FAQ Demande d’agrément HDS | Agence du Numérique en Santé

La présente réponse concerne les données de santé à caractère personnel des structures de soins de droit public ou de droit privé chargées d’une mission de service public. Produites ou

collectées dans le cadre de leurs missions, ces données sont des « archives publiques » au sens du code du patrimoine (art. L 211-4 du code du patrimoine) et sont donc soumises aux

dispositions du livre II de ce code (voir la synthèse établie par le Référentiel général de gestion des archives), notamment à celles qui ont trait aux modalités d’externalisation de leur

conservation (art. R212-19 à 31). À titre d’exemple, les dossiers médicaux de ces établissements, sont des archives publiques qui contiennent des données de santé et sont donc concernés par

le présent point. RAPPEL DES TEXTES L’article L 1111-8 du code de la santé publique dispose que_ «  Toute personne qui héberge des données de santé à caractère personnel recueillies à

l'occasion d'activités de prévention, de diagnostic, de soins ou de suivi social et médico-social, pour le compte de personnes physiques ou morales à l'origine de la

production ou du recueil desdites données ou pour le compte du patient lui-même, doit être agréée à cet effet. Cet hébergement, quel qu'en soit le support, papier ou électronique, est

réalisé après que la personne prise en charge en a été dûment informée et sauf opposition pour un motif légitime. »_ Les conditions d’hébergement de données de santé à caractère personnel

sur support informatique ont été précisées par le décret 2006-6 du 4 janvier 2006 (codifié aux articles R 1111-9 à R 1111-15-1 du code de la santé publique). Cet agrément est délivré par le

ministre en charge de la santé après avis de la Commission nationale de l’informatique et des libertés (CNIL) et le Comité d’agrément des hébergeurs (CAH-organe consultatif créé par le

décret précité). S’agissant des données de santé sur support papier, leurs conditions d’hébergement ont été définies par le décret 2011-246 du 4 mars 2011 (codifié aux articles R 1111-16 et

16-1 du code de la santé publique). Ce décret dispose que l’agrément est délivré par le ministre en charge de la culture et renvoie à la procédure d’agrément pour la conservation de toutes

les archives publiques, quelle qu’en soit la nature (articles R212-23 à 26 du code du patrimoine). L’agrément pour l’externalisation des données de santé sur support papier est délivré par

le ministre de la culture quel que soit le statut de l’organisme producteur des données de santé (public, privé chargé d’une mission de service public, privé). La liste des prestataires

agréés est disponible sur le site du Service interministériel des Archives de France (SIAF). POSSIBILITÉ D'EXTERNALISER LA CONSERVATION D'ARCHIVES PUBLIQUES CONTENANT DES DONNÉES

DE SANTÉ L’article L.212-4, II, du code du patrimoine donne à tout établissement public ou privé chargé d’une mission de service public la possibilité d’externaliser la conservation des

données collectées à l’occasion de l’exercice de ses missions. Cette possibilité s’applique uniquement pour la conservation d’archives « courantes et intermédiaires » (documents qui soit

sont d'utilisation habituelle pour l'activité des services, établissements et organismes qui les ont produits ou reçus, soit leur permettent de garantir leurs droits et ceux des

patients), et ce, quel qu’en soit le sort final prévu, à l’exclusion des archives « définitives » (à savoir les documents qui présentent un intérêt historique, scientifique, statistique ou

public permanent et qui doivent par ce fait être conservées indéfiniment par un service d’archives), sous réserve d’être déposées auprès d’un prestataire tiers agréé à cet effet par le

ministère de la culture (Service Interministériel des Archives de France). Pour l’externalisation de la conservation des données de santé qui ont un statut d’archives publiques, l’article

L.212-4, II précité renvoie aux dispositions de l’article L.1111-8 du code de la santé publique et consacre ainsi un régime particulier pour cette catégorie d’archives publiques. Le dépôt de

ces données doit ainsi être confié à un prestataire agréé conformément aux dispositions suivantes : * S’il s’agit de données de santé SUR SUPPORT PAPIER, leur hébergement doit être confié à

un prestataire agréé par le ministre en charge de la culture (décret 2011-246). * S’il s’agit de données de santé NUMÉRIQUES, LES COMPÉTENCES DU MINISTRE DE LA CULTURE ET DU MINISTRE DE LA

SANTÉ ONT ÉTÉ PARTAGÉES DE LA FAÇON SUIVANTE. * Sans préjudice de l’agrément du ministère de la Santé, le ministre de la culture est compétent pour agréer les hébergeurs qui proposent des

prestations « d’archivage à valeur probante » Il s’agit d’applications qui garantissent l’authenticité et la pérennité des données pendant toute leur durée de conservation, conformément à

l’état de l’art (normes OAIS et NF Z 42 013). Pour plus de renseignements, voir le site du SIAF. * Le ministre de la santé est seul compétent pour agréer les autres types de prestations

d’hébergement (mise à disposition d’infrastructures de stockage, de solutions de sauvegarde, de messageries sécurisées, etc.) de données de santé numériques (décret 2006-6). Concrètement, si

l’hébergeur de données de santé propose, intégrée à son offre, une prestation « d’archivage numérique à valeur probante », le ministère de la Culture instruira une demande d’agrément telle

que prévue aux articles R212-23 à 27 du Code du patrimoine, en complément de la procédure d’agrément du ministère de la Santé. En revanche, si l’hébergeur ne met pas lui-même en œuvre une

telle prestation, il doit indiquer dans son contrat d’hébergement que son service n’assure pas « l’archivage à valeur probante » des données qui y sont stockées. Il lui appartient à tout le

moins, au titre du devoir de conseil, d’attirer l’attention de ses clients « producteurs d’archives publiques » (structures de soins publiques ou privées chargées d’une mission de service

public) sur leurs obligations en matière de gestion des archives, et le cas échéant de leur recommander, suivant leur besoin, d’utiliser dès la production des documents numériques une

solution d’archivage électronique à valeur probante garantissant l’authenticité des documents pendant toute leur durée de conservation. Pour rappel, l’externalisation de données de santé

ayant statut d’archives publiques, nécessite en tout état de cause l’accord de l’administration des archives exerçant le contrôle scientifique et technique de l’Etat sur les archives

publiques concernées, conformément aux articles R 212-19 à 22 du code du patrimoine.