La loi de modernisation de notre système de santé, promulguée le 26 janvier 2016, est complétée par de nombreux textes d’applications, dont la plupart vont être publiés au cours de l’année 2016. Parmi eux, plusieurs textes apportent des précisions sur les modifications apportées au régime de droit commun du partage et de l’échange des données de santé à caractère personnel, tout en clarifiant la notion d’équipe de soins. A l’occasion d’une réunion de l’Association française des correspondants à la protection des données à caractère personnel (AFCDP), Florence Eon, directrice juridique de l’ASIP Santé, fait le point sur ces nouveautés.

1. Notion d’équipe de soins et les
modalités d’échange et de
partage des données de santé
AFCDP- groupe données de santé – 29/09/2016
Florence EON, Directrice du service juridique, ASIP Santé

2. Les apports de la loi de santé: une meilleure prise en
compte des nouvelles pratiques professionnelles et de
la complexité des parcours de soins
Constats
 Les nouvelles technologies appliquées à la santé constituent un atout majeur pour
améliorer la qualité de la prise en charge des patients et pallier certaines carences de
l’offre de soins.
 Elles permettent de développer de nouvelles pratiques professionnelles, notamment
grâce à la mobilité, pour améliorer la qualité de la prise en charge ou la coordination des
différentes interventions au profit d’un même patient.
 Elles constituent concomitamment une opportunité économique.
 Des parcours de soins complexes (Le parcours de santé est dit complexe lorsque l'état
de santé, le handicap ou la situation sociale du patient rend nécessaire l'intervention de
plusieurs catégories de professionnels de santé, sociaux ou médico-sociaux. Cf Article
L6327-1 créé par)
// Risques de contournement des règles et nécessité de veiller à la protection de la vie privée des
personnes concernées
2
LOI n°2016-41 du 26 janvier 2016 de modernisation de notre système de santé
Modification de l’article L1110-4 et création de l’article L1110-12 du CSP
•Ouverture du cercle de confiance, au-delà de l’enceinte de l’hôpital, dans le respect des limites et conditions
fixées par la loi
•Suppression des multiples régimes juridiques
•Consécration de la notion d’équipe de soins, notion pivot
•Obligation de recueillir le consentement restreinte

3. L’échange et le partage de données de santé
dans le respect de la vie privée des patients
Le code de la santé publique rappelle la nécessité de garantir le respect de la
vie privée du patient en encadrant notamment les conditions d’échange et de
partage des informations de santé le concernant
Les conditions d’échange et de partage avant la loi de modernisation de notre
système de santé du 26 janvier 2016
Partage de données de
santé entre professionnels
de santé exerçant au sein
d’un même établissement
de santé
L’équipe de soins –
Information – droit
d’opposition
Echange de données de
santé entre professionnels de
santé en dehors d’un
établissement de santé
Continuité des soins -
Information – droit
d’opposition
Partage de données de santé
entre professionnels de santé au
sein d’une maison ou d’un centre
de santé
PS adhérent au projet de santé –
consentement exprès
3

4. Les règles d’échange et de partage de données de santé depuis l’adoption
de la loi de modernisation de notre système de santé :
Un régime d’échange et de partage désormais fondé sur la notion d’équipe
de soins et sur le couple information / droit d’opposition
Partage de données de santé entre professionnels
faisant partie de la même équipe de soins
Continuité des soins/ coordination / suivi médico-social –
Information – droit d’opposition
Partage de données de santé entre professionnels ne
faisant pas partie de la même équipe de soins
Continuité des soins/ coordination / suivi médico-social –
– consentement exprès (par tout moyen) – droit
d’opposition
Echange de données de santé
entre professionnels identifiés
participant à la coordination,
continuité des soins / suivi
médico-social –
Information – droit d’opposition
4
L’échange et le partage de données de santé
dans le respect de la vie privée des patients

5. Comment?
Les notions d’échange et de partage
 L’accès aux données de santé peut prendre la forme d’un échange ou d’un
partage de données.
Il peut aussi prendre d’autres formes.
 L’échange de documents comportant des données de santé consiste dans un
flux de données visant à communiquer des données de santé à un (des)
destinataire(s) clairement identifié(s).
Exemple: messagerie sécurisée de santé
 Le partage vise à mettre à disposition de plusieurs professionnels fondés à les
connaître des données de santé utiles à la coordination et à la continuité des
soins, dans l’intérêt de la personne prise en charge.
Exemple: DP, DMP, dossiers de réseaux de santé
 L’accès aux données, au travers de l’échange ou du partage, est distinct de
l’accès au système d’information.
Les notions d’échange et de partage peuvent être employées quel que soit le média utilisé (papier ou
électronique)
Ces définitions ne présument pas des conditions et modalités d’accès au système d’information lui-
même.
5

6. Sous quelles conditions?
 Conditions fixées par la loi
 Leur respect pèse sur les professionnels et les structures dans lesquelles ils exercent
 Des mesures organisationnelles et de sécurité peuvent faciliter leur mise en oeuvre.
 Condition générale: le respect du secret professionnel
Le champ d’application de l’obligation de secret professionnel consacrait déjà une approche
large de la notion de donnée de santé à l’article L1110-4 du CSP, non modifiée par la loi de santé.
Le législateur a ainsi maintenu un champ d’application très large du secret professionnel, dont le
non-respect est pénalement sanctionné.
L’obligation de le respecter est étendue à l’ensemble des professionnels du secteur médico-
social ou social ou exerçant au sein d’un établissement ou service social et médico-social
mentionné au I de l'article L. 312-1 du code de l'action sociale et des familles et intervenant dans
la prise en charge d’une personne. Ces professionnels relèvent de la catégorie « des
professionnels intervenant dans le système de santé ».
Le fait d'obtenir ou de tenter d'obtenir la communication de ces informations en violation du
présent article est puni d'un an d'emprisonnement et de 15 000 euros d'amende
6

7. Sous quelles conditions?
Conditions cumulatives applicables tant à l’échange de données qu’au partage de
données de santé à caractère personnel
→ Possible qu’entre professionnels intervenant sur une même personne. Il ne suffit
pas d’avoir la qualité de médecin
→ Les professionnels participent nécessairement et directement à la réalisation
d’un acte diagnostique, thérapeutique, de compensation du handicap, de
soulagement de la douleur ou de prévention de perte d’autonomie, ou aux
actions nécessaires à la coordination de plusieurs de ces actes.
→ Seules les informations strictement nécessaires à la coordination ou à la
continuité des soins, à la prévention ou au suivi médico-social et social de la
personne peuvent être partagées.
→ Précision apportée par le décret du 20 juillet 2016 Les professionnels participant à la prise en charge
d'une même personne peuvent, en application de l'article L. 1110-4, échanger ou partager des
informations relatives à la personne prise en charge dans la double limite :
→ Des seules informations strictement nécessaires à la coordination ou à la continuité des soins, à la
prévention, ou au suivi médico-social et social de ladite personne ; dans le périmètre de leurs
missions
→ Du périmètre de leurs missions.
7
L’appréciation de ces conditions relève de la responsabilité de chaque professionnel,
quel que soit son statut et son mode d’exercice.
Elle doit être apprécier en amont de l’échange ou du partage.

8. Sous quelles conditions?
Conditions propres à chaque forme d’accès aux données de santé
Echange
Que les professionnels constituent ou non une équipe de soins, l’échange de données de
santé est toujours possible, sous réserve de l’information préalable de la personne concernée.
Elle dispose en outre d’un droit d’opposition à l’échange, qu’elle peut exercer à tout moment.
Précision apportée par le décret du 20 juillet 2016 concernant l’échange entre PS et non PS: le professionnel
informe la personne concernée, d'une part, de la nature des informations devant faire l'objet de l'échange,
d'autre part, soit de l'identité du destinataire et de la catégorie dont il relève, soit de sa qualité au sein d'une
structure précisément définie.
Partage
→ Lorsque les professionnels constituent une équipe de soins, les données de santé sont
présumées confiées à l’équipe dans son entier, dans l’intérêt de la personne concernée.
→ Cette présomption est simple: elle peut être en quelque sorte renversée par l’exercice du
droit d’opposition par la personne concernée, à tout moment.
→ En dehors de l’équipe de soins, elle n’existe que si la personne a donné son consentement
éclairé. ( En attente du décret simple)
.
8

9. Sous quelles conditions?
.Conditions propres à chaque forme d’accès aux données de santé
Précision apportée par le décret du 20 juillet 2016 pour le partage entre PS et non PS, membres d'une
même équipe de soins
La personne concernée doit être informée, d'une part, de la nature des informations devant faire
l'objet de l'échange, d'autre part, soit de l'identité du destinataire et de la catégorie dont il relève, soit
de sa qualité au sein d'une structure précisément définie.
Les professionnels doivent tenir compte, pour la mise en œuvre de ce partage, des recommandations
élaborées par la Haute Autorité de santé avec le concours des ordres professionnels, en particulier
pour ce qui concerne les catégories d'informations qui leur sont accessibles.
9

10.  Assistants de service social;
 Ostéopathes, chiropracteurs, psychologues et
psychothérapeutes non professionnels de santé par ailleurs,
aides médico-psychologiques et accompagnants éducatifs et
sociaux ;
 Assistants maternels et assistants familiaux;
 Educateurs et aides familiaux, personnels pédagogiques
occasionnels des accueils collectifs de mineurs, permanents
des lieux de vie;
 Particuliers accueillant des personnes âgées ou handicapées;
 Mandataires judiciaires à la protection des majeurs et délégués
aux prestations familiales mentionnés au titre VII du livre IV du
même code ;
 Non-professionnels de santé salariés des établissements et
services et lieux de vie et d'accueil mentionnés, ou y exerçant à
titre libéral en vertu d'une convention ;
 Non-professionnels de santé mettant en œuvre la méthode
prévue à l'article L. 113-3 du même code pour la prise en charge
d'une personne âgée en perte d'autonomie ;
 Non-professionnels de santé membres de l'équipe médico-
sociale compétente pour l'instruction des demandes d'allocation
personnalisée d'autonomie
Les professionnels de santé mentionnés à la
quatrième partie du présent code, quel que soit leur
mode d'exercice ;
 Professions médicales (médecin, chirurgien-
dentiste, sage-femme
 Professions de la pharmacie
 Pharmaciens, professions de préparateur en
pharmacie et de préparateur en pharmacie
hospitalière.
 Auxiliaires médicaux,
 infirmier ou d'infirmière, masseur-
kinésithérapeute et de pédicure-podologue,
ergothérapeute et de psychomotricien,
orthophoniste et d'orthoptiste, manipulateur
d'électroradiologie médicale et de technicien
de laboratoire médical, audioprothésiste,
d'opticien-lunetier, de prothésiste et
d'orthésiste pour l'appareillage des
personnes handicapées, diététicien
 Aides-soignants,
 Auxiliaires de puériculture
 Ambulanciers
 assistants dentaires
10
Qui?

11.  Assistants de service social;
 Ostéopathes, chiropracteurs, psychologues et
psychothérapeutes non professionnels de santé par ailleurs,
aides médico-psychologiques et accompagnants éducatifs et
sociaux ;
 Assistants maternels et assistants familiaux;
 Educateurs et aides familiaux, personnels pédagogiques
occasionnels des accueils collectifs de mineurs, permanents
des lieux de vie;
 Particuliers accueillant des personnes âgées ou handicapées;
 Mandataires judiciaires à la protection des majeurs et délégués
aux prestations familiales mentionnés au titre VII du livre IV du
même code ;
 Non-professionnels de santé salariés des établissements et
services et lieux de vie et d'accueil mentionnés, ou y exerçant à
titre libéral en vertu d'une convention ;
 Non-professionnels de santé mettant en œuvre la méthode
prévue à l'article L. 113-3 du même code pour la prise en charge
d'une personne âgée en perte d'autonomie ;
 Non-professionnels de santé membres de l'équipe médico-
sociale compétente pour l'instruction des demandes d'allocation
personnalisée d'autonomie
Les professionnels susceptibles d'échanger ou de partager des
informations relatives à la même personne prise en charge
appartiennent aux deux catégories suivantes :
Les professionnels de santé mentionnés à la
quatrième partie du présent code, quel que soit leur
mode d'exercice ;
 Professions médicales (médecin, chirurgien-
dentiste, sage-femme
 Professions de la pharmacie
 Pharmaciens, professions de préparateur en
pharmacie et de préparateur en pharmacie
hospitalière.
 Auxiliaires médicaux,
 infirmier ou d'infirmière, masseur-
kinésithérapeute et de pédicure-podologue,
ergothérapeute et de psychomotricien,
orthophoniste et d'orthoptiste, manipulateur
d'électroradiologie médicale et de technicien
de laboratoire médical, audioprothésiste,
d'opticien-lunetier, de prothésiste et
d'orthésiste pour l'appareillage des
personnes handicapées, diététicien
 Aides-soignants,
 Auxiliaires de puériculture
 Ambulanciers
 assistants dentaires
11
Ordre des médecins : le secret médical n’est pas menacé
16/09/2016
Dr Jean-Marie FAROUDJA
« Un professionnel peut échanger et non doit… »
Le médecin n’a pas à communiquer des informations à caractère
secret à quelqu’un qui n’en a pas besoin pour la prise en charge du
patient
« Exemple d’une personne qui vit seule, âgée et à domicile
Elle est diabétique et sous insuline
Lorsqu'une aide ménagère passe trois fois par semaine chez ce
malade, ne trouvez vous as normal qu’un médecin lui dise, si vous
trouvez M. X par terre , donnez lui de l’eau sucrée »

12. 12
CAS 1
Ces professionnels exercent dans
-le même établissement de santé,
-dans le même établissement ou service social ou médico-social
mentionné au I de l’article L. 312-1 CASF
-dans le cadre d’une structure de coopération, d’exercice partagé
ou de coordination sanitaire ou médico-sociale figurant sur une liste
fixée par décret ;
Cf. Article D1110-3-4 du CSP créé par Décret
n°2016-996 du 20 juillet 2016
CAS 2
Ces professionnels se sont vu reconnaître la qualité de membre de
l’équipe de soins par le patient qui s’adresse à eux pour la
réalisation des consultations et des actes prescrits par un médecin
auquel il a confié sa prise en charge;
EXEMPLE
Le patient est pris en charge par un spécialiste
sur les indications de son médecin traitant.
CAS 3
Ces professionnels exercent dans un ensemble, comprenant au
moins un professionnel de santé, présentant une organisation
formalisée et des pratiques conformes à un cahier des charges fixé
par un arrêté du ministre chargé de la santé.
EXEMPLE ( sous réserve du cahier des charges
qui doit être pris par voie d’arrêté)
Professionnels respectant des protocoles
communs dans le cadre de réunions de
concertation pluridisciplinaires
Médecins régulateurs des SAMU
Equipe transfusionnelle
La nouvelle notion d’équipe de soins
Ensemble de professionnels qui participent directement au profit d’un même patient à la
réalisation d’un acte diagnostique, thérapeutique, de compensation du handicap ou de
prévention de perte d’autonomie, ou aux actions nécessaires à leur coordination, et qui :

13.  Les organisations mises en œuvre
dans le cadre des protocoles de
coopération prévus aux articles L.
4011-1 à L. 4011-3 ;
 Les plateformes territoriales
d'appui mentionnées à l'article L.
6327-2 ;
 Les réseaux de santé;
 Les coordinations territoriales
mises en œuvre en application de l'
article 48 de la loi n° 2012-1404 du
17 décembre 2012 de financement
de la sécurité sociale pour 2013 ;
 Les équipes pluridisciplinaires
prévues à l' article L. 146-8 du code
de l'action sociale et des familles
et les équipes médico-sociales
intervenant au titre de l'allocation
personnalisée d'autonomie
Les structures de coopération, d'exercice partagé
ou de coordination sanitaire ou médico-sociale
 Les groupements hospitaliers de
territoire ;
 Les fédérations médicales inter-
hospitalières ;
 Lorsqu'ils ont pour objet la prise en
charge médicale coordonnée de
personnes, les groupements de
coopération sanitaire et les
groupements de coopération sociaux
et médico-sociaux, ainsi que les
groupements d'intérêt public et les
groupements d'intérêt économique
 Les maisons et les centres de santé ;
 Les sociétés d'exercice libéral et
toute autre personne morale
associant des professionnels de
santé libéraux, lorsqu'elles ont pour
objet la prise en charge médicale
coordonnée de personnes ;
13

14. Déclinaison technique des conditions
d’accès aux données de santé
 Les mesures de sécurité visées à l’actuel article 34 de la loi Informatique et
Libertés doivent être fixées au cas par cas, au vu des conclusions d’une
analyse de risques.
 L’article 34 de la loi Informatique et Libertés prévoit que: « Le responsable du traitement
est tenu de prendre toutes précautions utiles, au regard de la nature des données et des
risques présentés par le traitement, pour préserver la sécurité des données et,
notamment, empêcher qu'elles soient déformées, endommagées, ou que des tiers non
autorisés y aient accès. »
 Les mesures de sécurité doivent être définies en tenant compte des
exigences légales.
 Le fait de recourir à un intranet ne constitue pas une mesure permettant de répondre à la
définition de l’équipe de soins.
 Parmi les mesures de sécurité pouvant aider le responsable du système
d’information à respecter les conditions fixées par la loi pour l’échange et le
partage des données de santé, figure la gestion des habilitations.
 A cet égard, on soulignera que l’équivalent n’existe pas dans le monde du papier.
14
L’accès aux données de santé, au travers de l’échange ou du partage, est
distinct de l’accès au système d’information.

15. Déclinaison technique des conditions
d’accès aux données de santé
 La procédure d’attribution des habilitations doit aider le professionnel à remplir ses obligations le plus
efficacement possible en déterminant « qui a accès à quoi » dans le respect du cadre légal.
 Ces règles sont déclinées dans le guide des habilitations de la PGSSI-S mis à la concertation (site
internet de l’ASIP Santé).
 Pour que les habilitations puissent être définies et traduites en autorisations d’accès aux données
traitées dans le système d’information dont les données de santé à caractère personnel, il faut au
préalable que soient mises en œuvre des fonctions, d’une part, d’enregistrement et d’identification des
acteurs et, d’autre part, d’authentification des acteurs.
o identifier les habilitations qu’il est prévu de pouvoir octroyer (s’il y a lieu)
o avec le contexte d’usage
o les conditions et les limites,
o la durée
o et les contrôles a posteriori qui doivent alors être appliqués, y compris pour la gestion de
situations exceptionnelles. Ainsi, par exemple, les mesures permettant la gestion des
habilitations ne doivent pas être un obstacle à la prise en charge d’une personne en urgence.
Dans ce type précis de situation, un accès de type « bris de glace » permet d’attribuer des
droits que l’utilisateur n’a pas en fonctionnement nominal et doit donner lieu à des traces et à
un suivi spécifiques
15
L’exemple des mesures de gestion des habilitations d’accès au système
d’information

16. Déclinaison technique des conditions
d’accès aux données de santé
 En outre, l’exercice quotidien des professionnels passe par la mise en place de délégations de
tâches, et donc de responsabilités. Au plan technique, il convient donc que la matrice
d’habilitation prévoit expressément le recours à la délégation d’habilitation, qui devra tenir
compte des droits et obligations définis par les textes et de l’organisation propre à la structure
dans laquelle le professionnel exerce.
 Exemples
 Rôle des administrateurs, pas seulement des professionnels utilisateurs du SI
 A titre d’illustration, les règles relatives au dossier médical partagé incluent une matrice
d’habilitation précise : les professionnels ont accès aux seules informations strictement
nécessaires à la prise en charge du titulaire du dossier médical partagé dans le respect des règles
de gestion des droits d'accès fixées par la Caisse nationale de l'assurance maladie des
travailleurs salariés, en collaboration avec les conseils nationaux des ordres des professionnels
de santé et après avis de la Commission nationale de l'informatique et des libertés . Cette matrice
doit être prochainement publiée sur le site internet de la Caisse nationale de l'assurance maladie
des travailleurs salariés ; d’autres matrices peuvent être mises en place au cas par cas.
16
L’exemple des mesures de gestion des habilitations d’accès au système
d’information

17. Résumons les conditions à respecter et dont la vérification
est placée sous la responsabilité de chaque professionnel
( et de la structure au sein de laquelle il exerce)
1. Je participe directement à la réalisation d’un acte diagnostique, thérapeutique, de
compensation du handicap, de soulagement de la douleur ou de prévention de perte
d’autonomie, ou aux actions nécessaires à la coordination de plusieurs de ces actes.
2. J’accède uniquement aux informations strictement nécessaires à la réalisation de cet
acte.
Le simple fait de participer à la prise en charge n’autorise pas un professionnel, quel que soit sa spécialité et son
mode d’exercice, à avoir accès à toutes les données de santé d’un patient. Cette appréciation relève de la
responsabilité du professionnel qui participe à la prise en charge du patient.
3. J’informe mon patient préalablement à la réalisation de l’acte sur les conditions
d’utilisation de ses données et de son droit d’opposition / recueil du consentement.
4. Je dois connaître les différents outils techniques utilisés pour permettre la collecte,
l’échange et le partage de données de santé et définir les moyens de sécurité à mettre en
œuvre au regard de la sensibilité de mon traitement.
Ces outils et les mesures de sécurité associées doivent notamment permettre de définir les rôles et responsabilités de
chaque acteur qui intervient sur le SI (administrateurs internes, sous-traitants, utilisateurs, etc.) mais également
prévoir les moyens d’authentification adaptés.
5. Je peux également mettre en place des procédures organisationnelles, de prise en
compte des droits des patients, etc.,
17

18. Merci de votre attention