PROGRAMME DE Annexes MODERNISATION DES SI ET TÉLÉCOM DES SAMU-CENTRES 15. Note de synthèse de l étude de faisabilité

Transcription

1 PROGRAMME DE Annexes MODERNISATION DES SI ET TÉLÉCOM DES SAMU-CENTRES 15 Note de synthèse de l étude de faisabilité Annexes 17 janvier 2014

2 1. SOMMAIRE 1. SOMMAIRE ANNEXE 1 : DESCRIPTION GENERALE DE LA METHODE MISE EN PLACE POUR L ETUDE DE FAISABILITE ANNEXE 2 : LES PRINCIPES FONDAMENTAUX DE LA SOLUTION RETENUE LA CONSTRUCTION D UNE APPLICATION A L ETAT DE L ART A DESTINATION DE L ENSEMBLE DES SAMU UNE ANALYSE DES RISQUES AU CŒUR DE L ETUDE DE FAISABILITE Présentation de la démarche EBIOS Une démarche EBIOS complétée d une analyse systémique des risques du projet UNE SOLUTION NOURRIE DES COMPETENCES EXISTANTES ET DE L EXPERIENCE DES SAMU UNE SOLUTION NOURRIE DE L ANALYSE COMPARATIVE DE PROJETS SIMILAIRES (BENCHMARK) UNE MISE EN ŒUVRE PROGRESSIVE ANNEXE 3 : CARTOGRAPHIE FONCTIONNELLE DU SI-SAMU LES PROCESSUS METIER LA CARTOGRAPHIE FONCTIONNELLE Le noyau de base du LRM La gestion des flux multicanaux Le couplage informatique (CTI) Les modules fonctionnels complémentaires du SRM Les liens fonctionnels ou interfaces d échange avec l écosystème et les partenaires des Samu Les sources de données Les modules de pilotage, de reporting et de support LES CAS D USAGE DU SI-SAMU L USAGE DU SI-SAMU EN MODE DEGRADE ANNEXE 4 : ARCHITECTURE TECHNIQUE PROPOSEE UNE ARCHITECTURE CIBLE ISSUE D UNE ANALYSE APPROFONDIE PRESENTATION DE L ARCHITECTURE RETENUE Principe d architecture de téléphonie retenu Architecture détaillée de la solution SI-Samu Rôles des opérateurs de télécommunication dans l architecture SI-Samu PRINCIPE DE DISTRIBUTION GEOGRAPHIQUE DES INFRASTRUCTURES TECHNIQUES LOGIQUE NOMINALE D ACHEMINEMENT DES APPELS LOGIQUE NOMINALE D ACCES AUX APPLICATIFS CAPACITES D ECHANGE AVEC LES PARTENAIRES ET LES LOGICIELS DE SANTE FOCUS SUR LES MODALITES D INTERACTION ENTRE LE SI-SAMU ET ANTARES CAPACITE D ARCHIVAGE DU SI-SAMU FOCUS SUR LA GESTION DES CRRA DES DEPARTEMENTS D OUTRE-MER GESTION DE L AUTHENTIFICATION ET DES HABILITATIONS DIMENSIONNEMENT TECHNIQUE DU SI-SAMU ET GESTION DE CRISE UNE ARCHITECTURE HAUTEMENT DISPONIBLE Présentation globale de l ensemble des mécanismes de haute disponibilités du SI-Samu Focus sur la sécurisation de l étape de collecte Focus sur les dispositifs de sécurisation de l opérateur de service PRENDRE EN COMPTE DE LA DYNAMIQUE D EVOLUTION DES TECHNOLOGIES Classification : non sensible, public 1 / 118

3 6. ANNEXE 5 : CAPACITE A REPONDRE AUX EXIGENCES LIEES AU CADRE JURIDIQUE DES APPELS D URGENCE PRESENTATION GENERALE DE L AIDE MEDICALE URGENTE Son objet Une pluralité d acteurs L ACTIVITE DE REGULATION MEDICALE, UNE ACTIVITE SOUMISE A AUTORISATION La réponse aux appels d urgence dans le délai le plus rapide Les modalités d organisation du Samu avec les services d incendie et de secours et les services de police et de gendarmerie Les modalités d organisation du Samu avec les Smur Les moyens matériels et humains des CRRA Les modalités de financement de l activité de soins de médecine d urgence L ACTIVITE DE REGULATION MEDICALE, UNE ACTIVITE DE TELEMEDECINE L acte de régulation médicale des appels d urgence, un acte de télémédecine L organisation de l activité de régulation médicale La mise en place de mesures de sécurité et de traçabilité LE CADRE JURIDIQUE DE L ECHANGE ET DU PARTAGE DES DONNEES DE SANTE PRODUITES A L OCCASION DE L ACTIVITE DE REGULATION MEDICALE URGENTE La nature des données traitées L accès aux données produites dans le cadre de l activité de régulation médicale des appels au Samu Le régime juridique du dossier de régulation médicale La réutilisation des données collectées dans le cadre de l activité des Samu A côté du dossier de régulation médicale LA NECESSAIRE IMPLICATION DES ETABLISSEMENTS DE SANTE AUTORISES DANS LA GOUVERNANCE DU PROJET SI-SAMU Les différentes responsabilités des établissements de santé attachées à l autorisation d activité de régulation médicale des appels d urgence La nécessaire implication des établissements de santé autorisés dans la gouvernance du projet SI-Samu Le recours à une structure juridique dite «structure de portage» La définition d un programme national de télémédecine consacré à la mise en œuvre du SI- Samu au sein des établissements de santé autorisés LES OBLIGATIONS PESANT SUR LES OPERATEURS DE TELEPHONIE PUBLIQUE POUR ASSURER LE FONCTIONNEMENT DU SI- SAMU Notion d opérateur Obligations des opérateurs ANNEXE 6 : MODALITES DE CONSTRUCTION UN PILOTE DEVELOPPE EN MODE «AGILE» L ADMINISTRATION ET LE PILOTAGE DE L ACTIVITE OPERATIONNELLE LA GESTION DU MODELE D INFORMATION ET DES REFERENTIELS DES SAMU UNE EXIGENCE D ADAPTATION A LA CHARGE DE LA SOLUTION («SCALABILITY») LA GESTION DES EVOLUTIONS ANNEXE 7 : MODALITES DE MAINTIEN EN CONDITIONS OPERATIONNELLES QUALITE DE SERVICE ET MANAGEMENT DE LA QUALITE Mise en place d un système de management de la qualité (SMQ) Classification : non sensible, public 2 / 118

4 Rédaction de la documentation fonctionnelle et technique Suivi des bonnes pratiques de gestion informatique (ITIL) OUTILS D ADMINISTRATION Les outils d administration applicative Les outils d administration du parc de poste de travail Les outils d administration réseaux Les outils de supervision SUPPORT AUX UTILISATEURS & EXPLOITATION Principes générales propres au SI-Samu Focus sur la gestion des incidents MAINTENANCE CORRECTIVE Principes générales propres au SI-Samu La gestion des montées de version ANNEXE 8 : PRINCIPAUX RESULTATS DE L ANALYSE DES RISQUES CAPACITE A REPONDRE AUX EXIGENCES DE SECURITE SI Etude du contexte L étude des événements redoutés, des menaces et des risques Les objectifs de sécurité Bilan de l analyse des risques SSI L ANALYSE DES RISQUES PROJET Axe «Fonctionnel» Axe «Technique» Axe «Stratégie industrielle» Axe «Déploiement et conduite du changement» Axe «Politique» Axe «Juridique» Axe «Gouvernance / Organisationnel» ANNEXE 9 : METHODE, HYPOTHESES ET PERIMETRE DE CHIFFRAGE METHODE DE CHIFFRAGE PRINCIPALES HYPOTHESES DE CHIFFRAGE PERIMETRE DU CHIFFRAGE ANNEXE 10 : GLOSSAIRE Classification : non sensible, public 3 / 118

5 2. Annexe 1 : Description générale de la méthode mise en place pour l étude de faisabilité L étude de faisabilité a donné lieu à une mobilisation large des acteurs concernés par le programme de modernisation. Cette large mobilisation s est affirmée progressivement dans le cadre d une méthodologie structurée autour de 4 principes suivants : Une comitologie structurante, permettant d impliquer la majeure partie des acteurs du secteur dans les processus de décision, a été mise en place. Les différents comités ont permis de superviser, d orienter et de valider les travaux menés dans le cadre de l étude de faisabilité. Figure 1 : Comitologie de l étude de faisabilité Le comité de pilotage (COPIL) de l étude a notamment réuni des représentants des Samu, des représentations des syndicats de médecins libéraux, des représentants des ARS, la DGOS, la DGS, la DSSIS ainsi que l ASIP Santé. Ce comité avait pour missions : Propose les orientations structurantes du programme o o o o o o Architectures contractuelles Allocations budgétaires Gestion de risques / Plans de couverture des risques Choix des sites pilotes et des orientations de déploiement Evolutions réglementaires Gouvernance projet (MOA) Avis GO/ NO GO sur l ensemble des jalons clés du programme Classification : non sensible, public 4 / 118

6 Le comité de suivi des Samu (CSS) a rassemblé 22 patrons de Samu représentant les différentes géographies et les différentes solutions techniques existantes sur le territoire national. Ce comité avait pour missions : Définition de l ensemble des sujets clés métier à traiter Suivi des problématiques fonctionnelles liées à la solution dans une démarche continue durant l ensemble du programme Focus sur les problématiques organisationnelles associées notamment aux processus de reprise et de gestion de crise afin d élaborer les modèles de référence à implémenter Définition des différents groupes de travail métier à prévoir et de la logique de planification Contribution à l Identification et à la mobilisation des ressources métiers opérationnelles pertinentes pour instruire les problématiques fonctionnelles/métier Validation des sujets métier instruits par les groupes de travail métier Contribuer aux dialogues entre les différents PS travaillant dans les SAMU et les autres services d urgence Elaboration de stratégies d accompagnement et de promotions du programme au sein des SAMU et de leurs représentations Proposition de stratégies de déploiement au sein des différents SAMU Le comité de suivi des ARS (CSA) a réuni 8 ARS et ses missions étaient : Information des ARS sur l avancement du programme Instruction des points de complexité identifiés par les ARS Articulation du programme avec les projets de modernisation en région Validation de la stratégie de déploiement à suivre pour la solution cible Définition des stratégies d accompagnement et de promotion du programme en région Une instruction structurée au travers de 14 chantiers distincts : Les travaux de l étude de faisabilité ont été découpé en 14 chantiers sur l ensemble des thématiques : fonctionnel, technique, sécurité SI & analyse de risque, juridique, planification, benchmark, déploiement & trajectoire de convergence, budgétaire, etc. Classification : non sensible, public 5 / 118

7 Figure 2 : Liste des différents chantiers menés par l étude de faisabilité Une méthodologie de travail participative : Les chantiers ont été animés par les experts techniques mobilisés par l ASIP Santé d une part, et par les experts métiers impliqués à travers une contribution large des Samu d autre part. Des Groupes de Travail Thématiques (GTT) transverses aux 14 chantiers ont été organisés, afin de rassembler l ensemble des experts et instruire collégialement les sujets de l étude de faisabilité. Les contributions des différents GTT ont apporté suivant les thématiques abordés des informations à plusieurs chantiers suivant un mode «matriciel». Figure 3 : Contribution «matricielle» des Groupes de Travail Thématiques aux chantiers Une implication soutenue de l ensemble des acteurs, via plus de 40 réunions : Classification : non sensible, public 6 / 118

8 o o Une quinzaine de groupes de travail thématiques «métier» (GTT-Métier) ont concerné une quarantaine de Samu différents, et regroupés plus une cinquantaine d experts (médecins urgentistes, médecins généralistes, agent de régulation médicale, superviseurs et techniciens) utilisateurs des différentes solutions actuellement disponibles sur le marché et représentatives de la diversité géographique des Samu ; 12 groupes de travail thématiques partenaire (GTT-Partenaire) ont concerné les partenaires des Samu : ambulanciers privés, Centre national relais 114, centres antipoison et de toxicovigilance, fédérations, forces de l ordre, médecins libéraux, médecins correspondant des Samu, ordre des médecins, ordre des pharmaciens, ordre des chirurgiens-dentistes, pompiers, responsables informatiques d Etablissements Sièges de Samu ; o 13 comités ont été organisés pour rendre compte, organiser, décider et valider ; o 4 groupes de travail thématiques ARS (GTT-ARS) ont été menés avec les ARS et les ARS de Zone. Figure 4 : Planning des Groupes de Travail Thématiques (GTT) et des comités Des questionnaires complémentaires envoyés aux Samu et aux ARS : o o o Une enquête relative à la capacité actuelle du système d informations et de télécommunications des Samu a été menée auprès des 26 ARS. 2 enquêtes (fonctionnelles et techniques) auprès des Samu ont connu un taux de participation de plus de 99 % participant ainsi à l obtention d une connaissance globale et exhaustive de l état des lieux et des besoins techniques et métier des Samu. Ces enquêtes ont permis la production d une grande quantité d informations fonctionnelles, techniques et organisationnelles. Cette source d information a été essentielle pour l instruction de l étude de faisabilité. Classification : non sensible, public 7 / 118

9 La conduite d un benchmark national et international : o Au-delà des informations recueillies grâce à cette large mobilisation, les résultats de l étude de faisabilité reposent également sur un benchmark dont le détail est présenté ultérieurement dans ce document. L étude s est ainsi largement nourrie des initiatives et projets de modernisation existants en cours ou à venir. La mobilisation d une équipe projet conséquente pour approfondir l ensemble des sujets : o o o o o o 12 experts techniques : 3 experts sécurité SI, 3 experts architecture, 5 experts téléphonie et centre d appels de cultures différentes (intégrateur, téléphoniste, opérateur, etc.) mais tous travaillant chez des intégrateurs ou dans des cabinets de conseil, 2 experts réseau. 2 experts fonctionnels 5 ressources MOA / AMOA pour le pilotage, l organisation des travaux, la gestion des risques, l accompagnement du chantier métier, la rédaction des livrables, etc. 3 juristes avec le recours à un cabinet d analyse juridique 1 chef de projet technique 1 directeur de projet Classification : non sensible, public 8 / 118

10 3. Annexe 2 : Les principes fondamentaux de la solution retenue 3.1. La construction d une application à l état de l art à destination de l ensemble des Samu La solution proposée est une solution unique et mutualisée pour l ensemble des Samu, solution ici dénommée «SI-Samu». Elle est conçue de manière à pouvoir être déployée au sein de l ensemble des Centres de Réception et de Régulation des Appels (CRRA) des Samu, soit les 97 CRRA de métropole et les 5 CRRA d outre-mer. Ainsi, cette solution permet d adhérer au maillage géographique des Samu. Cette solution couvre les besoins des CRRA des Samu en matière de systèmes d information, de téléphonie et de radiocommunication. Elle repose sur : une offre logicielle : o nativement en technologie web et offrant des capacités de montée en charge conséquentes via une technologie de type SaaS (Software as a Service) et des clients légers pour le logiciel de régulation médicale et l interface graphique de gestion de la téléphonie (dénommé aussi «bandeau») ; o fonctionnellement large car intégrant étroitement un logiciel de régulation médicale avec la téléphonie et la radiophonie dans le but d améliorer la cohérence opérationnelle de l ensemble ; o centralisant l intelligence applicative pour rendre possible de nouveaux services à très forte valeur ajoutée comme notamment des fonctionnalités d entraide, d interconnexions et de bascules entre Samu, de gestion de crise et de pilotage à des niveaux supra-départementaux (région, zone de défense, national), etc. ; la création d une nouvelle infrastructure technique distribuée, apportant une très forte sécurisation grâce à un maillage local des composants de téléphonie critiques ; une gestion de la téléphonie novatrice capitalisant sur l ensemble des bénéfices de la téléphonie sur IP. Le SI-Samu est une application SaaS (Software-as-a-Service) au sens technique du terme, caractérisée par de fortes capacités de montée en charge et une technologie nativement web. Elle intègre étroitement application de régulation médicale et téléphonie afin d apporter le maximum de fonctionnalités. Ces objectifs, couplés à une volonté d homogénéisation du système d information entre les Sasmu, induisent la nécessité de construire une solution nouvelle, différente techniquement des solutions disponibles sur le marché et conçue pour équiper unitairement chaque Samu. Cette solution induit également une nouvelle répartition des responsabilités sur la conception et l exploitation de la solution, prises en charge au niveau national et en rupture avec le fonctionnement local actuel. Ce transfert de responsabilité des Samu vers une structure projet nationale permettra aux Samu de se concentrer sur leur cœur de métier. Classification : non sensible, public 9 / 118

11 Un changement de paradigme technique complet en rupture totale avec les solutions actuelles des Samu garantissant performance, disponibilité, ouvrant un nouveau champ du possible en termes d usage et permettant aux Samu de se concentrer sur leur cœur de métier Une analyse des risques au cœur de l étude de faisabilité Présentation de la démarche EBIOS L analyse de risque SSI initiale du futur système d information des Samu a été réalisée en appliquant la méthode EBIOS (Expression des Besoins et Identification des Objectifs de Sécurité) élaborée par l Agence Nationale de la Sécurité des Systèmes d Information (ANSSI). Cette méthode se décompose en 5 étapes qui sont : l étude du contexte : Cette étape, menée par le biais d entretiens réguliers avec les experts métiers, a permis de définir la cartographie des biens considérés comme essentiels pour l activité des Samu. Une échelle pour mesurer la gravité des impacts consécutifs à un défaut de sécurité a été définie dans le même temps. Ces éléments ont ensuite été utilisés pour évaluer : o le besoin de sécurité ; o o la gravité des impacts des événements redoutés en termes de Disponibilité, d Intégrité de Confidentialité et d Auditabilité (critères DICA) ; les niveaux de vraisemblance des scénarios de menace pesant sur le futur système. l étude des événements redoutés : cette étape validée par les représentants des Samu a permis de définir avec eux les événements qu ils redoutaient le plus. Les impacts de ces évènements redoutés ont été mesurés sur les 8 axes suivants : o l organisation des soins ; o la santé du patient, l atteinte à sa vie privée ou au secret médical ; o la mission de coordination des Samu dans le cadre de crise sanitaire ou de catastrophe ; o les aspects financiers ; o l engagement de la responsabilité ; o l atteinte à l image ou à la notoriété ; o l atteinte à la confiance accordée à l acteur sanitaire ; o l atteinte au fonctionnement interne du Samu ; Cette deuxième étape permet ainsi de définir le besoin de sécurité (en termes de disponibilité, d intégrité, de confidentialité et d audibilité) des biens essentiels précédemment identifiés. l étude des scénarios de menace permet ensuite d évaluer la vraisemblance de ces scénarios ; l étude des risques met en évidence les risques pesant sur la solution en combinant chaque événement redouté à un ou plusieurs scénarios de menace ; Classification : non sensible, public 10 / 118

12 l identification des objectifs de sécurité indique pour chaque risque identifié la nécessité de mettre en œuvre ou non une mesure de sécurité adéquate Une démarche EBIOS complétée d une analyse systémique des risques du projet Une analyse des risques liés à la modernisation des systèmes d information et de télécommunication des Samu a été menée dans le cadre de l étude de faisabilité. Elle permet de présenter une liste de risques qui contribue à éclairer la décision finale quant au lancement de ce programme de modernisation du système d information et de télécommunications des Samu. La méthode vise à repérer a priori les risques qui pourraient mettre en doute la faisabilité du programme et à proposer des plans de couverture appropriés. Elle est construite selon la norme Afnor Gestion du risque (FD X50-117). Cette analyse repose sur une approche ascendante : des analyses de risque ont été menées pour chaque dossier d instruction avant de faire l objet d une consolidation globale. L analyse des risques a ainsi été menée en continu tout au long de la réalisation de l étude de faisabilité. Chaque risque a fait l objet d une qualification et d un plan de couverture. La qualification du risque permet d évaluer sa criticité et son acceptabilité. La criticité combine probabilité d apparition (improbable, très peu probable, probable, fortement probable) et gravité (négligeable, significative, majeure, catastrophique), elle détermine le traitement du risque. Les risques ont été répartis selon les catégories suivantes : Figure 5 : Liste des différentes catégories de risques projet Classification : non sensible, public 11 / 118

13 L étude EBIOS visant à l identification exhaustive des risques relatifs à la sécurité des systèmes d information du projet, cette catégorie a été exclue du périmètre de l analyse de risque du projet. Les périmètres d analyse de l étude EBIOS et de l étude des risques se complètent toutefois pour l analyse des risques techniques. Les risques techniques présentés dans l analyse des risques donnent un éclairage opérationnel et détaillé sur certains risques systémiques identifiés par l étude EBIOS. Un travail de rapprochement entre les risques techniques remontés par les dossiers d instruction et le résultat de l étude EBIOS est mené. L ensemble des risques techniques remontés par les dossiers d instruction doit pouvoir être relié avec un risque ou un scénario de menace décrit dans la Fiche d Expression Rationnelle des Objectifs de Sécurité (FEROS) de la solution nationale. Les traitements des risques proposés dans la FEROS permettent d enrichir les plans de couverture au sein de l analyse des risques (plus particulièrement pour les risques techniques mais également pour les risques relevant d autres catégories) Une solution nourrie des compétences existantes et de l expérience des Samu L étude de faisabilité a permis de mobiliser les compétences fonctionnelles et techniques existantes au sein des Samu : sur les aspects fonctionnels ; sur les aspects de logiciels de régulation médicale ; sur les aspects de téléphonie ; Sur les aspects d ergonomie. L étude de faisabilité a permis d analyser les projets significatifs de modernisation dans les régions Samu que sont RRAMU, CARMEN, le projet de régionalisation mise en place en Franche-Comté et le projet AréSa. Ces projets ont conduit aux réflexions ou aux mises en œuvre les plus poussées sur les interconnexions de Samu. Les rencontres avec les responsables de ces projets ont permis d aborder les sujets suivants : comprendre les objectifs fonctionnels et les architectures techniques des projets entrepris ; identifier la nature des difficultés rencontrées et les solutions mises en place ; intégrer l ensemble de leurs retours d expérience. Ces rencontres ont été l occasion de présenter le programme de modernisation SI & Télécom des Samu-Centres 15 et de l enrichir en complétant le cas échéant la définition de l architecture technique du SI-Samu. Il s agit de favoriser l implication directe ou indirecte des utilisateurs et des acteurs des Samu mobilisés dans la mise en place de ces solutions d interconnexion dans les prochaines phases de réalisation de la solution SI-Samu en particulier les travaux de spécification de celle-ci. Classification : non sensible, public 12 / 118

14 Pour la réussite du programme de modernisation, il apparait essentiel de s appuyer sur l important réseau de compétences fonctionnelles et techniques des Samu 3.4. Une solution nourrie de l analyse comparative de projets similaires (benchmark) Afin de bénéficier de l expérience d acteurs ayant mis en œuvre des solutions présentant des similitudes avec la solution envisagée dans le cadre de l étude de faisabilité (architecture mutualisée, disponibilité, volumétrie d appels, etc.), des rencontres ont été organisées afin de mener une étude comparative des différentes solutions construites par ces acteurs. Cette étude a permis de mettre en perspective les solutions imaginées pour répondre aux différentes contraintes métier, et ainsi d alimenter les réflexions menées dans le cadre de notre étude. Les retours d expérience récoltés ont permis de recueillir des informations, de tirer des enseignements, d ajuster ou de valider les choix techniques effectués dans le cadre de l étude de faisabilité en augmentant le niveau de preuve quant à la faisabilité d une solution similaire. Cette démarche a permis de disposer de : une analyse comparative globale, factuelle et argumentée des solutions mises en œuvre par les acteurs rencontrés ; une vision des opportunités d évolution ou d amélioration possibles de la solution initialement envisagée pour les Samu-centres 15 ; une confrontation des scénarios d architecture envisagés dans le cadre de l étude de faisabilité avec les réalités opérationnelles afin d affiner et conforter la définition de l architecture technique cible du SI-Samu ; une identification des facteurs clés de succès pour conduire la transformation relative au scénario d évolution retenu ; une confirmation de la faisabilité de la solution SI-Samu cible. Différents acteurs ont été rencontrés ou ont fait l objet d une étude : au niveau international : o le centre unifié de réception des appels au 911 du district de Columbia à Washington («Unified Communication Center - UCC911) : L évolution des technologies en matière de télécommunication a incité le gouvernement Américain à créer une nouvelle génération de centres de réception des appels d urgence: «Next Generation 911». Ces centres intègrent toutes les dernières avancées en matière d intégration téléphonie-informatique, d intelligence de routage, de disponibilité, de sécurité, de flexibilité, etc. o le service national de santé de Grande Bretagne (NHS Direct) : NHS Direct est un service national Anglais de fourniture de conseils médicaux par téléphone et par internet fondé en Au niveau national : o Pôle Emploi ; o AXA Assistance ; o EDF ; Classification : non sensible, public 13 / 118

15 o MAIF ; o Banque Populaire ; o Crédit Agricole. Les retours d expérience issus de ces rencontres et de ces analyses sont restitués dans les différentes sections du présent document, selon le sujet concerné, et sont présentés dans un encadré similaire à celui présenté ci-dessous : Thème Détail du retour d expérience L étude de benchmark démontre clairement que l évolution des architectures de centre d appels va vers la généralisation de la téléphonie virtualisée au sens d un regroupement des équipements techniques de l ensemble des sites de centres d appels pour les mutualiser. Paradoxalement ces architectures ne sont pas présentes dans le domaine de la Santé en France. Les centres d appels virtuels opérés existent depuis plus de 12 ans en France. Le premier centre d appels virtuel Français disposant de ce type d architecture, présentant des volumes d appels important (plus de deux fois le volume d appels des Samu, avec des logiques de pics en fin de mois) a été opérationnel dès Il s agit de l Unedic (devenu pôle Emploi avec fusion avec l ANPE) qui, bien qu ayant pris l option d une architecture centralisée des composants techniques avec distribution des appels en local, a intégré une autonomie de gestion suivant les découpages géographiques préexistants en reproduisant à l identique les scénarios d entraides inter-régionaux. Les technologies de téléphonies IP sont matures depuis plus de 6 ans. L évolution vers les technologies IP à grande échelle en France date de 2008, même si certaines solutions ont été déployées auparavant. Par exemple, l Informatique des Banques Populaires (ibp) a déployé avec l aide d un opérateur de service des solutions IP pour l ensemble du traitement des appels en agence, en utilisant pendant la période de déploiement via l opérateur de services un acheminement du trafic en mode hybride, à la fois sur les réseaux classiques (RNIS) ou les réseaux IP (WAN MPLS). La tendance du marché des centres d appels 24/24 7/7 est clairement orientée vers ce type d architecture. Ces architectures, utilisées et maîtrisées depuis longtemps par EDF, sont en cours de généralisation courant 2014 dans le cadre d une architecture très similaire à celle proposée dans le cadre de l étude, tant au niveau SI qu au niveau centre d appels, et pour un volume d appels largement supérieur. La particularité du trafic géré par EDF est d être saisonnier et extrêmement fluctuant (incident climatique). La solution mise en place intervient avec changement d opérateur de service et conservation d une grande partie du patrimoine applicatif, à l instar des choix effectués dans ce dossier. Des solutions similaires existent à l international dans le domaine de la santé. Même si le métier de NHS direct en Angleterre n est pas le traitement d appel d urgence, la gestion du conseil médical impose réactivité et traitement personnalisé de l appel, avec une architecture hautement disponible. L architecture déployée avec l aide de l opérateur Vodafone est très similaire à celle proposée dans le Classification : non sensible, public 14 / 118

16 dossier d instruction, à l exception des particularités françaises (positionnement des enregistreurs, hébergement des données santés) et des particularités du traitement des appels d urgences (partenaires, gestion de la radio), présentes dans la solution retenue. La solution retenue allie le meilleur des architectures de centre d appels virtuel, éprouvées par le marché, à la particularité du traitement des appels d urgence en France, en prenant en compte les retours d expérience issus de systèmes opérationnels présentant des points de comparaison significatifs Une mise en œuvre progressive La mise en œuvre de la solution retenue suivra une montée en puissance progressive selon deux axes : un axe de montée en puissance fonctionnelle qui s appuie sur : o un lotissement pragmatique et progressif : une version V1 qui doit s attacher à la mise en œuvre du concept de couplage téléphonie application de régulation médicale et qui ne cherchera pas à implémenter un premier périmètre fonctionnel trop ambitieux. Le périmètre fonctionnel du pilote a été détouré et validé par les Samu lors des groupes de travail thématiques métier réalisés durant l étude de faisabilité ; des versions successives régulières (V2, V3, etc.) embrassant progressivement le périmètre fonctionnel cible au travers d une «roadmap» ; o des ateliers de production des spécifications de qualité dans un délai de temps maîtrisé ; o la réalisation d un démonstrateur de l application via un développement de type «agile» (voir ultérieurement pour plus de détails) ; o la conduite d un pilote structurant et représentatif notamment en termes de couverture fonctionnelle, de complexité technique et de sécurisation ; Un axe de déploiement géographique qui s appuie sur: o la capacité de l application à pouvoir suivre la croissance du volume d activité opérationnelle. o une cadence de déploiement progressive suivant la logique spécifique définie et validée par les Samu lors des groupes de travail thématiques métier réalisés durant de l étude de faisabilité. Il est essentiel de démarrer par un nombre réduit de CRRA et de donner le temps nécessaire à ces premiers déploiements de devenir les «success stories» à partir desquels capitaliser. Le chapitre «déploiement» détaille ces aspects ; o un arsenal d utilitaires techniques pour la bascule des solutions existantes vers le SI- Samu (outils de reprise de données, outil de fonctionnement en double, etc.). La montée en puissance progressive sur un axe fonctionnel et un axe géographique de la solution sera garantie par un lotissement intelligent et pragmatique permettant de limiter et de contrôler les risques. Classification : non sensible, public 15 / 118

17 4. Annexe 3 : Cartographie fonctionnelle du SI-Samu Durant l étude de faisabilité, le chantier fonctionnel a étudié tous les aspects fonctionnels de la future solution nationale cible en identifiant les besoins propres à la solution SI-Samu et en analysant les questions relatives aux interconnexions à prévoir entre cette solution et les solutions tierces. Le périmètre fonctionnel cible du SI-Samu a été défini au regard des besoins actuellement connus ou identifiés mais également dans un souci d adaptation aux évolutions du métier des Samu. Les analyses conduites au sein du chantier fonctionnel ont en particulier exploré les dimensions suivantes : 1. description fonctionnelle des meilleures pratiques existantes au niveau du Système de Régulation Médicale (SRM) : o logiciel de Régulation Médicale (LRM) ; o phonie et autres média multicanaux ; o liens fonctionnels permettant des interactions avec les partenaires ; 2. interactions cibles avec les partenaires et les logiciels de santé nationaux ; 3. cadrage des nouvelles fonctionnalités et du périmètre fonctionnel cible ; 4. normalisation et référentiels ; 5. fonctionnement en modes dégradés Les processus métier Les Samu-Centres 15 sont des centres de régulation médicale qui réceptionnent l ensemble des appels de demande de soins urgents ou non programmés. Leurs organisations se sont adaptées pour répondre à leurs missions règlementaires 1, aux recommandations professionnelles 2 et à l évolution croissante de leur activité depuis plus de dix ans 3, liées à de profondes mutations intervenues dans l organisation du système de santé français. Un Assistant de Régulation Médicale (ARM) reçoit l appel initial, identifie et localise le patient, circonstancie la demande, en détermine le degré d urgence et engage si besoin des moyens avant de transférer l appel au médecin régulateur. Ces ARM constituent le niveau 1 du front office du traitement de l appel du Samu-Centre 15, les médecins régulateurs le niveau 2. 1 Code de santé publique, Art R à 3 2 SAMU de France, Société Française d'anesthésie et de Réanimation. Réception et régulation des appels pour les urgences médicales en dehors de l hôpital. Conférence d experts PENVERNE Y., JENVRIN J., DANET N., PINEAU CARIÉ S., POTEL G., LOUÉ B., VALLÉE JC., LAGARDE S., BERTHIER F. De nouveaux métiers et nouvelles pratiques. Congrès Urgences Paris, 79: Classification : non sensible, public 16 / 118

18 La réception et la régulation médicale des appels sont complexes et mettent en jeu un processus continu de compétences synergiques visant à adapter le niveau de soin au besoin réel du patient. Les motifs de recours et les décisions médicales sont variables, du conseil médical à l engagement d une équipe SMUR. Ils imposent de savoir gérer l inattendu dans un environnement extérieur instable où la survenue d un évènement de santé est imprévisible. Le risque d erreur est réel, directement lié à la nature de la pratique médicale au téléphone 4 et les conséquences potentiellement graves. Certaines organisations professionnelles sont qualifiées d organisations de haute fiabilité ou high reliability organization (HRO) et répondent à des critères précis. Conceptualisées il y a une vingtaine d années aux Etats-Unis et appliquées initialement au contrôle aérien, les HRO se caractérisent par une forte sécurisation et fiabilité des opérations courantes 5. L étude de la littérature scientifique relative aux organisations de type HRO permet d en identifier les caractéristiques princeps et de comprendre que le modèle organisationnel mis en place au sein des Samu répond aux critères des organisations de type HRO 6. L enjeu sanitaire requiert de sécuriser les Samu-Centres 15 dans leur fonctionnement, garantissant la mise en œuvre du «juste soin» 7. Une représentation schématique des processus métier, propres au travail des Samu, a été élaborée sous la forme d une frise. Elle comprend : trois macro-processus, dont un concernant la gestion de crise, neuf processus métier les subdivisant, deux processus transverses intervenant dans chacun des processus métier. 4 PENVERNE Y., JENVRIN J., DEBIERRE V., MARTINAGE A., ARNAUDET I., BUNKER I., BERTHIER F. Régulation médicale des situations à risque. Congrès Urgences Paris, 79: WEICK KE. Organizing for transient reliability: the production of dynamic nonevents. Journal of Contingencies and Crisis Management, 2011;19: PENVERNE Y., LALANDE J., LABADY J., DAGORET E., MARTINAGE A., BERTHIER F., JENVRIN J. Quelle organisation mettre en place au SAMU Centre 15 pour répondre aux critères d'une organisation de haute fiabilité? Annales Françaises de Médecine d Urgence In press 7 BRAUN F., BERTHIER F. Les interconnexions de la Régulation Médicale. Congrès Urgences Paris, 81: Classification : non sensible, public 17 / 118

19 L ensemble de ces processus s appuie sur : des outils tiers, directement accessibles depuis le SI-Samu (Répertoire Opérationnel des Ressources, Messagerie Sécurisée de Santé, des entrepôts de données mis à disposition par exemple par l InVS, les ARS, les serveurs régionaux de veille et d alerte (SRVA) ) ; des connections à des systèmes tiers, représentées ci-après, permettant des échanges de données ou des interrogations de système : Classification : non sensible, public 18 / 118

20 4.2. La cartographie fonctionnelle La cartographie fonctionnelle cible, construite avec les Samu, a permis de démontrer le faible nombre de fonctions réellement spécifiques (i.e. utilisées uniquement par quelques Samu), et de manière générale que la capacité de convergence globale des Samu vers un besoin fonctionnel commun est forte. La cartographie fonctionnelle permet d avoir une vision exhaustive de la globalité du périmètre fonctionnel couvert par le futur SI-Samu. Elle a aussi aidé les experts techniques à déduire l architecture du futur SI-Samu. Cette cartographie groupe les fonctionnalités de la solution nationale cible selon plusieurs logiques : un découpage par macro-fonctions et fonctions ; une distinction entre les fonctions relevant du «noyau de base» de la solution et celles relevant de modules complémentaires ; une répartition entre les fonctions du Logiciel de Régulation Médicale (LRM) et celles concernant les flux multicanaux (tels que la phonie par exemple) ; une visualisation des interactions avec l écosystème des Samu; l affichage des référentiels. Cette cartographie est déclinée en mode nominal, en fonction du déploiement des versions, en situation de minimum vital ou en gestion de crise. Chacune représente les fonctions identifiées sous l angle des différentes thématiques abordées par les groupes de travail. Classification : non sensible, public 19 / 118

21 Sept grands ensembles sont identifiés : 1. le noyau de base du LRM ; 2. la gestion des flux multicanaux ; 3. le couplage entre la téléphonie et l informatique (CTI) ; 4. les modules fonctionnels complémentaires du SRM ; 5. les liens fonctionnels ou interfaces d échange avec l écosystème et les partenaires des Samu; 6. les sources de données ; 7. les modules de pilotage, de reporting et d administration du SI-Samu. Le caractère clé de l ergonomie L ensemble des acteurs métier des Samu a souligné l importance de l ergonomie dans l appropriation de la solution SI-Samu par les utilisateurs. La nature des appels médicaux urgents oblige un niveau d efficacité de la part des utilisateurs du SI-Samu dans lequel l ergonomie de l outil technique joue une importance clé. L ensemble des éléments d ergonomie identifiés comme pertinents par les Samu seront recensées et valorisées dans la construction du SI-Samu, facilitant ainsi l acceptation de la solution proposée en cible Le noyau de base du LRM Les macros fonctions du noyau du LRM concernent : la gestion du Dossier de Régulation Médicale (création du DRM à partir des coordonnées d un appelant, à partir d'un évènement ; saisie des informations, codification, gestion des accès, distribution du DRM dans le centre d appel, agrégation de deux ou plusieurs DRM au sein d un même évènement, reconnaissance d'écriture, pseudonymisation et anonymisation, suppression du DRM) ; un usage du DMP (recherche ; consultation ; alimentation et possiblement création) ; le processus de prise de décision (engagement de moyens ; élaboration d un conseil médical, avec ou sans prescription médicamenteuse téléphonique (PMT), cette PMT devant être certifiée HAS et à terme dématérialisée sous forme d une e-prescription) ; l orientation du patient (gestion de son épisode de soins ; orientation ; transport ; élaboration d une synthèse de la régulation médicale ; visualisation sous forme de synoptiques ; module de gestion des évacuations sanitaires) ; l exploitation d un système d information géographique (SIG) et du référentiel géographique. Ce SIG est exploité pour faciliter : les actions en rapport avec l'exploitation des DRM, l'action des Samu lorsque plusieurs d'entre eux ont à s'occuper du même patient ou exploitent la même ressource opérationnelle (articulation des Samu), la prise de décision, l engagement de moyens et l'orientation du patient. Il permet l'exploitation d'un référentiel géographique utilisable lorsque le système fonctionne sur un mode dégradé ultime (en situation de «minimum vital»). Il permet aussi de visualiser les éléments sous forme d agrégats statistiques ; l articulation territoriale des Samu : elle permet de gérer les cas aux «frontières» (du département, de la région, de la zone) ou impliquant plusieurs Samu dans la prise en charge du patient ("erreurs" de routage des portables, SMUR ayant des territoires "à cheval" sur la frontière, orientations transfrontalières, ). Cette articulation offre des possibilités Classification : non sensible, public 20 / 118

22 organisationnelles, au sein même ou entre les salles de régulation médicale des Samu, entre les différents niveaux de traitement des appels, que cela soit entre le front office de niveau 1 (les ARM), le front office de niveau 2 (les médecins régulateurs urgentistes et généralistes) et le back office (les médecins spécialistes, le CAPTV, ). Ces possibilités organisationnelles peuvent par exemple être mises en œuvre pour le partage de la nuit via un partage des ressources entre Samu; l entraide entre Samu en situation de crise : elle a pour objectif de répondre à un problème de surcharge ponctuelle des services de régulation, de panne inopinée ou de maintenance du SI-Samu, de situation de crise programmée ou non (du type crises sanitaires, pandémie ou grand rassemblement). Ces stratégies d articulation territoriale ou d entraide entre Samu doivent être qualifiées selon : o leur mode de déclenchement : manuel ou automatique en fonction des accords organisationnels locaux entre les Samu concernés ; o leur niveau de déclenchement : front office de 1 er niveau, front office de second niveau, back-office ; o leurs critères de déclenchement : par application d indicateurs prédéfinis, en cas de non réponse d un Samu, lors d une baisse d activité programmée d activité pour un Samu, etc. ; o leurs conséquences fonctionnelles et techniques, notamment concernant l accès aux dossiers gérés par le Samu aidé. La qualification de ces conséquences requiert une définition préalable des règles d appartenance des DRM et des DPR qu il y ait ou non entraide, des règles générales d accès aux DRM et DPR (entraide, itinérance, transport, etc.), de la logique d exploitation du «DMP») ; o l organisation du retour au mode nominal à la fin d une période d entraide sera cadrée par des procédures d exploitation. la mise à disposition de fonctionnalités d aide à la décision permettant par exemple l engagement des «bons moyens» par la modélisation de scenarii incluant des critères de proximité, de disponibilité, de secteurs, etc. La première étape du projet SI-Samu consistera à mettre à disposition des utilisateurs les fonctionnalités leur permettant de mettre en œuvre des scripts (scripts selon le motif de recours avec conseils en fonction des actions à mener et algorithmes décisionnels adaptés, ). La seconde abordera la conception de systèmes informatiques d aide à la décision médicale (SADM), d aide à la prévision de l activité et à la simulation d appels d urgence ; la production de documents avec gestion des caractéristiques des publications, des types de flux émis et de la destination des flux ; la déclaration d'évènements (dysfonctionnements, événements indésirables ou particuliers) ayant vocation à être utilisés en interne au Samu ou en externe, par une entité supra territoriale telle que l ARS par exemple ; la gestion de l information au sein du Samu (par un mécanisme de main courante) et de communication avec le patient et plus généralement d accès via internet à l information publique et professionnelle ; la recherche clinique et le renseignement de registres de patients en rapport avec l exercice professionnel des Samu. Classification : non sensible, public 21 / 118

23 La gestion des flux multicanaux Les macros fonctions de gestion des flux multicanaux concernent : des fonctions téléphoniques classiques telles que : le standard automatique, via un message d'accueil ; l exploitation de guides vocaux, leur création ou modification»), le routage intelligent des flux : gestion d une liste noire d appelants, traitement des appels inappropriés, identification et orientation des appelants déjà connus, mise en relation avec le dernier agent contacté en cas de rappel, traitement des numéros étrangers permettant l identification du pays d origine, reconnaissance vocale avec analyse linguistique, analyse contextuelle du stress vocal ; le passage des appels au travers d un serveur vocal interactif qui peut être dynamique, en particulier pour assurer une gestion intelligente de l attente ; la mise à disposition de numéros entrant dédiés aux partenaires privilégiés, permettant à ces partenaires un accès direct au CRRA ; la distribution des appels, de préférence automatisée afin d améliorer la qualité de service par rapport à une gestion manuelle des décrochés ; la gestion des flux radiophoniques ; la réception et l émission des flux multicanaux autres que phoniques : intégration des flux, traduction simultanée en langue étrangère ; une interface graphique de gestion des flux multicanaux ; la mise en œuvre de scenarii événementiels sur les principaux flux en particulier en situation de crise ; l émission d appels sortants : affichage du n 15 à la place de la ligne sortante, fonctions de rappels automatisés ; gestion de campagnes (campagne de rappel des raccrochés en salle d'attente ou appels perdus, campagne de suivi des régulations médicales) ; les échanges entre agents au sein du centre d'appels : téléphonie administrative, chat, visiophonie) Le couplage informatique (CTI) Le couplage concerne les flux multicanaux reçus par le Samu. Il est effectué en premier lieu sur les flux téléphoniques. Il cible ensuite le couplage radio informatique. Il permet de présenter le DRM à l agent lors d un appel. Il interagit avec sa disponibilité. Cette gestion de la disponibilité de l agent pourrait être étendue à d autres flux multicanaux en cas d évolution des pratiques et/ou des modes de recours au Samu Les modules fonctionnels complémentaires du SRM Les macros fonctions en rapport avec les modules complémentaires du LRM se rapportent à un outil de gestion de documents, une application de type Smartphone, un module d alerte des équipes, les usages en situation de crise et au poste fixe utilisé dans les locaux des SMUR. Le système utilise un outil de Gestion Electronique Documentaire (GED). Il a pour objectif de contenir : Classification : non sensible, public 22 / 118

24 les procédures et protocoles de régulation médicale utilisés par les agents du SI-Samu, avec gestion des droits d accès et des périmètres d application de ces procédures et protocoles ; des documents, images, vidéo ou fichiers émanant ou étant reçus par le Samu, quels que soient leurs formats (système de fichiers, attachés ou non à un DRM, ou au dossier d un dossier). Une application de type «Smartphone» est mise à disposition des patients et des professionnels de santé. Cette application s apparente à un moyen de communication multicanal avec le Samu. L usage «patient» permettra de solliciter le Samu en signifiant le degré de l urgence (permettant de prioriser l appel ou au contraire de l inscrire dans une filière de rappel), de transmettre sa géolocalisation exacte et des éléments non vocaux (Identifiant National de Santé, documents, flux vidéo ou audio, ). L usage «professionnels de santé» a pour objet de faciliter les échanges entre professionnels de santé et médecins régulateurs, d accélérer l accès à la régulation médicale, de déclarer des informations administratives 8. Un module d alerte des équipes est déployé. Le SI-Samu intègre un annuaire de ses usagers (et en particulier des urgentistes) permettant une alerte ou une mobilisation rapide de ces personnels (engagement des équipes en situation normale, rappel de personnel en cas de plan ORSEC «nombreuses victimes» par exemple). Cet outil est multicanal et interfacé avec le SI-Samu. Le SI-Samu intègre aussi plusieurs briques fonctionnelles permettant des usages en situation de crise (en compléments des liens fonctionnels décrits plus loin) : l interface utilisateur du Logiciel de Régulation Médicale (LRM) s adapte aux usages de crise (gestion de nombreuses victimes au sein de la cellule de crise du Samu, gestion des patients au sein du poste médical avancé). Les outils mis à disposition du médecin régulateur sur son poste de travail sont compatibles avec l usage des autres outils de crise (portails de crise des Samu, portail ORSEC, système Synergi de gestion de crise utilisé par les préfectures, ) ; grâce à la GED, des formulaires de type «pandémie grippale» ou des fiches reflexes spécialisées peuvent ainsi être rapidement mises en œuvre et diffusées à tous les utilisateurs du SI-Samu; lors de sa connexion au SI-Samu, l utilisateur visualise les derniers messages d alerte «DGS urgent» et en valide la lecture. Le poste fixe utilisé par les équipes Smur (service mobile d urgence et de réanimation) au sein du local du Smur fait partie du périmètre du SI-Samu, a contrario des systèmes d information utilisés en mobilité par les équipes Smur, qui communiquent avec le SI-Samu par le biais d un connecteur. Les fonctionnalités du poste fixe Smur intègrent en particulier la visualisation des DRM sur lesquels le Smur est engagé, un module de reporting centré sur l activité de ce Smur et des fonctionnalités d édition des feuilles de mission du Smur (flux envoyé par messagerie sécurisée, impression papier,...). 8 Associant des fonctions liées à la télémédecine ; permettant de recevoir des fiches de mission ou de déclarer une disponibilité/indisponibilité, une demande de mise à jour automatique des référentiels Classification : non sensible, public 23 / 118

25 Les liens fonctionnels ou interfaces d échange avec l écosystème et les partenaires des Samu La mise en œuvre des interconnexions est facilitée par la mise en place de ce SI-Samu commun à tous les Samu. Les liens fonctionnels ou interfaces d échange avec l écosystème et les partenaires des Samu sont de plusieurs types : Certaines interfaces sont spécifiques avec : o L annuaire universel des appelants. Cette interface permet d interroger le service mis à disposition par les opérateurs de téléphonie pour connaitre instantanément les coordonnées de l'appelant et les données de géolocalisation des téléphones portables ; o Un système d information géographique (SIG). Celui-ci exploite les fonctions standard des SIG, utilise des couches graphiques variables selon les usages (en affichage ou en impression) et permet le géocodage des lieux d intervention. Il est mis à jour à intervalle régulier ; o Un système d enregistrement des flux multicanaux. Ce système gère les différents types d enregistrement, autorise les réécoutes immédiates et différées. Il permet d exporter et de conserver l historique des enregistrements, d extraire les fichiers audio, de modifier la tonalité de la voix (à des fins d enseignement par exemple), de transformer la voix en texte et de la traduire ; o Un lien permet d intégrer dans le SI-Samu les statuts horaires de la flotte Samu, sa géolocalisation et les messages courts et longs qu elle pourra émettre sur le réseau ANTARES ; o L intégration des tableaux de garde des médecins généralistes et des pharmaciens ; o Les électrocardiogrammes réalisés par les équipes Smur afin de les transmettre au SI- Samu au sein du dossier de ces patients. o Des flux à destination de la CNAMTS, comme par exemple les prescriptions de transport sanitaire, les télé-déclarations d arrêt de travail telles que prévu lors de la dernière pandémie grippale,. o Les outils de gestion de crise tels que le avec le futur système d'information sanitaire des alertes et crises (SISAC) ou avec d autres outils de gestion de crise sanitaire. Le SI-Samu peut aussi s interfacer avec les logiciels de gestion de victimes de la Sécurité Civile (tels que Sinus par exemple). Trois connecteurs génériques sont mis en place pour permettre un échange standardisé de données avec tout tiers acceptant de se conformer à ce format et à ces modalités d échanges. Ces connecteurs permettent d échanger des DRM, d intégrer des dossiers patients (jugés remarquables car ayant les caractéristiques d une prévalence élevée de recours au service des Samu) et des évènements. Une fonctionnalité permet également l import de données structurées. Une matrice d habilitation et de conformité est utilisée pour déterminer la nature des échanges. Les différents partenaires identifiés sont : o Pour le connecteur «DRM» : les ambulanciers privés ; les centres antipoison et de toxicovigilance (CAPTV), le Centre national relais CNR 114, les établissements de santé, les forces de l'ordre, les médecins généralistes (régulation de médecine générale à distance du Samu ou sur un outil tiers, effection pendant les horaires de la PDSA au sein des maisons médicales de garde ou comme médecin mobile, centres d'appels de SOS médecins, médecins correspondant du Samu), les pompiers (Sdis, BSPP et BMPM), les SMUR en mobilité ;... Classification : non sensible, public 24 / 118

26 o o Pour le connecteur «Dossier patient» : le futur SI des services d'had, les associations de patients à risques (tels que les patients sous oxygène en milieu isolé ou non),... ; Pour le connecteur «Evènement» : les directions interdépartementales des routes (DIR), les préfectures (dispositifs prévisionnels de secours - DPS), les centres régionaux opérationnels de surveillance et de sauvetage (CROSS), la SNCF, les centres opérationnels de zone (COZ),... Le SI-Samu peut également recevoir des informations en provenance des ARS, au travers de ces connecteurs génériques Les sources de données La mise en œuvre du SI-Samu présuppose la définition d un référentiel métier commun à l ensemble des Samu, dédié à la médecine d urgence. L inventaire des normes et référentiels (existants ou à constituer) utiles au Samu a donc été établi. Le niveau actuel de normalisation ou celui à prévoir pour chacun de ces référentiels a été identifié. Une attention particulière a été portée à la question du Répertoire Opérationnel des Ressources (ROR) en étudiant la stratégie d accostage de ce projet et des autres initiatives régionales en cours. Une réflexion sur la démarche à adopter pour constituer l ensemble de ces référentiels en identifiant leur complexité et en estimant la durée du travail de convergence a été entamée. Ainsi, la définition de ce référentiel, des nomenclatures et codages liés, pourra être pilotée par l ASIP Santé, conformément à ces missions, et être soutenue par les représentations scientifiques (Société Française de Médecine d Urgence) et professionnelle (Samu -Urgences de France) des urgentistes. Ces travaux seront menés dès le lancement du projet de modernisation. Classification : non sensible, public 25 / 118

27 Les entrepôts de données utilisés par le SI-Samu ont pour objet de mettre à disposition des données utilisables par des systèmes tiers (par exemple de veilles sanitaires). Différents niveaux de granularité seront disponibles et les données seront exploitables par les serveurs régionaux de veille et d alerte, par l InVS ou les ARS par exemple Les modules de pilotage, de reporting et de support Les fonctions de pilotage distinguent la supervision et l hypervision. Les fonctions de supervision s exercent au niveau du centre de régulation médicale d un Samu. Elles permettent aux superviseurs d élaborer une description d activité (éventuellement publiée sur des baromètres d activité dynamique) et de contribuer au pilotage de l activité du Samu. Les fonctions d hypervision s exercent à un niveau supérieur. Depuis le cockpit d hypervision, une analyse nationale peut être menée pour mettre en œuvre les scenarii les mieux adaptés (optimisation de la gestion des événements ; enrichissement des évènements ; corrélation des évènements ; automatisation des traitements ; reporting). Le système devra donc être capable de mettre en œuvre des mécanismes de fonctionnement inter- Samu en fonction de certains indicateurs (taux de charge du Samu qui requiert d être aidé, taux d accueil, qualité de service, etc.). L hypervision de ces indicateurs permettra la mise en place de ces mécanismes de fonctionnement inter- Samu et pouvant prendre la forme de l articulation territoriale et de l entraide. Ces nouvelles fonctionnalités nécessitent donc la définition des règles de fonctionnement et des procédures opérationnelles de gestion du SI-Samu. Celles-ci devront être validées par les médecins responsables des Samu et leurs autorités de tutelle. Les trois grandes fonctionnalités concernées sont : L entraide entre Samu qui traite de la coopération de certains Samu sur des spécificités et des thématiques partagées (Samu frontaliers, côtiers, etc.), ainsi que du transfert de charges en cas de situations de tension ; Le pilotage supra-départemental, au travers du suivi d indicateurs (produits par la supervision par exemple) permettant de surveiller l activité des Samu et de fournir des informations pour la prise de décisions au niveau stratégique. Ce pilotage supradépartemental recouvre donc les fonctions mises en œuvre par l hypervision. Cette organisation facilite l intégration de nouveaux superviseurs, en les accompagnant ; La gestion de crise nationale : elle concerne les modes d'organisation, les techniques et les moyens qui permettent au Samu de se préparer et de faire face à la survenance d'une crise. Classification : non sensible, public 26 / 118

28 Le module de reporting met à la disposition de la communauté des utilisateurs et administrateurs du SI-Samu un ensemble d outils. Ils peuvent accéder, en fonction de leurs droits, à la description d activité et aux fonctionnalités de reporting. Ce reporting permet de décrire et administrer le système ou de décrire l activité selon divers niveaux de granularité 9. Des requêtes types (locales pour les Samu et les Smur ; institutionnelles) permettent de répondre aux interrogations récurrentes ou ponctuelles. Elles sont automatisables. Elles peuvent être publiées sous forme de rapport ou de tableaux de bord, statiques ou dynamiques. Les macro-fonctions de support et d administration concernent la gestion des environnements 10, la gestion des droits 11, le paramétrage de la solution, l administration du système 12. L effort produit par les utilisateurs et administrateurs du SI-Samu pour maintenir la solution est très significativement allégé par l utilisation d un SI mutualisé entre tous les Samu. Un service de support de 1 er niveau (helpdesk) prend en compte 24h/24 leurs appels en rapport avec d éventuels incidents de fonctionnement ou demandes concernant le SI-Samu Les cas d usage du SI-Samu Le SI-Samu peut être utilisé hors des murs du centre de régulation médicale du Samu, voire en mobilité. Cinq principaux lieux d usage ont en effet été identifiés : Les locaux des Samu; Les établissements de santé sièges de Samu, en dehors du périmètre géographique du Samu; Les établissements de santé non autorisés à l activité de régulation médicale d urgence ; Les établissements en dehors du champ sanitaire, susceptible d intervenir en amont ou en aval de la régulation médicale ; La situation de mobilité. Chaque lieu d usage porte des usages distincts. 9 Modèles, type et périmètre de description d activité en terme d appel et/ou de DRM ; pré facturation ; attestations ; prescriptions médicales de transport ; fonctions de création, modification, duplication, suppression, export, archivage ; gestion de l'activité temps réel de la salle de régulation médicale ; gestion de la qualité des dossiers 10 Environnements de recette/test, de formation des agents, de production 11 Groupes des agents selon leurs profils professionnels (sur le front et back office) ; gestion des droits des utilisateurs (par groupe et individuels ; dynamique) ; recherche d'agent 12 Création, modification ; paramétrage des droits d'accès utilisateur, gestion des accès ; administration des référentiels ; administration des publications ; administration des dossiers patients ; administration des gardes ; planification des publications ; administration du DRM Classification : non sensible, public 27 / 118

29 4.4. L usage du SI-Samu en mode dégradé Du point de vue métier, une situation de mode dégradé existe quand survient une dégradation de la qualité des soins pour le patient. La qualité des soins apportée au patient définit, de ce point de vue, le niveau de la qualité du service utile aux utilisateurs du SI-Samu. La capacité du SI-Samu à maintenir les fonctions minimales au sein du centre de régulation médicale du Samu compétent (mode dégradé) a été formalisée sous forme d un service minimum attendu. Différents types de modes dégradés sont définis. Ils correspondent à différents niveaux de service fonctionnel et à différents niveaux de qualité de service. Ces différents modes dégradés seront fonction du type d évènement susceptible de survenir (panne réseau, perte d un serveur, intervention pour maintenance, etc.), de leur étendue géographique (locale ou nationale) et de la durée de l interruption de service. In fine, la solution nationale est construite pour garantir le niveau de service fonctionnel «minimum vital» quelque soit la gravité de l évènement générateur du mode dégradé. Ainsi, les Samu pourront toujours : Recevoir et passer des appels téléphoniques avec un téléphone classique connecté à un système de secours de distribution des appels au sein du centre de régulation médicale ; Lire l identification de l appelant ; Utiliser un référentiel et/ou des répertoires numériques en dehors du système, copie synchronisée du référentiel national (codification, localisation, moyens ) ; Accéder aux derniers DRM en consultation ; Enregistrer les conversations. Le périmètre fonctionnel large du SI-Samu permet de répondre à l ensemble des attentes métier des acteurs de la régulation médicale d urgence. Cette richesse fonctionnelle permet également de nouveaux modes d organisation des Samu, notamment dans une logique d entraide et d articulation des Samu. La dégradation du mode de fonctionnement nominal du SI-Samu n obère pas la capacité de régulation médicale. Le SI-Samu répond aux exigences des acteurs de la régulation médicale d urgence. Classification : non sensible, public 28 / 118

30 5. Annexe 4 : Architecture technique proposée 5.1. Une architecture cible issue d une analyse approfondie L architecture technique retenue a été élaborée en s appuyant sur des expertises techniques parmi les plus pointues au niveau national dans les domaines de la téléphonie, des centres d appels, des réseaux, et des architectures SI. Ces experts ont été impliqués sur les plus grands projets nationaux de centre d appels et d application SI. Ces experts ont été choisis dans un souci d indépendance vis-à-vis des éditeurs ou opérateurs de télécommunication afin de concevoir une architecture technique sur mesure, en réponse aux besoins des Samu et en combinant au mieux l état de l art des nouvelles technologies. Six scénarios d architectures technique cible ont été envisagés. Ils sont présentés en détail dans le dossier d instruction technique. Ils peuvent se caractériser suivant trois grandes logiques d acheminement des appels qui sont : Scénarii d acheminement local des appels : o o o Scénario 1 : Acheminement local des appels, sans passage de la voix sur le réseau WAN Scénario 2 : Acheminement local des appels secouru par le réseau WAN Scénario 2 : Acheminement local des appels secouru par le réseau WAN avec fonctions SVI & IPBX dans le réseau opérateur Scénarii d acheminement central des appels : o o Scénario 3 : Acheminement central des appels, sans secours accès local, redondance du réseau WAN Scénario 4 : Acheminement en central des appels secouru par un acheminement en local Scénario d acheminement sur des mailles de mutualisation supra-départementales : o Scénario 5 : Routage sur des mailles supra-départementales Afin de sélectionner le scénario qui adresse le mieux les enjeux des Samu, une analyse multicritère a été conduite. Cette analyse a permis d évaluer les scénarios présentés ci-dessus sur différents critères auxquels ont été associés une pondération pour leur donner une importance relative : Axes d évaluation Description succincte de l axe d évaluation Pondération Disponibilité Coût Maintenance / Support / Exploitation (inclus administration, supervision, ) Taux de disponibilité de l application ou du système : rapport entre le temps où l application ou le système fonctionne normalement et le temps où l application n est plus accessible Ensemble des coûts de mise en œuvre du scénario selon les modalités définies par l étude de faisabilité que cela soit durant la phase de construction (BUILD), la phase de déploiement (ROLLOUT) et la phase d exploitation (RUN) Capacité à maintenir, supporter et exploiter la solution cible. Différents facteurs sont à prendre en compte : Le niveau de complexité des taches à réaliser Le niveau de charge engendré par ces tâches Classification : non sensible, public 29 /

31 Déploiement de la solution au sein des différents Samu Facilité d intégration des systèmes tiers Minimisation des risques technologiques Capacité à monter en charge Ajout d un site de crise Sécurité Indépendance vis-à-vis du (des) prestataire(s) de service Facilité d installation de la solution au sein des Samu 1 Capacité de la solution à intégrer de manière industrielle des liens fonctionnels avec les partenaires, les logiciels de santé nationaux, les flux radio au sein du centre d appels Deux notions sont portées par cet axe d analyse : Risque d intégrer dans la solution des technologies qui ne sont pas assez éprouvées Risque d intégrer dans la solution des technologies qui vont devenir obsolètes Capacité de la solution technique à garantir des performances sur les temps de réponse compte-tenu des fortes volumétries du système à accepter une augmentation de charge de traitement liée à une suractivité des Samu Capacité de la solution à mettre à disposition dans des délais rapides un ou plusieurs plateaux supplémentaires dédiés à la gestion d une crise Capacité du scénario à répondre aux problématiques de sécurité dont notamment la vulnérabilité de la solution face à une menace climatique ou à des actions de malveillance Capacité au changement de prestataire en cas d insatisfaction du service rendu. En d autres termes capacité véritable d activer la réversibilité du système 1 : très peu important, 2 : peu important, 3 : moyennement important, 4: important et 5: très important) Tableau 1 : Axes d évaluation des scénarii et pondération associée Cette analyse multicritère a permis de retenir le scénario 2 comme l architecture technique supérieure compte-tenu des enjeux spécifiques des Samu dont notamment les exigences de disponibilité 24h/24 7j/7. Ce scénario est une déclinaison plus fine du scénario 2 intégrant chez l opérateur un certain nombre de fonctions clés de la solution. Le dossier d instruction du chantier d architecture technique présente chaque scénario d architecture, ainsi que le détail de l analyse multicritère conduite. L architecture retenue n est plus basée sur un acheminement central des appels comme celle proposée par l étude de modernisation. Les travaux conduits lors de l étude de faisabilité, qui ont capitalisé sur la campagne de benchmark et les retours d expérience des projets de modernisation innovants des Samu dans les régions, ont abouti à retenir une architecture distribuée et hybride alliant une distribution sécurisée des appels, des enregistrements des appels vocaux et des radiocommunications sur un maillage local disposant des fonctions vitales au fonctionnement des Samu et une centralisation des moyens permettant l entraide entre Samu et un partage des applicatifs, afin d apporter le maximum de robustesse, de qualité et de souplesse Classification : non sensible, public 30 / 118

32 5.2. Présentation de l architecture retenue Principe d architecture de téléphonie retenu Afin de permettre un routage intelligent des appels entre les différents Samu, deux types d architecture sont envisageables : Une architecture au sein de laquelle les fonctions et composants de téléphonie sont centralisés : L intelligence et la capacité technique sont mis en œuvre en un point central, et seule la voix est acheminée vers les différents sites distants. Ce type d architecture autorise une forte mutualisation des équipements et ce type d architecture est utilisé lorsque les appels reçus ne sont pas critiques, les interruptions de service entrainant simplement le renouvellement de l appel. Une architecture au sein de laquelle les fonctions et composants de téléphonie sont distribués : L intelligence et la capacité technique sont mis en œuvre en central mais également au sein des sites distants. Ce type d architecture garanti une capacité locale de prise d appels, ce qui diminue le risque de panne d un point central qui entrainerait une incapacité globale à prendre des appels. Le schéma ci-dessous propose une illustration des deux types d architecture envisageables qui ont été étudiées dans le cadre de l étude de faisabilité : Figure 11 : schéma représentant les d ifférents types d'architecture téléphonie envisageables L architecture retenue dans le cadre de l étude propose de conserver un ensemble de composants de téléphonie, d enregistrement et de radiocommunication dans chaque Samu-Centre 15 pour garantir la robustesse du système tout en positionnant l intelligence du système au niveau centralisé. Cette solution permet de garantir une haute disponibilité et un maintien de la capacité de réception des appels lorsque les infrastructures centrales sont en panne tout en permettant la mutualisation d un certain nombre d équipements et de services à des fins de centraliser l intelligence de traitement et d optimiser des coûts. Classification : non sensible, public 31 / 118

33 Projet de modernisation des SI et Télécom des Samu-Centres Architecture détaillée de la solution SI-Samu Le schéma ci-dessous propose une représentation des infrastructures qui permettent de mettre en œuvre un système SI-Samu à haute disponibilité : Figure 12 : schéma de principe de l architecture technique proposée et de la logique de sécurisation du routage des appels d urgence via un acheminement local Recours à un opérateur de collecte et à un opérateur de service. L opérateur de service offrira les fonctions de Serveur Vocal Interactif (SVI) et des fonctions de routage et distribution de type IPBX (autocommutateur). L accueil de l appel est déporté vers un opérateur de service : ceci permet d augmenter considérablement la capacité d accueil, la capacité de routage, la possibilité de modifier dynamiquement les appels, tout en conservant en nominal le fonctionnement actuel. En cas de crise sanitaire aigue cet opérateur servira d amortisseurs, permettant la qualification des appels par des systèmes interactifs vocaux avant de présenter les appels aux Samu suivant une stratégie configurable ou alors vers un site de crise monté de manière ad-hoc. Mise en œuvre de deux data centers téléphoniques chez un opérateur de service (site primaire et site secondaire) espacés de plusieurs centaines de kilomètres o Chacun de ces data center hébergera les infrastructures de routage téléphonique de type IPBX o Chaque data center seul peut gérer la charge d activité nationale Conservation en local Samu de tous les matériels nécessaires à la prise d appel et à sa gestion en cas d incidents graves dans les systèmes amont. Les passerelles téléphoniques («gateway») peuvent travailler et accueillir les appels. Les enregistreurs vocaux et les infrastructures de radiocommunication sont également maintenus dans les centres. Ces principes garantissent le maintien de l intégrité de la prise d appel et de l ensemble des obligations juridiques. Classification : non sensible, public 32 / 118

34 Projet de modernisation des SI et Télécom des Samu-Centres 15 Mutualisation du système d information afin de permettre un potentiel partage des informations. Les informations et logiciels sont hébergés dans deux data centers applicatifs distincts. Les applications sont accessibles via un réseau privé sécurisé à l état de l art (réseau WAN IP-MPLS). Couplage téléphonie-informatique afin d assurer une remontée directe de l ensemble des informations relatives à l appel et au patient le cas échéant, et ceci de manière automatique. Grâce à ce modèle d architecture, en cas de défaillance d un Samu pour des problèmes techniques ou de charges liées à un évènement conjoncturel, le service est rendu à l identique par un autre Samu Rôles des opérateurs de télécommunication dans l architecture SI-Samu Le schéma ci-dessous propose une vue plus détaillée de l architecture retenue, et en particulier de l architecture détaillée au niveau des différents opérateurs : Figure 13 : Focus sur les opérateurs de télécommunications impliqués dans l architecture du SI-Samu 3 rôles opérateurs de télécommunication sont identifiés dans ce schéma : Opérateurs de boucle locale : o Chaque opérateur fournit les appels émis par un tiers à l opérateur de collecte, enrichis par les données de géo-localisation. Cette partie de l acheminement de Classification : non sensible, public 33 / 118

35 Projet de modernisation des SI et Télécom des Samu-Centres l appel ne fait pas partie du SI-Samu mais constitue le départ de l appel téléphonique par le citoyen. Opérateurs de collecte : o L opérateur de collecte est en charge de globaliser les appels et de leur appliquer les règles de chaque PDAAU o L opérateur de collecte applique ensuite la stratégie de traitement unifiée en fonction de la charge globale des appels, Opérateur de service : o Apporte des fonctionnalités avancées telles que : La prise en charge des fonctionnalités de pré-routage et de serveurs vocaux, via les serveurs frontaux SVI qui sont capables de jouer les scénarii fonctionnels d accueil vocal et de qualification de l appelant L hébergement des composants de routage, en particulier ceux qui doivent communiquer en voix sur IP avec les équipements opérateurs Principe de distribution géographique des infrastructures techniques Parmi les mécanismes de sécurisation mis en œuvre permettant de garantir la haute disponibilité du système, l architecture de type «cluster de haute disponibilité» permet de répartir le traitement des données et des évènements entre plusieurs infrastructures, de manière à permettre la continuité des traitements lors de la défaillance de l un des nœuds. Le schéma ci-dessous propose une représentation du cluster de haute disponibilité envisagé. Figure 14 : Schéma des différents data centers applicatif s et du data center applicatif dédié au plan de reprise d activité (PRA) Classification : non sensible, public 34 / 118

36 Deux data centers applicatifs (site primaire et site secondaire) en redondance l un de l autre utilisés en mode actif-passif et qui sont synchronisés en quasi temps réel malgré leur éloignement de plusieurs centaines de kilomètres grâce à un gestionnaire d évènement (couche middleware). o Chacun de ces data centers hébergea l ensemble des équipements du Couplage Téléphonique Informatique (CTI) et l ensemble des briques applicatives du système d information dénommé globalement Logiciel de Régulation Médicale (LRM). Concernant le serveur CTI, il pourrait être localisé soit côté opérateur de service soit côté data center. La phase de conception détaillée permettra d optimiser ce point d architecture. o Chaque data-center seul peut gérer la charge d activité nationale. Un large réseau dédié WAN (Wide Area Network) d architecture IP MPLS (Multiple Protocole Label Switching) pour offrir de la qualité de service et permettre l interconnexion de l ensemble des CRRA entre eux, avec les deux data centers applicatifs et avec les infrastructures de l opérateur de service. Au sein de chaque CRRA, la présence d équipement de téléphonie, d enregistrement des conversations vocales et de radiocommunication. Il s agit de gateway téléphoniques avec licence SAS (Stand Alone Survivability), de gestionnaires de voix radio (GVR) permettant l interconnexion avec Antarès, d enregistreurs des conversations vocales, d équipements réseaux et d une connexion internet. Le caractère maillé de cette architecture provient du maintien en local d un nombre d équipements non négligeables pour garantir une robustesse très forte au niveau phonie (téléphonie et radiocommunication) Un data-center dédié au Plan de Reprise d Activité (PRA) : un data center applicatif et téléphonique est disponible pour être rendu opérationnel dans un délai de 24h à 48h. Ce data center de reprise d activité doit être à même de gérer la charge d activité nationale. Une fois le data center PRA opérationnel, les actions pour remettre les data centers primaires et secondaires des parties téléphoniques et applicatives pourront être relancées pour revenir à un mode nominal. Les infrastructures techniques hébergées par l opérateur de service n apparaissent pas ce schéma Logique nominale d acheminement des appels L ensemble des appels est acheminé vers l opérateur de collecte pour ensuite délivrer les appels à un opérateur de service qui gère les fonctions de Serveur Vocal Interactif (SVI) et des fonctions routage de type IPBX. Il peut également être envisagé, pour les opérateurs ayant des fonctions de type routage intelligent (changement de configuration rapide au sein des réseaux), un acheminement direct entre leurs abonnés et l opérateur de service. Au sein des infrastructures SI-Samu localisées chez l opérateur de service, des échanges applicatifs sont initiés entre le serveur SVI, le serveur ACD (Automatic Call Distribution) et le serveur CTI (Couplage Téléphonie Informatique) pour que l intelligence centralisée de la solution détermine où devra être routé l appel. Deux cas de figure peuvent se produire : situation standard : l appel sera traité par le CRRA géographiquement en charge du lieu d où appelle le patient. Dans le cas où les T2 qui amènent les appels vers un CRRA sont défectueuses coté CRRA, l opérateur de service aura la capacité technique de se rendre Classification : non sensible, public 35 / 118

37 compte du problème et pourra acheminer les appels à ce même CRRA en envoyant les appels via le WAN central ; situation d entraide : l appel sera envoyé vers un autre CRRA que celui géographiquement en charge de l appel (dit CRRA de référence pour l appel) pour des raisons de suractivité du CRRA de référence ou de défaillances de ses infrastructures. L appel est acheminé par l opérateur de service au sein du CRRA choisi et se trouve traité par un équipement local de téléphonie (gateway) qui assure sa conversion en téléphonie sur IP et son acheminement jusqu au poste de l agent (assistant à la régulation médicale, médecine de régulation urgentiste, ). Architecture Pôle emploi a fait le choix dès 2001 d une solution hébergée chez un opérateur de service, basée sur un ACD du marché (Logiciel Saga de Netcentrex). Lors du renouvellement du marché et de la remise en concurrence, cette architecture a été retenue donnant complète satisfaction. Le même opérateur a été choisi, avec un logiciel propriétaire, le caractère de réversibilité n étant pas prépondérant dans le choix de ce marché Logique nominale d accès aux applicatifs Les agents d un CRRA travaillent d un point de vue applicatif avec deux outils principaux : l interface graphique de téléphonie («bandeau») : il s agit d une véritable application à part entière qui offre une console de supervision de l activité globale d un CRRA et permet de visualiser la totalité des appels en cours à tout instant. Cette application est offerte par le serveur CTI ; le logiciel de régulation médicale (LRM) : il s agit de l application métier permettant de gérer le processus de prise en charge d un appel médical urgent. Ce logiciel comprend en particulier les outils de cartographie. Ces deux applications sont accessibles depuis un navigateur WEB (applications dites «client léger») qui accèdent en mode nominal aux serveurs LRM et CTI via le réseau WAN Capacités d échange avec les partenaires et les logiciels de santé Le nombre de partenaire avec lesquels les Samu sont en interconnexion sont nombreux (SDIS, Médecine Libérale, Ambulanciers privés, Pharmacie, Force de l ordre, ). Le SI-Samu doit aussi pouvoir s interfacer avec les grands logiciels de santé que sont le DMP, la MSSanté et le ROR. L architecture retenue consiste à implémenter des échanges standardisés avec chaque type d acteurs au travers de la mise en place d interfaces normalisées grâce à des connecteurs génériques. Ces connecteurs sont disponibles depuis les data-centers applicatifs du SI-Samu et accessibles via un canal sécurisé sur internet. Le SI-Samu respecte suivant la nature du tiers les standards en vigueurs. Le schéma ci-dessous présente les quatre grandes catégories existantes : Classification : non sensible, public 36 / 118

38 Figure 15 : Schéma des différents interfaces normalisées offertes par le SI -Samu Parmi les partenaires, le cas des échanges informatiques avec les SDIS (lien 15-18) est spécifique car les interfaces sont soumises aux exigences AFNOR NF-399 «logiciels de sécurité civile». Le SI-Samu implémentera un interfaçage compatible à ces exigences. NF-399 est une marque gérée par la société INFOCERT par l intermédiaire du GT399. Une participation à ce groupe de travail par le pouvoir adjudicateur est requise pour contribuer à la définition des interfaces et à leur évolution. Les modalités d intégration de ces exigences dans le SI- Samu devront aussi être étudiées sous l angle juridique lors de la phase d amorçage du programme de modernisation Focus sur les modalités d interaction entre le SI-Samu et Antarès Au-delà de la réponse aux enjeux de disponibilité et de confidentialité, l une des problématiques techniques rencontrées durant l étude de faisabilité concerne l intégration des contraintes fixées par le programme Antares (Adaptation Nationale des Télécommunication Aux Risques Et aux Secours) au sein du SI-Samu. En plus des communications téléphoniques, les Samu utilisent la radio pour échanger avec certains de leurs partenaires. Le programme Antares s inscrit dans le cadre de ces échanges. Il vise à une interopérabilité des moyens de communication des différents services publics participant aux missions de la sécurité civile. A ce titre, il permet aux SDIS et aux Samu de communiquer via un réseau radio numérique propriétaire crypté. Selon une étude menée par la DGOS en 2013, 79% des Samu ont déployé Antares ou sont en cours de déploiement. Dans le cadre de ce déploiement, certains Samu ont choisi de s équiper de leurs propres moyens radio Antares, alors que d autres, pour des raisons essentiellement économiques, ont choisi d utiliser les moyens des SDIS. Classification : non sensible, public 37 / 118

39 Pour les premiers, le SI-Samu permettra une intégration des appels radio de sorte qu un appel radio reçu (sur un canal surveillé par un utilisateur) puisse : Etre réceptionné par un agent de régulation ; Pris en compte par les fonctions de pilotage et de supervision de l activité ; Etre réécouté en différé. Antares permet également des échanges de données. Ces échanges qui doivent s effectués conformément aux exigences AFNOR NF-399 «logiciels de sécurité civile» seront pris en compte par le SI-Samu. Pour les Samu non déployés, l étude de faisabilité propose une architecture type (cf. figure suivante) permettant à un Samu d accéder à l infrastructure Antares, en conservant la maitrise totale de ses moyens radios. Dans cette configuration, le Samu devra déployer localement : Un Gestionnaire de Voie Radio (GVR). Le GVR est l équipement permettant de la gestion et l orchestration des communications radio ; Les postes opérateurs radio ; Une «Access Gate» (AG) radio nominale (l AG radio est le point d accès au réseau Antares) ; Un lien vers une AG radio secours présente sur un site distant (en cas de défaillance de l accès nominal, le réseau Antares peut être atteint via le secours) ; Un enregistreur. Le GVR et les enregistreurs présents dans un Samu lui garantissent la maitrise de ses communications radios et de ses enregistrements. Le GVR offre également la possibilité de piloter à distance d autres postes opérateurs radio pour le compte d autres Samu. Dans le schéma qui précède, le lien symbolisé entre le Samu et le SDIS permettra l accès aux données du serveur de localisation automatique des véhicules (AVL), aux données du serveur de transmission automatique des alertes (TAA) et servira aux échanges effectués dans le cadre du lien Les points forts de cette configuration sont : Indépendance des Samu par rapport au SDIS vis-à-vis des communications radio. Maitrise totale sur les réseaux radio nécessaires à son fonctionnement. Enregistrements numériques au Samu de toutes les communications radio (nominal + secours). Récupération des ressources radio du Samu par un autre Samu (interconnexion GVR à GVR). Par contre, l étude n a pas démontré la faisabilité actuelle d une intégration complète de la radio et de la téléphonie qui permettrait au centre d appel de gérer les communications radio de la même manière que les appels téléphoniques et cela de manière transparente pour les utilisateurs. Classification : non sensible, public 38 / 118

40 SDIS Samu Site de secours Figure 16 : Configuration préconisée pour l interconnexion du SI-Samu à Antares 5.8. Capacité d archivage du SI-Samu Le SI-Samu archive l ensemble des données qu elle produit ou dont elle a besoin pour rendre son service (dossier de régulation médicale, enregistrements vocaux des conversations téléphoniques ou radio, données référentielles, protocoles de prises ne charges, log techniques, etc.). Parmi ces données, certaines sont par nature très volumineuses comme les enregistrements vocaux des conversations téléphoniques ou radio. De plus, certaines de ces données sont soumises à des obligations légales de conservation (voir la section juridique de l annexe traitant ce sujet). D un point de vue technique, le SI-Samu a été dimensionné pour être en mesure de conserver pendant 10 ans l ensemble des données qu il archive. Concernant la durée de conservation du dossier de régulation médicale, la préconisation de l étude est de conserver ces données pendant une durée de 20 ans. Ainsi, le SI-Samu contribuera à prendre à sa charge l archivage du dossier de régulation médicale pendant les 10 premières années avant de le restituer à l établissement de santé qui continuera d assumer la charge d assurer l archivage de cette donnés sur de la dixième à la vingtième années. D un point de vue technique, une interface spécifique du SI-Samu vers le SIH de l établissement de santé sera mise ne place pour assurer l envoi régulier de ces données archivées. Cette interface sera mise en place dans la V3 du SI-Samu dans la mesure ou son utilisation sera activée uniquement au bout de 10 ans de vie du SI-Samu. Classification : non sensible, public 39 / 118

41 5.9. Focus sur la gestion des CRRA des départements d outre-mer Le périmètre des départements d outre-mer pris en compte dans le SI-Samu est : CRRA en DOM Martinique (972) Guadeloupe (971) Guyane (973) Mayotte (976) (non opérationnel actuellement) Réunion (974) Plaque plaque Caraïbes plaque Océan Indien Du fait de l éloignement des DOMs et des risques inhérents aux communications téléphoniques et réseaux, le choix a été fait de dupliquer l architecture présentée, valable pour toute la métropole, dans les deux zones Antilles et océan indien, en ajustant les architectures aux volumes et à la géographie, et en tenant compte des implantations des «nœuds» des opérateurs réseaux et télécoms. Une exception est faite pour les fonctions liées au décisionnel qui seront uniquement physiquement implantées en métropole pour tous les CRRA y compris ceux des DOM. Figure 17 : ce schéma présente les différentes infrastructures techniques métropolitaines et propres à chaque plaque géographique Les échanges avec la solution en métropole concernent la remontée des informations opérationnelles pour l analyse décisionnelle et la synchronisation des référentiels (voire les annuaires). Ainsi, une rupture de l architecture réseau entre la métropole et les plaques n impacte pas l activité opérationnelle en métropole ou sur chacune des plaques. Classification : non sensible, public 40 / 118

42 Le système d archivage à valeur probante est redondé sur site distant du Datacenter local Gestion de l authentification et des habilitations Par nature, les Samu produisent des données de santé à caractère personnel protégées par le secret médical. Les données de santé à caractère personnel produites à l occasion de l activité de régulation médicale urgente sont couvertes par le secret médical dans les conditions fixées à l article L du code de la santé publique et font également l objet, en raison de leur sensibilité, d une protection renforcée dans la loi Informatique et libertés précitée (article 8). En tant que traitement collectant et conservant ces données, le SI-Samu doit donc être construit de manière à assurer la sécurité et la confidentialité des données dans le respect des exigences fixées et la loi Informatique et Libertés et par le code de la santé publique Parmi les mesures de sécurité, figure la nécessité d identifier et d authentifier les professionnels de santé intervenant de l activité de régulation médicale urgente par le biais de la carte CPS ou d un dispositif équivalent (notamment pour les ARM) qui sera précisé lors de la phase de conception. De plus, les droits et modalités d accès devront être déterminés en fonction du rôle confié par les textes aux différents acteurs de la régulation médicale. A défaut de précisions dans les textes, une analyse au cas par cas devra être menée, tenant compte également des règles relatives à l échange et au partage d informations. De fait, les droits d accès reposeront sur un référentiel d habilitation. Ces habilitations seront liées : au profil de compétences des utilisateurs / administrateurs du système ; à l organisation des entités de santé : CRRA, Smur et la structure de rattachement des utilisateurs (notion de périmètre géographique) ; aux caractères personnels et médicals de certaines données d un dossier de régulation ; aux règles de délégation pour l accès temporaire à un dossier dans le cadre de l entraide ou accès via le DMP Dimensionnement technique du SI-Samu et gestion de crise Le SI-Samu a été dimensionné pour faire face à une volumétrie d appels simultanés supérieure de 10% au pic maximum hebdomadaire qui a été évalué, via les questionnaires techniques envoyés aux Samu, aux environs de 4300 appels simultanés. L activité cyclique des Samu fait que ce dimensionnement permet au SI-Samu de largement faire face à l activité régulière et aux pics liés à des crises locales. En cas de gestion de crise sanitaire nationale, le nombre d appels simultanés peut augmenter de manière significative pour atteindre à appels simultanés. Il n est économiquement pas possible d envisager de construire et de maintenir une infrastructure SI-Samu nominalement dimensionnée pour ces très hautes volumétries de prise d appels alors que ces capacités ne seront quasiment jamais utilisés. Classification : non sensible, public 41 / 118

43 La logique du SI-Samu pour faire face à des crises sanitaires nationales est de s inspirer de la logique des opérateurs de télécommunication qui construisent leur architecture de manière évolutive pour pouvoir augmenter significativement et temporairement les capacités de leurs infrastructures en lançant des projets techniques d augmentation capacitaire. Ces projets techniques seront prévus dès la construction de l architecture du SI-Samu et seront inscrits dans les contrats avec les industriels. L arrivée d une crise sanitaire majeure n est généralement pas immédiate et donnera le temps de lancer les projets d infrastructure technique permettant d adapter les capacités du SI-Samu. En cas d une crise sanitaire majeure immédiate (explosion d un centrale nucléaire par exemple), c est la fonctionnalité SVI avec la pré-qualification de l appel qui permettra d organiser au mieux la gestion des appels d urgence suivant une stratégie de routage spécifique que les Samu auront établie (par exemple en concentrant les appels liés à la catastrophe sur un nombre limités de CRRA, laissant les autres CRRA dans un fonctionnement normal). Le dossier d instruction technique précise la nature de ces projets techniques à lancer suivant chaque filière technique : téléphonique, centre d appel, réseau et applicatif SI Une architecture hautement disponible Présentation globale de l ensemble des mécanismes de haute disponibilités du SI-Samu Par sa nature d activité de gestion des appels médicaux urgents, chaque Samu doit être une organisation hautement fiable (HRO, High Reliability Organisation) du point de vue de ses infrastructures physiques (par exemple avec la présence d une salle de régulation distincte de la salle de crise, etc.), du point de vue organisationnel (par exemple avec la disponibilité d une équipe formée de taille suffisante pour porter une activité 24h/24 et 7J/7, etc.) et du point de vue de ses équipements techniques et informatiques. Sur ce dernier aspect, l architecture du SI-Samu assure la continuité de fonctionnement à la fois par la redondance de l ensemble de ses équipements techniques mais également par la mise en place systématique d au moins deux modes (un mode d accès nominal sécurisé par un ou plusieurs modes d accès alternatifs) pour l acheminement des appels téléphoniques et l accès aux applicatifs métiers. De plus, la principale force de ce paradigme technique central offrant une interconnexion native et directe de tous les CRRA entre eux permettra à un Samu indisponible ou surchargé d avoir son activité secourue par un ou plusieurs autres Samu. Dans leur fonctionnement, chaque CRRA est autonome et constitue une organisation hautement fiable (HRO, High Reliability Organisation). Les capacités collectives d entraide offertes par la mise en réseau de l ensemble des CRRA apportent une puissante caractéristique de sécurisation supplémentaire HRO. Le principal risque d une solution unique est qu en cas de défaillance de tout ou partie des équipements mutualisés, l ensemble des CRRA se retrouvent dans une incapacité d action. Pour cette Classification : non sensible, public 42 / 118

44 raison, l architecture technique retenue a été élaborée avec comme exigence fondamentale d offrir les meilleures garanties d une disponibilité 24h/24 et 7J/7 et de permettre la continuité du service même en cas de défaillance des équipements mutualisés (destruction d un data center, défaillance du réseau WAN, ). Les mécanismes de haute disponibilité mis en place pour le SI-Samu se distinguent en six familles de dispositifs : les dispositifs de redondance matériel et logiciel : ces dispositifs permettent de garantir que, lorsqu un équipement connait une panne, un équipement équivalent prend immédiatement le relais pour assurer la continuité du service à qualité constante. Ces dispositifs couvrent par conséquent un très grand nombre de pannes et se déclinent sur des cas de panne agissant à des niveaux local ou global de l architecture comme par exemple la perte d un data center, la perte d un serveur applicatif ou téléphonique au sein d un data center, la perte d une carte de processeur, etc. o au niveau central : chaque data center SI-Samu de la solution qu il soit applicatif chez un hébergeur ou qu il soit téléphonique chez un opérateur de télécommunication est couplé avec un site secondaire en redondance l un de l autre à chaud (mécanisme dénommé actif-passif). En cas de faillite du site primaire, le site secondaire reprend immédiatement le traitement opérationnel ; chaque data center du SI-Samu, pour la tâche qui lui incombe, est dimensionné pour gérer la charge d activité nationale ; les data centers qui sont jumelés en site primaire et site secondaire sont : espacés de plusieurs centaines de kilomètres pour garantir une isolation géographique maximale (accident, risque climatique) ; strictement équivalents en termes d infrastructures et de procédures techniques et fonctionnelles ; en synchronisation quasi temps-réel malgré leur éloignement de plusieurs centaines de kilomètres grâce à un gestionnaire d évènement (couche middleware) ; Classification : non sensible, public 43 / 118

45 Figure 17 : Schéma illustrant la redondance des équipements de téléphonie présent sur chaque data center téléphonie, ainsi que la logique d acheminement des appels qui peut passer par deux chemins celui trunk SIP et celui ISDN Au sein de chaque data center, l ensemble des équipements applicatifs et techniques présents sont en redondance et les mécanismes de virtualisation sont largement utilisés. Figure 18 : Schéma illustrant la redondance et le maillage des différents serveurs techniques suivant chaque grand bloc applicatif d un data center applicatif ainsi que la réplication des données quasi temps -réel entre le site primaire et le site secondaire o au niveau local (dans les CRRA) : chaque équipement local au CRRA qu il soit téléphonique ou réseau est redondé pour garantir une haute disponibilité : doublement des équipements gateways téléphoniques et enregistreurs ; doublement des T2 ISDN qui achemine les appels pour les Samu gros et moyens ; sécurisation des T2 ISDN avec une double pénétration dès lors que l établissement de santé offre cette possibilité ; doublement des équipements réseaux d interconnexion avec le WAN ; la sécurisation des flux voix IP en local au CRRA avec la séparation des flux voix et des flux data dans des réseaux virtuels distincts (voix dans un VLAN dédié prioritaire) ; sécurisation des enregistrements grâce aux enregistreurs positionnés devant les gateways téléphoniques ; Classification : non sensible, public 44 / 118

46 une répartition des responsabilités entre opérateurs de télécommunication tenant compte des logiques industrielles du secteur : o le service critique de collecte est confié à un des opérateurs de télécommunication de référence au niveau national : le point critique de l architecture est celui de la collecte nationale des appels par un opérateur de collecte. Seuls certains opérateurs de télécommunication sont habilités à offrir ce service qui est assuré grâce des infrastructures de télécommunication de classe opérateur et exploité par les équipes techniques expertes des opérateurs de télécommunication. Suivant les accords avec les opérateurs fixes (FNO) ou mobile (MNO) ayant une boucle locale et un réseau dit «intelligent», l architecture permet d autoriser la remise directe par ces opérateurs à l opérateur de service en charge de la gestion du numéro d appel des Samu (voir la section ultérieure dédié à ce sujet). o le service de collecte intègre la détection de saturation : Un service de détection de saturation des appels sera souscrit auprès de l opérateur de service afin qu il puisse déclencher des traitements automatiques en cas de saturation d appel dans un ou plusieurs CRRA pour rerouter les appels vers un ou plusieurs autres CRRA. Ce dispositif permet aussi de gérer une défaillance des T2 ISDN qui alimente un Samu comme par exemple la détérioration des lignes téléphoniques physiques suite à incident de type génie civil («coup de pelleteuse») qui vient détériorer les câbles téléphoniques de l opérateur ou simplement en cas de détérioration de la qualité sonore, indispensable dans le cadre des traitements des appels d urgence. Avec l architecture proposée, la solution SI-Samu sera en capacité de détecter cette panne et de renvoyer les appels via le réseau WAN (voir la section ultérieure dédié à ce sujet). Haute disponibilité NHS Direct est en charge de la gestion du conseil médical (Angleterre). L objectif de NHS est une logique d amélioration de la qualité de service tout en participant à une réduction de coût de gestion de la santé publique, avec la contrainte forte de continuité de service. Ces objectifs ont été remplis par la mise en place d une gestion centralisée du traitement des appels avec une distribution locale, grâce un opérateur remplissant les fonctions d opérateurs de service (Vodafone) incluant SVI et routage, permettant un double acheminement potentiel des appels (IP ou téléphonie classique ISDN), garantissant ainsi la haute disponibilité nécessaire au service. o o Le service de gestion est confié à un opérateur de service en télécommunication qui fournit : les fonctions de serveur vocal interactif (SVI) : c est le premier niveau d arrivée de la pression téléphonique. En acquérant le service SVI chez un opérateur de service, le SI-Samu bénéficie d une redondance d équipements de type SVI en cluster d un niveau opérateur. Cela offre des capacités de montées en charge («scalability»), de réactivité en cas de panne optimale, tout en conservant l autonomie de gestion des Samu; les fonctions de routage et de gestion de la téléphonie de type IPBX : le SI- Samu bénéficie d une exploitation et d une réactivité en cas de panne optimale sur ces composants critiques de l architecture ; l architecture recherchera à homogénéiser autant que faire ce peut l ensemble des équipements de téléphonie (IPBX, gateway téléphonique et téléphone) dans le Classification : non sensible, public 45 / 118

47 respect de la gestion du bug dit «fatal». Lors de la phase de conception et de la phase de dialogue compétitif, le niveau précis d homogénéisation des équipements sera défini prenant en compte la complexité d intégration que des équipements différents induisent afin de faire le meilleur choix que préconisent les industriels. Architecture A deux reprises lors de l étude de faisabilité, le principe d homogénéisation des équipements de téléphonie a été souligné comme un point essentiel. D une part par Orange Business Services (OBS) qui a été sollicité en fin de l étude de faisabilité pour donner un avis d expert sur le caractère réalisable de la solution et sa robustesse. La possibilité de pouvoir homogénéiser les infrastructures de téléphonie sur un périmètre de plus de 1600 positions multi sites est rare. OBS a souligné la nécessité de réaliser cette homogénéisation pour garantir la qualité globale des différentes chaines de liaisons où circuleront les signaux vocaux. D autre part, le projet RRAMU à la lumière des difficultés techniques qui ont rencontrées et résolues lors de l intégration de solutions de téléphonie hétérogènes, a permis de mesurer la complexité induite par l assemblage de technologies de téléphonie issues de constructeurs différents. o financement de T2 ISDN, technologie mature et éprouvée pour acheminer les appels dans l ensemble des CRRA. L architecture, sans aménagement, permettra de s affranchir de certains coûts liés à la location des T2 ISDN, à maturité des technologies et des réseaux VoIP ; les dispositifs de double acheminement des ressources téléphoniques et applicatives : o concernant le volet voix : par construction de l architecture, la voix arrive directement dans les CRRA sans passer par le réseau WAN avec une qualité de T2 ISDN ; en cas de panne ou de défaillance de totalité ou parties des T2 ISDN qui acheminent un appel, passage par le réseau WAN pour atteindre le CRRA destinataire, ou choix d une stratégie d entraide inter- Samu; o concernant le volet applicatif : l accès nominal aux applications (interface graphique de la téléphonie «bandeau» et LRM) pour les agents en CRRA se fait via protocole WEB (HTTP) aux travers du réseau WAN qui interconnecte les CRRA avec les data center applicatifs ; en cas d incapacité à accéder aux logiciels des data centers applicatifs suite à une panne du réseau WAN, l accès se fera via un accès internet sécurisé. Cet accès internet ne s active qu en situation d indisponibilité du réseau WAN. les dispositifs natifs de mode dégradé pour garantir le service minimum : o en cas d incapacité d accès d un CRRA aux fonctions ACD centrales (Automatic Call Distribution) et/ou au serveur CTI (par exemple suite à une chute du réseau WAN), fonctions qui contiennent l intelligence centrale de distribution des appels s appuyant sur la connaissance précise de l activité de chaque CRRA, le SI-Samu va mettre en action un mode dégradé. L arrivée des appels téléphoniques est sécurisée par l arrivée des appels via l opérateur de service (pré-décroché) et l acheminement par cet opérateur en direct dans les CRRA. Les appels sont pris en charge par les gateways téléphoniques locales qui, en cas d incapacité à joindre les serveurs ACD et CTI centraux, vont activer leur mode SAS (Stand Alone Survivability) permettant d offrir une distribution et un routage des appels via des logiques des salles d attente Classification : non sensible, public 46 / 118

48 auprès des agents du CRRA mais sans support d une interface graphique (bandeau) mais via les touches du téléphone (fonction ACD locale) ; Figure 19 : Ce schéma illustre le double accès aux data centers applicatifs en cas d indisponibilité du réseau dédié WAN les dispositifs de sécurisation du référentiel opérationnel des ressources : o une copie des données issues du ROR : pour garantir la performance et la disponibilité des données de type ROR, l application SI-Samu fera une copie régulière de ces données en interne pour sécuriser le temps d accès à ces données critiques o une copie disponible en local dans le CRRA : les données opérationnelles des ressources vers lesquelles envoyer les patients sont indispensables à l activité de régulation médicale. Ces données sont accessibles au travers de l application LRM disponible dans les data center applicatifs. Afin de garantir dans tous les cas de figure l accès à ces données, celles-ci sont copiées en local dans le CRRA pour pouvoir être consultées. Le dispositif envisagé est de télédistribuer toutes les semaines les données opérationnelles de ressources du SI-Samu vers un poste de travail sanctuarisé au sein du CRRA sous forme de fichier de type PDF ou EXCEL le dispositif de «Plan de Reprise d Activité (PRA)» : o un data center applicatif et téléphonique est disponible pour être rendu opérationnel dans un délai de 24h à 48h. Ce data center de reprise d activité doit être à même de gérer la charge d activité nationale. Une fois le data center PRA opérationnel, les actions pour remettre les data centers primaires et secondaires des parties téléphoniques et applicatives pourront être relancées pour revenir à un mode nominal. Classification : non sensible, public 47 / 118

49 Fort de l ensemble de ces mécanismes de sécurisation, l ensemble de l architecture a été travaillé sous forme de scénario primaire scénarii secondaires ou mode nominal mode secours. Les principes métiers ont été travaillés selon les mêmes principes : scénario d entraide, évènement géographique, centre de crise, crise sanitaire majeure. Ainsi, le SI-Samu sécurise l acheminement des appels suivant trois mécanismes successifs pour garantir le service. Le schéma ci-dessous présente cette logique de mode nominal (niveau 1) et les deux scénarios de sécurisation successifs (niveau 2, puis niveau 3) pour garantir la continuité du service. Figure 20 : Synthèse des mécanismes successifs de sécurisation de l acheminement des appels Trois grands mécanismes de sécurisation successifs assurent la continuité de service en cas de défaillance des infrastructures de l opérateur de service De manière identique l accès des CRRA aux applicatifs en clients léger suit 3 niveau de sécurisation et pour le coup sans dégradation des fonctionnalités utilisées. En effet, en cas de défaillance du réseau WAN, les CRRA accèdent aux applications du data-center applicatifs de manière sécurisé via un accès internet. Le troisième niveau de sécurisation consiste à faire traiter les appels par un autre CRRA, si l accès internet du CRRA en question est pour le coup aussi défaillant. Haute Disponibilité Un grand acteur français et européen de l énergie a fait le choix d une architecture similaire, afin de traiter des trafics cinq fois supérieurs à ceux des Samu. A l instar de l architecture choisie pour les Samu, la solution a été conçue afin de garantir l acheminement et la disponibilité des agents, en incluant des solutions CTI-less (sans CTI, mode dégradé qui garantit néanmoins la continuité de service). L architecture de la solution technique SI-Samu intègre dans sa conception la haute disponibilité et la capacité à augmenter son dimensionnement pour faire face à une crise sanitaire majeure. La Classification : non sensible, public 48 / 118

50 sécurisation est apportée par un assemblage complet de dispositifs de haute disponibilité que sont principalement : la forte redondance des équipements, l existence de doubles chemins d accès aux infrastructures mutualisées, le caractère distribué du maillage local des équipements de téléphonies et les capacités novatrices d entraide natives entre les Samu. Grâce à ces dispositifs HRO, même en cas de panne des infrastructures centrales mutualisées (perte d un data center, perte du réseau WAN, etc.) nécessitant la survenue très peu probable de la défaillance de nombreux dispositifs de redondance des infrastructures, les CRRA peuvent continuer à assurer leur régulation médicale Focus sur la sécurisation de l étape de collecte Figure 21 : ce schéma présente l architecture choisie au niveau de l étape de collecte L opérateur de l abonné effectue le transcodage du numéro 15 selon une table fixe associée à l opérateur de service, sur plusieurs numéros noirs où il peut être joint. Deux logiques de livraison distinctes des appels sont appliquées suivant la nature de l opérateur de boucle local : Pour les petits opérateurs, ils sont regroupés en plusieurs groupes et chaque groupe est pris ne charge par un opérateur de collecte distinct qui assure la distribution sur les différents points de connexion de l opérateur de service. Classification : non sensible, public 49 / 118

51 Pour les grands opérateurs, la livraison vers l opérateur de service se fait sur plusieurs chemins différents (plusieurs points d interconnexion directe) autant au niveau lien que nœud (équipement totalement différent) Cette alternative présente aussi une capacité de répartition des appels entre plusieurs opérateurs de collecte, à des fins de sécurisation. Néanmoins, cette sécurisation est limitée car en cas de chute de la collecte d un des opérateurs, l ensemble des appels concernés par cette collecte ne seront pas acheminés. C est pourquoi, dans l ensemble des implémentations présentant des fonctions de garantie d acheminement intelligente de l appel, la distribution n est opérée que par un seul et unique opérateur de collecte Focus sur les dispositifs de sécurisation de l opérateur de service a) Présentation de l architecture du SI-Samu au niveau de l opérateur de service Le schéma ci-dessous présente un focus sur les liens entre l étage collecte, l opérateur de service et les CRRA. Figure 22 : Focus sur les liens de l opérateur de service Classification : non sensible, public 50 / 118

52 Cercle jaune : Distribution par les grands opérateurs et les opérateurs de collecte sur les data-centers de l opérateur de service. Pour les grands opérateurs deux points d interconnexion minimum sont exigées par data-center. Cercle noir : Possibilité d acheminer les appels entre data-centers par les infrastructures internes. Cercle vert : Distribution sécurisée en fonction de la géolocalisation ou selon les scénarii définis dans une optique de prise en charge la meilleure et la plus rapide. b) Scénarios d architecture envisagés Cette architecture a été retenue suite à l analyse de deux scénarios différents au niveau opérateurs : Scénario 1 : recours à un seul et unique opérateur de service Scénario 2 : recours à deux opérateurs de service Une analyse multicritère a permis d évaluer ces deux scénarios sur des critères de disponibilité, de coût et de simplicité de maintenance / support. Le dossier d instruction du chantier d architecture technique présente précisément ces 2 scénarios d architecture de la partie téléphonique, ainsi que le détail de l analyse multicritère conduite. Cette analyse a permis de conclure à la supériorité du scénario 1 (un seul opérateur de service). c) Mécanismes de sécurisation natif mis en œuvre chez les opérateurs de service Des mécanismes de sécurisation très puissants sont mis en place chez les opérateurs de télécoms : L architecture propose de multiples data centers en redondance les uns des autres et un «backbone» réseau de type MPLS / boucle SDH autorisant une rupture sans incident (changement du sens de circulation de la voix et des données). Les équipements de l opérateur de service sont des équipements de classe opérateur Le taux de réactivité de l opérateur en cas de survenance d un incident De plus, l opérateur de service retenu devra pouvoir garantir le recours à des routeurs provenant d équipementier différents entre son réseau principal et son réseau de secours. Cette mesure a été recommandée par le Commissariat des Communications Electronique de Défense (CCED) lors de réunion de travail avec eux et concourra à la gestion de la problématique dite du «bug fatal», liée à une homogénéité des équipements techniques d un seul constructeur. Dans l ensemble des implémentations nécessitant une garantis de l acheminement intelligent des appels entre un abonné et un agent (routage et aboutement avec l intelligence de distribution des appels), la distribution n est opéré que par un seul et unique opérateur de service, par exemple pour la SNCF, Pôle Emploi, Canal+, etc. Le recours à un seul opérateur de service est une pratique généralement constatée dans l industrie dans des cas de ce type. Classification : non sensible, public 51 / 118

53 Le recours à 2 opérateurs ne permet pas de résoudre les problèmes d incapacité des usagers à émettre des appels, et engendrerait une complexité supplémentaire. Cette architecture est validée par la CCED et par l avis d expert pris auprès d un opérateur de télécommunication de référence du marché Le recours à un unique opérateur de service ne représente pas un Single Point of Failure (point de fragilité) et présente les meilleurs garantis de disponibilité du service Prendre en compte de la dynamique d évolution des technologies Compte tenu de l accélération du rythme de renouvellement des technologies, l architecture a été pensée en prenant en compte les différentes évolutions technologiques prévisibles dans la prochaine décennie : Le choix a été d effectuer une distribution téléphonique par les réseaux classiques RNIS éprouvés. A l état actuel de la technologie ces réseaux disposent d une meilleure robustesse à la fois en termes de fiabilité que de supervision par les opérateurs. D autre part l utilisation de ces réseaux (RNIS) permet une conduite du changement plus aisée car elle utilise l architecture existante dans la plupart des Samu. Les technologies Telecom vont vers un ensemble de solutions full IP : le choix de passer directement sur les technologies IP engendre actuellement des risques principalement du fait des degrés de résilience et des risques relatifs à la qualité de voix (sensation d éloignement, hachage, voix métallique). Néanmoins il est possible d espérer une fiabilité de ces technologies à un horizon 5 ans, les expérimentations d échange inter-opérateurs sur de gros volumes téléphoniques ayant commencé début L évolution de l architecture sera alors une décision économique : inversion des priorités, avec un flux téléphonique passant par la WAN, secouru par les T2s. Le passage en IPV6 constitue une opportunité plus qu un risque. Les équipements réseaux commercialisés depuis trois ans disposent tous de la dualité IPV4/IPV6, voire uniquement IPV6. L IPV6 apporte principalement deux type de fonctions : des fonctions de sécurité (pour exemple absence de possibilité de broadcast) et un plan d adressage plus large, permettant d éviter le recours à des solutions NAT (Network Translate Address, afin d effectuer des plans d adressages privés et d éviter le conflit d adresse IP). Le risque principal lié à l IPV6 est la diffusion d adresse hors réseau, point qui a été adressé dans ce dossier. Le plan d adressage d IPV6, dans son dimensionnement, a été conçu pour permettre des usages domotiques dans le monde entier, et ne devrait pas subir de transformation dans les 25 prochaines années. Le dossier d instruction technique au niveau réseau et architecture SI présente une stratégie de prise en compte de l IPV6 au cours du programme de modernisation. L architecture a été conçue de manière pragmatique mais évolutive. Ainsi certaines possibilités technologiques existantes ne sont pas évoquées car celles-ci ne sont pas promues par les Telecom vers le grand public ou les entreprises. Citons pour exemple l IMS (ou IP Multimedia System), architecture réseau permettant de délivrer des services à base de protocole IP aux utilisateurs mobiles. Ces architectures supposent la convergence des bases d abonnées permettant des échanges d information tchat, vidéo, sons, entre abonnés opérateurs. L usage de la photo et vidéo est envisagé par l utilisation d applications embarquées dans les smartphones à l instar des expérimentations effectuées pour les constats d assurance (horodatage, localisation). L étude a été pensée en prenant en considération les cycles de persistance et de maturité des évolutions technologiques durant les 20 dernières années et les technologies Classification : non sensible, public 52 / 118

54 émergentes. Pour exemple, la voix sur IP, considérée comme un épiphénomène au début des années 2000, est vue comme incontournable depuis les années 2008 en termes d évolutions technologiques sur le LAN (Local Area Network), et comme une orientation raisonnable dans les architectures telecoms (WAN) depuis 2011 et les offres aux entreprises. Les premiers retours observables dans les domaines Telecom sur des cycles de production complets permettront de faire évoluer l architecture, comme évoquées précédemment. Les cycles telecoms sont des cycles longs (premier service en reconnaissance vocale en France dans les telecoms en 2003 à base de technologie définie en 1991). Même les technologies ayant été diffusées à grande échelle dans le domaine pour exemple la base des développements pour IPhone (Janvier 2007) vient des langages développés pour la NeXT station en 1992 ont des cycles très longs avant d arriver à maturité. La stratégie choisie dans l architecture est de faire porter les évolutions futures relatives au traitement de la voix par l opérateur de service, la gestion du multicanal par connexion avec le système de gestion central des centres d appels, la mobilité et la video par la maîtrise des échanges IP. La mobilité et la gestion multicanale sont deux évolutions majeures actuelles prises en compte dans le cadre du dossier. La mobilité a subi trois majeures révolutions : en 2007 premier Iphone diffusant l usage des smartphone en France, en 2010 les smartphone disposent de la puissance nécessaire pour la gestion de la video, en 2012 l apparition de la 4G en France permet une utilisation de la video sans perte de qualité d information. L architecture dispose des entrées nécessaires pour intégrer ces technologies sans remise en question du système établi. La gestion multicanale (interaction par différents canaux, à la fois entrants et sortants, et de manière indifférente), n est pas à proprement parler une nouvelle technologie, mais un usage commun depuis les années 2008 (appel, confirmation par SMS ou mail, information et partage sur un portail vocal ou internet, tchat, ). Le degré de convergence est plus à lier à l usage que souhaite le système des Samu, l architecture centralisée permettant nombre d usages. Le premier système multicanal à grande échelle a été mis en place en France au profit de l ANPE en 2002 (sans toutefois prendre en compte la video, l usage étant peu répandu et les réseaux et technologies non matures). Un enjeu complémentaire dans les années futures sera l assistance à distance ou la télémédecine. L assistance à distance (conseil) a été mis en place par NHS en Angleterre sous la forme de conseil par moyen multicanal, avec comme canal principal la voix par téléphone. L assistance à distance et l aide au diagnostic va être plus un enjeu d usages qu un enjeu technologique : les réseaux telecoms permettent de répondre à cet enjeu et les technologies, dérivées des usages domotiques, sont matures. La supervision des systèmes à distance est basée sur les réseaux IP et ne pose pas de problème d intégration technique, ni d usage. Concernant ce dernier point, l ensemble du système conçu pour les Samu est bâti sur trois principes : le premier est la connaissance à un instant t donné de la disponibilité d un ARM ou d un médecin, le second est la possibilité par un ARM de «prendre» la main sur une demande de contacts, et enfin le suivi des contacts et des dossiers. Classification : non sensible, public 53 / 118

55 6. Annexe 5 : Capacité à répondre aux exigences liées au cadre juridique des appels d urgence 6.1. Présentation générale de l aide médicale urgente Dans le cadre de l aide médicale urgente qui a pour objet, en relation notamment avec les dispositifs communaux et départementaux d organisation des secours, de faire assurer aux personnes, en quelque endroit qu ils se trouvent, les soins d urgence appropriés à leur état, les Samu, services internes aux établissements de santé, ont pour mission de répondre par des moyens exclusivement médicaux aux situations d urgence Son objet a) L aide médicale urgente, une activité médicale L'aide médicale urgente (AMU) est une activité qui a pour objet, «de faire assurer aux malades, blessés et parturientes, en quelque endroit qu'ils se trouvent, les soins d'urgence appropriés à leur état.» (cf. article L du CSP). L AMU présente pour caractéristique de nécessiter l intervention de personnels médicaux et non médicaux en dehors des établissements de santé («en quelque endroit qu ils se trouvent»). Les services d'aide médicale urgente et les services concourant à l'aide médicale urgente sont tenus d'assurer le transport des patients pris en charge dans le plus proche des établissements offrant des moyens disponibles adaptés à leur état, sous réserve du respect du libre choix. b) L aide médicale urgente, une mission de service public L aide médicale urgente est une mission de service public (cf. article L du CSP). Cette qualification implique le respect de règles propres au service public. En particulier, l'établissement de santé garantit à tout patient accueilli dans le cadre de cette mission: - l'égal accès à des soins de qualité ; - la permanence de l'accueil et de la prise en charge, ou l'orientation vers un autre établissement ou une autre institution, dans le cadre défini par l'agence régionale de santé ; - la prise en charge aux tarifs fixés par l'autorité administrative ou aux tarifs des honoraires prévus au 1 du I de l'article L du code de la sécurité sociale. Les obligations qui incombent à l établissement de santé s'imposent également à chacun des praticiens qui y exercent et qui interviennent dans l'accomplissement d'une ou plusieurs des missions de service public. Rappelons que depuis la loi n du 21 juillet 2009 modifiée portant réforme de l'hôpital et relative aux patients, à la santé et aux territoires (dite loi HPST), les missions de service public recensées à l article précité peuvent être assurées aussi bien par des établissements de santé, publics Classification : non sensible, public 54 / 118

56 ou privés que par d autres acteurs selon des règles d attribution spécifiques mises en œuvre sous l égide de l ARS (articles R à 10 du code de la santé publique). Lorsqu'une mission de service public n'est pas assurée sur un territoire de santé, le directeur général de l'agence régionale de santé, sans préjudice des compétences réservées par la loi à d'autres autorités administratives, désigne la ou les personnes qui en sont chargées Une pluralité d acteurs L activité d AMU fait intervenir de nombreux acteurs. a) Les services d aide médicale urgente (Samu) des établissements de santé autorisés Seuls les établissements de santé (publics ou privés) peuvent être autorisés par l Agence Régionale de Santé (ARS) à comporter une ou plusieurs unités participant au service d'aide médicale urgente, dont les missions et l'organisation sont fixées par voie réglementaire. Un centre de réception et de régulation des appels («CRRA» ou «centre 15» ou «Samu») est installé dans les services d'aide médicale urgente. Ce centre peut être commun à plusieurs services concourant à l'aide médicale urgente. Les services d'aide médicale urgente ont pour mission de répondre par des moyens exclusivement médicaux aux situations d'urgence. Cela les distingue des services de secours aux personnes assurés notamment par les services de police et de gendarmerie et les services d incendie et de secours. Le schéma régional d'organisation des soins définit pour toute activité de soins les besoins de la population au regard des orientations et des objectifs du projet régional de santé. Ce besoin est exprimé par territoire de santé. Pour l activité du Samu, le territoire correspond au département. b) Les services de police, de gendarmerie et les services d'incendie et de secours Les dispositifs communaux et départementaux d'organisation des secours font partie des acteurs du dispositif d aide médicale urgente (cf. article L du CSP). Dans le respect du secret médical, les centres de réception et de régulation des appels sont interconnectés avec les dispositifs des services de police et d'incendie et de secours. (cf. Article L du CSP). L article R apporte les précisions suivantes sur la répartition des rôles et l organisation de la prise en charge des appels : «Pour répondre dans les délais les plus brefs aux demandes d'aide médicale urgente, les centres de réception et de régulation des appels mentionnés à l'article L sont dotés d'un numéro d'appel téléphonique unique, le 15. Les installations de ces centres permettent, dans le respect du secret médical, les transferts réciproques d'appels et, si possible, la conférence téléphonique avec les centres de réception Classification : non sensible, public 55 / 118

57 d'appels téléphoniques des services d'incendie et de secours dotés du numéro d'appel 18, ainsi qu'avec ceux des services de police et de gendarmerie. Les centres de réception des appels du n 15 et du n 18 se tiennent mutuellement informés des opérations en cours dans les plus brefs délais. Ils réorientent vers le centre compétent tout appel n'entrant pas directement dans leur domaine d'action. Lorsque les centres de réception et de régulation des appels reçoivent une demande d'aide médicale urgente correspondant à une urgence nécessitant l'intervention concomitante de moyens médicaux et de moyens de sauvetage, ils transmettent immédiatement l'information aux services d'incendie et de secours, qui font alors intervenir les moyens appropriés, conformément à leurs missions. Les mêmes centres de réception et de régulation des appels sont immédiatement informés des appels reçus par les centres de réception d'appels téléphoniques des services d'incendie et de secours lorsqu'il s'agit d'une situation d'urgence mentionnée à l'article R » Lorsqu'une situation d'urgence nécessite la mise en œuvre conjointe de moyens médicaux et de moyens de sauvetage, les services d'aide médicale urgente joignent leurs moyens à ceux qui sont mis en oeuvre par les services d'incendie et de secours. (cf. article R du CSP) Le référentiel commun «organisation du secours à personne et de l aide médicale urgente, pris par arrêté du 24 avril 2009 apporte des précisions sur l interconnexion. Il s agit dans tous les cas par le biais de ces interconnexions d assurer le traitement de l appel téléphonique de la personne en détresse qui a composé le 15 ou le 18 ou le 112. A approfondir Il existe un questionnement en cours d approfondissement relatif à la mise en œuvre des préconisations de ce référentiel relatives à l interopérabilité des applications et des méthodes. Il énonce que : «En raison de l hétérogénéité administrative des services publics qui concourent aux missions de sécurité civile et de la complexité des systèmes techniques en jeu, la conduite cohérente du programme de modernisation opérationnelle et de renforcement de l interopérabilité impose que les modalités de passation des commandes publiques locales soient suffisamment encadrées. En termes d aptitude technique d abord, outre la référence obligatoire aux normes, les appels d offres des services locaux, SIS, Samu, doivent faire référence à un cadre commun d exigences de fonctionnement et d interopérabilité. A cette fin, la référence aux NIT et aux exigences AFNOR NF-399 «logiciels de sécurité civile» doit être systématisée. En terme de performance opérationnelle enfin, les référentiels techniques d interopérabilité doivent être complétés par un référentiel d exigences communes sur la performance et la qualité Classification : non sensible, public 56 / 118

58 opérationnelle fournie par les systèmes d information des Samu et des SIS. Cette démarche engagée sur le périmètre ANTARES avec la certification par tierce partie AFNOR-INFOCERT doit être étendue à l ensemble des systèmes d information et de communication qui constituent la réponse des services publics à une demande de secours, depuis la réception de l appel jusqu à la fin de l intervention. En conséquence, il est souhaitable que les appels d offres locaux exigent des produits certifiés par tierce partie sur la base d un référentiel commun de performance. Le comité quadripartite souhaite que pour clarifier et sécuriser les diverses acquisitions locales, et pour être efficace dans l émergence d offres industrielles adaptées, que ce soit sur l aptitude technique des produits ou sur leurs performances réelles, que ces référentiels bénéficient d une assise juridique suffisante pour s imposer à tous, sous la forme d arrêtés par exemple.» La mise en œuvre de ces dispositions soulève des interrogations relatives à la soumission éventuelle de la future solution SI-Samu aux exigences susmentionnées et à l obligation de certification. c) Le concours des médecins libéraux Le fonctionnement du service d aide médicale urgente des établissements de santé peut être assuré avec le concours de médecins d'exercice libéral (cf. article L du CSP). La régulation téléphonique des activités de permanence des soins et d'aide médicale urgente est accessible sur l'ensemble du territoire par un numéro de téléphone national. Cette régulation téléphonique est également accessible, pour les appels relevant de la permanence des soins, par les numéros des associations de permanence des soins disposant de plates-formes d'appels interconnectées avec ce numéro national, dès lors que ces plates-formes assurent une régulation médicale des appels (cf. article L du CSP). La participation des médecins libéraux est organisée par le décret du 13 juillet 2010 relatif à l organisation de la permanence des soins 13. Les CRRA permettent, grâce notamment au numéro d'appel unique dont ils sont dotés, de garantir en permanence l'accès immédiat de la population aux soins d'urgence. La participation des médecins d exercice libéral au dispositif d'aide médicale urgente est déterminée par convention (cf. Article R du CSP). En application de l article R modifié du CSP, «l'accès au médecin de permanence fait l'objet d'une régulation médicale téléphonique préalable, accessible sur l'ensemble du territoire national par le numéro d'appel 15 et organisée par le service d'aide médicale urgente. Les médecins libéraux volontaires y participent dans des conditions définies par le cahier des charges mentionné à l'article R. 13 pris en application des articles L , L et L du code de la santé publique. Ce décret est codifié aux articles R et R à R du CSP du code de la santé publique. Classification : non sensible, public 57 / 118

59 Lorsque le médecin libéral assure la régulation des appels depuis son cabinet ou son domicile, il signe une convention avec l'établissement siège du service d'aide médicale urgente. L'accès au médecin de permanence est également assuré par les numéros des centres d'appel des associations de permanence des soins si ceux-ci sont interconnectés avec le centre de réception et de régulation des appels et ont signé une convention avec l'établissement siège du service d'aide médicale urgente approuvée par le directeur général de l'agence régionale de santé. Cette convention respecte le cahier des charges mentionné à l'article R » Dans chaque région, ces dispositions du présent décret entrent en vigueur à la date de publication de l'arrêté du directeur général de l'agence régionale de santé fixant le cahier des charges régional prévu par le décret. Les missions des médecins libéraux qui participent à la régulation médicale des appels reçus par le centre 15 ou à l aide d un numéro de téléphone distinct mais d une plateforme interconnectée avec le centre 15 sont précisées dans la convention qui doit être conclue avec l établissement de santé autorisé (contenu de la convention précisé aux articles R à R du CSP). Depuis l intervention de la loi n du 21 juillet 2009 dite loi HPST, l'activité du médecin libéral assurant la régulation des appels «au sein d'un service d'aide médicale urgente hébergé par un établissement public de santé» est couverte «par le régime de la responsabilité administrative qui s'applique aux agents de cet établissement public. Ce même régime s'applique dans le cas où, après accord exprès de l'établissement public en cause, le médecin libéral assure la régulation des appels depuis son cabinet ou son domicile. Toute clause d'une convention contraire aux principes énoncés dans le présent article est nulle» (cf. article L6314 du CSP). Cet article a été introduit par la loi HPST à la suite de conflit judiciaire relatif au statut du médecin régulateur participant à la régulation du centre 15 dans le cadre d une convention passée entre l établissement hospitalier et une association de médecins libéraux portant sur la répartition des responsabilités entre l établissement et l association qui avait mis ce médecin à sa disposition. d) Le réseau de prise en charge des urgences L'établissement de santé autorisé à disposer d un service d urgence participe à un réseau avec d'autres établissements de santé publics et privés. (Article R du code de la santé publique) Ce réseau contribue à la prise en charge des urgences et de leurs suites sur le territoire de santé, notamment pour assurer l'accès à des compétences, à des techniques et à des capacités d'hospitalisation dont ne dispose pas chacun des établissements membres et à coordonner leurs actions et leurs moyens. Le réseau peut également comprendre : - les professionnels de la médecine de ville, notamment les médecins participant à la permanence des soins ; - les médecins intervenant à la demande du Samu, y compris les médecins correspondants du Samu dont les missions et le cadre d'intervention sont définis par arrêté du ministre chargé de la santé ; Classification : non sensible, public 58 / 118

60 - les officines de pharmacie ; - des établissements sociaux et médico-sociaux, en particulier des établissements d'hébergement pour personnes âgées dépendantes. Une convention constitutive du réseau précise notamment les disciplines et les activités de soins ou les états pathologiques spécifiques pour lesquels les établissements membres s'engagent à accueillir et à prendre en charge les patients qui leur sont adressés par le Samu ou par la structure des urgences. L'établissement participant au réseau transmet régulièrement à l'ensemble des membres de ce réseau, dans des conditions prévues par la convention constitutive : - un répertoire opérationnel de ses ressources disponibles et mobilisables ; - les modalités d'accès et de fonctionnement à ces ressources, notamment les tableaux de service ou les tableaux de permanence médicale. Il transmet également ce répertoire opérationnel à l'agence régionale de santé. Celle-ci réalise chaque année une synthèse des répertoires au niveau régional et la transmet à tous les professionnels concernés. e) Les établissements de santé ne disposant pas de service d urgence L'établissement de santé qui n'a pas l'autorisation pour disposer d un service d urgence répond aux obligations générales de secours et de soins aux personnes en danger qui s'adressent à lui et : - dispense des soins immédiats à un patient qui se présente aux heures d'ouverture de ses consultations et, s'il y a lieu, l'adresse ou le fait transférer, après régulation par le Samu, dans un établissement de santé ayant l'autorisation d'exercer cette activité ; - dispense des soins non programmés à tout patient qui lui est adressé par un médecin libéral exerçant en cabinet, après examen et consentement du patient, lorsqu'un accord préalable direct a été donné par le médecin de l'établissement qui sera appelé à dispenser les soins nécessaires ; - dispense des soins non programmés à tout patient qui lui est adressé par le Samu lorsqu'un accord préalable à l'accueil dans l'établissement a été donné. (cf. Article R du CSP) f) Autres acteurs jouant un rôle dans la prise en charge des patients en urgence - Agences régionales de santé - Transporteurs sanitaires - Pharmaciens de ville - Centres anti-poisons - Centre national de relais des appels d urgence pour les personnes sourdes ou malentendantes (numéro 114) - Etablissements et services d hospitalisation à domicile Classification : non sensible, public 59 / 118

61 6.2. L activité de régulation médicale, une activité soumise à autorisation L activité de régulation médicale des appels adressés au Samu est une des modalités d exercice de l activité de soins de médecine d urgence. En effet, l'exercice par un établissement de santé de l'activité de soins de médecine d'urgence est autorisé selon une ou plusieurs des trois modalités suivantes : - «la régulation des appels adressés au service d'aide médicale urgente (Samu) mentionné à l'article L ; - la prise en charge des patients par la structure mobile d'urgence et de réanimation, appelée SMUR, ou la structure mobile d'urgence et de réanimation spécialisée dans la prise en charge et le transport sanitaire d'urgence des enfants, y compris les nouveau-nés et les nourrissons, appelée SMUR pédiatrique ; - la prise en charge des patients accueillis dans la structure des urgences ou dans la structure des urgences pédiatriques.» L'autorisation donnée par l'agence régionale de santé précise la ou les modalités d'exercice de l'activité autorisée. L autorisation est délivrée sur la base du SROS et sous condition que les exigences fixées par le code de la santé publique soient respectées (définition des missions, interconnexion et collaboration avec les SDIS, niveau de formation du personnel ). Chacune de ces modalités d exercice de la médecine d urgence est soumise à des conditions d implantation et à des conditions techniques de fonctionnement. Un établissement de santé ne peut être autorisé à exercer l'activité de régulation médicale des appels adressés au service d'aide médicale urgente que s'il satisfait aux conditions fixées aux articles R à R relatifs aux missions des services d aide médicale urgente et aux articles R à 13 relatifs à l organisation des services d'aide médicale urgente. En application de l article R du CSP, un établissement de santé ne peut être autorisé à exercer l'activité de médecine d urgence que s'il satisfait : 14 Cet article abrogé par la loi n du 21 juillet 2009est désormais codifié à l article L du CSP : «Seuls les établissements de santé peuvent être autorisés, conformément au chapitre II du titre II du livre Ier de la présente partie, à comporter une ou plusieurs unités participant au service d'aide médicale urgente, dont les missions et l'organisation sont fixées par voie réglementaire. Un centre de réception et de régulation des appels est installé dans les services d'aide médicale urgente. Ce centre peut être commun à plusieurs services concourant à l'aide médicale urgente. Le fonctionnement de ces unités et centres peut être assuré, dans des conditions fixées par décret, avec le concours de médecins d'exercice libéral. Dans le respect du secret médical, les centres de réception et de régulation des appels sont interconnectés avec les dispositifs des services de police et d'incendie et de secours. Les services d'aide médicale urgente et les services concourant à l'aide médicale urgente sont tenus d'assurer le transport des patients pris en charge dans le plus proche des établissements offrant des moyens disponibles adaptés à leur état, sous réserve du respect du libre choix.» Classification : non sensible, public 60 / 118

62 - aux conditions d implantation relatives aux articles R qui renvoient aux articles R à R , relatifs aux missions des services d aide médicale urgente et aux articles R à 13 relatifs à l organisation des services d'aide médicale urgente et à la participation des médecins libéraux. - aux conditions techniques de fonctionnement relatives notamment aux ressources humaines des structures de médecin d urgence (articles D à D )et aux structures mobiles d urgence et de réanimation (articles D à D ). En particulier, l activité de régulation médicale des appels adressés au Samu doit être mise en œuvre dans le respect des conditions suivantes : La réponse aux appels d urgence dans le délai le plus rapide L établissement de santé autorisé à exercer l activité de régulation des appels au service d aide médicale urgente est tenue d assurer les missions suivantes : «1 Assurent une écoute médicale permanente ; 2 Déterminent et déclenchent, dans le délai le plus rapide, la réponse la mieux adaptée à la nature des appels ; 3 S'assurent de la disponibilité des moyens d'hospitalisation publics ou privés adaptés à l'état du patient, compte tenu du respect du libre choix, et font préparer son accueil ; 4 Organisent, le cas échéant, le transport dans un établissement public ou privé en faisant appel à un service public ou à une entreprise privée de transports sanitaires ; 5 Veillent à l'admission du patient.» (R du CSP) Le délai doit être «le plus rapide» possible. Il varie naturellement en fonction des caractéristiques propres à chaque situation rencontrée. Pour répondre dans les délais les plus brefs aux demandes d'aide médicale urgente, les centres de réception et de régulation (CRRA) des appels sont dotés d'un numéro d'appel téléphonique unique, le 15. (Article R du CSP) La mise en place d un système d information national Samu Centre 15 (SI-Samu) doit permettre aux acteurs de remplir les missions susdécrites. En particulier, les règles de gestion des traces dans le SI permettront de fournir des éléments de preuve relatifs aux modalités et délais de l intervention, utiles pour analyser l activité et également dans le cadre de procédures contentieuses Les modalités d organisation du Samu avec les services d incendie et de secours et les services de police et de gendarmerie L article R du CSP prévoit que les installations des centres 15 «permettent, dans le respect du secret médical, les transferts réciproques d'appels et, si possible, la conférence téléphonique avec les centres de réception d'appels téléphoniques des services d'incendie et de secours dotés du numéro d'appel 18, ainsi qu'avec ceux des services de police et de gendarmerie.» Classification : non sensible, public 61 / 118

63 Ce même article décrit plus précisément les modalités d organisation entre les centres de réception des appels du n 15 et du n 18 : - ils se tiennent mutuellement informés des opérations en cours dans les plus brefs délais. On précisera que cette obligation est justifiée pour les opérations menées conjointement. - Ils réorientent vers le centre compétent tout appel n'entrant pas directement dans leur domaine d'action. - Lorsque les centres de réception et de régulation des appels reçoivent une demande d'aide médicale urgente correspondant à une urgence nécessitant l'intervention concomitante de moyens médicaux et de moyens de sauvetage, ils transmettent immédiatement l'information aux services d'incendie et de secours, qui font alors intervenir les moyens appropriés, conformément à leurs missions. - Les mêmes centres de réception et de régulation des appels sont immédiatement informés des appels reçus par les centres de réception d'appels téléphoniques des services d'incendie et de secours lorsqu'il s'agit d'une situation d'urgence mentionnée à l'article R Les modalités d organisation du Samu avec les Smur Les interventions des SMUR et celles des antennes de SMUR sont déclenchées et coordonnées par le Samu. L'équipe de la structure mobile d'urgence et de réanimation informe à tout moment le Samu du déroulement de l'intervention en cours. (Article R du CSP). Pour le fonctionnement de la structure mobile d'urgence et de réanimation, le législateur impose au titulaire de l autorisation de disposer «d une salle dotée de moyens de télécommunications lui permettant d'être en liaison permanente avec le Samu et avec ses propres équipes d'intervention ; [ ]». (cf. article D du CSP) En outre, l'établissement participant au réseau de prise en charge des urgences doit transmettre régulièrement à l'ensemble des membres de ce réseau, dans des conditions prévues par la convention constitutive : 1 Un répertoire opérationnel de ses ressources disponibles et mobilisables ; 2 Les modalités d'accès et de fonctionnement à ces ressources, notamment les tableaux de service ou les tableaux de permanence médicale. Il transmet également ce répertoire opérationnel à l'agence régionale de santé. Celle-ci réalise chaque année une synthèse des répertoires au niveau régional et la transmet à tous les professionnels concernés Les moyens matériels et humains des CRRA Les moyens dont doit être doté un CRRA sont pour certains d entre eux précisés par voie réglementaire, au titre des conditions d implantation et des conditions techniques de fonctionnement relatives à l activité de médecine d urgence. L établissement de santé autorisé Classification : non sensible, public 62 / 118

64 dispose d une marge d appréciation pour déterminer les moyens à mettre en œuvre dans le respect de ce cadre réglementaire. En particulier, les services d'aide médicale urgente doivent disposer, pour l'exercice de leurs missions, des moyens en matériel et en personnel médical et non médical chargé de la réception et de la régulation des appels, adaptés aux besoins de la population qu'ils desservent (cf. article R6311-7). Il est précisé à l article D que «l'effectif de la structure de médecine d'urgence est fixé de façon à ce que cette structure puisse assurer ses missions. L'effectif est adapté au nombre d'appels adressés au Samu, au nombre de sorties de la structure mobile d'urgence et de réanimation, dénommée Smur, ou au nombre de passages de patients dans la structure des urgences. L'effectif du personnel médical et non médical est renforcé pendant les périodes où une activité particulièrement soutenue est régulièrement observée.» En outre, l'effectif de l'équipe médicale de la structure de médecine d'urgence comprend un nombre de médecins suffisant pour qu'au moins l'un d'entre eux soit présent en permanence (cf. article D6124-3). On notera que le rôle des assistants de régulation médicale (ARM) n est pas consacré dans ces textes. En outre, il est imposé que la structure d'aide médicale urgente dispose notamment : «1 D'une salle dotée de moyens de télécommunications lui permettant d'être en liaison permanente avec le Samu et avec ses propres équipes d'intervention ;[ ] 3 D'un local sécurisé permettant le stockage des dotations de dispositifs médicaux et de médicaments pour besoins urgents dans des conditions appropriées à leur conservation.» (Article D Modifié par Décret n du 22 mai art. 1 JORF 23 mai 2006). Les dispositions réglementaires relatives à l autorisation d activité de médecine d urgence ne comportent pas d autres exigences en lien avec les moyens relatifs au système d information et de télécommunication à mettre en œuvre. En synthèse L activité de soins de médecine d urgence, dont relève l activité de régulation médicale des appels adressés au Samu, est une activité réglementée. Elle ne peut être librement créée sur un territoire de santé. Elle est rattachée juridiquement à un établissement de santé qui détient l autorisation afférente parce qu il répond à des conditions d implantation et à des conditions techniques de fonctionnement réglementairement définies et vérifiées par l ARS dans le cadre de la procédure de délivrance de l autorisation. Classification : non sensible, public 63 / 118

65 Dans ce cadre, les établissements autorisés restent toutefois libres de déterminer l organisation du système d information et de choisir leurs outils. Leurs choix doivent toutefois tenir compte des conditions d organisation et de fonctionnement présentées ci-dessus Les modalités de financement de l activité de soins de médecine d urgence L activité de soins de médecine d urgence exercée par les établissements de santé autorisés est financée pour son activité au quotidien par la dotation «missions d intérêt général et d aide à la contractualisation» (MIGAC) et le forfait ATU. L établissement de santé peut également bénéficier de financements liés à des actions particulières par exemple pour des opérations de modernisation de son Samu, via le FMESPP et le FIR dans le respect de conditions définies par les textes qui encadrent ces fonds. a) La dotation relative aux missions d intérêt général et d aide à la contractualisation (MIGAC) Les règles relatives à la dotation nationale de financement des missions d'intérêt général et d'aide à la contractualisation sont fixées à l article L du code de la sécurité sociale introduit par la loi de financement de la sécurité sociale pour Selon cet article, il est créé, au sein de l'objectif national de dépenses d'assurance maladie prévu au 4 du I de l'article LO 111-3, une dotation nationale de financement des missions d'intérêt général et d'aide à la contractualisation des établissements de santé mentionnés aux a, b, c et d de l'article L Cette dotation participe notamment au financement des engagements relatifs aux missions mentionnées à l'article L du code de la santé publique relatif aux missions de service public au titre desquelles figure l'aide médicale urgente, conjointement avec les praticiens et les autres professionnels de santé, personnes et services concernés. Le décret n du 8 avril 2005 fixe les listes des missions d'intérêt général et des activités de soins dispensés à certaines populations spécifiques donnant lieu à un financement au titre de la dotation mentionnée à l'article L du code de la sécurité sociale. Il est codifié aux articles D162-6, D162-7, D162-8 du code de la sécurité sociale. L article D162-6 du code de la sécurité sociale modifié par le décret n du 13 mars art. 1 dispose que «Peuvent être financées par la dotation nationale de financement des missions d'intérêt général et d'aide à la contractualisation mentionnée à l'article L les dépenses correspondant aux missions d'intérêt général suivantes : 2 La participation aux missions de santé publique mentionnées ci-dessous : j) L'aide médicale urgente réalisée par les services d'aide médicale urgente et les services mobiles d'urgence et de réanimation respectivement mentionnés aux articles L et R du code de la santé publique ;» Classification : non sensible, public 64 / 118

66 Cette dotation participe au financement de ces missions dans la limite des dépenses y afférentes, à l'exclusion de la part incombant à d'autres financeurs en application de dispositions législatives ou réglementaires et de celle déjà supportée par l'assurance maladie en application des dispositions législatives ou réglementaires relatives à la prise en charge des soins. En synthèse Seul un établissement de santé peut directement bénéficier d un financement MIGAC. Il est attribué par l ARS sur le fondement d un engagement contractuel (contrat pluriannuel d'objectifs et de moyens mentionné à l'article L du code de la santé publique ou, à défaut, dans un engagement contractuel spécifique). b) Autre modalité de financement de l activité de soins de médecine d urgence : le forfait ATU L article L du code de la sécurité sociale pose le principe que «par dérogation aux dispositions de l'article L , certaines activités mentionnées au 1 de l'article L qui sont exercées par les établissements de santé mentionnés aux a, b, c et d de l'article L et qui, par leur nature, nécessitent la mobilisation de moyens importants, quel que soit le volume d'activité réalisé, peuvent bénéficier d'un forfait annuel ou d'un financement conjoint sous la forme de tarifs de prestations d'hospitalisation et d'un forfait annuel versé, dans les conditions prévues à l'article L La liste de ces activités est fixée par décret». Les montants de ces forfaits sont déterminés chaque année par l Etat (L ) sur communication de la Caisse Nationale d Assurance Maladie d états provisoires et définitifs du montant total de ses charges. Une fois le budget national établi, le montant des forfaits annuels de chaque établissement est fixé par le directeur de l Agence Régionale de santé L activité de régulation médicale, une activité de télémédecine La réalisation et la mise à disposition de la solution SI-Samu doivent s inscrire dans le respect des règles relatives au régime juridique de l autorisation d activité de régulation médicale urgente mais également des règles relatives aux activités de télémédecine. En effet, le décret du 19 octobre 2010 relatif à la télémédecine a qualifié la réponse médicale apportée dans le cadre de la régulation des appels d urgence gérés par les Samu d acte de télémédecine. Article R créé par le décret n du 19 octobre art. 1 Relèvent de la télémédecine définie à l'article L les actes médicaux, réalisés à distance, au moyen d'un dispositif utilisant les technologies de l'information et de la communication. Constituent des actes de télémédecine : 1 La téléconsultation, [ ] 2 La téléexpertise, [ ] Classification : non sensible, public 65 / 118

67 3 La télésurveillance médicale, [ ] 4 La téléassistance médicale, [ ] 5 La réponse médicale qui est apportée dans le cadre de la régulation médicale mentionnée à l'article L et au troisième alinéa de l'article L L acte de régulation médicale des appels d urgence, un acte de télémédecine Les actes réalisés par le médecin régulateur sont des actes médicaux, inscrits dans la relation de soins. Aussi, la personne prise en charge par le Samu bénéficie à ce titre des droits habituels consacrés par la loi : le droit à l information et la participation du patient aux décisions concernant sa santé, qui permettent de s assurer de son consentement aux soins (articles L et L du code de la santé publique) ; le droit au respect de la vie privée et au secret des informations (article L du code de la santé publique et loi n du 6 janvier 1978 modifiée, relative à l informatique, aux fichiers et aux libertés.) ; le droit d accéder à l ensemble des informations concernant sa santé (L1111-7, R et 2 du CSP). Il résulte des règles générales qui organisent le droit à l information de tout patient, que l ensemble des informations consignées et enregistrées sur support papier ou informatique à l occasion de sa prise en charge doivent être conservées et rendues accessibles (cf. Article L du CSP). Ces règles ont été précisées pour les activités de télémédecine : doivent être rapportés par tout professionnel intervenant à l acte, dans le dossier médical qu il tient, le compte-rendu de la réalisation de l acte, les actes et les prescriptions médicamenteuses effectués, l identité des professionnels de santé, la date et l heure de l acte, le cas échéant, les incidents. Le médecin régulateur est donc tenu d alimenter le dossier médical avec ce compte rendu. Ce dossier est désigné sous le terme de «dossier de régulation médicale». En synthèse Il convient dans le cadre du projet SI-Samu d organiser le circuit, la conservation (modalités, durée) du compte-rendu de l acte médicale dans le respect de ces règles. Ce point fait l objet des développements au point « L accès au dossier de régulation médicale par les médecins régulateurs des Samu» de la présente note L organisation de l activité de régulation médicale Deux dispositifs de nature contractuelle sont prévus pour encadrer l activité de télémédecine. Le premier doit être conduit par l ARS et engager les acteurs de l activité de télémédecine. Il détermine Classification : non sensible, public 66 / 118

68 les objectifs poursuivis, l insertion dans le programme régional ainsi que les engagements en termes de qualité et de sécurité des soins («contrat télémédecine»). Le second vise à décliner de façon opérationnelle l activité de télémédecine en précisant la place prise par chacun des acteurs dans l organisation et la nature de leur engagement («convention télémédecine»). Ces modalités contractuelles doivent être de nature à constituer un levier pour le développement des usages et permettre de décliner la stratégie nationale et régionale en permettant un contrôle de qualité et de conformité aux dispositions légales. Dans le cas de l activité de régulation médicale, les acteurs ne sont pas tenus de conclure entre eux une convention. (Article R du CSP) Au surplus, il résulte du guide méthodologique pour l élaboration des contrats et des conventions en télémédecine annexé à la circulaire N DGOS/PF3/2012/ 114 du 13 mars 2012 que, par souci d allègement du dispositif, les ARS pourront considérer que l existence d une procédure d autorisation et de conditions techniques de fonctionnement fixées par voie réglementaire pour organiser l activité de régulation médicale (articles L , R , D et R à R du CSP) permet de remplir les objectifs assignés à la contractualisation entre l ARS et les acteurs de l activité de régulation médicale. L absence de «contrat télémédecine» formel, pour l activité de régulation médicale ne fera pas obstacle à ce que les dispositifs de financement spécifiques s appliquent le cas échéant (FMESPP ou FIR par exemple) La mise en place de mesures de sécurité et de traçabilité La loi n du 6 janvier 1978 modifiée par la loi n du 6 août 2004 dite loi «Informatique et Libertés» qui s impose à tout responsable de traitement fixe un cadre général qui s applique à tout responsable de traitement, quel que soit son secteur d activité et son mode d exercice. En particulier, elle fait peser sur le responsable de traitement l obligation d assurer la sécurité des données personnelles qu il collecte, nonobstant le recours à un sous-traitant, qui agit «pour le compte du responsable de traitement». Le responsable de la solution SI-Samu devra mettre en œuvre des mesures de sécurité pour préserver la sécurité des données traitées par cette solution et, notamment, empêcher qu elles soient déformées, endommagées, ou que des tiers non autorisés y aient accès. (cf. article 34 de la loi Informatique et libertés), et ce dès la collecte des données et pendant toute la durée du traitement. En cas d hébergement externalisé des données de santé produites à l occasion de l activité de régulation des appels d urgence, il conviendra de recourir à un hébergeur agréé au sens de l article L du CSP, l hébergeur est le sous-traitant du responsable de traitement au sens de l article 35 de la loi Informatique et Libertés précitée. C'est à ce titre que la procédure d'agrément inclut un avis de la CNIL portant sur les garanties offertes par le candidat à l'hébergement en matière de sécurité et de confidentialité des données de santé à caractère personnel. Au surplus, des obligations particulières sont imposées par le décret du 19 octobre 2010 pour les activités de télémédecine. Classification : non sensible, public 67 / 118

69 Les professionnels de santé ou les personnes intervenant sous leur autorité dans le cadre de la prise en charge en urgence doivent être authentifiés. Le patient lui-même doit être identifié. Les données relatives à l acte médical (le compte-rendu de la réalisation de l acte, les actes et les prescriptions médicamenteuses effectués, l identité des professionnels de santé, la date et l heure de l acte, le cas échéant, les incidents) doivent être rapportées dans le dossier médical de la personne. Plus généralement, le dispositif de télémédecine doit permettre de garantir la traçabilité des actions de chaque intervenant, à chaque étape du processus de prise en charge, ainsi que de tous les événements liés à l acte de télémédecine. Enfin, toute activité de télémédecine implique l usage de technologies conformes aux référentiels de sécurité et d interopérabilité visés à l article L du code de la santé publique. Le choix des mesures de sécurité pour le traitement et la conservation sur support informatique de données de santé à caractère personnel, ainsi que la transmission par voie électronique entre professionnels de santé doivent obligatoirement s inscrire dans le respect des référentiels de sécurité et d interopérabilité visés à l article L alinéa 4 et des prescriptions adoptées en application de l article L1110-4, dont le recours à la carte de professionnel de santé ou tout dispositif équivalent agréé par l ASIP Santé Le cadre juridique de l échange et du partage des données de santé produites à l occasion de l activité de régulation médicale urgente Les données collectées auprès des patients par les professionnels exerçant au sein des Samu et des centres 15 sont des données de santé à caractère personnel, qui bénéficient, en raison de leur sensibilité, d une protection renforcée placée sous la responsabilité du responsable de traitement au sens de la loi n du 6 janvier 1978 modifiée dite loi informatique et libertés. Comme tout acte médical, l intervention médicale sur un patient pris en charge à la suite d un appel au centre 15 doit être tracée et conservée, comme l appel lui-même. Les données collectées à l occasion de cet appel téléphonique prennent notamment la forme d enregistrements sonores. Il y a lieu de s interroger au regard des caractéristiques du projet SI-Samu sur le périmètre des données collectées à conserver, sur l accès à ces données ainsi que sur la durée et les modalités de leur conservation La nature des données traitées La solution SI-Samu cible traitera de différentes catégories de données, dont des données de santé à caractère personnel qui bénéficient en raison de leur sensibilité d un régime juridique propre: droit d accès direct du patient, mesures de sécurité techniques, durée de conservation spécifique, etc. Il existe donc un enjeu fort résidant dans la détermination des données entrant dans cette catégorie particulière. Classification : non sensible, public 68 / 118

70 A la lecture du rapport et des échanges préparatoires à l étude de faisabilité, cette question a par exemple été soulevée pour les données dites de géolocalisation du patient faisant l objet d un appel au centre 15, des données de paramétrages des équipements. Il a également été évoqué la diversité des formes de la donnée (voix, images, etc.). A approfondir Il conviendra d identifier, dans le cadre des prochaines avancées du projet, toutes les catégories de données traitées pour répondre à la finalité principale du système d information cible et de déterminer pour chacune d elles le régime juridique applicable, toutes n ayant pas vocation à être conservées dans le dossier de régulation médicale L accès aux données produites dans le cadre de l activité de régulation médicale des appels au Samu La solution SI-Samu cible doit organiser l accès aux données produites dans le cadre de l activité de régulation médicale des appels au Samu au bénéfice, d une part, des patients et, d autre part, des professionnels participant à leur prise en charge. a) Le droit d accès direct du patient à son dossier médical Le patient peut, depuis la loi du 4 mars 2002, obtenir une communication directe de ses données de santé recueillies à l occasion d activité de prévention, de diagnostic ou de soins en s adressant au professionnel de santé, à l établissement de santé ou à l hébergeur de données de santé le cas échéant. La communication de données de santé est encadrée par des délais. La dématérialisation des dossiers patients doit garantir l effectivité de ce droit, notamment en permettant la communication des seules informations demandées dans le respect des délais légaux, y compris lorsque les dossiers sont conservés et archivés chez un hébergeur agréé. Le droit d accès au patient ne s étend ni aux notes personnelles ni aux mentions à l égard des tiers. b) Le droit d accès aux données médicales des professionnels de santé participant à la prise en charge des patients en urgence En application de l article R du code de la santé publique, les professionnels de santé participant à l acte de télémédecine doivent avoir accès aux données médicales du patient nécessaires à la réalisation de l'acte. Le cadre juridique de l échange et du partage de données de santé à caractère personnel Le droit commun de l échange de données de santé à caractère personnel entre professionnels de santé est fixé à l article L du code de la santé publique. Les conditions à respecter en application de cet article varient en fonction des différents contextes d exercice des professionnels, selon qu ils exercent ou non dans le même établissement de santé, ou qu ils exercent au sein d une maison ou d un centre de santé. Classification : non sensible, public 69 / 118

71 L échange d informations entre des professionnels de santé n exerçant pas dans la même structure est toujours possible, sauf opposition de la personne concernée. En outre, il est limité aux seules informations nécessaires à la continuité des soins. Lorsque les professionnels de santé exercent au sein d un établissement de santé, ce sont toutes les informations concernant la personne prise en charge qui sont réputées confiées à l équipe de soins qu ils forment entre eux. Les professionnels faisant partie de cette équipe peuvent donc, en pratique, non seulement échanger mais également partager des données de santé, sauf opposition de la personne concernée. Le partage est entendu comme la mise à disposition des informations utiles sur la personne prise en charge au bénéfice des professionnels amenés à en connaître. L accès au dossier de régulation médicale par les médecins régulateurs des Samu En application de l article L. L du CSP, le médecin régulateur fait partie de l équipe de soins et est habilité à accéder aux dossiers des patients qui ont déjà séjourné au sein de l établissement de santé autorisé dans lequel il exerce. On rappellera qu il doit lui-même alimenter ce dossier en application de l article R du CSP. Le dossier patient ne peut être partagé par les professionnels de santé relevant des autres établissements de santé. En effet, en l état actuel des textes, le partage du dossier patient n est autorisé qu au bénéfice de l équipe de soins exerçant au sein d un même établissement de santé. La seule exception organisée par la loi permettant de mettre en partage un dossier médical est le dossier médical personnel, dont la création nécessite le consentement du patient (cf. articles L et suivants du CSP). L accès par les médecins régulateurs des différents Samu aux données médicales des patients qu ils prennent en charge peut donc être effectué au travers : du DMP, en fonction des autorisations délivrées par le patient et aux informations utiles à la coordination des soins entre les différents intervenants; l article L I du CSP prévoit des règles propres à l accès par le médecin régulateur du Samu au DMP 15. d une messagerie de l espace de santé, telle que MSSanté, après information du patient. Lorsque le patient ne dispose pas de DMP, un échange d informations relative à la prise en charge du patient entre professionnels de santé est possible après information de la personne concernée qui dispose d un droit d opposition (cf. article L décliné et article R du code de la santé publique). La solution SI-Samu offrira des fonctionnalités permettant la mise en œuvre des mécanismes de de coopération inter-samu nécessitant le partage de dossiers entre Samu. Le projet SI-Samu conduit ainsi à s interroger sur la possibilité d ouvrir l accès du dossier du patient au-delà des frontières 15 «Le médecin régulateur du centre de réception et de régulation des appels d'aide médicale urgente mentionné à l'article L qui reçoit un appel concernant une personne accède, sauf si cette personne avait auparavant manifesté son opposition expresse à ce que son dossier soit consulté dans une telle situation, au dossier médical personnel de celle-ci.» Classification : non sensible, public 70 / 118

72 physiques de l établissement de santé autorisé, au profit des professionnels de santé qui concourent à la prise en charge du patient mais sans être juridiquement rattachés à l établissement. L ASIP Santé porte actuellement cette proposition dans le cadre des travaux relatifs à la politique générale des systèmes d information partagés de santé (PGSSI). Elle nécessite de modifier les termes de l article L du code de la santé publique en consacrant la distinction des notions, d échange et de partage et en souhaitant l ouverture de la notion d équipe de soins au-delà de l établissement de santé stricto sensu. La mise en œuvre efficace d organisations innovantes rendues possibles par le SI-Samu nécessite une telle modification. Recommandation Il est proposé de modifier l article L du code de la santé publique, afin de consacrer la distinction des notions d échange et de partage et également l ouverture de la notion d équipe de soins au-delà de l établissement de santé stricto sensu. L accès par d autres professionnels aux données de santé à caractère personnel La mise en place d un système d information national Samu-Centres 15 doit permettre à cette pluralité d acteurs de disposer des informations nécessaires à l exercice de leurs missions. Cet accès devra être organisé dans le respect des droits des patients et de la protection de leurs données de santé. Le législateur prévoit explicitement l interconnexion des centres de réception et de régulation des appels: - avec les dispositifs des services de police et d incendie et de secours (article L du code de la santé publique) - avec les centres d'appel des associations de permanence des soins Cette notion d interconnexion a une définition précise pour la CNIL et impose au responsable de traitement de respecter des formalités spécifiques préalablement à la mise en œuvre du traitement. Il est donc important de savoir ce qu elle recouvre au plan technique. Des précisions sont fournies dans le référentiel commun «organisation du secours à la personne et de l aide médicale urgente «du 25 juin 2008 et dans le référentiel précité relatif à l organisation de la réponse ambulancière à l urgence pré-hospitalière» du 9 avril D une façon générale, les échanges de données médicales entre les centres 15 et les acteurs de la prise en charge des patients en urgence présentés plus haut (établissements de santé, SDIS, médecins libéraux, etc.) devront être conformes au cadre juridique prévu par l article L du code de la santé publique, rappelé ci-dessus. Classification : non sensible, public 71 / 118

73 Au surplus, s ils donnent lieu à la création de fichiers informatiques destinés à conserver les données ainsi échangées, le cadre de cette transmission est fixé par la loi du 6 janvier 1978 modifiée relative à l informatique, aux fichiers et aux libertés. Ces dispositifs devront donc respecter les principes de la protection des données personnelles. Au-delà des éventuelles formalités préalables à accomplir auprès de la CNIL, il conviendra d apprécier la pertinence des données collectées au regard de la finalité affichée par la loi et de préciser au sein des SIS la qualité professionnelle des personnes habilitées à consulter les données, les modalités de cet accès (carte CPS ou dispositif équivalent). A approfondir Il y aura lieu d identifier dans le cadre de la poursuite des travaux relatifs au SI-Samu tous les traitements au sens de la loi Informatique et Libertés déjà constitués notamment au sein des Samu migrant dans la solution SI-Samu, devant être supprimés ou au contraire créés dans le cadre du projet SI-Samu pour assurer la transmission des données entre les différents acteurs intervenant dans la prise en charge des patients. Cette analyse devra être faite pour tous les échanges de données relatives aux patients entre les Samu et leurs partenaires, que ce soit pour la réception de la demande de prise en charge émanant d un partenaire ou pour la transmission des informations relatives à l envoi d un effecteur partenaire Le régime juridique du dossier de régulation médicale a) Le dossier de régulation médicale, composante du dossier du patient Seul un établissement de santé 16 peut être autorisé à organiser la régulation médicale des appels adressés au service d aide médicale urgente dans le cadre de l autorisation d exercice de l activité de soins de médecine d urgence. Au surplus, chaque établissement de santé est tenu, en application de l article R du CSP de constituer «un dossier médical ( ) pour chaque patient hospitalisé». L article R du CSP définit ce que doit contenir au minimum le dossier médical de chaque patient. La liste des éléments le constituant n est toutefois pas exhaustive. Il appartient donc à l établissement de santé autorisé, responsable de la tenue du dossier du patient, d organiser la collecte des données médicales produites à l occasion de l activité de 16 Article L du CSP «L'autorisation ne peut être accordée qu'à : 1 Un ou plusieurs médecins, éventuellement associés pour leur exercice professionnel ou pour la mise en commun de moyens nécessaires à cet exercice ; 2 Un établissement de santé ; 3 Une personne morale dont l'objet porte, notamment, sur l'exploitation d'un établissement de santé, d'une activité de soins ou d'un équipement matériel lourd mentionnés à l'article L ou la pratique des activités propres aux laboratoires de biologie médicale.» Classification : non sensible, public 72 / 118

74 régulation médicale des appels au Samu. L ensemble de ces informations constitue le dossier de régulation médicale. La Haute Autorité de Santé, dans les «Recommandations de bonne pratique relative aux modalités de prise en charge d un appel de demande soins non programmés dans le cadre de la régulation médicale» de mars 2011 indique que chaque information, notamment les motivations des décisions de régulation médicale, doit faire l objet d un recueil minutieux dans le dossier de régulation médicale. Dans la synthèse de ses recommandations, la HAS indique que ce dossier est «un dossier médical au sens du code de la santé publique, il doit être conservé et éventuellement conservé conformément aux dispositions légales». Il n est toutefois pas préciser expressément que le dossier de régulation médicale est une composante du dossier du patient hospitalisé visé à l article R du code de la santé publique et donc soumis aux règles applicables à ce dernier. La détermination du régime juridique applicable à ce dossier est structurante dans le cadre du projet SI-Samu: il en découle les règles relatives à la nature et périmètre des données à collecter, à la durée de conservation, aux droits du patient (par exemple les modalités d accès au dossier) et enfin les règles de destruction des données. Recommandation Il est recommandé d affirmer expressément dans le cadre du projet SI-Samu que le dossier de régulation médicale est une composante du dossier du patient tenu par l établissement de santé dans lequel le médecin régulateur exerce. b) Durée et modalités de conservation du dossier de régulation médicale Dès lors, l alimentation du dossier du patient et la conservation des données de santé à caractère personnel qu il contient doivent être réalisées dans le respect des règles fixées aux articles R précité et R Ce dernier énonce que les «informations concernant la santé des patients sont soit conservées au sein des établissements de santé soit auprès d un hébergeur agréé [ ] pendant une durée de vingt ans à compter de la date du dernier séjour de son titulaire dans l établissement ou de la dernière consultation en son sein [ ].». S agissant de la conservation des données collectées et produites lors de l activité de régulation médicale, elles peuvent être soit conservées par les organismes qui les ont collectées, soit hébergées par un prestataire tiers. Dans la mesure où ces données de santé sont recueillies ou produites «à l'occasion des activités de prévention, de diagnostic ou de soins» et proviennent de professionnels de santé ou de la personne concernée, elles sont soumises au respect des dispositions de l article L du code de la santé publique sur l hébergement et précisées par le décret du 4 janvier Les règles relatives à la suppression définitive des données sont fixées à l article R du CSP : Classification : non sensible, public 73 / 118

75 «A l'issue du délai de conservation [ ]et après, le cas échéant, restitution à l'établissement de santé des données ayant fait l'objet d'un hébergement en application de l'article L , le dossier médical peut être éliminé. La décision d'élimination est prise par le directeur de l'établissement après avis du médecin responsable de l'information médicale. Dans les établissements publics de santé et les établissements de santé privés participant à l'exécution du service public hospitalier, cette élimination est en outre subordonnée au visa de l'administration des archives, qui détermine ceux de ces dossiers dont elle entend assurer la conservation indéfinie pour des raisons d'intérêt scientifique, statistique ou historique.» C est ce qu a rappelé la Cour Administrative d'appel de Marseille, dans le jugement N 07MA02024 du 25 juin 2009, pour les enregistrements sonores des Samu. A approfondir Dans le cadre du projet SI-Samu pour les motifs exposés ci-dessus, la durée de conservation du dossier de régulation médicale, composante du dossier du patient tenu par l établissement de santé, serait fixée à 20 ans. Les travaux ultérieurs devront affiner le circuit et les modalités de conservation du dossier de régulation médicale ainsi que la répartition des responsabilités entre les établissements de santé autorisés et la future structure de portage qui sera en charge de l exploitation de la solution SI- Samu. c) Cas particulier des enregistrements sonores Outre l obligation de traçabilité, les enregistrements des communications téléphoniques entre les professionnels de santé et les patients répondent à un besoin des professionnels de santé. Ils permettent une réécoute immédiate des informations (adresse, digicode, identité, n de téléphone, etc.) mal comprises lors de la réception de l'appel pour diriger l'envoi des secours. L article L du code de la santé publique donne à la personne accès aux informations de santé formalisées. Celles-ci doivent être comprises au plus simple : il s agit des informations auxquelles est donné un support (écrit, photographie, enregistrement, etc.) avec l intention de les conserver et sans lequel elles seraient objectivement inaccessibles. (cf. Arrêté du 5 mars 2004 portant homologation des recommandations de bonnes pratiques relatives à l'accès aux informations concernant la santé d'une personne, et notamment l'accompagnement de cet accès). Dans un avis n du 2 décembre 2004, la commission d accès aux documents administratifs a qualifié les enregistrements sonores des communications téléphoniques du Samu de document administratif présentant donc un caractère communicable. A l occasion de ce raisonnement, elle a affirmé, que «même s il ne fait pas partie de son dossier médical au sens strict», ce type de document contient des informations «qui ont contribué à l élaboration et au suivi du diagnostic de la personne décédée et de ce fait, [ ].» La CADA a estimé qu ils ne font pas partie du dossier patient stricto sensu mais que ces enregistrements contribuent à l élaboration et au suivi du diagnostic la personne. Classification : non sensible, public 74 / 118

76 Le juge judiciaire 17 dans un jugement du 25 juin 2009, a clairement affirmé l obligation qui pèse sur l établissement de santé d organiser la conservation de ces informations, sans toutefois trancher sur le point de savoir s ils font ou non partie du dossier du patient hospitalisé : «Considérant que l'enregistrement des échanges téléphoniques entre le médecin régulateur du Samu et ses interlocuteurs constitue un document produit par l'hôpital dans l'exercice de son activité ; que, procédant de l'activité d'un établissement public, ce document présente le caractère d'une archive publique ; que sa conservation et son éventuelle destruction étaient dès lors régies, contrairement à ce que soutient le centre hospitalier en défense, par les prescriptions susmentionnées ; qu'il est constant que si les bandes d'enregistrement en cause ont été détruites, cette destruction est intervenue en dehors desdites prescriptions ;» L analyse de la jurisprudence ne permet pas d affirmer que les enregistrements sonores font partie du dossier patient hospitalisé et seraient donc soumis aux mêmes règles. L arrêté du 20 octobre 2011 fixant les règles de traçabilité des appels traités dans le cadre de la permanence des soins en médecine ambulatoire, pris en application de l'article R du code de la santé publique prévoit que «les centres de régulation médicale susceptibles de recevoir des appels de permanence des soins procèdent à un enregistrement sonore des appels qu'ils traitent. Les enregistrements de ces appels sont conservés pendant une durée de cinq ans. Ce délai est suspendu par l'introduction de tout recours gracieux ou contentieux tendant à mettre en cause la responsabilité médicale des professionnels de santé concernés.» Si la nécessité de conserver les enregistrements des appels reçus par le centre de réception et de régulation des appels ne fait pas de doute, leur appartenance au dossier du patient hospitalisé soulève donc des interrogations, qui ne permettent pas en particulier de connaître la durée de leur conservation. 17 Cour Administrative d'appel de Marseille, N 07MA02024 du 25 juin 2009 «Considérant qu'aux termes de l'article 1er de la loi n du 3 janvier 1979 (cf. articles L et L du code du patrimoine), les archives sont l'ensemble des documents, quels que soient leur date, leur forme et leur support matériel, produits ou reçus par toute personne physique ou morale et par tout service ou organisme public ou privé dans l'exercice de leur activité. La conservation des archives est organisée dans l'intérêt public tant pour les besoins de la gestion et de la justification des droits des personnes physiques ou morales, publiques ou privées, que pour la documentation historique de la recherche. ; qu'aux termes de l'article 3 de la même loi, repris à l' article L du même code : Les archives publiques sont : a) Les documents qui procèdent de l'activité de l'etat des collectivités territoriales des établissement et des entreprises publiques (...) ; qu'aux termes de l'article 4 de ladite loi, repris à l'article L dudit code : A l'expiration de leur période d'utilisation courante par les services, établissements et organismes qui les ont produits ou reçus, les documents mentionnés à l'article L et autres que ceux mentionnés à l'article 3 font l'objet d'un tri pour séparer les documents à conserver et les documents dépourvus d'intérêt administratif et historique, destinés à l'élimination. La liste des documents destinés à l'élimination ainsi que les conditions de leur élimination sont fixées en accord entre l'autorité qui les a produits ou reçus et l'administration des archives ; qu'aux termes de l'article 16 du décret n du 3 décembre 1979 : Lorsque les services, établissements et organismes désirent éliminer les documents qu'ils jugent inutiles, ils en soumettent la liste au visa de la direction des Archives de France. Toute élimination est interdite sans ce visa. ;» Classification : non sensible, public 75 / 118

77 A approfondir L étude de faisabilité a retenu une durée de 10 ans, durée alignée sur le délai de prescription de l action en responsabilité médicale. Les travaux ultérieurs devront préciser les modalités de conservation des enregistrements sonores et la répartition des responsabilités entre les établissements de santé autorisés et la future structure de portage qui sera en charge de l exploitation de la solution SI-Samu La réutilisation des données collectées dans le cadre de l activité des Samu Outre leurs missions directement liées à l'exercice de l'aide médicale urgente, les services d'aide médicale urgente participent aux tâches d'éducation sanitaire, de prévention et de recherche. (Article R du CSP). L'établissement de santé titulaire de l'autorisation d activité de soins de médecine d urgence : contribue à l'évaluation et au développement de la connaissance de la médecine d'urgence pour améliorer la qualité et la sécurité de la prise en charge des patients ; apporte [ ] son concours à la formation des professionnels de santé, des ambulanciers, des secouristes et de tout personnel dont la profession requiert une telle formation ; participe à la veille et à l'alerte sanitaires à partir des informations extraites du système d'information des structures de médecine d'urgence, en lien avec l'institut de veille sanitaire; participe aux actions de prévention et d'éducation à la santé. Dans son guide de mars 2011, la HAS recommande que «l ensemble des dossiers alimente la base de données à partir de laquelle sont notamment réalisées la veille et les alertes sanitaires, la mesure d activité et l évaluation des pratiques.» A approfondir La mise en œuvre de ces missions dans le cadre du projet SI-Samu nécessitera d organiser l exploitation des données collectées initialement dans le cadre de l activité médicale d urgence, dans le respect des droits des personnes concernées A côté du dossier de régulation médicale a) Liste des patients pris en charge en HAD Des pratiques nouvelles se sont développées afin d améliorer la prise en charge en urgence de patients présentant des risques graves pour leur santé, nécessitant d échanger et parfois de partager des informations médicales sur ces patients entre professionnels de santé, de façon anticipée, en amont d une prise en charge en urgence. Classification : non sensible, public 76 / 118

78 Ainsi, par exemple, des établissements d HAD concluent des conventions avec le Samu en lui fournissant a minima la liste de leurs patients et parfois un dossier médical, dans le cadre de leur obligations relatives à la permanence des soins. Il s agit également d une recommandation de la HAS (cf recommandations de mars 2011 précitées) : «Les centres de régulation médicale s organisent pour que le médecin régulateur ait accès, aux dossiers patients (DMP, dossier pharmaceutique, fiche de liaison des EHPAD, dossier HAD, dossiers hospitaliers informatisés, dossiers infirmiers, accès aux appels antérieurs de même patient, etc.)» Elle précise que cet accès doit se faire «selon la législation en vigueur, les conventions établies par le centre avec ses partenaires, et les possibilités techniques». Dans la mesure où ces données de santé à caractère personnel font l objet d un traitement au sens de la loi n du 6 janvier 1978 dite loi Informatique et libertés, la mise en place de ces fichiers nécessite d identifier le responsable de traitement, qui devra s assurer du respect des principes clés qui encadrent tout traitement de donnée à caractère personnel. En outre, tout responsable de traitement ne peut mettre en œuvre un traitement automatisé contenant des données à caractère personnel qu après s être assuré du respect des formalités préalables applicables à la mise en œuvre du traitement. Chaque dispositif doit donc faire l objet d une analyse au cas par cas afin de définir les règles qui lui sont applicables. b) La carte de soins et d urgence Un autre dispositif existe pour les malades atteints de maladies rares. Il consiste à délivrer à ces personnes des cartes de soins et d urgence. A chaque consultation urgente ou non, le malade est invité à présenter sa carte aux différents professionnels de santé (médecin, infirmière, kinésithérapeute ) qui peuvent ainsi, avec le médecin assurant la prise en charge, mettre en place une meilleure coordination des soins. La carte est délivrée et remplie en présence et avec l accord du malade. Elle constitue un outil d information de coordination de la prise en charge qui devrait permettre d améliorer la prise en charge de ces patients. En synthèse Une analyse au cas par cas de la pertinence de la mise en œuvre de ces outils est nécessaire, notamment pour s assurer des conditions dans lesquelles sont collectées les données de santé à caractère personnel des personnes concernées et des liens à créer avec le dossier médical personnel. Classification : non sensible, public 77 / 118

79 6.5. La nécessaire implication des établissements de santé autorisés dans la gouvernance du projet SI-Samu Le programme SI-Samu implique de multiples acteurs avec l objectif de réalisation d un produit fiable répondant aux besoins des acteurs métier et soutenu par ces acteurs. La gouvernance du programme doit donc : permettre une participation large des acteurs de l urgence, impactés par le programme ; favoriser la prise de décision claire, sur la base des besoins métiers, et cohérente afin de répondre aux exigences de gestion d un programme de mise en œuvre ; assurer une visibilité forte des actions menées dans le cadre du programme. La poursuite de ces objectifs doit également permettre de tenir compte des enjeux attachés à la responsabilité des établissements de santé titulaires de l autorisation d activité de régulation médicale urgente Les différentes responsabilités des établissements de santé attachées à l autorisation d activité de régulation médicale des appels d urgence Les établissements de santé autorisés ont la responsabilité pleine et entière des modalités d exploitation de l autorisation qui leur a été délivrée et de la protection des données de santé produites à l occasion de l activité de régulation médicale des appels d urgence. a) La responsabilité liée aux obligations relatives à l organisation et à la sécurité des soins En application de l article L du CSP, «quelle que soit la forme de gestion ou d'exploitation adoptée par la personne titulaire de l'autorisation, celle-ci en demeure le seul responsable, notamment au regard des obligations relatives à l'organisation et à la sécurité des soins.» Les titulaires de l autorisation d activité de soins sont donc libres de déterminer les modalités de gestion ou d exploitation de l activité. Ils peuvent, par exemple, recourir, dans le respect des règles de la commande publique, à un tiers pour la réalisation d une prestation en lien avec la gestion ou l exploitation de l autorisation d activité de soins. Toutefois, le mode d organisation retenu par le titulaire ne devrait pas aller jusqu à lui faire perdre la maîtrise de l organisation et la sécurité des soins, dont il demeure responsable. Lorsqu un dommage corporel survient à l occasion de la prise en charge d un patient, il est tenu compte des circonstances de la réalisation du préjudice par le juge afin d apprécier dans le cadre de l action la répartition des responsabilités. Mais les établissements de santé autorisés seront rendus responsables dès lors qu il est établi que le préjudice est dû à un manquement aux obligations relatives à l organisation et à la sécurité des soins. Dans le domaine de l urgence, la responsabilité des établissements de santé autorisés peut ainsi être engagée en cas de dommages résultant directement et de façon certaine d'une prise en charge préhospitalière trop longue ayant entraîné des complications ou l'engagement du pronostic vital, d'une mauvaise appréciation de l'état de la victime et de son orientation vers une structure inadaptée en moyens et personnel en transfert primaire. Classification : non sensible, public 78 / 118

80 Le juge apprécie les conditions d'intervention du Samu en fonction des informations et des moyens à sa disposition. Il a ainsi été jugé que, compte tenu des conditions météorologiques ou de visibilité, la décision de renoncer au transport du malade par hélicoptère n'a pas constitué une faute de nature à engager la responsabilité du centre hospitalier (CE, 20 juin 1997, n ). A l'inverse, le fait pour le Samu d'intervenir avec retard au domicile d'une personne malade en raison d'une adresse incomplète communiquée par le malade alors même qu'il appartenait au Samu de se faire préciser toute information nécessaire afin de se rendre dans les meilleurs délais au domicile de la personne malade, constitue une intervention défectueuse, engageant à ce titre la responsabilité du centre hospitalier (CAA Douai, 12 novembre 2003, n 02DA00492). Le médecin, comme tout agent du service public hospitalier, n'est en principe pas responsable personnellement de la réparation du dommage causé au patient, sa faute engageant la responsabilité de l'hôpital. La seule exception est l'hypothèse de la faute détachable du service, à savoir une faute d'une gravité exceptionnelle tenant à la personnalité ou à la conduite de l'agent (état d'ivresse manifeste, défaut de prise de garde, par exemple). En matière pénale, la responsabilité est en revanche toujours personnelle. Les infractions pour lesquelles le médecin du Samu peut être poursuivi sont en particulier le délit de non-assistance à personne en danger (art , al. 2 du Code pénal) ainsi que les délits non intentionnels tels que l'homicide ou les blessures involontaires (art , et suivants du Code pénal). En cas de litige, les enregistrements téléphoniques sont des éléments de preuve déterminant pour la répartition des responsabilités. En effet, les informations reçues et les réponses données par le médecin régulateur permettent au juge d apprécier sa conduite et ses décisions. Ainsi, a été relaxé du chef de non- assistance à personne en danger le médecin régulateur qui, s'il a sous-estimé la gravité du cas d'un patient qui justifiait un déplacement d'urgence du moyen le plus médicalisé possible, a mis en œuvre le mode d'assistance le plus approprié, en l'espèce l'appel au médecin traitant, le service du Samu ne disposant alors que de deux médecins, dont l'un déjà en intervention (Cass., 26 mars 1997, n ). b) La qualité de responsable du traitement des SI des Samu Dans l organisation actuelle des services d aide médicale urgente, les établissements de santé sont en outre les responsables des traitements mis en œuvre pour collecter et exploiter les données de santé relatives aux patients pris en charge dans le cadre de l activité d AMU. Il leur appartient notamment d assurer le fonctionnement des moyens informatiques et téléphoniques conformément à la loi n du 6 janvier 1978 modifiée dite «loi Informatique et Libertés». Ils ont l obligation d organiser la collecte, l accès et la conservation des données de santé produites dans le cadre de l activité de régulation médicale dans le respect de la loi précitée et des règles spécifiques au dossier du patient hospitalisé. Ils doivent enfin veiller à recourir, le cas échéant, à un hébergeur agréé de données de santé à caractère personnel (cf. article L du CSP). Il y a donc lieu d approfondir les conditions juridiques dans lesquelles les établissements de santé autorisés vont être impliqués dans les différentes phases du projet SI-Samu, l établissement de Classification : non sensible, public 79 / 118

81 santé titulaire de l autorisation demeurant responsable de l organisation et de la sécurité des soins, quelle que soit la forme de gestion ou d'exploitation qu il adopte (art. L du CSP) La nécessaire implication des établissements de santé autorisés dans la gouvernance du projet SI-Samu Afin de s assurer du respect des exigences juridiques qui pèsent sur eux et de prendre en compte leurs attentes, les établissements de santé doivent être impliqués dès la phase de construction de la solution SI-Samu mais également lors des étapes dites de déploiement et de mode régulier. En effet, le déploiement dans l ensemble du SI-Samu pourrait venir impacter d un point de vue organisationnel la gestion des moyens en matériel et en personnel médical et non médical chargé de la réception et de la régulation des appels au sein des Samu, placés sous la responsabilité de chaque établissement de santé autorisé pour l activité de régulation médicale des appels d urgence ou du réseau de prise en charge des urgences. A titre d exemple, le futur SI-Samu offrira des fonctionnalités de pilotage supra-samu permettant de mieux connaître l activité globale des Samu et ouvrant la possibilité de mettre en œuvre des mécanismes de fonctionnement et de coopération inter-samu, en particulier en situation de tension, de crise, ou pour faire face à une panne inopinée ou une maintenance programmée. Ces mécanismes conduiront à la mise en œuvre d une logique d «entraide» entre les établissements de santé autorisés. Aujourd hui, l entraide n est pas expressément prévue par les dispositions réglementaires relatives à l autorisation d activité de régulation médicale urgente. Cette mission semble relever en l état de la réglementation des missions du réseau de prise en charge des urgences. Au surplus, la création du SI-Samu pose la question d une harmonisation des pratiques en vigueur au sein de tous les Samu. Ces travaux d harmonisation sont susceptibles d aboutir à la rédaction de nouvelles règles, dont la nature et le statut juridiques restent à être déterminés. D ores et déjà, la nécessité de mettre en place un référentiel métier commun à l ensemble des Samu, dédié à la médecine d urgence a été identifiée comme un facteur indispensable au bon fonctionnement de la future solution SI-Samu. La définition de ce référentiel, des nomenclatures et codages liés pourra être pilotée par l ASIP Santé, conformément à ces missions, et être soutenue par la Société Française de la Médecine d Urgence ainsi que par l association Samu Urgences de France. Ces travaux seront menés dès le lancement du programme de modernisation. En synthèse L étude de faisabilité comporte un volet consacré à la gouvernance du projet et prévoit notamment un axe «participation» relatif aux instances composées notamment des Samu mais également d autres acteurs intervenant dans la prise en charge des urgences. Cette proposition de gouvernance s articule autour du rôle central de la structure de portage. Classification : non sensible, public 80 / 118

82 Le recours à une structure juridique dite «structure de portage» Pour les motifs qui viennent d être exposés, le recours à une structure de portage, dotée de la personnalité morale apparaît nécessaire, afin de servir d appui à la gouvernance du projet. Cette structure organiserait l implication des établissements de santé et aurait pour mission d animer et de coordonner les mesures d accompagnement nécessaires au déploiement de la solution et, le cas échéant, d identifier les éventuelles évolutions à apporter aux textes encadrant l activité de régulation médicale urgente. A approfondir Les avancées du projet, en particulier le choix d une des deux hypothèses relatives aux modalités de mise à disposition de la solution SI-Samu (in-house ou droit exclusif limité) permettra de déterminer plus précisément : s il s agit d une structure existante ou d une structure dédiée devant donc être créée ; le rôle et les missions de cette structure de portage, les conditions dans lesquelles les acteurs métiers, en tout particulièrement les établissements de santé autorisés seront impliqués dans la réalisation de ses missions, l articulation avec les réseaux de prise en charge des urgences, dont les missions sont à ce jour de contribuer à assurer l'accès à des compétences, à des techniques et à des capacités d'hospitalisation dont ne dispose pas chacun des établissements membres, et coordonner leurs actions et leurs moyens La définition d un programme national de télémédecine consacré à la mise en œuvre du SI-Samu au sein des établissements de santé autorisés Outre le recours à une structure de portage, il apparaît opportun de bénéficier d un véhicule juridique pour apporter toutes les précisions nécessaires sur la conduite de ce projet dont la mise en œuvre est programmée sur plusieurs années (cf. Etude juridique relative au choix de l outil contractuel relatif à la réalisation de la solution SI-Samu et aux modalités de mise à disposition) et lever les ambigüités et interrogations relatives au régime juridique du dossier de régulation médicale et aux enregistrements sonores identifiées dans la présente note. Le décret télémédecine prévoit que : «l'activité de télémédecine et son organisation font l'objet : 1 Soit d'un programme national défini par arrêté des ministres chargés de la santé, des personnes âgées, des personnes handicapées et de l'assurance maladie ; 2 Soit d'une inscription dans l'un des contrats pluriannuels d'objectifs et de moyens ou l'un des contrats ayant pour objet d'améliorer la qualité et la coordination des soins, [ ]» (Article R du CSP). Classification : non sensible, public 81 / 118

83 Recommandation Il est recommandé que le programme SI-Samu fasse l objet d un programme national défini par arrêté des ministres chargés de la santé, des personnes âgées et des personnes handicapées et de l assurance maladie Les obligations pesant sur les opérateurs de téléphonie publique pour assurer le fonctionnement du SI-Samu Les obligations des opérateurs de services de communications électroniques ouverts au public présentées ci-dessous, sont celles qui présentent d emblée une dimension intéressant le projet SI- Samu Notion d opérateur On entend par opérateur toute personne physique ou morale exploitant un réseau de communications électroniques ouvert au public ou fournissant au public un service de communications électroniques. (cf. article L32 du code des postes et télécommunications électroniques Il résulte du «Guide juridique pour les opérateurs locaux et les collectivités» établi par l ARCEP en 2007 qu un opérateur peut être une personne physique ou morale qui exploite un réseau de communications électroniques ouvert au public ou qui fournit au public un service de communications électroniques. Dans le premier cas, le critère déterminant porte sur l existence d un réseau de communications électroniques ouvert au public. Il est constitué de tout type d installation de transport ou de diffusion ainsi que, le cas échéant, de tous les moyens, notamment de commutation et de routage, assurant l acheminement de communications électroniques. Ce réseau est dit «ouvert au public» dès lors qu il est établi ou utilisé pour fournir des «services de communication au public par voie électronique» ou des «services de communications électroniques» à l attention du public. Dans le second cas, le critère retenu par le législateur concerne la notion de service proposé au public. Le «service de communication électronique» s entend de toute prestation qui, au moins à titre principal, permet l émission, la transmission ou la réception de signes, de signaux, d écrits, d images ou de sons par voie électromagnétique Obligations des opérateurs Les opérateurs sont tenus de mettre en œuvre des règles susceptibles de concerner directement le projet SI-Samu a) Champ d application de ces obligations Les obligations présentées pèsent sur l ensemble des opérateurs qui répondent à la définition fixée dans le code des postes et télécommunications. A l origine monopole d État reconnu de France Classification : non sensible, public 82 / 118

84 Telecom, le secteur des communications électroniques a en effet été totalement ouvert à la concurrence en 1998 pour répondre aux exigences de la Communauté Européenne. Avec l ouverture de ce marché et l évolution des réseaux et des services, les opérateurs se sont multipliés : en 2013, plus de 1200 sont déclarés à l Autorité de régulation des communications électroniques et des postes (ARCEP). A ce stade de la réflexion, il y a lieu d attirer plus particulièrement l attention sur les règles suivantes : b) Règles portant sur les conditions de permanence, de qualité et de disponibilité du réseau et du service. (cf. article D98-4 du CPCE, modifié par Décret n du 13 avril art. 1) Conditions de permanence du réseau et des services. L'opérateur doit prendre les dispositions nécessaires pour assurer de manière permanente et continue l'exploitation du réseau et des services de communications électroniques et pour qu'il soit remédié aux effets de la défaillance du système dégradant la qualité du service pour l'ensemble ou une partie des clients, dans les délais les plus brefs. Il prend toutes les mesures de nature à garantir un accès ininterrompu aux services d'urgence. L'opérateur met en oeuvre les protections et redondances nécessaires pour garantir une qualité et une disponibilité de service satisfaisantes. Disponibilité et qualité du réseau et des services. L'opérateur met en oeuvre les équipements et les procédures nécessaires, afin que les objectifs de qualité de service demeurent au niveau prévu par les normes en vigueur en particulier au sein de l'uit et de l'etsi, notamment pour ce qui concerne les taux de disponibilité et les taux d'erreur de bout en bout. L'opérateur mesure la valeur des indicateurs de qualité de service définis par l'autorité de régulation des communications électroniques et des postes dans les conditions prévues par l'article L L'Autorité peut demander la certification des méthodes de mesure de la qualité de service. Les modalités de mise à disposition du public du résultat de ces mesures sont fixées par l'autorité de régulation des communications électroniques et des postes dans les mêmes conditions. c) Règles portant sur les conditions de confidentialité et de neutralité au regard des messages transmis et des informations liées aux communications et sur la sécurité et l'intégrité des réseaux et services. (Cf. Article D98-5 du CPCE modifié par Décret n du 13 avril art. 2) Ces règles portent sur le respect du secret des correspondances et neutralité, la mise en œuvre d une politique de sécurité relative au traitement des données à caractère personnel et des mesures nécessaires garantissant que seules des personnes autorisées puissent avoir accès aux données à caractère personnel et enfin de la sécurité et de l intégrité des réseaux et des services. Classification : non sensible, public 83 / 118

85 d) Règles portant sur l'acheminement et la localisation des appels d'urgence (Cf. Article D98-8 du CPCE Modifié par Décret n du 13 avril art. 4) cf annexe 2) L'opérateur prend les mesures nécessaires pour acheminer gratuitement les appels d'urgence à partir des points d'accès publics, des points d'abonnement et des points d'interconnexion vers le centre compétent correspondant à la localisation de l'appelant, en fonction des informations et listes transmises par les représentants de l'etat dans les départements et pour fournir gratuitement aux utilisateurs finals handicapés un accès aux services d'urgence équivalent à celui dont bénéficie la majorité des utilisateurs finals. Pour les utilisateurs finals handicapés, lorsque le moyen de communication utilisé n'est pas le service téléphonique, cet accès est assuré dans la limite des contraintes techniques inhérentes au mode de communication utilisé. L'opérateur ne reçoit pas de compensation financière de la part de l'etat à ce titre. L'opérateur s'abstient de faire figurer sur les factures les numéros appelés à ce titre. Afin de permettre la transmission des informations relatives à l'acheminement des appels d'urgence, l'opérateur communique ses coordonnées, avant l'ouverture du service dans un département, au préfet de ce département. Il agit de même à chaque modification de ces coordonnées. Les appels d'urgence sont selon cet article les appels à destination des numéros d'appel d'urgence des services publics chargés : - de la sauvegarde des vies humaines ; - des interventions de police ; - de la lutte contre l'incendie ; - de l'urgence sociale. La liste des numéros d'appel d'urgence est précisée par l ARCEP dans les conditions prévues à l'article L Lors d'un appel d'urgence, l'opérateur met sans délai à la disposition des services de secours, agissant dans le cadre de missions d'interventions de secours, les données de localisation de l'appelant par un procédé sécurisé. Les opérateurs de téléphonie mobile acheminent vers le numéro 112 les seuls appels en provenance des terminaux dont le dispositif d'identification du client par l'opérateur est actif lors de l'appel. Toutefois, lorsque le dysfonctionnement d'un réseau empêche l'acheminement des appels de terminaux utilisés dans les conditions mentionnées à l'alinéa précédent, les opérateurs concernés peuvent, pendant la durée du dysfonctionnement, prendre les dispositions permettant l'acheminement vers le numéro 112 de tous les appels qui lui sont destinés, à la demande de l'opérateur dont le réseau fait l'objet du dysfonctionnement. Ils agissent de même à la demande du ministre chargé des communications électroniques. Classification : non sensible, public 84 / 118

86 Dans tous les cas, ils informent l'autorité de régulation des communications électroniques et des postes et le ministre chargé des communications électroniques des mesures prises et se conforment, le cas échéant, aux instructions de ce dernier. Enfin, on précisera que le législateur a établi des règles spécifiques relatives à réception et de l'orientation des demandes des personnes déficientes auditives, permettant à ces personnes d'accéder en permanence aux numéros d'appel d'urgence des services publics (article D et suivants du CPCE). A approfondir Aujourd hui, tous les opérateurs acheminent les appels d urgence vers le centre compétent correspondant à la localisation de l'appelant, en fonction des informations et listes transmises par les représentants de l'etat dans les départements (cf. article 98-8 CPCE). Concrètement, chaque opérateur retranscrit aujourd hui l appel au 15 à l aide d un numéro masqué propre à chaque Samu dont le ressort est départemental. Pour des raisons de sécurité et de qualité de service, il est envisagé en cible dans le cadre du projet que chaque opérateur prenant en charge un appel au 15 le transfert en utilisant un numéro national géré par un seul opérateur pour un acheminement décidé in fine par le système central du SI-Samu, qui tiendra compte de l ensemble des ressources disponibles. Sous l angle juridique, plusieurs conséquences restent à approfondir: L organisation projetée aura-t-elle un impact pour les opérateurs qui sont, d après l article 98-8 du CPCE, tenus d acheminer les appels d urgence vers le centre correspondant à la localisation de l appelant? Quelles sont les éventuelles contraintes particulières pour l opérateur qui va être identifié dans le cadre du montage contractuel pour jouer ce rôle? Ce même article reconnaît un rôle au préfet de département : n y a-t-il pas à s interroger sur son rôle en cas de mise en œuvre d un scénario centralisé? Cette organisation ne devrait-elle pas être présentée à l ARCEP? En conclusion Le projet SI-Samu implique de multiples acteurs participant à la prise en charge des urgences. Il doit donc avoir pour objectif de leur fournir un produit fiable répondant à leurs besoins et respectueux des règles auxquelles ils resteront soumis, et tout particulièrement les établissements de santé autorisés. Classification : non sensible, public 85 / 118

87 7. Annexe 6 : Modalités de construction 7.1. Un pilote développé en mode «Agile» La solution SI-Samu est complexe à construire par la multiplicité des filières technologiques rassemblées : la téléphonie, la radiocommunication et les applications SI. Aucun acteur du marché n a été identifié comme en mesure de pouvoir proposer la construction de la solution SI-Samu sur son cœur de métier. Afin d apporter un contrôle fort sur la solution qui sera construite et d obtenir une courbe de construction de la solution optimale, il est nécessaire de passer par la construction d un pilote industriel dimensionné pour gérer moins d une dizaine de CRRA. La finalité de cette phase pilote sera de valider les concepts de la solution et de produire un jeu de spécifications fonctionnelles et techniques éprouvé par le réel. Le mode de développement «Agile» sera utilisé pour la construction du pilote de la solution SaaS SI- Samu (Saas, Software-as-a-Service au sens technique du terme : capacités de montée en charge et utilisation des technologies WEB). Le mode agile permettra de sécuriser la construction et de mettre à disposition tout au long de la conception en ligne via un accès sécurisé la version en cours de développement pour l ensemble des experts travaillant sur la construction du pilote, mais aussi pour l ensemble de la communauté des Samu qui pourront venir voir la solution et apporter des commentaires via un outil de type forum. Ce contrôle régulier de l objet technique à produire apportera une capacité d adaptation significative pour tenir les délais de la construction. Une fois la validation de la phase pilote obtenu, la solution SI-Samu pilote verra dans un deuxième temps son architecture technique augmenter pour obtenir un dimensionnement lui permettant de gérer la totalité des Samu. La logique de développement de cette seconde phase sera aussi «agile» L administration et le pilotage de l activité opérationnelle Une cellule nationale d administration et de supervision devra être créée pour assurer les fonctions d opérations classiques (ex.: paramétrage de l application pour la prise en charge d un nouveau Samu ou bien une cellule de crise temporaire). Cette cellule permettra aussi de piloter l activité opérationnelle des Samu-Centre 15 au moyen d outils assurant une supervision nationale de l activité. Ainsi des Samu-Centre 15 en difficulté suite à une crise locale (ex. : accident lors d un événement sportif) pourront être épaulés par un autre Samu dont l activité est faible au moment donné. Cette cellule nationale assurera le rôle de coordinateur global de l activité en prévention des pics de surcharge et donnera la vision consolidée de l activité nationale des Samu. D un point de vue technologique, les modules d outils informationnels et décisionnels pour faciliter le traitement des informations remontées par les systèmes pourront être utilisés. Dans chacun des Samu, des fonctions d administration/pilotage locales seront proposées. Les fonctions d administration permettront à chaque Samu de paramétrer son instance de l application Classification : non sensible, public 86 / 118

88 pour répondre à ses besoins locaux. De plus, des fonctions de gestion des utilisateurs (avec profils/droits) sont mises à disposition du responsable du Samu. Concernant l aspect pilotage, les Samu disposeront localement des outils leur permettant de piloter localement l activité, on pourra ainsi retrouver un ensemble de dispositifs évolués comme les écrans d informations temps réels dans les salles de régulation pour tenir informés les ARM et médecins régulateurs La gestion du modèle d information et des référentiels des Samu Afin de proposer un ensemble ordonné et coordonné d informations aux Samu-Centres 15 pour améliorer la pertinence du diagnostic et l engagement de moyens, la solution commune doit accueillir les référentiels et les bases de données qui soutiennent l activité opérationnelle. La mise en place de référentiels communs nécessite, en prérequis, l élaboration d un thésaurus commun afin que tous les Samu-Centres 15 «parlent le même langage». La mobilisation des Samu en amont du projet est d ores et déjà prévue, de manière à élaborer ces thésaurus dès la phase d amorçage et de finaliser ces travaux en phase de conception, en amont de la réalisation du système. Il est donc prévu que la solution mette à disposition l ensemble suivant de référentiels métier partagés entre tous les Samu: Dossier de régulation médicale ; Base des patients remarquables ; Annuaire et annuaire inversé ; Données SIG ; Scénarios d aide à la régulation... Une fois la solution déployée dans tous les Samu, les données des référentiels seront partagées par construction, cela permettra donc à chaque Samu de prendre la main sur un dossier de régulation initié par un autre Samu dans les limites légales autorisées Une exigence d adaptation à la charge de la solution («scalability») Sur le volet système d information, les technologies «Saas» reposent sur les technologies de virtualisation qui permettent de faire abstraction des limites techniques/physiques imposées par la couche matérielle aussi bien en termes de puissance de calcul que de capacité de stockage. L automatisation appliquée à la virtualisation permet donc d ajuster dynamiquement les ressources informatiques aux besoins réels des Samu Centre 15 à un instant donné et ainsi de calquer les ressources sur les besoins en temps réel. De fait, ce mode de mise à disposition de la solution est parfaitement adapté à la gestion des pics de charge notamment dans les cas de crises majeures. Il offre une sécurité et un confort jusqu alors inconnu avec les hébergeurs classiques. Sur le volet téléphonique, il n est pas possible d avoir une «scalabilité» équivalente à la partie système d information car le nombre de lignes téléphoniques T2 RNIS présente par nature une contrainte physique. L architecture du SI-Samu permet au niveau téléphonique de faire passer un Classification : non sensible, public 87 / 118

89 surplus d appels via le WAN lorsque les T2 RNIS seront saturés. Néanmoins, le nombre de postes physiques et le nombre de médecins de régulation et d ARM ne pourra pas augmenter en conséquence. Ainsi en cas de crise sanitaire, le besoin sera aussi d ajouter des sites de crise ce que le SI-Samu permettra de manière naturelle car cette capacité aura été intégré dès la conception du système La gestion des évolutions La montée en puissance de la solution souhaitée par la feuille de route de migration des Samu devra être étudiée au travers de la réalisation de procédures d évolutions. Habituellement, deux modes de montée en puissance se distinguent des autres : Statique : Les mises à jour sont implémentées par lot et font l objet d un processus robuste nécessitant des ressources de manière temporaire ; Dynamique : Les mises à jour sont implémentées au fil de l eau de manière transparente pour l utilisateur comme c est souvent le cas avec les applications en mode SaaS ou bien dans certaines architectures de type «Service Oriented Architecture» (avec une gestion dynamique des versions des services). Dans le cas de la solution cible, des versions fonctionnelles successives seront construites et déployées progressivement sur une période de 4 à 5 ans. Après la mise en production de la version finale (répondant à l ensemble des besoins des Samu-Centre 15), les évolutions seront alors gérées dans un mode d amélioration continue. Afin de limiter les risques, une seule version de l application sera en production. Cependant, des possibilités de personnalisation de l application sur les profils utilisateurs seront possibles. Ils permettront de donner accès ou non à certaines nouvelles fonctionnalités notamment dans les phases de déploiement fonctionnel. Etant donnée l orientation «SaaS» de la solution, le mode de mise à jour privilégié est le mode dynamique. De plus, des procédures de retour en arrière dynamique («Rollback») des données devront être formalisées pour se prémunir en cas de dysfonctionnement majeur d une des versions. Classification : non sensible, public 88 / 118

90 8. Annexe 7 : Modalités de maintien en conditions opérationnelles La solution du scénario retenu implique un mode de fonctionnement opérationnel radicalement différent du modèle actuel : une solution unique, centralisée et mutualisée. Un certain nombre d impératifs sont à prendre en compte pour qu une telle solution puisse fonctionner au mieux : le respect des exigences de confidentialité des données de santé (droit du patient, droit des professionnels de santé, exigence d hébergement, etc.) ; une solution hautement disponible ; un support utilisateurs capable de traiter avec une grande réactivité les incidents prioritaires remontés ; un management des processus d exploitation parfaitement maîtrisé Qualité de service et management de la qualité L utilisation et le maintien de cette nouvelle solution dans des conditions optimales impliquent une gestion de la qualité et des processus très évoluée. Cela passe par la mise en place d un système de management de la qualité (SMQ), la rédaction de toute la documentation technique et fonctionnelle et le suivi des bonnes pratiques de la gestion informatique orientée service et processus (ITIL) Mise en place d un système de management de la qualité (SMQ) La mise en place d un système de management de la qualité nécessite la définition d une politique qualité ainsi que la création des outils de suivi de cette politique. Ses objectifs sont de garantir la qualité du service rendue et d améliorer la satisfaction des utilisateurs de ce service. Cela passe nécessairement par la rédaction d un plan d assurance qualité (PAQ) applicable pendant toute la durée du projet (construction et exploitation). Ce dernier a pour objectif de définir les dispositions nécessaires pour assurer la qualité de la solution. Le système de management de la qualité s inscrit pleinement dans des certifications qualité de type ISO Il sera donc envisagé de faire certifier le projet avec cette norme. Par ailleurs, afin de contrôler le plus efficacement et le plus régulièrement possible le niveau de qualité mise en œuvre dans le cadre du projet, des audits pourront être menés sur tout ou partie des processus récurrents ou des chantiers projet Rédaction de la documentation fonctionnelle et technique Afin de supprimer les dépendances de l application et de son fonctionnement opérationnel avec les acteurs, il est indispensable de s assurer de la rédaction d une documentation précise et à jour. En effet, les étapes de construction et d exploitation décrites précédemment, doivent impérativement Classification : non sensible, public 89 / 118

91 être supportées par une documentation technique et fonctionnelle détaillée. De la même manière, les processus de support, de maintenance corrective ou d administration doivent être documentés et régulièrement mis à jour Suivi des bonnes pratiques de gestion informatique (ITIL) ITIL est une collection de livres qui recense, synthétise et détaille les meilleures pratiques pour une direction informatique dont l objectif est d être un fournisseur de services au sein de l entreprise. L adoption des processus ITIL permet de répondre aux normes de qualité préalablement établies. La définition de contrats de niveaux de services (SLA) permet de s assurer de la fourniture d un service de qualité par le ou les différents fournisseurs de la solution. L enjeu d un SLA est double puisqu il permet de définir contractuellement la qualité du service délivré, mais également les sanctions qui seront appliquées en cas de non-respect de ces engagements. Une organisation et des outils devront également être créés afin de suivre ces SLA (processus et outils de SLM). Seront ainsi associés à chaque SLA, des indicateurs de contrôle qui feront l objet d un reporting régulier et de réunions de suivi avec l entité gérante du contrat Outils d administration La mise en place d une telle solution implique le déploiement de l ensemble des outils et processus d administration qui permettent de garantir le niveau de service délivré. La solution cible devrait ainsi comporter les éléments suivants : Les outils d administration applicative ; Les outils d administration du parc informatique (postes de travail) ; Les outils d administration du réseau ; Les outils de supervision Les outils d administration applicative Ces outils vont permettre de gérer l application au quotidien. Ils permettront notamment de créer des comptes applicatifs, des numéros de ligne ToIP associés aux comptes, de changer un affichage, de créer une redirection ou de modifier les niveaux d accès aux différentes fonctionnalités, etc. Plusieurs niveaux de responsabilités d administration applicative (niveau Samu, niveaux utilisateurs, niveau «super-admin», etc.) peuvent également être définis. En effet, les responsables de Samu devront pouvoir effectuer certaines tâches d administration de la solution sur le périmètre de leur Samu. L ensemble des taches potentiellement déléguables localement doit être retiré de la Classification : non sensible, public 90 / 118

92 responsabilité opérationnelle de l administration nationale et ceci afin de conserver l implication des Samu. Ces éléments d administration permettront également de disposer d outils statistiques de régulation (nombre d appels, de DRM créés, etc.). Par ailleurs, l un des rôles de cette administration applicative sera de gérer le bon fonctionnement de tous les connecteurs de données avec les partenaires de santé. Ces connecteurs devront faire l objet de mises à jour et d un maintien en conditions opérationnelles. De plus, de nouveaux connecteurs pourront nécessiter des opérations spécifiques de gestion au sein des outils d administration Les outils d administration du parc de poste de travail Dans le cas d une offre de service complète, une gestion du parc informatique est nécessaire pour administrer l ensemble des postes de travail et éventuellement des postes téléphoniques des Centres de Réception et de Régulation d Appels. Au même titre que l administration de l application de régulation et de téléphonie, différents niveaux d administration seront créés afin de laisser les Samu libres de certaines modifications Les outils d administration réseaux Le modèle d architecture proposé implique une utilisation poussée des réseaux sur le périmètre national. Les réseaux permettent aux Samu-Centres 15 d accéder à l application centralisée. Composante indispensable du système d information, il est nécessaire de pouvoir administrer l ensemble des équipements qui composent ce réseau national. Ces outils d administration permettent ainsi d accéder aux interfaces des équipements réseaux (routeur, switch, etc.) ainsi qu au réseau opérateur lui-même Les outils de supervision Un outil de supervision permet la surveillance du bon fonctionnement de la solution dans sa globalité. Ce type d outil vient compléter les fonctionnalités énoncées précédemment des outils d administration. Il permet de surveiller techniquement les réseaux, les infrastructures (serveurs), les applications, les processus ou même certains indicateurs de niveau de service. Il fonctionne sous la forme d un système central contrôlant l activité de «sondes» préalablement installées sur l ensemble des points sensibles. Son intérêt est double puisqu il permet, d une part, d identifier rapidement la source de dysfonctionnements et d autre part d anticiper les dysfonctionnements avant qu ils n aient un impact sur l environnement utilisateur. La supervision est alors un élément important pour le respect des exigences de disponibilité du système. Classification : non sensible, public 91 / 118

93 L utilité de tels logiciels pour une activité aussi critique que celle des Samu est nécessaire. L ensemble des outils d administration et de supervision évoqués précédemment peut être regroupé en un seul et même logiciel (certaines solutions du marché permettant de remplir l ensemble des fonctionnalités nécessaires) Support aux utilisateurs & exploitation Principes générales propres au SI-Samu Le support des utilisateurs d une solution informatique est crucial. Il l est encore plus dans un contexte métier comme celui des Samu où un incident utilisateur même mineur peut avoir des conséquences très importantes. L objectif du support est d apporter aux utilisateurs un point de contact unique pour traiter tout incident ou demande qui concerne les outils informatiques ou la téléphonie. Les taches d exploitation régulières propres au SI-Samu auront pour but de lancer l ensemble des traitements réguliers garantissant le bon fonctionnement de la solution SI-Samu, ainsi que la surveillance des outils de monitoring techniques. Une des difficultés à laquelle les établissements de santé sont confrontés est la rareté des expertises locales de pointe sur les aspects de téléphonie et de centre d appel. Par la mutualisation des moyens techniques, le SI-Samu offrira une gestion centralisée du support et de l exploitation comprenant les meilleures expertises pour maintenir les infrastructures centrales mais aussi les infrastructures locales. Des outillages de prise de contrôle à distance des équipements seront utilisés. Néanmoins, dans certains cas de figure, des interventions physiques locales seront indispensables. Les DSI des établissements de santé mettront à disposition des experts techniques pour pouvoir assurer, sous le pilotage des experts central SI-Samu, le geste technique à réaliser. Ainsi, aucune action technique de support ou d exploitation ne sera réalisée sans l aval des équipes de central SI-Samu. Ce point est fondamental pour maitriser la qualité de service de la solution et permettre aux équipes centrales SI- Samu de connaitre parfaitement l état des actions techniques conduites sur le SI-Samu. La mise en service d un support efficace et compétent passe souvent par la mise en œuvre des bonnes pratiques ITIL telles que citées précédemment dans la gestion de la qualité. De plus, le support devra notamment prévoir un accompagnement de proximité dans la période de transition vers la phase opérationnelle. À l issue de cette phase, le titulaire réalisera un bilan de satisfaction des utilisateurs et identifiera les axes d amélioration. Classification : non sensible, public 92 / 118

94 Focus sur la gestion des incidents L objectif de ce processus est de rétablir le fonctionnement nominal du service le plus rapidement possible, en minimisant la durée d interruption du service et l impact négatif sur les opérations métiers des Samu. Les points clés de la gestion des incidents sont les suivants : Une base de données de gestion des configurations (Configuration Management DataBase, CMDB) à jour ; Une base de connaissance enregistrant les problèmes et les erreurs connues, leur résolution et les solutions de contournement ; Des outils de support efficaces ; Des liens étroits avec la gestion des niveaux de service. La gestion des incidents se traite à plusieurs niveaux : Le Helpdesk et support Niveau 1 sont principalement acteurs sur les premières activités du processus : o L agent du Helpdesk travaille afin de gérer, coordonner et résoudre l incident aussi vite que possible ; o Le groupe de support de niveau 1 travaille sur l enregistrement et la résolution d incidents bien connus, validés et référencés. Ils sont chargés de coordonner la résolution. Support Niveau 2 et 3 sont principalement acteurs sur les activités investigation, diagnostic et résolution : o Les groupes de support de niveau 2 et plus sont considérés comme des experts. Leur responsabilité principale est de fournir une analyse et un diagnostic précis des incidents qui leur sont affectés afin de rétablir le service pour leurs clients. Indépendamment de la combinaison des options qui seront choisies pour construire la structure organisationnelle du support utilisateur, les membres des Samu ne devront avoir aucun doute sur le moyen de contacter le support en cas de besoin. En effet, un unique numéro de téléphone devra être défini et largement diffusé. Il en va de même pour une adresse et une page de contact web qui devront également être uniques pour tous les Samu Maintenance corrective Principes générales propres au SI-Samu En complément du rôle d assistance précédemment évoqué, la structure de «Support» aura également pour rôle de prendre en compte les modifications mineures de l application en cas d incidents répétés et de problèmes. Les enjeux d une maintenance corrective pour les Samu sont multiples : Bénéficier d une application parfaitement fonctionnelle ; Réduire les incidents applicatifs. Classification : non sensible, public 93 / 118

95 Il est donc nécessaire d identifier les incidents répétés sur une période donnée afin d en déterminer la cause et de «corriger» l applicatif en conséquence. Cependant, il s agit bien de maintenance corrective et non de maintenance évolutive. Cette dernière a pour rôle la prise en compte de nouvelles fonctionnalités remontées par les utilisateurs. Avec le paradigme technique de la solution SI-Samu en mode client léger au niveau applicatif, les modifications applicatives mineures seront rendues «invisibles» aux yeux de l utilisateur. En effet, les corrections mineures ne nécessitent pas de déploiement applicatif et pourront ainsi être mises en production au fil de l eau sans perturbation du service en cours La gestion des montées de version La solution SI-Samu a été construite pour qu à un instant donné, l ensemble des CRRA partage une version logicielle commune. Les montées de version de la solution SI-Samu doivent être sans rupture de service pour l ensemble utilisateurs. L architecture a été construite pour apporter une redondance des équipements qui rende possible une migration de l infrastructure transparente pour les CRRA via un dispositif de bascule. La mécanique de bascule valorise le fait que l infrastructure technique du SI- Samu est construite sur la base de data centers applicatifs et téléphoniques en pairs actif-passif. Lors d une migration les data center passifs sont déconnectés pour assurer la montée de version. Une fois la migration faite, l ensemble des CRRA bascule sur la nouvelle version de la solution sur les data center secondaire. En cas de difficulté, le retour arrière est opérationnel via le retour sur les data centers primaires. Une fois la nouvelle version du SI-Samu validé, les data center primaires peuvent alors être migrés. Des mécanismes spécifiques de copie des données désynchronisés sont prévus pour assurer la cohérence des bases durant ces phases de montée de version. Cette section est à mettre en relation avec la section «7.5 : La gestion des évolutions». Classification : non sensible, public 94 / 118

96 9. Annexe 8 : Principaux résultats de l analyse des risques 9.1. Capacité à répondre aux exigences de sécurité SI Cette section présente les résultats de l analyse de sécurité SI conduite dans le cadre de méthodologie EBIOS Etude du contexte En cohérence avec l étude fonctionnelle réalisée, l analyse sécurité a distingué 5 ensembles fonctionnels représentant des biens essentiels : Le point de contact multicanal regroupe l ensemble des composants et fonctions qui permettent l acheminement des demandes d urgence du patient vers : o Le centre de réception et de régulation des appels (CRRA) ; o La téléphonie entrante et sortante affectée à la régulation médicale ; o La téléphonie (et la radio phonie) entrante et sortante utilisée pour communiquer avec les effecteurs ; o Les canaux numériques non vocaux pour : Les échanges avec les autorités (messagerie, fax) ou les effecteurs (feuille de mission, SMS, mail) ; Les échanges de données Antares ; L enregistrement des flux (vocaux et données). Le centre d interaction permet la prise en compte et l orchestration des interactions (appels téléphoniques, fax, etc.) pour les affecter aux utilisateurs adéquats. Il comprend également la gestion de l entraide, la supervision du centre d appel et le couplage de la téléphonie avec la régulation médicale. La fonction de régulation médicale comprend les composants métiers et les outils utilisés par les assistants de régulation médicale (ARM) et les médecins régulateurs pour réguler : o L application métier (LRM) ; o Le référentiel cartographique ; o o Les outils d aide à la décision (contenant des protocoles de régulation ou des fiches de procédures etc.) ; Les outils collaboratifs. La fonction pilotage regroupe le cockpit hypervision (pour la gestion des alertes et indicateurs permettant les mécanismes d entraide), le module d alerte des équipes, le module de gestion de crise, le reporting administratif et le reporting fonctionnel. Le périmètre support englobe les composants et outils qui permettent la réalisation des fonctions d éditique, l administration technique et fonctionnelle, le support technique et le reporting technique. Les biens essentiels incluent également : Les appels acheminés par les équipements téléphoniques sur laquelle se base l activité des Samu ; Les contenus des canaux numériques (hors phonie) ; Classification : non sensible, public 95 / 118

97 Les enregistrements, utiles à la régulation médicale mais également éléments de preuve en cas de recours ; Les données du référentiel des ressources opérationnelles utilisé pour l orientation des patients ; Les dossiers de régulation médicale et les dossiers de patients remarquables, ces dossiers contenant des données médicales sont l objet métier le plus utilisé ; Les rapports fonctionnels et administratifs émis par le système ; Les données d aide à la décision (protocole de régulation, fiche d aide à la régulation, ) L étude des événements redoutés, des menaces et des risques Pour chacun des biens essentiels, l étude des événements redoutés a permis de déterminer la gravité d un événement redouté au regard des huit axes présentés supra. En combinant les événements redoutés aux scénarios de menace, l analyse de risque a mis en évidence 133 risques répartis de la manière suivante : Les objectifs de sécurité L analyse de ces risques a permis de faire émerger plus d une centaine d objectifs de sécurité dont les principaux sont les suivants : Garantir la disponibilité des fonctions de téléphonie en mettant en œuvre une solution nationale de téléphonie disposant d un très fort taux de disponibilité (taux de 99,999 % soit la garantie d une indisponibilité inférieure à 5,26 minutes par an). Pour cela, les réseaux supports de la phonie doivent être fortement maillés et redondés (avec une redondance assurée par des opérateurs distincts) et démontrer un très fort niveau de qualité de service. Par ailleurs, une solution locale de secours de la téléphonie est requis au niveau de chaque Samu afin d assurer une reprise du service en moins de 5 minutes en cas de défaillance. Garantir sans perte l acheminement et le transport des appels. Pour cela, les fonctions permettant l acheminement et le transport des appels devront être suffisamment dimensionnées et être tolérante aux pannes. Le réseau de transport des appels doit acheminer les communications téléphoniques en haute priorité avec une bande passante garantie. En outre, une fonction d hypervision devra permettre le suivi de l évolution du nombre d appels et ainsi permettre une adaptation des moyens en cohérence avec les besoins. Enfin un appel ne devra pas être perdu suite à une rupture de la session de l agent réalisant ladite régulation médicale et ce quel que soit le motif de la rupture de session. Garantir l accès aux données de régulation médicale et aux données du référentiel des ressources opérationnelles en mettant en œuvre la haute disponibilité du logiciel de Classification : non sensible, public 96 / 118

98 régulation médicale et des données exploitées par ce logiciel, qu il s agisse des données du répertoire opérationnel des ressources ou des données de régulations (DRM, DPR). Par ailleurs, l unicité du SI-Samu permet une consultation des données saisies par un Samu par n importe quel autre Samu autorisé (par exemple dans le cas d une entraide dans le respect du cadre règlementaire). En cas de défaillance, un dispositif local doit par ailleurs permettre à chaque Samu de consulter les derniers DRM qu il a saisi. Concernant les données et les fonctions, un plan de continuité d activité doit être défini dans le cadre du projet de mise en œuvre pour assurer la disponibilité des informations à niveau dans les meilleurs délais. Garantir l intégrité des fonctions notamment de la fonction LRM, de l entraide ou de la cartographie. Il convient pour cela de surveiller l intégrité du code et des paramètres de fonctionnement des fonctions. Sur un défaut d intégrité détecté au niveau du code exécutable des fonctions ou des paramètres de fonctionnement, il est nécessaire d alerter les utilisateurs sur le défaut d intégrité et sur le plan approprié de continuité de l activité qui sera mis en œuvre pour la remise en conformité. Pour que l interruption en cas de défaut d intégrité sur une fonction soit la plus courte possible, il est nécessaire de mettre en œuvre une solution de secours à froid. Cette dernière doit permettre de garantir la reprise d un niveau fonctionnel adéquat sur la base d éléments intègres ; Garantir l intégrité des données nécessaires à la régulation médicale (DRM, référentiel de ressource, enregistrement) ou du référentiel opérationnel des ressources. Une erreur d intégrité doit pouvoir être détectée et remontée par le système. Chaque modification d un de ces éléments doit pouvoir être imputable à son auteur. Garantir l auditabilité de la téléphonie afin d être en mesure de recueillir, conserver et présenter les informations relatives aux communications téléphoniques échangées afin de pouvoir les restituer conformément aux dispositions légales relatives à la présentation de preuves en cas de recours d un patient. Garantir la confidentialité des données personnelles et des données de santé, en protégeant l accès aux enregistrements (donnée et voix) via des modalités et des profils d accès spécifiques. Les enregistrements doivent être chiffrés, ils sont archivés au bout de 5 ans. Toute fuite d information doit être empêchée et il convient de garantir la protection et la confidentialité des données telles que l exigent la législation ou les réglementations applicables. Il convient également d établir des procédures de manipulation et de stockage des informations pour protéger ces informations d une divulgation non autorisée ou d un mauvais usage (bonne pratique de la norme ISO dénommée «Code de bonnes pratiques pour la gestion de la sécurité de l'information»), de mettre au rebut de façon sûre les supports qui ne servent plus, en suivant des procédures formelles (bonne pratique , norme ISO 27002) et de mettre en place des procédures pour la gestion des supports amovibles(bonne pratique , ISO 27002). Concernant les données transitées par les équipements de télécommunication, elles doivent être protégées par la mise en place de politiques, procédures et mesures d échange. Il convient également de conclure des accords pour l échange d informations et de logiciels entre le SI-Samu et la partie externe (bonne pratique , ISO 27002). Enfin, les données hébergées sur le système d information doivent être accédées selon des droits et profils préalablement définis. Classification : non sensible, public 97 / 118

99 Garantir la disponibilité des fonctions propres à la régulation médicale (LRM, aide à la décision, gestion de crise) ou au centre d interaction par la mise en œuvre de la haute disponibilité des centres de traitement (Data Center) portants ces fonctions. D autres objectifs ont été mis en avant par l analyse de risque et sont documentés au sein du dossier détaillé de l étude Bilan de l analyse des risques SSI L analyse de risque SSI initiale a permis d identifier les objectifs de sécurité qui sont à atteindre par le SI-Samu. Dans la mesure où l architecture préconisée répond à ces objectifs, la sécurisation du SI- Samu est garantie. Cette première analyse de risque sera complétée en phase de conception du SI-Samu, sur la base des spécifications détaillées du système, afin de garantir le niveau de sécurisation adéquat. Suite à la mise en production du SI-Samu, une politique de sécurité permettra de signaler, dans les meilleurs délais, les événements liés à la sécurité de l information (tels que par exemple : un défaut d intégrité constaté sur une donnée, un comportement anormal d une fonction, ou d un logiciel, un mauvais fonctionnement d un matériel), par les voies appropriées (selon l ISO modifié). L architecture proposée pour le SI-Samu répond aux objectifs de sécurité fixés, ceux-ci étant en adéquation avec le très haut niveau d exigences de la régulation médicale d urgences. Le projet SI- Samu intègre le volet sécurité du SI à même de garantir la sécurisation du système en situation d utilisation au sein des Samu L analyse des risques projet La section suivante vise à inventorier les risques les plus critiques ou les plus craints par les acteurs de l écosystème des Samu et à présenter les plans de couverture proposé Axe «Fonctionnel» Risques Difficultés des Samu à harmoniser leurs pratiques et à normaliser leurs référentiels Plans de couverture Des GTT ont été chargés de travailler en particulier sur ces aspects de normalisation et l analyse fonctionnelle qui a ainsi été conduite lors de l étude de faisabilité a permis de confirmer la capacité et la volonté de convergence des Samu. Il est essentiel de poursuivre cette implication significative des Samu en phase de conception pour préciser les modalités de convergence. Dès l étape d'amorçage, des périodes significatives de temps seront consacrées à cette question avec la mise en place d un accompagnement spécifique de compétences MOA/AMOA. Un portage ad hoc des questions de normalisation des référentiels sera ensuite mis en place au niveau national avec une entité chargée de définir les nomenclatures, en coordination avec les représentations professionnelles. Classification : non sensible, public 98 / 118

100 Risques Crainte des Samu d'une perte de leurs fonctions spécifiques ou locales Difficulté à définir le périmètre fonctionnel de la première version du SI-Samu dans un objectif de conciliation de la montée en compétence des utilisateurs et de développement de fonctionnalités innovantes Plans de couverture La construction d une solution unique mutualisant les moyens informatiques n implique pas une standardisation excessive qui entrainerait le non traitement des spécificités locales irréductibles. Les travaux conséquents réalisés pour évaluer au niveau national le besoin métier des Samu (ensemble des GTT-Métier organisés ; enquête fonctionnelle) a permis de démontrer que le besoin métier, même s il présente parfois des spécificités locales irréductibles, est convergent en termes de fonctionnalités SI & Télécom. Les variantes dans les pratiques et sur les besoins s'avèrent finalement peu nombreuses. En outre, les travaux ont montré généralement que même dans ces cas de figure des opportunités de convergence existaient. Il demeure que la solution nationale saura implémenter les spécificités locales «irréductibles» qui pourraient subsister après cet effort de convergence (cela peut par exemple être lié à la taille particulière d'un Samu ou à un contexte territorial «extraordinaire»). Le périmètre fonctionnel de la première version du SI-Samu a été spécifiquement étudié au cours de l'étude de faisabilité, par les Samu eux-mêmes, au travers de plusieurs GTT-Métier, puis validé par le Comité de Suivi des Samu. Le pragmatisme a été privilégié pour trouver un juste équilibre entre la nécessité de réaliser les premiers déploiements dans un délai suffisamment court après le démarrage du projet et une première version assez riche permettant d intégrer des Samu déjà équipés d une solution. Il a été identifié quatre enjeux stratégiques pour la première version de la solution nationale cible : 1) le besoin de fonctionnalités opérationnelles et ergonomiques ; 2) la mise à disposition de reporting, d outils d aide à la décision, de facilités de pilotage de l activité ; 3) l interopérabilité (entre Samu avant tout) et les avantages d une régulation médicale partagée (entraide, articulation territoriale, référentiels communs) ; 4) la sécurisation du système. La logique de «montée de versions par paliers», avec une progression relativement soutenue de la richesse fonctionnelle de la solution dans les versions suivantes, selon une feuille de route clairement définie dès le début, a été ensuite privilégiée. Des fonctionnalités seront ainsi mises en œuvre partiellement en version 1 puis complétées dans les versions suivantes (comme par exemple la GED). Classification : non sensible, public 99 / 118

101 Axe «Technique» Risques Risque d une panne globale ou touchant un nombre important de Samu Difficulté à standardiser les infrastructures locales (réseau, téléphonie, ) Difficulté à garantir une maintenance et un support efficients par rapport aux exigences de disponibilité du service Risque de complexité de l'interfaçage à mettre en place avec les partenaires du fait de l'hétérogénéité et de la diversité des solutions logicielles (manque de formalisation pour les interfaces) Plans de couverture La solution technique a été construite pour garantir la couverture de ce type de risque. L ensemble des dispositifs de haute disponibilité présentés préalablement sont les plans de couverture de ce risque. Se reporter à la section dédié à ce sujet. Au niveau de la réalisation du SI-Samu, les budgets prennent en compte un paradigme de standardisation et d homogénéisation complète des équipements de téléphonie sur l ensemble de l architecture et des équipements réseau localisés dans les Samu. Afin d étudier davantage cet aspect, des études d implantation vont être conduites durant l étape d amorçage afin de détailler les conditions d implantation du service SI-Samu dans quatre systèmes d information hospitalier (SIH) d établissement de Santé (ES) existants et largement différents: au sein d un ES de très grande ampleur, l AP-HP ; au sein d un ES de grande ampleur, le CHU de Nantes ; au sein d une plateforme physique commune pompier/samu ; Au sein d un établissement de santé de taille limitée. Le support et la maintenance sont organisés et pilotés (via des outils de prise à distance et de monitoring) par les équipes centrales et s appuient sur un partenariat avec les équipes des DSI des ES en local pour pouvoir réaliser les gestes techniques indispensables. L organisation du support utilisateurs évoqué dans la partie relative au maintien en conditions opérationnelles apporte les éléments de couverture plus détaillé de ce risque. La logique nationale du projet permet de pouvoir mettre en place avec l ensemble des partenaires des connecteurs génériques. Cette décision a été prise de concert avec les différents partenaires au cours des différents GTT-partenaires qui ont été conduits durant l ensemble de l étude de faisabilité. Les retours d expérience des projets d interconnexion des Samu ont permis d identifier le niveau de complexité d une adaptation à des logiques d interconnexion non homogènes suivant les départements pour un même partenaire. Sur ce point le SI-Samu est donc un élément de simplification des interfaces, du point de vue des partenaires. Classification : non sensible, public 100 / 118

102 Axe «Stratégie industrielle» Risques Un faible nombre de candidatures à l'appel d offre par manque d'attractivité du marché du fait d'exigences de qualité de service (sur la partie téléphonie/ centre d appels) trop fortes par rapport aux offres des opérateurs ou par la crainte d un nombre limité de Samu montant dans la solution SI-Samu. Cette situation peut aboutir à ce que l'appel d offre soit déclaré infructueux Difficulté rencontrées par les Samu non équipés de la solution nationale du fait d'un désintérêt et de l'absence d'investissements de la part des éditeurs de logiciels face à l'avancée du programme de modernisation des Samu Survenue d un référé (précontractuel ou contractuel) contre le marché public intenté par des candidats évincés au motif que la durée du marché est trop longue, que les besoins ont été mal définis ou que l'allotissement n'a pas été respecté Plans de couverture Le risque d'un appel d'offres infructueux peut être écarté par la définition préalable de modalités d achat permettant de rendre l ensemble attractif pour le marché. Un découpage par lots fonctionnels et techniques permettrait à tous les acteurs de concourir sur leurs domaines d'expertises respectifs dans un objectif de mobilisation des meilleures compétences du marché au bénéfice de la personne publique. L attractivité du projet par les Samu et les ARS est réel et les candidatures déjà identifié de 9 régions souhaitant intégrer la phase pilote démontre la volonté des acteurs métier de s engager dans la solution. La conduite d une analyse des acteurs du marché des éditeurs de logiciels de régulation médicale conduit aux conclusions suivantes : 1/ Les grands acteurs du marché sont en capacité et ont intérêt économiquement à garantir la maintenance et le support de leur application au cours de la migration des Samu par la nature même de leur modèle économique d éditeur et d autant plus quand leur activité est multi-produits et multisecteur d activités 2/ Pour les autres éditeurs, il apparait nécessaire de de prioriser leur déploiement au sein du SI-Samu pour éviter à terme un risque d exploitation ruineuse conduisant à une incapacité pour ces éditeurs d assurer leur obligation vis-à-vis des Samu concernés. L étape d amorçage prévoit une étude des marchés de longue durée n ayant pas connu de recours (DMP, ANTAI, ONP, SIRH Défense ) avant tout lancement des marchés publics. La rédaction d'un cahier des charges précis et détaillé d'un point de vue fonctionnel et technique sera aussi essentielle. Le délai raisonnable et nécessaire à la constitution de marchés publics respectant toutes les exigences de qualité, de mise en concurrence et d'étude appropriée des offres des candidats, a été intégré à la planification prévisionnelle de la phase de réalisation. Des équipes de juristes spécialisés dans les marchés publics européens de grande envergure seront associés à la conception des appels d'offres. Classification : non sensible, public 101 / 118

103 Axe «Déploiement et conduite du changement» Risques Non-adhésion des ARS liée à l'existence ou à l'émergence de projets régionaux de modernisation des Samu ; réticence au changement ; manque de conviction Plans de couverture Dès la présente étude de faisabilité, les régions ont largement participé à la concertation mise en œuvre via les groupes de travail ou les comités. A ce titre, un Comité de Suivi des ARS et des Groupes de travail spécifiquement dédiés aux ARS ont été mis en place. Leurs contributions ont été importantes, leurs propositions largement reprises et visibles dans le rapport. La feuille de route du programme prévoit le lancement d'une étape de pilote dont le but sera de démontrer en situation réelle la capacité de la solution nationale à répondre aux attentes métier (fonctionnalités de référence d'un Samu, fonction d'entraide et d'articulation des Samu, indicateurs de pilotage...). Plusieurs régions sont d'ores-et-déjà volontaires pour participer à cette phase de pilote. Les fonctionnalités très évoluées et novatrices offertes par la solution nationale et le succès de déploiement des Samu pilote permettront aux régions non convaincues par la solution nationale d'évoluer dans leur pensée, d'autant plus que ces fonctionnalités répondront aussi en très grande partie aux besoins des ARS elles-mêmes (par exemple en termes de reporting). La stratégie de déploiement devra de toute façon répondre aux attentes des Samu les plus volontaristes, mais aussi être claire et largement partagée par tous les autres Samu, les ARS, les établissements de santé, etc. Dans certaines régions où les Samu ont déjà un projet commun, voire des organisations communes, le déploiement de la nouvelle solution nationale en sera facilitée (via un appui sur les pratiques créées par ces projets régionaux). De plus, la dynamique supra régionale des ARS de zone dans la gestion de crise pourra conforter le bien-fondé d'une solution nationale unique qui permet cette gestion de crise de façon optimale. En fin, la concertation élargie auprès des ARS lancée en fin d étude de faisabilité a permis de constater une forte volonté des ARS à s engager dans le programme de modernisation. En effet, le nombre d ARS souhaitant être dans le pilote dépasse le nombre de places disponibles. Classification : non sensible, public 102 / 118

104 Risques Manque de conviction des MOA des SI existants sur la faisabilité technique du projet Essoufflement et/ou démobilisation progressive des acteurs face à la durée du projet Plans de couverture Une étude de faisabilité poussée avec des experts techniques de haut niveau dans le domaine des centres d'appels de grande envergure a été menée dans la phase d'initialisation. L'étude de faisabilité a mobilisé une équipe d'expert techniques conséquente dont : quatre experts en centres d'appels et téléphonie qui ont travaillé sur les plus grands projets de centre d'appels en France ; deux experts en réseaux ; trois architectes en SI ; deux experts en sécurité des SI. Un benchmark a été réalisé pour étudier des projets équivalents dans d'autres secteurs d'activité et parmi les grands projets innovants dans les Samu (notamment CARMEN, RRAMU, la régionalisation en France Comté mais aussi PACA, Pays-de-la-Loire...). Ce benchmark a permis de comparer et de consolider l'architecture élaborée. Une analyse de sécurité SI de type EBIOS a été conduite. De nombreux industriels du secteur (LRM, radio, enregistreurs...) ont été sollicités. L'ensemble de ces travaux ont permis de conclure sur la faisabilité technique de la mise en place d'une solution de ce type garantissant le respect des exigences de disponibilité spécifiques à l'activité AMU. Des actions de communication seront lancées en dès le début de l étape d amorçage pour expliciter les résultats de l'étude aux responsables des Samu et aux directions des systèmes d information des établissements siège de Samu. Pour empêcher l'essoufflement de la motivation collective, il est envisagé la mise en place d'une organisation facilitant la participation des acteurs et la démonstration de l avancée des travaux : réalisation en mode agile, mise en ligne sécurisée d un démonstrateur, lutte active contre l «effet tunnel», etc. Un certain rythme de réalisation et de déploiement doit être prévu, suffisamment soutenu, avec des premiers déploiements au sein de Samu pilotes dans des délais optimisés, pour éviter l essoufflement de la motivation collective induit par des délais de conception trop longs. Un versioning structuré et pragmatique doit permettre aussi de limiter et de contrôler ce risque. La stratégie de communication prévoit également des actions tout au long du programme, à même de conserver et de susciter la mobilisation adéquate sur la durée du projet. Classification : non sensible, public 103 / 118

105 Risques Rythme de déploiement inadapté Plans de couverture Le parfait cadencement du déploiement sur la durée est un élément essentiel pour la réussite de cette phase. Pour minimiser les risques d une durée de migration trop longue de tous les Samu, l hypothèse privilégiée est celle d un déploiement progressif sur un périmètre d une trentaine de Samu environ puis, une fois l industrialisation faite, une accélération des déploiements sur les autres Samu. A chaque fois, un portage puissant par les ARS facilite le basculement des Samu de la région. Dès qu un Samu d une région aura été déployé, il s agira de migrer rapidement (ou au besoin en bloc) les autres Samu de la région en limitant ainsi la durée globale de la migration sur une zone géographique donnée. Au final, le déploiement s effectue de manière progressive puis accéléré après industrialisation des modalités de déploiement. Classification : non sensible, public 104 / 118

106 Axe «Politique» Risques Perte de la dynamique projet en cas d'arbitrage tardif sur le lancement du projet national Plans de couverture Il est possible de gérer l étape d amorçage en deux temps afin de favoriser la continuité des travaux durant le processus de décision. De nombreux travaux peuvent en effet être initiés dans la suite logique de l'étude de faisabilité sans impact sur la décision de lancement du projet. La continuité ainsi apportée au projet national donnera des signes forts et positifs à la communauté des urgentistes, et le projet passera ainsi de façon fluide de l étape actuelle à l étape de réalisation. Classification : non sensible, public 105 / 118

107 Axe «Juridique» Risques Flou dans la répartition des responsabilités entre chaque établissement de santé autorisé (responsable des moyens du Samu-Centres 15) et le SI national Centres 15 exploité par un tiers Manque de clarté dans la réglementation sur le statut du dossier de régulation médicale pour les patients remarquables par rapport au dossier patient informatisé de l'es autorisé Manque de clarté de la réglementation concernant la durée de conservation des enregistrements sonores Plans de couverture La personne morale titulaire de l'autorisation en demeure le seul responsable, notamment au regard des obligations relatives à l'organisation et à la sécurité des soins, quelle que soit la forme de gestion ou d'exploitation qu elle adopte (art. L du CSP). C est pourquoi les exigences réglementaires relatives à l activité de régulation médicale d urgence doivent être prises en compte par la MOA opérationnelle lors de la rédaction du cahier des charges relatif à la réalisation du SI-Samu, en tenant compte des attentes des établissements de santé autorisés. La gouvernance du projet SI-Samu doit en outre permettre aux établissements de santé d exprimer leurs attentes et d organiser leur accompagnement dans l utilisation de la solution une fois mise à leur disposition. Cela contribuera à clarifier la répartition des rôles entre les acteurs du projet et donc à clarifier le partage des responsabilités. Il est recommandé d affirmer expressément dans le cadre du projet SI-Samu que le dossier de régulation médicale est une composante du dossier du patient tenu par l établissement de santé dans lequel le médecin régulateur exerce. Si la nécessité de conserver les enregistrements des appels reçus par le centre de réception et de régulation des appels ne fait pas de doute, la durée de conservation soulève en revanche des interrogations. Ce sujet doit être approfondi et le cas échéant faire l objet d échange avec la CNIL. Classification : non sensible, public 106 / 118

108 Risques Risque de non-respect du secret médical et des règles fixées par la loi informatique et libertés Plans de couverture Le projet SI-Samu nécessite d identifier, selon les orientations stratégiques du projet, le portage et le rôle de : la MOA stratégique ; la MOA opérationnelle. De cette répartition des rôles entre les acteurs du projet SI- Samu découle, d une part, la détermination du porteur des contrats qui devront être conclus, notamment le(s) marché(s) avec l industriel (ou les industriels) choisi(s) pour la construction du SI-Samu, et, d autre part, la qualité de responsable de traitement au sens de la loi n du 6 janvier 1978 modifiée, dite loi Informatique et Libertés. Il est de la responsabilité de ce dernier de définir les mesures permettant de garantir la sécurité et la confidentialité des données. Ces mesures définies à l appui d une étude EBIOS approfondie des risques du projet et conformément aux règles applicables aux systèmes d information de santé portent principalement sur : 1. le recours à un dispositif d authentification forte pour accéder à l application ; 2. la mise en place d annuaires afin de recenser les partenaires, les utilisateurs et l organisation ; 3. la mise en place d une matrice d habilitation ; 4. le recours à un hébergeur de données de santé agréé ; 5. l utilisation d outils de gestion de base de données certifiés, a minima, CC EAL4 ; 6. des audits du SAE réguliers permettront d obtenir et de garantir dans le temps la certification NF Z42013 ; 7. les mécanismes de signature seront effectués par l exploitation de Certificats fournis par l IGC de l ASIP Santé ; 8. en outre, les caractéristiques de ce projet d envergure nationale pourront nécessiter de solliciter la CNIL qui devra en tout état de cause être saisie dans le cadre des formalités préalables à accomplir avant la mise en œuvre de la solution SI-Samu. Classification : non sensible, public 107 / 118

109 Axe «Gouvernance / Organisationnel» Risques Difficulté à mobiliser les acteurs métier des Samu en phase de conception et sur la longueur du projet Difficulté à faire émerger un consensus entre les nombreux partenaires des Samu Plans de couverture Il apparaît essentiel de prévoir d'abord une équipe "métier" renforcée, forte et solide au sein de la structure chargée de mener le projet SI-Samu dans ces étapes «Pilote» et «Déploiement». La difficulté de mobiliser des personnels experts issus des Samu (ou des Etablissements de soins autorisés) pour participer dans la durée, en plus de leurs activités régulières, aux travaux de conception fonctionnelle de la solution a été soulevée et étudiée par les groupes de travail thématiques métier GTT et le comité de suivi des Samu (CSS) dans le cadre de l étude de faisabilité. A ce titre, le budget du projet SI-Samu prévoit le financement de compétences médicales supplémentaires au sein d environ 6 Samu. Les Samu en question se chargeront du recrutement et de la formation de ces nouvelles ressources. Ceci permettra la mise à disposition par ces Samu d un expert au sein de la structure en charge de la maîtrise d ouvrage opérationnelle du projet SI-Samu. Il s'agit ensuite d'identifier très tôt, dès l'étape d'amorçage, les experts de terrain qui participeront aux groupes de travail afin de préparer leur intervention sur le projet. Leur mobilisation dépendra aussi d'une identification et une planification précise des sujets nécessitant leur mobilisation. L identification des experts sera menée vie une fiche de poste et une sollicitation prioritaire des participants au comité de suivi des Samu mis en place durant l étude de faisabilité. La gouvernance proposée pour la réalisation du projet (Comité d UrBanisation - CUB, Comité de suivi des ARS - CSA et le Comité métier Samu - CMS) permet une large participation des partenaires des Samu au processus de conception. En outre, la participation active des partenaires professionnels des Samu sera également assurée via des Groupes de Travail Thématiques partenaire, sur le même principe que ceux mis en place durant l étude de faisabilité. Les représentations professionnelles des partenaires des Samu désigneront des interlocuteurs capables de dialoguer avec les équipes projet Samu et de prendre les décisions utiles en cas de besoin. Ces dispositifs sont de nature à permettre un échange avec l ensemble des partenaires des Samu au cours du projet. Par ailleurs, la volonté de mise en œuvre d'interconnexions standards sous la forme de connecteurs génériques respectant un format commun d'échange, permet de limiter le périmètre des points de décision. Enfin, les actions de communication viseront à rappeler la vocation du futur SI-Samu, qui n'est pas celle d'imposer des procédures ou des évolutions logicielles aux partenaires des Samu, mais celle de faciliter l'interopérabilité des systèmes tiers qui souhaitent dialoguer avec le SI-Samu. Classification : non sensible, public 108 / 118

110 Risques Risque d'une solution peu évolutive du fait de la difficulté à dégager un consensus entre les différents Samu Plans de couverture Pour qu'un consensus se dégage, la gouvernance proposée prévoit la mise en place d un Comité de Métier Samu (évolution du Comité de Suivi des Samu de l étude de faisabilité). Ce comité prendra les arbitrages métier relatifs au SI-Samu (évolution, correction d anomalie ), selon un processus de décision restant à définir. En outre, un club des utilisateurs du «SI-Samu» sera mis en place pour être force de proposition auprès du CMS, avec une vue prospective sur le devenir du SI-Samu. L étape d'amorçage permettra de définir les modalités de représentativité et de prise de décision au sein des différentes instances mises en place. De manière générale, l implication des Samu au sein du projet est souhaitée a minima aussi forte durant le projet que ce qu elle a été durant l étude de faisabilité. Les Samu sont les experts fonctionnels de leur propre solution et ils seront donc mis au cœur des décisions. Classification : non sensible, public 109 / 118

111 10. Annexe 9 : Méthode, hypothèses et périmètre de chiffrage Méthode de chiffrage La méthodologie employée pour la réalisation du chiffrage est une méthodologie dite «ascendante» : les coûts ont été estimés au niveau le plus fin par des experts reconnus dans leurs domaines de compétence. Le chiffrage est réalisé par étape projet, par nature et par destination de coûts. Les éléments de dimensionnement technique ont été construits via des abaques, et les résultats ont été intégrés dans un fichier de consolidation de référence. Un chiffrage «ascendant» réalisé au niveau le plus fin afin de rechercher l exhaustivité. En amont des travaux de chiffrage, l étude de faisabilité a permis la production d une description fondamentale : du besoin métier cible ; des fonctionnalités cibles ; des données d activité cibles ; de l architecture technique cible ; de la planification du projet ; de la trajectoire de déploiement des Samu ; de la stratégie industrielle et juridique ; de l ensemble des risques inhérents au projet. Ces éléments ont permis d établir un corpus d hypothèses partagées par l ensemble des experts. La méthodologie de chiffrage s articule en trois temps : Temps 1 : Les experts détaillent les activités à mener ainsi que les achats à consentir sur leurs domaines respectifs. Ce chiffrage est réalisé au niveau le plus fin, et à ce stade, les coûts sont estimés selon les prix unitaires catalogue constatés. Le montant estimé correspond au total des coûts projet et des coûts de fonctionnement sur la durée du projet. Le chiffrage est détaillé par étape projet : Classification : non sensible, public 110 / 118

112 étape d amorçage : chiffrage du montant total de la phase d amorçage puis ventilation pluriannuelle du montant total par application de pourcentages. Cette étape permet de préparer le projet de modernisation (consultations, travaux juridiques, structure de portage, gouvernance, planification et préparation des travaux, débuts des travaux d expression des besoins, etc.) étape de construction : chiffrage du montant total de la construction du système cible (de la construction du pilote jusqu à la mise en œuvre de l architecture cible à même de supporter l ensemble des Samu), puis ventilation pluriannuelle du montant total par application de ratio. Cette étape inclut le développement du pilote industriel en mode agile, puis la mise à niveau de l architecture, pré-requis à la généralisation. Cette construction inclut tous les équipements centraux (datacenter, T2 et enregistreurs centraux, Gateways centrales, etc.), le réseau WAN, le développement de l application «cœur» et de ses satellites (bandeau, cartographie, etc.) ainsi que tous les coûts de mise en œuvre centrale. déploiement : chiffrage d un déploiement unitaire par taille de Samu (petit, moyen, grand) et multiplication des montants par le nombre de Samu de chaque taille. Ventilation pluriannuelle sur la base de la trajectoire de déploiement des Samu. Cette étape inclut le matériel local (T2, enregistreurs, etc.), le réseau local (LAN) ainsi que les coûts liés aux licences et les coûts de mise en œuvre locale et de formation. Sur la base d enquêtes techniques et fonctionnelles menées au cours de l étude de faisabilité, les Samu ont été classés selon leur taille. Ces catégories ont été établies sur la base de la volumétrie d appels. La volumétrie d appels est un indicateur pertinent car il impacte directement le dimensionnement des infrastructures techniques, le dimensionnement du nombre de licences, du nombre de positions, etc. La définition des seuils est basée sur le nombre annuel d appels entrants et permet de catégoriser les Samu en «petit», «moyen» ou «grand». Cette méthode permet d estimer finement les coûts de l étape de déploiement. maintenance et exploitation : chiffrage des coûts de maintenance et d exploitation annuels pour le système cible puis ventilation pluriannuelle sur la base de la trajectoire de Classification : non sensible, public 111 / 118