Hébergement des données de santé à caractère personnel : exigez l’agrément

Publié le 02/12/2010

Article réservé aux abonnés

Qui est concerné par cette procédure ? Tous ceux qui stockent déjà ou vont stocker des données de santé à caractère personnel, en ligne. Par exemple, l’hébergeur national du DMP (AtosWorldline-Extelia-Santeos agréé le 10 novembre), les plates-formes régionales de dossiers partagés, les systèmes de sauvegarde de dossiers médicaux en ligne, les serveurs contenant des résultats d’analyses biologiques ainsi que les opérateurs de messageries médicales sécurisées (voir l’article sur les MSSU). Concrètement, pour être en conformité avec la loi, les applications devront s’installer chez un hébergeur agréé. Pour le cas d’un système d’information hospitalier, l’établissement n’a pas besoin d’être agréé pour l’instant.

Le dossier d’agrément est volumineux. Il comporte 300 pages de questions. L’analyse des risques et les mesures de sécurité qui doivent être prises sont décrites avec précision. L’épaisseur du dossier triple facilement avec l’ajout des réponses. L’ASIP Santé qui instruit les demandes donne un avis technique qui est transmis au comité d’agrément du ministère de la Santé. Un avis de la CNIL est également requis. Le ministre de la Santé signe l’agrément. La procédure est gratuite et ne peut excéder huit mois, précise l’ASIP Santé. Outre les spécifications techniques de conformité, sont pris en compte des éléments comme l’analyse des contrats d’hébergement et la solidité économique de la société.

Au 16 novembre, quatorze hébergeurs ont été agréés (voir la liste sur le site de l’ASIP santé, http://esante.gouv.fr) dont Aatlantide, Cegedim, Emosist-FC (plate-forme du dossier partagé franc-comtois), H2AD, plate-forme d’assistance qui héberge des dossiers santé, Santéos (pour le dossier pharmaceutique et le dossier médical régional partagé de...), Orange Business Service qui vient notamment de mettre en place une plate-forme mutualisée d’hébergement d’imagerie ou encore IDS, fournisseur d’infrastructures pour des opérateurs de services ayant besoin d’être sécurisés.