Le résistible agrément des hébergeurs santé :

L’Article L1111-8 du Code de la santé Publique est né avec la Loi Kouchner du 4 mars 2002 relative aux droits des malades et à la qualité du système de santé. Il stipule que les « professionnels de santé ou les établissements de santé ou la personne concernée peuvent déposer des données de santé à caractère personnel, recueillies ou produites à l’occasion des activités de prévention, de diagnostic ou de soins, auprès de personnes physiques ou morales agréées à cet effet. Cet hébergement de données ne peut avoir lieu qu’avec le consentement exprès de la personne concernée [...]  ».

Les conditions de ce fameux agrément avaient été fixées, quand même presque quatre ans plus tard, par le décret n°2006-6 du 4 janvier 2006. A l’époque il y avait le feu, car sans ce décret, les expérimentions sur le “Dossier Médical Personnel” ne pouvaient avoir lieu. Selon les textes cet agrément doit être délivré par le ministre en charge de la Santé, qui se prononce après avis de la CNIL et d’un Comité d’agrément créé auprès de lui.
Dans l’urgence un arrêté du 7 février 2006 fixa la composition du “comité d’agrément des hébergeurs de données de santé à caractère personnel.” Il a été publié le 15 février 2006 avec un peu trop de précipitation. Un arrêté rectificatif sera donc pris le 21 février suivant et un autre le 15 février 2007 qui changeait quelques têtes.
En théorie ce comité “Théodule” devait se prononcer sur tous les aspects du dossier, en particulier sur les garanties d’ordre éthique, déontologique, technique, financier et économique qu’offre le candidat.
Bien entendu, cette procédure d’agrément s’applique en plus des formalités propres à la loi “Informatique et Libertés”, auxquelles restent soumis les hébergeurs en leur qualité de “responsables de traitements automatisés de données à caractère personnel”.

Hélas, cette usine à gaz s’avéra impossible à mettre en route, faute de publication des référentiels de sécurité et d’interopérabilité indispensables pour que les candidats hébergeurs puissent obtenir une certification auprès d’organismes accrédités !
Conséquence, sauf lorsqu’il s’agit d’héberger des “Dossiers Médicaux Personnels”, l’opportun article 25 de la Loi du 30 janvier 2007 [1] avait suspendu, par un cavalier législatif, la procédure d’agrément pendant deux ans à compter du 2 février 2007 !
La Loi, bonne fille, précisait cependant que l’hébergeur devait satisfaire au service minimum, c’est à dire aux dispositions de la loi Informatique et Libertés.
A noter d’ailleurs que ce texte indique que la « dérogation prévue au cinquième alinéa de l’article L. 1111-8 du code de la santé publique, [ c’est à dire sur l’obligatoire interopérabilité des données] entre en vigueur à compter de la période de suspension de deux ans ». L’obligation du recueil du « consentement exprès de la personne concernée dès lors que l’accès aux données détenues est limité au professionnel de santé ou à l’établissement de santé qui les a déposées » est reportée au 2 février 2011.

A la Saint Théophane, l’e-santé aura un bonnet d’âne !

Selon la Loi, c’est au 2 février que se termine le généreux moratoire de deux ans repoussant l’obligation de placer les bases de données médicales en ligne chez des hébergeurs agréés.
Récapitulons.
 La Loi Kouchner est née en mars 2002,
 Le décret “hébergeur” est paru en janvier 2006,
 L’arrêté instituant le “Comité d’agrément” date du 6 février 2006. Ses membres ont été nommés pour 5 ans. Depuis trois ans ils n’ont pas été surchargés de travail et leur mandat se termine dans deux ans.
 Or aucun hébergeur n’est agréé.

En attendant ce 2 février, ces experts devraient donc siéger en session ininterrompue pour donner un avis sur la pléthore de sites hébergeant des données médicales en ligne. Et in extrémis Madame Roselyne Bachelot, qui patiente le stylo en l’air, pourrait alors signer une grosse liasse avant la date fatidique du 1 février !

Hélas ce happy end est impossible. Les fameux référentiels de sécurité et d’interopérabilité sont encore à l’état de brouillon.

Il est vrai que la MISS s’était un peu assoupie sur le dossier dont elle était en charge. Pourtant la demoiselle n’est plus une ingénue. Dans sa jeunesse, en septembre 1998, elle s’était fait les quenottes sur le “ Comité Consultatif pour l’Agrément des applications du Réseau Santé Social”. Ce bidule de 17 membres, pendant son éphémère existence de trois ans, n’agréa jamais aucun service en ligne sur cet intranet qui avait été présenté comme la colonne vertébrale de l’informatisation de tout le secteur de la santé.
Après une décade de léthargie, c’est cet été qu’on réveilla la Mission dirigée par André Loth, en lui mettant le nez sur le décompte mortel. Depuis septembre 2008 il y aurait eu quatre réunions regroupant la MISS, les industriels et le GIP-DMP. Les choses avancent mais à un train de sénateur. Malheureusement vu l’état des voies, l’obsolescence du matériel, il n’y a aucune chance pour une arrivée en gare des référentiels de sécurité et d’interopérabilité dans un délai prochain.
Pire, à l’instar de la Loi du 30 janvier 2007 dont l’objet principal était de ratifier l’ordonnance relative à l’organisation de certaines professions de santé, on a même oublié d’utiliser un récent véhicule législatif, pour repousser la deadline !
Le dernier projet de Loi de Financement de Sécurité Sociale ne pouvait pas servir pour sauver la face de la MISS. Comme on l’a vu le Conseil Constitutionnel a impitoyablement sanctionné tous les articles qui n’étaient pas en rapport direct avec l’objet de la loi.

Un trou noir réglementaire

Est-ce que le 2 février 2009, tous les hébergeurs de données de santé non agréés fermeront les sites ?
Ce serait logique, mais il n’y a personne pour faire respecter la réglementation.

Il est vrai qu’il n’y a aucune urgence. Comme chacun sait, lnternet est sûr. Les données de santé n’intéressent personne. Les hackers sont d’aimables plaisantins. Le phishing est une rumeur. Les logiciels antivirus et les firewalls sont des attrapes-nigauds vendus par des éditeurs qui font leur beurre sur la paranoïa sécuritaire.

Et puis est ce bien grave si rien n’interdit aujourd’hui à un hébergeur de données de santé d’avoir son siège social aux Iles Caïmans ou de louer des serveurs en Chine ? En ces temps de crise, il n’y a pas de petites économies. Après tout c’est la mondialisation et ses bienfaits.
A noter d’ailleurs que le décret inappliqué n’oblige pas à ce que le service d’hébergement soit réalisé sur le territoire de l’Union Européenne !

La Loi du 30 janvier 2007 avait en fait tout prévu. En effet la poursuite de cette activité d’hébergeur de données de santé peut se faire après le 1er février sous réserve que le candidat ait déposé avant le 31 janvier une simple demande d’agrément !

Un sparadrap législatif

Il est probable que la Loi “ Hôpital, patients, santé et territoires” qui sera discutée au parlement en février 2009, soit mise à contribution pour porter un amendement sur un nouveau moratoire. Après sept ans, on n’est plus à quelques années près. Avec cette méthode, le véritable agrément des hébergeurs de santé, est reporté aux calendes grecques.
Un septennat c’est long. C’est le temps qu’il faut à un enfant entré en 6éme pour arriver au bac. Alors être incapable sur la même période de pondre une réglementation cohérente et pratique pour l’hébergement des données médicales en ligne, démontre le niveau d’incompétence ou de je-m’en-foutisme de l’administration chargée des systèmes d’informations de santé. Sans ces préliminaires indispensables, il reste totalement illusoire de vouloir redémarrer le chantier du “Dossier Médical Personnel.”
Dans cette nouvelle affaire emblématique de la calamiteuse gestion du Ministère de la Santé, la MISS, faute d’autres responsables identifiables, va-t-elle porter un chapeau trop grand pour elle ? Mais il faut bien un bouc émissaire.
La CNIL n’a pas de pôle santé et manque de moyens. Le GIP-DMP est en phase de digestion. Le décret de création de l’Agence des Systèmes d’Information de santé Partagés n’est pas signé, son budget et ses missions restent indéfinis.

En attendant que les pouvoirs publics avancent enfin, les “plateformes de télésanté” et autres “dossiers réseaux” dévoreuses d’argent public, vont continuer à fleurir dans la jachère de l’e-santé.

Ainsi suite aux articles publiés sur i-med et à sur TIC Santé, qui s’interrogeaient sur la politique de confidentialité et surtout de sécurisation d’accès aux comptes utilisateurs, l’association Planet Santé avait demandé un droit de réponse à TICsanté par la voix de son président, le candide Dr Philippe de Faucal qui explique que tout va bien dans le meilleur des mondes informatiques :
« "Si l’interface web d’accès aux différents services sécurisés de la plateforme régionale de télésanté est unique, c’est bien pour faciliter l’usage de ces outils par le professionnel qui, de ce fait, en dispose en un seul et même endroit, grâce à un mécanisme d’authentification unique ou Single Sign On (SSO). _ Le mot de passe qualifié de ’banal’ est généré de manière aléatoire mêlant majuscules, minuscules et chiffres, de manière à obtenir une chaîne complexe et non signifiante de 6 caractères minimum. Le choix du mot de passe relève de la responsabilité de l’utilisateur, qui est invité à le modifier autant de fois qu’il le désire.
S’agissant de l’authentification forte via la carte CPS, la plateforme le permet. Cependant, la multiplicité des applications utilisant la CPS sur un même poste fragilise ce dernier. Aussi a-t-on préféré dans les Pays de la Loire de prendre les précautions techniques qui s’imposent pour ne pas mettre en péril le fonctionnement global du poste informatique du professionnel.
La messagerie homologuée GIP CPS garantit la confiance dans les échanges et le partage sécurisé de données de santé. Ces échanges mettent en œuvre des certificats électroniques délivrés aux professionnels de santé et la publication de ces certificats dans un annuaire.
La zone de consentement jugée ’sommaire’ par la source proche du dossier qui s’exprime reflète un avis personnel isolé, qui n’est pas celui des professionnels de santé responsables de la conception du dossier patient mentionné. »
Rappelons que sur cette plate-forme de Télésanté déployée en Pays de Loire, l’accès se fait par une interface unique. On y trouve archivés en ligne sur le webmail des centaines de milliers de documents médicaux et des “dossiers réseaux” confidentiels. Le médecin usager peut y accéder en tapant un simple mot de passe de 6 caractère le plus souvent fourni par l’opérateur il y a plusieurs mois. Aucun algorithme ne teste son vieillissement ou sa solidité.
La « messagerie homologuée GIP CPS » sert de cache-misère. En effet pas plus d’une vingtaine de comptes sur 960 sont authentifiés par la Carte de Professionnel de Santé, et encore moins utilisent un certificat de chiffrement du GIP-CPS !

Pour répondre ou discuter de cet article :

Forum en ligne pour cet article sur :

Sources :

Article L1111-8 (Modifié par Loi n°2007-127 du 30 janvier 2007 - art. 25 (V) JORF 1er février 2007)  Les professionnels de santé ou les établissements de santé ou la personne concernée peuvent déposer des données de santé à caractère personnel, recueillies ou produites à l’occasion des activités de prévention, de diagnostic ou de soins, auprès de personnes physiques ou morales agréées à cet effet. Cet hébergement de données ne peut avoir lieu qu’avec le consentement exprès de la personne concernée.  Les traitements de données de santé à caractère personnel que nécessite l’hébergement prévu au premier alinéa doivent être réalisés dans le respect des dispositions de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés. La prestation d’hébergement fait l’objet d’un contrat. Lorsque cet hébergement est à l’initiative d’un professionnel de santé ou d’un établissement de santé, le contrat prévoit que l’hébergement des données, les modalités d’accès à celles-ci et leurs modalités de transmission sont subordonnées à l’accord de la personne concernée.  Les conditions d’agrément des hébergeurs sont fixées par décret en Conseil d’État pris après avis de la Commission nationale de l’informatique et des libertés et des conseils de l’ordre des professions de santé. Ce décret mentionne les informations qui doivent être fournies à l’appui de la demande d’agrément, notamment les modèles de contrats prévus au deuxième alinéa et les dispositions prises pour garantir la sécurité des données traitées en application de l’article 34 de la loi n° 78-17 du 6 janvier 1978 précitée, en particulier les mécanismes de contrôle et de sécurité dans le domaine informatique ainsi que les procédures de contrôle interne. Les dispositions de l’article L. 4113-6 s’appliquent aux contrats prévus à l’alinéa précédent.  La détention et le traitement sur des supports informatiques de données de santé à caractère personnel par des professionnels de santé, des établissements de santé ou des hébergeurs de données de santé à caractère personnel sont subordonnés à l’utilisation de systèmes d’information conformes aux prescriptions adoptées en application de l’article L. 1110-4 et répondant à des conditions d’interopérabilité arrêtées par le ministre chargé de la santé.  Les professionnels et établissements de santé peuvent, par dérogation aux dispositions de la dernière phrase des deux premiers alinéas du présent article, utiliser leurs propres systèmes ou des systèmes appartenant à des hébergeurs agréés, sans le consentement exprès de la personne concernée dès lors que l’accès aux données détenues est limité au professionnel de santé ou à l’établissement de santé qui les a déposées, ainsi qu’à la personne concernée dans les conditions prévues par l’article L. 1111-7.  L’agrément peut être retiré, dans les conditions prévues par l’article 24 de la loi n° 2000-321 du 12 avril 2000 relative aux droits des citoyens dans leurs relations avec les administrations, en cas de violation des prescriptions législatives ou réglementaires relatives à cette activité ou des prescriptions fixées par l’agrément.  Seuls peuvent accéder aux données ayant fait l’objet d’un hébergement les personnes que celles-ci concernent et les professionnels de santé ou établissements de santé qui les prennent en charge et qui sont désignés par les personnes concernées, selon des modalités fixées dans le contrat prévu au deuxième alinéa, dans le respect des dispositions des articles L. 1110-4 et L. 1111-7.  Les hébergeurs tiennent les données de santé à caractère personnel qui ont été déposées auprès d’eux à la disposition de ceux qui les leur ont confiées. Ils ne peuvent les utiliser à d’autres fins. Ils ne peuvent les transmettre à d’autres personnes que les professionnels de santé ou établissements de santé désignés dans le contrat prévu au deuxième alinéa.  Lorsqu’il est mis fin à l’hébergement, l’hébergeur restitue les données qui lui ont été confiées, sans en garder de copie, au professionnel, à l’établissement ou à la personne concernée ayant contracté avec lui.  Les hébergeurs de données de santé à caractère personnel et les personnes placées sous leur autorité qui ont accès aux données déposées sont astreintes au secret professionnel dans les conditions et sous les peines prévues à l’article 226-13 du code pénal.  Les hébergeurs de données de santé à caractère personnel ou qui proposent cette prestation d’hébergement sont soumis, dans les conditions prévues aux articles L. 1421-2 et L. 1421-3, au contrôle de l’Inspection générale des affaires sociales et des agents de l’État mentionnés à l’article L. 1421-1. Les agents chargés du contrôle peuvent être assistés par des experts désignés par le ministre chargé de la santé.  Tout acte de cession à titre onéreux de données de santé identifiantes, directement ou indirectement, y compris avec l’accord de la personne concernée, est interdit sous peine des sanctions prévues à l’article 226-21 du code pénal. NOTA : Loi 2007-127 du 30 janvier 2007 article 25 : Sauf lorsqu’elle s’applique à des demandes d’agrément portant sur l’hébergement des dossiers médicaux personnels prévus à l’article L. 161-36-1 du code de la sécurité sociale, la procédure d’agrément prévue à l’article L. 1111-8 du code de la santé publique est suspendue pendant une période de deux ans à compter de la publication de la présente loi. La dérogation prévue au cinquième alinéa de l’article L. 1111-8 du code de la santé publique, tel que résultant du III du présent article, entre en vigueur à compter de la période de suspension de deux ans mentionnée au premier alinéa du présent IV.

• Déclaration de conflit d'intérêts
• Plan du site
• Espace privé
• Pourquoi i-med ?