un cadre juridique et fonctionnel confronté à l`exigence du

Journée des systèmes d'information
Le développement de la e santé :
un cadre juridique et fonctionnel
confronté à l'exigence du partage
Jeanne Bossi Malafosse, Counsel
GCS e-santé Languedoc Roussillon
Jeudi 2, avril 2015
1- Un contexte général qui impose des
transformations
 Phénomène de "datification" du monde : air numérique
ambiant
 Cet air numérique ambiant concerne tous les secteurs
d'activités
 3 millions d'emails échangés chaque seconde
 50 millions de tweets chaque jour
 de 2013 à 2020, la masse de données collectées doublera tous
les deux ans
 Ce phénomène n'épargne pas le secteur de la santé et il en
modifie les contours classiques
Insert filename here
Date of presentation
2
La dématérialisation de la santé
 Les conséquences pour les SI de santé sont importantes et
structurantes
 sur la donnée de santé
 sur le partage et la confidentialité des données de santé
 sur l'urbanisation des systèmes d'information
 Les conséquences pour les acteurs sont majeures : professionnels
de santé/patients ; laboratoires ; assureurs et pouvoirs publics
Insert filename here
Date of presentation
3
La médecine personnalisée change le
rôle de la donnée
 Traditionnellement le soin produit de la donnée
 la visite chez le professionnel de santé génère un dossier médical
 Désormais la donnée va produire du soin
 les outils de la médecine personnalisée produisent des données
qui vont impacter la nature des soins
 La structuration de la donnée s'appuyant sur la définition de
référentiels, qu'ils soient sémantiques ou techniques devient
essentielle
 adopter un langage commun pour partager de façon efficace et
sécurisée l'information
 Le parcours de soin permet de faire le lien entre professionnels et
patients
Insert filename here
Date of presentation
4
2- La donnée de santé – la data
 Une définition nécessairement plus large
 le projet de règlement européen sur la protection des données adopté
par la Commission le 25 janvier 2012
« toute information relative à la santé physique ou mentale d'une personne, ou à la
prestation de services de santé à cette personne »
 la loi du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et
aux libertés
« toute information relative à une personne physique identifiée ou qui peut être
identifiée, directement ou indirectement, par référence à un numéro d’identification
ou à un ou plusieurs éléments qui lui sont propres »
 Des finalités aux contours plus perméables
Insert filename here
Date of presentation
5
Finalités du recueil des données de santé
« Administrer »
SNIIRAM / PMSI
« Soigner »
Dossiers médicaux
PS
« Chercher »
« Se suivre »
Etudes / Registres …
Quantified self …
Dispositifs
médicaux
Patients
Gouvernance
Urbanisation des systèmes / référentiels
Données publiques (Open data / Etalab)
Données privées
Réutilisation au bénéfice de la santé publique
Fusion / Qualité des données / Interprétations / Analyses / …
6
3- Le cadre juridique de l'échange et
du partage
Les principes
 Le droit au respect de la vie privée et à la confidentialité des
informations
« Toute personne prise en charge par un professionnel, un établissement, un réseau de
santé ou tout autre organisme participant à la prévention et aux soins a droit au respect
de sa vie privée et du secret des informations la concernant. » (Article L1110-4 du code
de la santé publique).
 L'exigence d'un dossier de suivi
« Toute personne a accès à l'ensemble des informations concernant sa santé détenues,
à quelque titre que ce soit, par des professionnels et établissements de santé, qui sont
formalisées ou ont fait l'objet d'échanges écrits entre professionnels de santé … " (Article
L1111-7 du code de la santé publique).
Insert filename here
Date of presentation
7
3- Le cadre juridique de l'échange et du partage
Le fondement juridique : l’article L1110-4 du code de la santé publique.
• le partage de données de santé entre professionnels de santé
exerçant au sein d’un même établissement de santé
L’équipe de soins – Information – droit d’opposition
• l’échange de données de santé en dehors d’un établissement de
santé
Continuité des soins - Information – droit d’opposition
• le partage de données de santé au sein d’une maison ou d’un centre
de santé
PS adhérent au projet de santé – Consentement exprès
3- Le cadre juridique de l'échange et du partage
Les conditions d’utilisation des données de santé : la loi du 6 janvier 1978
modifiée relative à l’Informatique, aux fichiers et aux libertés.
 Un champ d’application très large : notion de donnée à caractère personnel.
 Les grands principes de la loi I&L: finalité, pertinence des données, durée
de conservation, information et sécurité (article 34).
 Des conditions de traitement définies par la loi (article 8-II) et contrôlées par
la CNIL : la loi énumère de façon limitative les cas dans lesquels il est
autorisé de traiter des données personnelles de santé.
 La nouvelle notion d'empowerment des patients: le droit à l'autodétermination
informationnelle
 Renforcer le droit à l'information et à l'accès aux données: le droit à la
portabilité, le droit au déréférencement
9
3 - Le cadre juridique de l'échange et du
partage
Le secret professionnel : art 226-13 du code pénal
La loi Informatique et Libertés du 6 janvier 1978 modifiée
Secteur santé
Secteur médico-social
Un texte « générique » porteur
d’une vision restrictive de
l’équipe de soins et des parcours
Pas de texte « générique »
Des textes particuliers
- Délinquance
- Protection de l’enfance
- PAERPA
Des pratiques pluridisciplinaires
- MDPH
- MAIA
Art L1110-4 du CSP
- Au sein des ES
- En dehors des ES
- Au sein des MSP
Un décloisonnement nécessaire prévu dans le projet de loi
de santé
10
3- Le cadre juridique de l'échange et
du partage
Vers un cadre juridique orienté vers le parcours de soins
 Homogénéiser les règles applicables à l’équipe de soins au sein des
établissements publics et celles imposées aux professionnels de santé
exerçant au sein d’une même structure libérale et concourant à la prise
en charge du malade.
 Prendre en considération la réalité de l’exercice médical coordonné et
étendre la notion d’équipe de soins aux professionnels qui prennent en
charge une même personne dans le secteur médico social pour éviter
la multiplication de régimes différents accumulés dans les textes.
 Homogénéiser les régimes d’information préalable et de recueil du
consentement pour les personnes prises en charge quelque soit le
secteur.
 Garantir l’interopérabilité des SIS et l’application de référentiels de
sécurité.
Insert filename here
Date of presentation
11
4- Un cadre fonctionnel adapté à la nouvelle
urbanisation des systèmes d'informations
 De nouvelles architectures : mode SaaS, Cloud etc …
 De nouveaux référentiels : ASIP Santé / HAS / CNAMTS
 référentiels d'interopérabilité techniques et sémantiques
 processus de certification
 agrément pour l'hébergement des données et référentiels de
sécurité
 vers de nouveaux moyens d'authentification prenant en compte la
mobilité
 Deux rapports du Conseil d’Etat symptomatiques
 Le droit souple (2013)
 Le numérique et les droits fondamentaux : la responsabilité des
plateformes (2014)
Insert filename here
Date of presentation
12
4- Le cadre fonctionnel de l'échange et du partage
 La définition d'un cercle de confiance
- La certification de l’identité des professionnels : le RPPS
- Un référentiel d'identification du patient : l’identifiant national de santé
- Le cadre national d’interopérabilité des systèmes d’information
- L’agrément des hébergeurs de données de santé
13
La certification de l'identité des professionnels de
santé et les outils d'accès à la donnée
Le Répertoire partagé des professionnels de santé
Créé en 2009
pour intègrer, par un processus de simplification
administrative les identités des professionnels de santé certifiées en amont
par leurs ordres ou autorités d’enregistrement.
Aujourd'hui : pharmaciens,
médecins (identifiant RPPS)
sages-femmes,
chirurgiens-dentistes
et
Une carte ou des dispositifs équivalents pour sécuriser les échanges
Distribution automatique et gratuite par l'ASIP Santé de cartes CPS ou de
dispositifs équivalents
Des dispositifs alternatifs : OTP, certificats logiciels …
Vers un nouveau Référentiel de gestion des identités des Acteurs Sanitaires
et Sociaux (RASS). Il prolonge le RPPS en intégrant les informations sur les
personnes morales.
14
Un référentiel d'identification des patients
 Une situation encore insatisfaisante : l'article L1111-8-1 du code de la
santé publique
 Le choix de l'INS-C en partie dicté par l'avis de la CNIL en 2007
 L'ASIP Santé a publié en novembre 2009 le référentiel d’identification et met
à disposition l'INS-C. Il permet d'associer le patient à ses données et est
transmissible entre PS ou systèmes d'information.
 Mais un changement prévu dans le projet de loi de santé en partie fondé
sur une ouverture de la CNIL en 2013 : vers le numéro de sécurité
sociale
 Le souci d’une solution pérenne et simple qui ne génère pas de coûts
excessifs
 La nécessité d’un appariement possible des bases de données pour effectuer
des études et recherches nécessaires à la conduite d’une politique de santé
publique efficace
 La nécessité d’organiser une gouvernance de l’accès aux données de santé
15
Un cadre d’interopérabilité des systèmes
d’information de santé
 Définition de standards pour l’échange et le partage de données de
santé entre les SIS et suivi de leur mise en œuvre par des spécifications
d’implémentation dans les conditions de sécurité requises
 Ensemble de spécifications modulaire et évolutif organisé en trois couches
 Contenu : Sémantique, syntaxe et format des contenus partagés ou échangés,
ressources terminologiques incluses (format CDA). Exemples: biologie, volet de
synthèse médicale.
 Services : Services interopérables et règles d’utilisation (IHE, INS, CPS/RPPS)
 Transport : Protocoles d’interconnexion et d’acheminement de l’information.
Une clarification de leur positionnement dans le projet de loi de santé
16
L’hébergement des données de santé
 Le principe de l’agrément des hébergeurs de données de santé à
caractère personnel est prévu par la loi (article L1111-8 du code de la
santé publique)
 Les professionnels de santé, les établissements de santé ou la personne
concernée peuvent déposer de telles données chez un hébergeur agréé.
 Les données concernées sont celles recueillies ou produites à l’occasion des
activités de prévention, de diagnostic ou de soins.
 L’hébergement exige le consentement exprès de la personne concernée et
les traitements nécessaires à l’hébergement sont réalisés dans le respect des
dispositions de la loi Informatique et Libertés.
 Les hébergeurs et les personnes placées sous leur autorité qui ont
accès aux données déposées sont astreintes au secret professionnel
dans les conditions et sous les peines prévues à l’article 226-13 du
code pénal.
17
L’hébergement des données de santé
- La procédure d’agrément est fixée par le décret du 4 janvier 2006 pris
après avis de la CNIL et des ordres professionnels
 Le décret décrit les conditions à remplir pour être agréé hébergeur de
données de santé à caractère personnel.
 La prestation d’hébergement est un contrat dont le contenu est fixé
précisément par l’article R1111-13 du code de la santé publique : sont ainsi
évalués la capacité financière du candidat, le niveau de sécurité proposée et
les conditions du respect des principes de la protection des données
personnelles.
 L’agrément est délivré pour trois ans par le ministre en charge de la santé
après avis de la CNIL et du comité d’agrément des hébergeurs (CAH).
 Le texte exige la présence chez l’hébergeur d’un médecin, garant du secret
professionnel.
18
L’hébergement des données de santé
- Un référentiel de constitution des dossiers de demande établi en
concertation (six formulaires, auto-évaluation et contrôles)
- Des audits possibles de la CNIL et de l'IGAS
- Quelques évolutions prévues dans le projet de loi de santé
-
suppression du consentement
assise législative du rôle du médecin de l'hébergeur
clarification de l'entité hébergeur
évolution de la procédure vers un processus de certification (aspects techniques et
sécurité)
19
 Merci de votre attention
Insert filename here
Date of presentation
20