La vérité sur MSSanté

Transcription

1 La vérité sur MSSanté Suite aux nombreuses informations erronées diffusées dans les médias depuis vendredi soir, l ASIP Santé souhaite rappeler les principes et la vocation de l espace de confiance MSSanté. En ville ou à l hôpital, au cabinet ou en déplacement, la messagerie que les professionnels de santé utilisent doit garantir un haut niveau de sécurité et d interopérabilité. L objectif est de faciliter la coordination des soins tout en protégeant la vie privée des patients ainsi que la responsabilité professionnelle des praticiens. Pour apporter une réponse à ces enjeux, l ASIP Santé a créé, au nom des pouvoirs publics et en concertation avec l ensemble des Ordres professionnels et des industriels du secteur, l espace de confiance MSSanté. Permettre à tous les acteurs de santé d échanger des informations MSSanté s adresse à tous les professionnels de santé, médecins bien sûr, chirurgiens dentistes, pharmaciens, infirmiers, sages-femmes, masseurs kinésithérapeutes, pédicures-podologues, etc. ainsi qu aux établissements de santé et au secteur médico-social. Garantir l interopérabilité MSSanté s appuie sur des standards industriels internationaux. Seuls ceux-ci permettent l interopérabilité entre les messageries qui rejoignent l espace de confiance. Assurer le respect de la loi Pour intégrer l espace de confiance MSSanté, les opérateurs de messageries doivent passer par un processus de vérification du respect d un ensemble d exigences juridiques, techniques et fonctionnelles. Dans le cadre de son processus de contractualisation avec tout opérateur souhaitant intégrer l espace de confiance, l ASIP Santé s assure notamment du respect de la loi Informatique et Libertés ainsi que des dispositions relatives à l hébergement de données de santé. Si à titre expérimental le service de l ASIP Santé a bénéficié d une autorisation de la CNIL, cette autorisation est désormais délivrée aux utilisateurs finaux suivant le régime de l autorisation unique AU-037 ; l adoption de cette autorisation unique dispense tout opérateur conforme à l espace de confiance MSSanté de déposer un dossier de demande d autorisation spécifique à la CNIL. Promouvoir les premiers usages Pour faciliter l adoption du mail sécurisé et promouvoir les premiers usages, l ASIP Santé a créé pour les ordres professionnels de santé une messagerie gratuite. Il s agit d un service minimal, facilement accessible et volontairement limité en capacité et en fonctionnalités pour éviter toute situation de concurrence vis-à-vis des industriels. La vérité sur MSSanté - 23/05/2016 1

2 L espace de confiance MSSanté L espace de confiance MSSanté, élaboré en conformité à l article L du code de la santé publique qui définit les conditions d échange et de partage des données de santé, a pour finalité de permettre les échanges de données de santé à caractère personnel entre professionnels participant à la prise en charge d un même patient. Co-construit avec l ensemble des acteurs, il est constitué par un ensemble de messageries développées par des «opérateurs» intégrés à l espace de confiance dans le cadre d un processus de vérification du respect d un certain nombre de règles juridiques, techniques et fonctionnelles. L espace de confiance MSSanté s appuie sur les cinq piliers suivants : un annuaire national MSSanté ayant vocation à référencer l ensemble des professionnels habilités à échanger des données de santé personnelles ; une liste blanche de domaines qui regroupe l ensemble des domaines de messagerie des opérateurs autorisés à échanger dans l espace de confiance MSSanté ; des référentiels s appuyant sur les standards de l internet, de la messagerie et de la sécurité permettant aux industriels de développer des offres interopérables entre elles ; une architecture contractuelle : pour proposer un service MSSanté raccordé à l espace de confiance, un opérateur doit avoir conclu le contrat «opérateur MSSanté» avec l ASIP Santé (l intégration de l opérateur à l espace de confiance s effectue en deux temps : le premier, désigné «intégration provisoire», consiste pour l opérateur à tester et évaluer son service ; le second, appelé «intégration validée», reconnaît la capacité pour l opérateur de proposer un service MSSanté à des utilisateurs finaux) ; un régime d autorisation unique adopté par la CNIL : afin d apporter une solution pérenne et adaptée, la CNIL a adopté une autorisation unique (AU) en application de l article 25-II de la loi informatique et libertés ; chaque responsable de traitement doit simplement adresser à la CNIL un engagement de conformité à l autorisation unique. Les règles et conditions de fonctionnement de l espace de confiance MSSanté assurent l interopérabilité des services de l ensemble des opérateurs raccordés en permettant l échange de données de santé en toute sécurité. MSSanté promeut en effet l interopérabilité des clients de messagerie des utilisateurs finaux. Ainsi, un même client de messagerie conforme au référentiel MSSanté pourra être utilisé pour envoyer et recevoir des messages sécurisés vers des opérateurs de messagerie distincts. Des systèmes de messageries régionales déployés avant l apparition de MSSanté se mettent progressivement en conformité avec le référentiel des exigences du système MSSanté (règles juridiques, techniques et fonctionnelles). Ces messageries deviennent ainsi interopérables avec les autres systèmes de messagerie déjà présents dans l espace de confiance MSSanté. 2

3 L autorisation unique 037 L ASIP Santé et la CNIL ont travaillé à la mise en place d une autorisation unique, l AU-037, dans le double objectif de permettre à tous les utilisateurs de messageries sécurisées de santé de pouvoir garantir la licéité des traitements de données à caractère personnel réalisés via ces messageries, et de simplifier les démarches à réaliser auprès de la CNIL. L'autorisation unique AU-037, relative aux traitements des données de santé par messagerie sécurisée, adoptée par la délibération de la CNIL n du 12 juin 2014, encadre l'échange de données à caractère personnel par voie électronique de données de santé à travers un système de messagerie sécurisée. Ces dispositifs sont mis en œuvre par les professionnels et établissements de santé et les professionnels du secteur médico-social habilités par une loi. Il ressort de l AU-037 que : - l utilisateur final (PS, ES ou professionnels du secteur médico-social sus-cités) a la qualité de responsable de traitement des données de santé échangées au moyen d un service de messagerie sécurisée de santé ; l opérateur de messagerie sécurisée de santé est soustraitant de l utilisateur final du service de messagerie sécurisée de santé. Ainsi, comme tout autre opérateur, l ASIP Santé a la qualité de sous-traitant des données de santé échangées par les utilisateurs de son service MSSanté ; - le responsable de traitement doit utiliser un service de messagerie sécurisée de santé conforme aux exigences de sécurité imposées par l'article 34 de la loi du 6 janvier 1978 modifiée. En particulier, lorsque le responsable de traitement ne conserve pas par ses propres moyens les données de santé à caractère personnel échangées et collectées par le biais d'un service de messagerie sécurisée de santé, il doit veiller à ce que les serveurs de messagerie soient conservés par un hébergeur agréé à cet effet, dans les conditions conformes aux articles L et R et suivants du code de la santé publique. Tout responsable de traitement est libre de choisir d utiliser un service de messagerie sécurisée de santé dès lors qu il lui permet de respecter les obligations de sécurité et de respect des droits des personnes définies par la loi Informatique et Libertés et le code de la santé publique : il peut s agir d un service de l espace de confiance MSSanté ou de tout autre service répondant à ces exigences. 3

4 Le service générique développé par l ASIP Santé pour le compte des Ordres professionnels de santé A la demande des Ordres professionnels de santé et en partenariat avec eux, l ASIP Santé a développé au sein de l espace de confiance un service destiné à proposer aux professionnels de santé (ne disposant pas encore d une messagerie sécurisée intégrée dans leur logiciel métier ou d une messagerie fournie par un opérateur du marché) une solution générique de base, simple et gratuite. Ce service, pour lequel l ASIP Santé est opérateur pour le compte des Ordres professionnels de santé, répond naturellement aux exigences de l autorisation unique AU-037. Dans un premier temps, ce service qui avait vocation à fournir une solution d attente a été autorisé par la CNIL à titre expérimental, pour une durée de deux ans 1. L ASIP Santé a ainsi été autorisée en qualité de responsable de traitement à mettre à disposition de professionnels de santé, via une interface de type webmail, un service de messagerie sécurisée de santé à des fins d échanges de données de santé à caractère personnel. A l échéance de cette autorisation, l ASIP Santé a informé l ensemble de ses utilisateurs de leur qualité de responsable de traitement et de la nécessité de réaliser les formalités préalables adéquates : engagement de conformité à l autorisation unique 37 précitée. Les conditions générales d utilisation du service MSSanté proposé par l ASIP Santé rappellent également aux utilisateurs cette obligation. L accompagnement des acteurs L ASIP Santé, garante de l espace de confiance, accompagne tous les acteurs avec pour objectif que tous les opérateurs qui le souhaitent puissent rejoindre l espace de confiance MSSanté. A cette fin, l ASIP Santé conduit, sous l égide de la direction générale de l offre de soins (DGOS) le programme d appui destiné à aider l ensemble des établissements de santé, publics et privés, à intégrer l espace de confiance et à transmettre par messagerie sécurisée les documents hospitaliers à leurs correspondants du secteur ambulatoire. Plus de 1500 établissements de santé sont d ores et déjà engagés dans la démarche. Par ailleurs, l assurance-maladie soutient le système MSSanté auprès des professionnels libéraux. Le service mis au point par l ASIP Santé pour les ordres professionnels ne se veut en aucun cas un service concurrent des autres. Il n est qu une solution d appoint. La stratégie poursuivie par l ASIP Santé vise au contraire à encourager tous les opérateurs potentiels à contribuer aux usages, et par conséquent à se mettre en conformité avec les exigences fixées par les textes. 1 Délibération CNIL n du 25 avril

5 EN SYNTHESE L espace de confiance MSSanté est constitué par un ensemble de messageries développées par des «opérateurs» intégrés à cet espace. Il se fonde sur un processus de vérification du respect d un ensemble de règles juridiques, techniques et fonctionnelles, et est conforme à l autorisation unique de la CNIL. L ASIP Santé est l un des opérateurs de l espace de confiance MSSanté et propose à cet effet un des services de messageries de cet espace, au nom des Ordres professionnels de santé. Le service MSSanté proposé par l ASIP Santé est utilisé par ses utilisateurs finaux dans les conditions définies par l autorisation unique AU-037 de la CNIL, qui les identifie comme responsables. Tout professionnel de santé participant à l échange de données de santé par messagerie, considéré par la CNIL comme responsable de traitement des données de santé échangées au moyen d un service de messagerie sécurisée de santé, est libre de choisir d utiliser un des services de l espace de confiance MSSanté ou tout autre service de messagerie sécurisée ; ce dès lors qu il lui permet de respecter les obligations de sécurité et de respect des droits des personnes définies par la loi Informatique et Libertés et le code de la santé publique. 5

6 Pour en savoir plus La procédure d agrément est fixée par le décret n du 4 janvier 2006 en Conseil d'état pris après avis de la Commission nationale de l'informatique et des libertés et des Conseils de l'ordre des professions de santé. L'agrément est délivré par le ministre chargé de la santé, après avis motivé d'un Comité d'agrément et de la CNIL, pour une durée de trois ans. L ASIP Santé occupe les fonctions de secrétariat du Comité d agrément. Les dossiers sont instruits par l ASIP Santé et par la CNIL. Cette dernière dispose d'un délai de deux mois, renouvelable une fois sur décision motivée de son président, pour prononcer son avis. Lorsqu elle s est prononcée, le Comité d agrément dispose alors d'un délai d'un mois, renouvelable une fois, pour donner son avis. Enfin, la ministre de la santé dispose d'un délai de deux mois après l'avis du comité d'agrément pour prendre sa décision. Ces délais sont fixés par le décret du 4 janvier 2006 précité et non par l ASIP Santé. Le nom des hébergeurs agréés est publié au BO du ministère chargé de la santé et sur le site de l ASIP Santé. Les avis du Comité d'agrément ne sont pas publics, afin de préserver le caractère confidentiel des éléments fournis par les candidats. Par ailleurs, tout comme les avis de la CNIL, ils ne lient pas la ministre de la santé qui prend la décision d'agrément. En application de la loi de modernisation de notre système de santé du 26 janvier 2016, des travaux sont en cours pour modifier le processus d encadrement des activités d hébergement de données de santé en substituant à l agrément une procédure de certification. 6