Atelier N°9 Lancer une application e-santé : les bons réflexes juridiques par Kahina HADDAD et Lorraine MAISNIER-BOCHÉ, ASIP Santé

1. Lancer une application e-santé :
les bons réflexes juridiques
Kahina HADDAD et Lorraine MAISNIER-BOCHÉ
Juristes ASIP Santé

2. Contrats / marchés publics informatiques
Référentiels et guides
Labels et certifications
Protection des données à caractère personnel
Fondamentaux du code de la santé publique
Règles particulières
2
Sommaire
Droit commun et
règles de base
Les bons outils
juridiques
Hébergement des données de santé
Open data de santé
Numéro de sécurité sociale (NIR)
Télémédecine
Pharmacies en ligne

3. Quelques questions essentielles
3
Quelles sont les données traitées ?
Quel régime juridique s’applique aux données, au support, ou à
l’activité ?
Quelles formalités à remplir avant de lancer l’application ?
Quels droits possèdent les personnes ?
Quelles mesures de sécurité sont nécessaires ?
Qui est responsable de l’application, du point de vue du traitement
des données, de la sécurité des données, de la qualité de
l’application ?

4. Nom,
prénom
Quelles sont les données traitées ?
4
Pathologie
Etat de santé
mentale
Handicap
Risque de
maladie
Adresse
IP
Coordonnées
personnelles ou
professionnelles
Mesure
de soi
Pseudonyme
DONNEES PERSONNELLES
Règlement général sur la protection des
données (règlement 2016/679 du 27 avril
2016 relatif à la protection des personnes
physiques à l'égard du traitement des données
à caractère personnel et à la libre circulation
de ces données)
Loi Informatique et Libertés (loi n°78-17 du
6 janvier 1978 modifiée relative à
l’informatique, aux fichiers et aux libertés
Identifiant
patient
Symptômes
DONNEES DE SANTE
Code de la santé publique
Principes fondamentaux :
- Droits du patient
- Règles de l’échange et du partage des
données de santé
- Prohibition de cession
Règles particulières
- Hébergement des données de santé
- Open data de santé
- Numéro de sécurité sociale (NIR)
- Télémédecine
- Pharmacies en ligne

5. Protection des données à caractère personnel
Droits fondamentaux du patient
Règles particulières
5
Droit commun et
règles de base
Les bons outils
juridiques

6. Protection des données personnelles : bons réflexes dès la
conception de l’application (1/2)
Qui est le responsable de
traitement ?
Contrats entre les parties prenantes
Analyse (architecture, doctrine antérieure, jurisprudence…)
Pour quelle raison les
données sont-elles
collectées? Principe de proportionnalité
Plusieurs finalités, plusieurs traitements
Qui sont les personnes dont
les données sont traitées ?
Volume de données / nombre de personnes concernées
Patients ou professionnels ? Mineurs ?
Combien de temps les
données sont-elles
conservées? Fonctionnalités de purge de l’application
Durée fixée par un texte / proportionnée à la finalité

7. Protection des données personnelles : bons réflexes dès la
conception de l’application 2/2
77
Responsabilisation /
Accountability
• Registre du
correspondant
• Eventuelles formalités
• Analyse d’impact sur
la vie privée
Protection dès la
conception (« Privacy
by design »)
• Conformité à la LIL
dès l’expression de
besoin / les
spécifications
• Fonctionnalités
adaptées
Protection par défaut
(« Privacy by
default »)
• Paramétrage par
défaut (autorisations,
transmissions
automatisées,
tracking…)

8. Protection des données personnelles : bons réflexes lors du
lancement de l’application
8
Information (voire
consentement) des
personnes
Nouveaux droits des
personnes : droit à l’oubli,
portabilité des données,
limitation du traitement
Droits des personnes : accès,
rectification, opposition
Notification des failles de
sécurité
Mettre en place des processus adéquats
Sensibilisation et formation du personnel et des utilisateurs
Audits des procédures internes et des sous-traitants
Sécurité des données
Identification et authentification
des utilisateurs
Géolocalisation, cookies,
empreinte du terminal ou du
navigateur, etc.

9. L’essentiel des droits des patients à prendre en compte dans un
projet e-santé
9
L’information
préalable aux
soins
art. L.1111-2 du
code de la santé
publique
• Information qui incombe à tout professionnel de santé et qui
porte sur les différentes investigations, traitements ou actions de
prévention qui sont proposés, leur utilité, leur urgence éventuelle,
leurs conséquences, les risques fréquents ou graves normalement
prévisibles qu'ils comportent, ainsi que sur les autres solutions
possibles et sur les conséquences prévisibles en cas de refus.
• Information qui ne doit pas être confondue avec l’information relative
au traitement de données à caractère personnel (que ce traitement
comporte ou non des données de santé).
• Obligation continue, adaptée à la personne concernée, délivrée
au cours d’un entretien individuel, etc.
• Cas dérogatoire : urgence, impossibilité d’informer la personne,
volonté de la personne d’être tenue dans l’ignorance d’un diagnostic.
• Cas particulier du mineur ou du majeur protégé.

10. 10
L’essentiel des droits des patients à prendre en compte dans un
projet e-santé
Le consentement
aux soins
art. L.1111-4 du
code de la santé
publique
• La décision médicale doit être prise conjointement par le patient
dûment informé et le professionnel de santé qui le prend en
charge.
• Le patient doit consentir aux soins de façon libre et éclairée.
• Aucun acte médical ni aucun traitement ne peut être pratiqué
sans le consentement libre et éclairé de la personne.
• Cas dérogatoire : urgence, impossibilité d’informer la personne,
volonté de la personne d’être tenue dans l’ignorance d’un diagnostic.
• Cas particulier du mineur ou du majeur protégé.

11. 11
L’essentiel des droits des patients à prendre en compte dans un
projet e-santé
Le secret
professionnel
Art. L.1110-4 du
code de la santé
publique
Toute personne prise en charge par un professionnel /
établissement /structure du secteur sanitaire, médico-social ou
social a droit au respect de sa vie privée et du secret des
informations la concernant.
Sauf exception prévue par la loi, ce secret couvre l'ensemble
des informations concernant la personne venues à la
connaissance du professionnel, de tout membre du
personnel de ces établissements, services ou organismes et
de toute autre personne en relation, de par ses activités, avec
ces établissements ou organismes.
Il s'impose à tous les professionnels intervenant dans le
système de santé.

12. Secret professionnel et données de santé :
les règles d’échange et de partage
12
L’article L.1110-4 du CSP définit les règles d’échange et
de partage des données de santé
Echange Partage
Professionnels identifiés participant à la
coordination, la continuité des soins et le suivi
social et médico-social d’un même patient
Information préalable
+ droit d’opposition
Professionnels participant à la coordination, la
continuité des soins et le suivi social et médico-
social d’un même patient
Au sein
de la même
équipe de soins
En dehors
de la même
équipe de soins
Information préalable
+ droit d’opposition
Consentement
exprès

13. Ensemble de professionnels qui participent directement au profit d’un même patient à la
réalisation d’un acte diagnostique, thérapeutique, de compensation du handicap ou de
prévention de perte d’autonomie, ou aux actions nécessaires à leur coordination, et qui :
Secret professionnel et données de santé :
la définition de l’équipe de soins
13
Un régime d’échange et de partage désormais fondé sur la notion
d’équipe de soins : art. L.1110-12 du CSP
Exercent dans la même
structure (ES, ESMS,
structures de
coopération, etc.)
Se sont vus
reconnaître cette
qualité par le patient
Exercent dans un
semble comprenant au
moins un ES et
respectant un cahier
des charges
OUOU
Décret 2016-996 du
20 juillet 2016
Arrêté du ministre chargé
de la santé du 25
novembre 2016

14. Secret professionnel et données de santé : la définition de l’équipe
de soins
14
Décret 2016-994 du 20 juillet 2016
Conditions d’échange et de partage d’informations entre professionnels de santé et
non professionnels de santé du champ social et médico-social.
Liste des non professionnels de santé habilités à échanger et partager des
informations de santé.
Décret 2016-1349 du 10 octobre 2016
Définition des conditions de d’expression du consentement du patient (y compris
dématérialisé) pour le partage d’informations entre des professionnels de santé ne
faisant pas partie de la même équipe de soins.
Deux autres textes de référence

15. Règles particulières
15
Droit commun et
règles de base
Les bons outils
juridiques
Hébergement des données de santé
Numéro de sécurité sociale (NIR)
Open data de santé
Télémédecine et pharmacies en ligne

16. Hébergement des données de santé (1/2)
16
Principe de l’agrément des hébergeurs de données de santé à caractère personnel
prévu par la loi (art. L. 1111-8 du code de la santé publique)
Hébergement externalisé
Données recueillies à
l’occasion des activités
de prévention, de
diagnostic, de soin ou
de suivi médico-social
Responsable de traitement
de données à caractère
personnel
 Obtenir un agrément ou utiliser les services d’un
hébergeur agréé
 S’assurer que le périmètre de l’agrément est adapté au
service fourni par l’hébergeur et aux fonctionnalités de
l’application
 Informer clairement les utilisateurs de l’application :
- de l’hébergement externalisé de leurs données de
santé,
- de leur droit de s’y opposer pour motif légitime.
Agrément par le Ministère
chargé de la santé (remplacé
par une certification en 2018)

17. Hébergement des données de santé : certification (2/2)
17
Textes de référence :
Ordonnance n° 2017-27 du 12 janvier relative à l’hébergement de données de santé
Futur décret en Conseil d’Etat pris après avis de la CNIL et des ordres des professions de santé
Deux certificats selon l’activité de l’hébergeur :
- hébergeur d’infrastructure physique
- hébergeur infogérant
La procédure de certification repose sur un audit documentaire ET un audit sur site.
Le référentiel de certification est composé d’exigences issues de plusieurs normes ISO
(ISO 27001, ISO 20000, ISO 27018…) et d’exigences spécifiques à l’hébergement de
données de santé.
Le certificat est délivré pour une durée de trois ans par l’organisme certificateur.
Future certification des hébergeurs de données de santé

18. Open data de santé :
le système national des données de santé (SNDS) 1/2
18
Centralisation de certaines données des bases existantes en matière sanitaire et médico-sociale
• Données relatives au suivi de l’activité des établissements de santé (PMSI)
• Données du système national d’information inter régimes de la CNAM (SNIIRAM)
• Données relatives aux causes médicales de décès (base CépiDC de l’Inserm)
• Données médico-sociales relatives au handicap (SI CNSA)
• Echantillon représentatif des données de remboursement par bénéficiaires venant des organismes
d’assurance maladie complémentaire
• Décision à l'encontre d'une
personne physique identifiée via le
SNDS ;
• Promotion auprès des professionnels
de santé ou d'établissements de santé
des produits à finalité sanitaire
destinés à l’homme et produits
cosmétiques ;
• Exclusion de garanties des contrats
d'assurance et modification de
cotisations ou de primes d'assurance
d'un individu ou d'un groupe
d'individus présentant un même
risque.
Traitements et finalités prohibés
- Traitement à des fins de recherche, d'étude ou
d'évaluation contribuant l’une des finalités du
SNDS et répondant à un motif d'intérêt public
- Traitement nécessaires à l'accomplissement des
missions des services de l'Etat, des
établissements publics ou des organismes
chargés d'une mission de service public
compétents (InVS, ARS, service statistique du
ministère chargé de la santé)
Finalités permettant un accès au SNDS
Qu’est-ce que le SNDS ?

19. 19
Open data de santé :
le système national des données de santé (SNDS) 2/2
Utilisation encadrée des données
potentiellement identifiantes comme les
données hospitalières (bien qu’elles ne
comportent ni les noms et prénoms ni le
numéro de sécurité sociale)
2
Demande d’accès à déposer auprès de l’Institut
National des Données de Santé (INDS)
Accès sur autorisation de la CNIL après avis du
Comité d'Expertise pour les Recherches, les Etudes
et les Evaluations dans le domaine de la Santé
(CEREES) et le cas échéant de l’INDS et d’un
comité de protection des personnes
Existence de procédures simplifiées
http://www.snds.gouv.fr
Données traitées pour prendre la forme de
statistiques agrégées ou de données
individuelles constituées de telle sorte que
l'identification, directe ou indirecte, des
personnes concernées y est impossible.
Les données pour lesquelles aucune
identification n’est possible sont
accessibles et réutilisables par tous, en
open data.
1

20. Autres règles particulières
20
Règlement 2017/745 relatif aux dispositifs médicaux
Règlement 2017/746 relatif aux dispositifs médicaux de diagnostic in vitro,
Dispositifs médicaux
Encadrement des actes de médecine à distance (périmètre, consentement, échange d’information,
tenue du dossier, garanties…)
Articles L6316-1 et suivants du CSP
Télémédecine
Encadrement de la vente en ligne de médicaments (types et présentation des médicaments,
modalités de création et d’exploitation, responsabilité, fonctionnalités…)
Articles L5125-33 et svt du CSP et arrêtés du 28 novembre 2016 relatifs aux bonnes pratiques de
dispensation des médicaments et aux règles techniques applicables aux sites internet des pharmaciens
Pharmacies en ligne
« Le numéro d’inscription au répertoire national d’identification des personnes physiques est utilisé
comme identifiant de santé des personnes pour leur prise en charge à des fins sanitaires et
médico-sociales dans les conditions prévues à l’article L. 1110-4 […].»
Les modalités d’utilisation de l’INS sont précisées par le décret n°2017-412 du 27 mars 2017.
NIR INS

21. Règles particulières
21
Droit commun et
règles de base
Les bons outils
juridiques
Contrats / marchés publics informatiques
Référentiels et guides
Labels et certifications

22. 22
Objet et périmètre du contrat
Périmètre du service adapté :
- aux besoins du client
- aux obligations du client
Engagement de niveau de services (ou Service Level Agreement)
Veiller à ce que les niveaux de services annoncés (disponibilité, délais maximum
d’interruption, garantie de temps d’intervention, garantie de temps de
rétablissement, etc.) soient adaptés:
- aux besoins du client
- aux obligations du client
Contrats informatiques / marchés publics : clauses essentielles

23. 23
Droits de propriété intellectuelle
Licence ou cession : définir clairement la nature et le périmètre des droits :
- Accès et utilisation ? Reproduction ? Modification ? Traduction ? Diffusion ?
- Périmètre géographique
- Utilisateurs : nombre limité ? Filiales / établissements ?
- Durée limitée ?
Développement ou intégration : propriété des développements spécifiques ?
Protection des données à caractère personnel
Répartition des responsabilités et qualification des acteurs
Sous-traitance : traitement sur instructions du RT, obligations de sécurité, audits
(contenu du contrat prévu à l’article 28 du RGPD)
Clauses adaptées à la sensibilité des données
Contrats informatiques / marchés publics : clauses essentielles

24. 24
Procédure de réversibilité
Tout contrat informatique doit comporter une clause de réversibilité pour permettre
au client de récupérer ses données :
- en cas de défaillance du prestataire
- ou en fin de contrat.
La clause de réversibilité doit être précise et notamment définir les engagements du
prestataire, les grandes étapes de mise en œuvre de la réversibilité (PV de
restitution, durée suffisante de mise en œuvre, formats de données, etc.).
Le déroulement de la réversibilité doit être précisée au moment de sa mise en
œuvre.
Contrats informatiques / marchés publics : clauses essentielles

25. 25
Nouvel outil pour les grands projets SI publics :
la procédure concurrentielle avec négociation
Contrats informatiques / marchés publics : nouvelles règles et
nouveaux outils
Textes de référence
Ordonnance n° 2015-899 du 23 juillet 2015 relative aux marchés publics
Décret n° 2016-360 du 25 mars 2016 relatif aux marchés publics

26. Référentiels et guides
26
Référentiels de sécurité des systèmes d’information de santé
http://esante.gouv.fr/services/politique-generale-de-securite-des-systemes-d-
information-de-sante-pgssi-s/en-savoir-plus-0
Le cadre d’interopérabilité des systèmes d’information de santé
http://esante.gouv.fr/services/referentiels/referentiels-d-interoperabilite/cadre-d-
interoperabilite-des-systemes-d
Le cadre commun des projets de e-santé
http://esante.gouv.fr/actus/politique-publique/publication-de-l-instruction-relative-au-
cadre-commun-des-projets-de-e
Guides de l’ANAP (Agence Nationale d'Appui à la Performance des
établissements de santé et médico-sociaux)
http://www.anap.fr/publications-et-outils/detail/actualites/guide-methodologique-des-
cooperations-territoriales/
Guides et recommandations de CNIL : délibérations, pack de conformité, guides
sécurité des données personnelles, outils du CIL, études d’impact
https://www.cnil.fr

27. Labels et certifications
27
Label e-santé Logiciel Maisons et centres de santé
http://esante.gouv.fr/services/label-e-sante-logiciel-maisons-et-centres-de-sante
Certification Qualité Hôpital Numérique
http://esante.gouv.fr/services/certification-qualite-hopital-numerique/qualite-hopital-
numerique
Certifications relatives à la qualité des soins et la sécurité des patients de la HAS
http://www.has-sante.fr/portail/jcms/fc_1249603/fr/accreditation-certification
Labels CNIL (Formation, Gouvernance, Audit, Coffre fort numérique)
https://www.cnil.fr/fr/les-labels-cnil
Future certification européenne en matière de protection des données
https://www.cnil.fr/fr/vers-une-certification-europeenne-en-matiere-de-protection-des-
donnees

28. 28