données
;<br />
Le directeur général de la santé, le directeur général de l'offre de soins, le
directeur général des patrimoines, le directeur général des entreprises et le
directeur général de la concurrence, de la consommation et de la répression des
fraudes, ou leurs représentants, assistent aux séances du comité avec voix
consultative.<br />
5° La mention du référent contractuel du client de l'hébergeur à contacter pour
le traitement des incidents ayant un impact sur les données de santé hébergées
;<br />
II.-Les membres du comité d'agrément, dont celui qui, parmi eux, exercera la
présidence du comité, sont nommés pour cinq ans par arrêté du ministre chargé de
la santé. Leur mandat est renouvelable une fois.<br />
6° La mention des indicateurs de qualité et de performance permettant la
vérification du niveau de service annoncé, le niveau garanti, la périodicité de
leur mesure, ainsi que l'existence ou l'absence de pénalités applicables au
non-respect de ceux-ci ;<br />
Ils sont soumis aux dispositions de l'article L. 1451-1.<br />
7° Une information sur les conditions de recours à d'éventuels prestataires
techniques externes et les engagements de l'hébergeur pour que ce recours assure
un niveau de protection équivalent de garantie au regard des obligations pesant
sur l'hébergeur ;<br />
Des suppléants en nombre égal au nombre de titulaires sont désignés dans les
mêmes conditions que ceux-ci. Un membre titulaire empêché ou intéressé par une
affaire est remplacé par son suppléant.<br />
8° Les modalités retenues pour encadrer les accès aux données de santé à
caractère personnel hébergées ;<br />
Le remplacement d'un membre du comité en cas de cessation de fonction en cours
de mandat est réalisé dans les mêmes conditions que sa nomination et pour la
durée du mandat restant à courir.<br />
9° Les obligations de l'hébergeur à l'égard de la personne physique ou morale
pour le compte de laquelle il héberge les données de santé à caractère personnel
en cas de modifications ou d'évolutions techniques introduites par lui ou
imposées par le cadre légal applicable ;<br />
Les fonctions de membre du comité ouvrent droit à des indemnités pour frais de
déplacement et de séjour dans les conditions prévues par les dispositions
législatives et réglementaires applicables aux fonctionnaires civils de
l'Etat.<br />
10° Une information sur les garanties et les procédures mises en place par
l'hébergeur permettant de couvrir toute défaillance éventuelle de sa part ;<br />
III.-Le comité d'agrément ne peut délibérer que si deux tiers au moins de ses
membres sont présents. Dans le cas contraire, une nouvelle séance peut se tenir
sans obligation de quorum après un délai de quinze jours.<br />
11° La mention de l'interdiction pour l'hébergeur d'utiliser les données de
santé hébergées à d'autres fins que l'exécution de l'activité d'hébergement de
données de santé ;<br />
Les avis rendus par le comité sont motivés. Ils sont pris à la majorité des voix
exprimées des membres présents. En cas de partage égal des voix, celle du
président est prépondérante.<br />
12° Une présentation des prestations à la fin de l'hébergement, notamment en cas
de perte ou de retrait de certification et les modalités de mise en œuvre de la
réversibilité de la prestation d'hébergement de données de santé ;<br />
IV.-Le comité d'agrément peut être saisi par le ministre chargé de la santé de
tout sujet entrant dans son domaine de compétence.
13° L'engagement de l'hébergeur de restituer, à la fin de la prestation, la
totalité des données de santé au responsable de traitement ;<br />
14° L'engagement de l'hébergeur de détruire, à la fin de la prestation, les
données de santé après l'accord formel du responsable de traitement et sans en
garder de copie.<br />
II.-Lorsque le responsable de traitement de données de santé ou le patient
mentionnés au I de l'article R. 1111-8-8 fait appel à un prestataire qui recourt
lui-même pour l'hébergement des données à un hébergeur certifié, le contrat qui
lie le responsable de traitement ou le patient avec son prestataire reprend les
clauses mentionnées au I telles qu'elles figurent dans le contrat liant le
prestataire et l'hébergeur certifié.

View file

@ -1,48 +0,0 @@
---
État: ABROGE
Type: AUTONOME
Date de début: 2006-01-05
Date de fin: 2018-04-01
Identifiant: LEGIARTI000006908149
Ancien identifiant: YXXXXXXXXXX1111R0120XX0A
URL: article/LEGI/ARTI/00/00/06/90/81/LEGIARTI000006908149.xml
---
###### Article R1111-12
Le dossier de demande d'agrément comprend les éléments suivants :<br />
1° L'identité et l'adresse du responsable du service d'hébergement et, le cas
échéant, de son représentant ; pour les personnes morales, les statuts sont
produits ;<br />
2° Les noms, fonctions et qualifications des opérateurs chargés de mettre en
oeuvre le service, ainsi que les catégories de personnes qui, en raison de leurs
fonctions ou pour les besoins du service, ont accès aux données hébergées ;<br />
3° L'indication des lieux dans lesquels sera réalisé l'hébergement ;<br />
4° Une description du service proposé ;<br />
5° Les modèles de contrats devant être conclus, en application du deuxième
alinéa de l'article L. 1111-8, entre l'hébergeur de données de santé et les
personnes physiques ou morales qui sont à l'origine du dépôt des données de
santé à caractère personnel ; ces modèles sont établis conformément aux
dispositions de l'article R. 1111-13 ;<br />
6° Les dispositions prises pour assurer la sécurité des données et la garantie
des secrets protégés par la loi, notamment la présentation de la politique de
confidentialité et de sécurité prévue au 2° de l'article R. 1111-9 ;<br />
7° Le cas échéant, l'indication du recours à des prestataires techniques
externes et les contrats conclus avec eux ;<br />
8° Un document présentant les comptes prévisionnels de l'activité d'hébergement
et, éventuellement, les trois derniers bilans et la composition de
l'actionnariat du demandeur, ainsi que, dans le cas d'une demande de
renouvellement, les comptes de résultat et bilans liés à cette activité
d'hébergement depuis le dernier agrément.<br />
L'hébergeur déjà agréé informe sans délai le ministre chargé de la santé de tout
changement affectant les informations mentionnées ci-dessus et de toute
interruption, temporaire ou définitive, de son activité.

View file

@ -1,55 +0,0 @@
---
État: ABROGE
Type: AUTONOME
Date de début: 2006-01-05
Date de fin: 2018-04-01
Identifiant: LEGIARTI000006908150
Ancien identifiant: YXXXXXXXXXX1111R0130XX0A
URL: article/LEGI/ARTI/00/00/06/90/81/LEGIARTI000006908150.xml
---
###### Article R1111-13
Les modèles de contrats devant être joints à la demande d'agrément, mentionnés
au 5° de l'article R. 1111-12, contiennent obligatoirement au moins les clauses
suivantes :<br />
1° La description des prestations réalisées : contenu des services et résultats
attendus ;<br />
2° Lorsque le contrat est souscrit par la personne concernée par les données
hébergées, la description des modalités selon lesquelles les professionnels
visés à l'article L. 1110-4 et, le cas échéant, la personne concernée, accèdent
à ces données dans le respect des dispositions des articles L. 1110-4 et L.
1110-4-1 ;<br />
3° Lorsque le contrat est souscrit par la personne physique ou morale à
l'origine de la production ou du recueil des données de santé mentionnée au
premier alinéa de l'article L. 1111-8, la description des modalités
d'information de la personne concernée et d'enregistrement de l'absence
d'opposition pour motif légitime de cette dernière à l'hébergement de ses
données de santé, ainsi que des modalités selon lesquelles les professionnels
visés à l'article L. 1110-4 et le cas échéant la personne concernée, accèdent à
ces données dans le respect des dispositions des articles L. 1110-4 et L.
1110-4-1 ;<br />
4° La description des moyens mis en œuvre par l'hébergeur pour la fourniture des
services ;<br />
5° La mention des indicateurs de qualité et de performance permettant la
vérification du niveau de service annoncé, ainsi que de la périodicité de leur
mesure ;<br />
6° Les obligations de l'hébergeur à l'égard de la personne à l'origine du dépôt
des données de santé à caractère personnel en cas de modifications ou
d'évolutions techniques introduites par lui ;<br />
7° Une information sur les conditions de recours à d'éventuels prestataires
techniques externes et les engagements de l'hébergeur pour que ce recours assure
un niveau équivalent de garantie au regard des obligations pesant sur l'activité
d'hébergement ;<br />
8° Une information sur les garanties permettant de couvrir toute défaillance
éventuelle de l'hébergeur ;<br />
9° Une présentation des prestations à la fin de l'hébergement.

View file

@ -1,131 +0,0 @@
---
État: ABROGE
Type: AUTONOME
Date de début: 2006-01-05
Date de fin: 2018-04-01
Identifiant: LEGIARTI000006908151
Ancien identifiant: YXXXXXXXXXX1111R0140XX0A
URL: article/LEGI/ARTI/00/00/06/90/81/LEGIARTI000006908151.xml
---
###### Article R1111-14
Une présentation de la politique de confidentialité et de sécurité, prévue au 2°
de l'article R. 1111-9, doit être fournie à l'appui de la demande d'agrément
conformément au 6° de l'article R. 1111-12. Elle comporte notamment les
précisions suivantes :<br />
1° En matière de respect des droits des personnes concernées par les données
hébergées :<br />
a) Les modalités permettant de s'assurer de l'existence de l'information et de
l'absence d'opposition pour motif légitime de l'intéressé à l'hébergement des
données le concernant ;<br />
b) Les modalités retenues pour que l'accès aux données de santé à caractère
personnel et leur transmission éventuelle soient réalisées dans le respect des
dispositions de l'article L. 1110-4 ;<br />
c) Les conditions dans lesquelles sont présentées et prises en compte les
éventuelles demandes de rectification des données de santé à caractère personnel
hébergées ;<br />
d) Les moyens mis en œuvre pour assurer le respect des dispositions de l'article
L. 1111-7 relatif à l'accès des personnes à leurs informations de santé,
notamment en termes de délais et de modalités de consultation ;<br />
e) Les procédures de signalement des incidents graves, dont l'altération des
données ou la divulgation non autorisée des données personnelles de santé ;<br />
f) La fourniture à la personne concernée par les données hébergées, à sa
demande, de l'historique des accès aux données et des consultations ainsi que du
contenu des informations consultées et des traitements éventuellement opérés.<br />
2° En matière de sécurité de l'accès aux informations :<br />
a) Les dispositions prises pour garantir la sécurité des accès et des
transmissions des données de santé à caractère personnel vis-à-vis des personnes
physiques ou morales à l'origine de la production ou du recueil des données de
santé et des personnes concernées par ces données ;<br />
b) Les mesures prises en matière de contrôle des droits d'accès et de
traçabilité des accès et des traitements ;<br />
c) Les conditions de vérification du contenu des traces des accès et des
traitements afin de détecter les tentatives d'effraction ou d'accès non
autorisés ;<br />
d) Les modalités de vérification du registre des personnes habilitées à accéder
aux données hébergées tenant compte des éventuelles mises à jour ;<br />
e) Les procédés techniques retenus en matière d'identification et
d'authentification ; en ce qui concerne les professionnels de santé, ces
procédés techniques doivent être conformes aux référentiels de sécurité
mentionnés à l'article L. 1110-4-1.<br />
3° En matière de pérennité des données hébergées :<br />
a) Les procédures visant à assurer, au moment du transfert des données vers
l'hébergeur, la réception sécurisée des données et l'intégrité de celles-ci,
leur prise en compte dans le système d'information de l'hébergeur et le suivi de
cette prise en charge ;<br />
b) Les modalités de prise en compte et d'enrichissement tout au long de la durée
de l'hébergement, de l'ensemble des informations concernant les données depuis
leur création, telles que les données permettant de les identifier et de les
décrire, de les gérer, de déterminer leurs propriétés techniques et d'en assurer
la traçabilité ;<br />
c) Les modalités de surveillance des supports en vue d'anticiper les changements
technologiques et, le cas échéant, d'opérer des migrations de supports dans des
conditions en garantissant la traçabilité ;<br />
d) Les procédures liées à la réplication des données sur différents supports
informatiques en des lieux distincts ;<br />
e) Les conditions de mise en œuvre d'une alerte concernant les formats
d'encodage des données, destinée à avertir la personne à l'origine du dépôt en
cas d'obsolescence de ce format et, éventuellement, les procédures visant à
réaliser, avec l'autorisation de la personne à l'origine du dépôt, des
migrations de formats des données, si ces derniers ne permettent plus d'assurer
la lisibilité des informations et à assurer la traçabilité de ces migrations.<br />
4° En matière d'organisation et de procédures de contrôle interne en vue
d'assurer la sécurité des traitements et des données :<br />
a) La désignation d'un responsable sécurité et d'un responsable qualité ;<br />
b) La définition des missions, des pouvoirs et des obligations des personnels de
l'hébergeur et de ses éventuels sous-traitants, habilités à traiter les données
de santé à caractère personnel ;<br />
c) Les spécifications techniques des logiciels et des mécanismes de sécurité
propres à garantir la confidentialité des transmissions, notamment en ce qui
concerne le mode de chiffrement des flux d'information ;<br />
d) Les modalités retenues pour l'évaluation périodique des risques et l'audit
des mesures de protection mises en place afin de garantir la sécurité des
données et en vue d'apporter les modifications nécessaires en cas de détection
de défaillances ;<br />
e) Les dispositifs de simulation régulière de défauts de fonctionnement pour
vérifier l'efficacité des mécanismes destinés à garantir la continuité des
services ;<br />
f) Les moyens mis en œuvre pour sensibiliser et former le personnel aux mesures
de protection mises en place et à leurs obligations en matière de
confidentialité et de respect du secret professionnel ;<br />
g) Les conditions de mise en œuvre de la sécurité physique des sites
informatiques, des mesures de protection de l'infrastructure technique,
notamment en termes de sécurité des réseaux, des serveurs et des postes de
travail ;<br />
h) Les dispositions prises en ce qui concerne l'exploitation de l'infrastructure
technique ;<br />
i) Les conditions de mise en œuvre du plan de secours informatique comportant
notamment les dispositions prises pour informer du déclenchement de ce plan les
personnes physiques ou morales à l'origine du dépôt des données de santé à
caractère personnel ainsi que les dispositions prises pour la reprise des
activités.

View file

@ -1,33 +0,0 @@
---
État: ABROGE
Type: AUTONOME
Date de début: 2011-03-07
Date de fin: 2018-04-01
Identifiant: LEGIARTI000023664518
URL: article/LEGI/ARTI/00/00/23/66/45/LEGIARTI000023664518.xml
---
###### Article R1111-15-1
Le ministre chargé de la santé, lorsqu'il envisage de procéder au retrait d'un
agrément en application du quatrième alinéa de l'article L. 1111-8, communique à
l'hébergeur intéressé, par lettre recommandée avec demande d'avis de réception,
les motifs de ce projet de retrait et l'appelle à formuler ses observations,
écrites ou, à sa demande, orales, dans un délai de deux mois.<br />
En cas de divulgation non autorisée de données de santé à caractère personnel
sur support informatique ou de manquements graves de l'hébergeur à ses
obligations mettant notamment en cause l'intégrité, la sécurité et la pérennité
des données hébergées, le ministre chargé de la santé peut, à titre
conservatoire, dans l'attente qu'il soit statué définitivement sur le projet de
retrait d'agrément, prononcer la suspension de l'activité d'hébergement.<br />
La décision de retrait est notifiée à l'hébergeur intéressé, par lettre
recommandée avec demande d'avis de réception. Elle met fin de plein droit à
l'hébergement des données confiées à l'hébergeur et entraîne la restitution de
ces données aux personnes ayant contracté avec l'hébergeur.<br />
Les décisions de suspension et de retrait font l'objet de la mesure de publicité
prévue à l'article R. 1111-15. Elles sont transmises pour information au comité
d'agrément mentionné à l'article R. 1111-10 ainsi qu'à la Commission nationale
de l'informatique et des libertés.

View file

@ -1,25 +0,0 @@
---
État: ABROGE
Type: AUTONOME
Date de début: 2011-03-07
Date de fin: 2018-04-01
Identifiant: LEGIARTI000023676893
URL: article/LEGI/ARTI/00/00/23/67/68/LEGIARTI000023676893.xml
---
###### Article R1111-15
L'agrément est délivré aux hébergeurs de données de santé à caractère personnel
sur support informatique pour une durée de trois ans.<br />
La demande de renouvellement doit être déposée au plus tard six mois avant le
terme de la période d'agrément. Elle comprend les documents mentionnés au 8° de
l'article R. 1111-12 et un récapitulatif des modifications intervenues depuis la
dernière demande d'agrément en ce qui concerne les autres documents mentionnés à
cet article, ainsi qu'un audit externe réalisé aux frais de l'hébergeur,
attestant de la mise en oeuvre de la politique de confidentialité et de sécurité
mentionnée à l'article R. 1111-14. Elle est instruite selon la même procédure
que celle applicable à la demande initiale.<br />
Les décisions d'agrément, ainsi que le renouvellement de cet agrément, sont
publiées au Bulletin officiel du ministère de la santé.