rapport d`activité 2012-2013

COMITÉ D’AGRÉMENT
DES HÉBERGEURS
DE DONNÉES DE SANTÉ
RAPPORT D’ACTIVITÉ 2012-2013
Comité d’agrément des hébergeurs de données de santé – Rapport d’activité 2012-2013

Le mot du Président 1
La vision de Richard Fitton du NHS 3
Propos liminaire 4
I-Les dossiers de demande
de renouvellement d’agrément 6
A- La prise en compte des
recommandations émises
par le ministre en charge
de la santé 7
B- Les modifications apportées
au service d’hébergement
de données de santé agréé 8
C- Le rapport d’audit
externe de sécurité 10
II–La procédure d’agrément :
une procédure nécessairement
évolutive 12
A- L’adaptation aux évolutions
technologiques 13
B- L’adaptation aux évolutions
législatives 13
C- L’adaptation de la procédure
d’agrément aux nouvelles offres
de services accessibles
directement par le patient 15
III–La protection des données
de santé du citoyen : pierre
angulaire de l’instruction
des dossiers de demande
d’agrément 18
A- Les évolutions techniques
et l’usage croissant de
l’informatique dans le domaine
de la santé imposent la mise
en place de nouveaux schémas
organisationnels afin
de protéger les citoyens 19
B- Le consentement à l’hébergement
de ses données de santé
à caractère personnel :
une obligation délicate,
voire impossible à respecter
en pratique 20
C- Le médecin de l’hébergeur :
garant de la confidentialité
des données de santé 22
IV–Le périmètre de la procédure
d’agrément : une appréciation
guidée par la protection
des données de santé 24
A - L’encadrement des liens
entre les acteurs par
le contrat d’hébergement 26
B- L’interprétation large de
la notion d’hébergement
de données de santé
nécessitant un agrément 28
C- Les prestations
« d’hébergement sec » 29
D- L’hébergement de données
de santé échangées au moyen
d’un service de messagerie
sécurisée de santé 31
E- L’hébergement de données
de santé collectées par
les organismes d’assurance
maladie 32
F- L’hébergement de données
de santé collectées au moyen
d’objets connectés 32
Conclusion 34
Annexes 36
SOMMAIRE

Le deuxième rapport du Comité d’agrément des hébergeurs (CAH), établi au terme de l’instruction
de plus de 170 dossiers, reflète désormais l’âge adulte de la procédure.
Le CAH, bien conscient des complications administratives et des complexités techniques, a tenté,
en bonne intelligence avec la seconde instance de régulation qui participe à la procédure, la CNIL,
et l’opérateur central des systèmes d’information, l’ASIP Santé, d’apporter sa vision pragmatique.
Cette politique, reflet d’une large collégialité éthique, juridique et technique a été reconnue
par tous les acteurs.
D’autres étapes sont devant nous afin, tout à la fois, d’augmenter les garanties et de fluidifier
les procédures.
Le périmètre de l’hébergement agréé ne peut être fixé dans les tables, il doit évoluer avec la vie des
professions, les développements technologiques. Une réflexion forte et urgente doit, par exemple,
se mettre en place sur les bases détenues par les assureurs privés et publics.
Le décret du 4 janvier 2006 fixant les règles de l’hébergement doit être aménagé afin d’assurer
à la fois plus de convergence et de complémentarité entre les expertises menées par la CNIL et
le comité d’instruction placé auprès du CAH.
L’analyse économique et financière, gage de pérennité des données qui ne peuvent être confiées
à des structures fragiles reste justifiée, mais elle doit être repensée pour prendre en compte la vie
financière réelle des industriels : que signifie le bilan financier déficitaire d’un hôpital public qui sera
nécessairement contraint d’exécuter ses missions de service public ? Quel est l’intérêt et où trouver
les compétences pour procéder à l’expertise de la comptabilité d’une société cotée au Nasdaq, dont
la filiale française demande l’agrément et dont la société mère peut désirer se défaire ?
Enfin, il faudra améliorer de manière exigeante autant que réaliste les procédures d’audit. C’est
d’ailleurs une démarche à engager de concert avec les acteurs responsables de la profession bien
conscients des enjeux sociétaux.
Le Comité est convaincu du rôle essentiel que la procédure d’agrément a rempli pour élever
les niveaux de sécurité et de responsabilisation des industriels et leur permettre d’accroître la confiance
des usagers. C’est dans cette direction qu’il faut continuer pour faire évoluer les comportements
des professionnels et des patients dans un but commun : le juste soin.
DR PHILIPPE BICLET,
président du Comité d’agrément des hébergeurs
LE MOT DU PRÉSIDENT
01
RAPPORT D’ACTIVITÉ 2012-2013

02
RAPPORT D’ACTIVITÉ 2012-2013

LA VISION DE RICHARD FITTON DU NHS
Demain, l’obligation pour les organismes qui souhaitent héberger des données de santé à caractère
personnel de voir leurs capacités évaluées au regard d’un ou plusieurs référentiels sera devenue aussi
habituelle que le respect des normes de sécurité physique.
Demain, les hébergeurs auront un rôle d’éducation des individus à l’égard du traitement de leurs
données personnelles. Ils devront faire de la pédagogie autour de leur métier et assurer une repré-
sentation des patients au sein de leur conseil d’administration.
Demain, les hébergeurs consacreront une partie de leurs revenus obtenus à partir de l’hébergement
à la pédagogie et à rendre publiques des études effectuées à partir des données hébergées dans le
respect des règles de protection des données.
Demain, les hébergeurs rendront publics auprès des personnes dont ils hébergent les données, les
résultats des audits effectués et permettront aux personnes concernées un accès direct et dématé-
rialisé à leurs données hébergées.
Mais demain se prépare aujourd’hui…
Le Dr Richard Fitton travaille pour le National Health Service (NHS), le système de santé publique
du Royaume-Uni. Il est reconnu, tant au niveau national qu’international, comme l’un des princi-
paux défenseurs d’un contrôle accru par les patients de leurs données de santé.
LE RÔLE DES HÉBERGEURS DE DEMAIN
03
RAPPORT D’ACTIVITÉ 2012-2013