5. Cybersécurité 5.3. Sécurité informatique et de l'information

Ordonnance n°2021-581 du 12 mai 2021 relative à l’identification électronique des utilisateurs de services numériques en santé et des bénéficiaires de l’assurance maladie

NOR : SSAD2107644R

Le Président de la République,

Sur le rapport du Premier ministre et du ministre des solidarités et de la santé,

• Vu la Constitution, notamment son article 38 ;
• Vu le règlement d’exécution (UE) 2015/1502 de la Commission du 8 septembre 2015 fixant les spécifications techniques et procédures minimales relatives aux niveaux de garantie des moyens d’identification électronique visés à l’article 8, paragraphe 3, du règlement (UE) n°910/2014 du Parlement européen et du Conseil sur l’identification électronique et les services de confiance pour les transactions électroniques au sein du marché intérieur ;
• Vu le règlement (UE) no 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/76/CE ;
• Vu la directive (UE) 2015/1535 du Parlement européen et du Conseil du 9 septembre 2015 prévoyant une procédure d’information dans le domaine des réglementations techniques et des règles relatives aux services de la société de l’information ;
• Vu le code de l’action sociale et des familles ;
• Vu le code de justice administrative, notamment son article R. 123-20 ;
• Vu le code des postes et des communications électroniques, notamment son article L. 102 ;
• Vu le code de la santé publique ;
• Vu le code de la sécurité sociale ;
• Vu la loi n°78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés ;
• Vu la loi n°2004-810 du 13 août 2004 relative à l’assurance maladie ;
• Vu la loi n°2019-774 du 24 juillet 2019 relative à l’organisation et à la transformation du système de santé, notamment son article 49 ;
• Vu la loi n°2021-502 du 26 avril 2021 visant à améliorer le système de santé par la confiance et la simplification ;
• Vu l’ordonnance n°96-1122 du 20 décembre 1996 relative à l’amélioration de la santé publique, à l’assurance maladie, maternité, invalidité et décès, au financement de la sécurité sociale à Mayotte et à la caisse de sécurité sociale de Mayotte ;
• Vu l’avis du Conseil national d’évaluation des normes en date du 10 décembre 2020 ;
• Vu l’avis du conseil d’administration de la Caisse centrale de la mutualité sociale agricole en date du 17 mars 2021 ;
• Vu l’avis du conseil de la Caisse nationale de l’assurance maladie en date du 23 mars 2021 ;
• Vu l’avis de la Commission nationale de l’informatique et des libertés en date du 15 avril 2021 ;
• Vu la saisine du conseil départemental de Mayotte en date du 12 avril 2021 ;
• Vu la notification n°2020/674/F adressée à la Commission européenne le 27 octobre 2020 ;

Le Conseil d’Etat (section sociale) entendu ;
Le conseil des ministres entendu,

Ordonne :

Article 1er

Le code de la santé publique est ainsi modifié :

1° Les articles L. 1110-4-1 et L. 1110-4-2 sont abrogés ;

2° Après le titre VI du livre IV du titre I er de la première partie, il est ajouté un titre VII ainsi rédigé :

« TITRE VII

« SERVICES NUMÉRIQUES EN SANTÉ

« Art. L. 1470-1. – Les services numériques en santé régis par le présent titre sont les systèmes d’information ou les services ou outils numériques mis en œuvre par des personnes physiques ou morales de droit public ou de droit privé, y compris les organismes d’assurance maladie, proposés par voie électronique, qui concourent à des activités de prévention, de diagnostic, de soin ou de suivi médical ou médico-social, ou à des interventions nécessaires à la coordination de plusieurs de ces activités.

« Les utilisateurs des services numériques en santé sont :

« 1° Les professionnels de santé et les personnes exerçant sous leur autorité, les établissements et services de santé, le service de santé des armées et tout organisme participant à la prévention ou aux soins dont les conditions d’exercice ou les activités sont régies par le présent code ;

« 2° Les professionnels des secteurs social et médico-social et les établissements ou services des secteurs social et médico-social mentionnés au I de l'article L. 312-1 du code de l'action sociale et des familles ;

« 3° Les usagers du système de santé.

« CHAPITRE Ier

« IDENTIFICATION ÉLECTRONIQUE DES UTILISATEURS DES SERVICES NUMÉRIQUES EN SANTÉ

« Art. L. 1470-2. – L’utilisation des services numériques en santé requiert l’identification électronique de leurs utilisateurs. Cette identification électronique repose sur un moyen, matériel ou immatériel, qui garantit un niveau adapté de sécurité et de protection des données à caractère personnel traitées par le service numérique en santé concerné.

« Un référentiel, établi par arrêté des ministres chargés de la santé et de l’action sociale, détermine des catégories de services numériques en santé en fonction notamment des finalités du service, du type de données traitées, du nombre d’utilisateurs susceptibles d’accéder au service, de sa dimension nationale ou territoriale et, le cas échéant, de la circonstance que le service bénéficie à des utilisateurs professionnels de santé exerçant simultanément leur activité au sein de plusieurs personnes morales.

« Ce référentiel précise, pour chaque catégorie d’utilisateurs et pour chaque catégorie de service numérique en santé :

« 1° Le niveau de garantie minimal exigé pour l’identification électronique, au regard des spécifications techniques et des procédures minimales prévues à l’annexe du règlement d’exécution (UE) 2015/1502 de la Commission du 8 septembre 2015 fixant les spécifications techniques et procédures minimales relatives aux niveaux de garantie des moyens d’identification électronique visés à l’article 8, paragraphe 3, du règlement (UE) n°910/2014 du Parlement européen et du Conseil sur l’identification électronique et les services de confiance pour les transactions électroniques au sein du marché intérieur, en pouvant, le cas échéant, ajouter au niveau de garantie dit “faible” des exigences complémentaires ;

« 2° Pour les professionnels, le ou les moyens d’identification électronique exigés.

« Art. L. 1470-3. – Les ministres chargés de la santé et de l’action sociale, ou le cas échéant le ministre de la défense, mettent à disposition des professionnels, personnes physiques et morales, intervenant dans les secteurs sanitaire, social et médico-social les moyens d’identification électronique, matériels ou immatériels, permettant l’utilisation des services numériques en santé.

« Les caractéristiques de ces moyens d’identification électronique ainsi que les modalités de leur mise à disposition et de leur utilisation sont fixées par arrêté des ministres chargés de la santé, de l’action sociale et de la défense.

« Art. L. 1470-4. – La mise à disposition des moyens d’identification électronique est subordonnée à l’enregistrement préalable des professionnels dans le répertoire sectoriel de référence des personnes physiques ou dans le répertoire sectoriel de référence des personnes morales administrés par le groupement d’intérêt public mentionné à l’article L. 1111-24.

« Les ministres chargés de la santé, de l’action sociale et de la défense définissent par arrêté les conditions de mise en œuvre du répertoire sectoriel de référence des personnes physiques et du répertoire sectoriel de référence des personnes morales, notamment :

« 1° Les catégories de données traitées par ces répertoires ;

« 2° Les modalités d’accès et, le cas échéant, de publicité afférentes à ces données ainsi que leurs destinataires ;

« 3° Les autorités d’enregistrement et, le cas échéant, leurs délégataires, compétentes pour l’enregistrement des professionnels, ainsi que les conditions de mise à jour des données des professionnels et les modalités de vérification ;

« 4° Pour les personnes physiques, les modalités d’information des professionnels sur le traitement mis en œuvre et sur l’exercice des droits liés à ce traitement ;

« 5° Les obligations de vérification de l’enregistrement des professionnels dans ces répertoires incombant aux responsables des services numériques en santé. 

« CHAPITRE II

« INTEROPÉRABILITÉ ET SÉCURITÉ DES SERVICES NUMÉRIQUES EN SANTÉ

« Art. L. 1470-5. – Afin de garantir l’échange, le partage, la sécurité et la confidentialité des données de santé à caractère personnel, les services numériques en santé destinés à être utilisés par les personnes morales et physiques mentionnées aux 1° et 2° de l’article L. 1470-1 doivent être conformes aux référentiels d’interopérabilité et de sécurité élaborés par le groupement d’intérêt public mentionné à l’article L. 1111-24, pour le traitement de ces données, leur conservation sur support informatique et leur transmission par voie électronique.

« Ces référentiels sont élaborés en concertation avec les représentants des professions de santé, d’associations d’usagers du système de santé agréées, des établissements de santé, des établissements et services des secteurs médico-social et social ainsi que des opérateurs publics et privés du développement et de l’édition des systèmes d’information et des services et outils numériques en santé. Ils sont approuvés par arrêté du ministre chargé de la santé.

« Les référentiels d’interopérabilité mentionnés au premier alinéa du présent article s’appuient sur des standards ouverts en vue de faciliter l’extraction, le partage et le traitement des données de santé dans le cadre de la coordination des parcours de soins, de l’amélioration de la qualité des soins et de l’efficience du système de santé ou à des fins de recherche clinique, chaque fois que le recours à ces standards est jugé pertinent et possible par le groupement d’intérêt public mentionné à l’article L. 1111-24.

« Art. L. 1470-6. – La conformité d’un système d’information ou d’un service ou outil numérique en santé aux référentiels d’interopérabilité mentionnés à l’article L. 1470-5 est attestée dans le cadre d’une procédure d’évaluation et de certification définie par décret en Conseil d’Etat.

« L’attribution de fonds publics dédiés au financement d’opérations de conception, d’acquisition ou de renouvellement de systèmes d’information ou de services ou outils numériques en santé destinés à être utilisés par les personnes morales et physiques mentionnées aux 1° et 2° de l’article L. 1470-1 est conditionnée à des engagements de mise en conformité aux référentiels d’interopérabilité prévus au premier alinéa.

« Les conventions d’objectifs et de gestion mentionnées à l’article L. 227-1 du code de la sécurité sociale, les contrats pluriannuels d’objectifs et de moyens mentionnés à l’article L. 1435-3 du présent code et les contrats ayant pour objet d’améliorer la qualité et la coordination des soins mentionnés à l’article L. 1435-4 comprennent des engagements relatifs à l’acquisition ou à l’utilisation de systèmes d’information ou de services ou outils numériques en santé dont la conformité aux référentiels d’interopérabilité mentionnés à l’article L. 1470-5 est attestée dans les conditions prévues au premier alinéa du présent article.

« Des modalités complémentaires d’incitation à la mise en conformité des systèmes d’information et services ou outils numériques en santé aux référentiels d’interopérabilité mentionnés à l’article L. 1470-5 peuvent être prévues par décret en Conseil d’Etat. » ;

3° Au premier alinéa des articles L. 1111-14 et L. 1111-15 et à l’article L. 1111-31, la référence : « L. 1110-4-1 » est remplacée par la référence : « L. 1470-5 ».

Article 2

Le code de la sécurité sociale est ainsi modifié :
1° Le premier alinéa de l’article L. 161-15-4 est remplacé par les dispositions suivantes :

« Toute personne qui cesse de bénéficier de la prise en charge des frais de santé en application des articles L. 160-1 à L. 160-4 est tenue d’en informer, dans un délai fixé par arrêté du ministre chargé de la sécurité sociale, l’organisme d’assurance maladie auquel elle est rattachée. Le moyen d’identification électronique dont elle dispose fait immédiatement l’objet de l’opposition prévue au I de l’article L. 161-31. La personne qui dispose du moyen d’identification électronique le restitue à l’organisme précité s’il s’agit d’un moyen matériel ou met en œuvre la procédure permettant la désactivation prévue au I de l’article L. 161-31 s’il s’agit d’un moyen immatériel. » ;

2° A l’article L. 161-31 :

a) Les I et I bis sont remplacés par les dispositions suivantes :

« I. – Chaque bénéficiaire pris en charge au titre des articles L. 160-1, L. 160-2, L. 160-3 et L. 160-4 dispose d’un moyen d’identification électronique interrégimes. Ce moyen d’identification électronique, matériel ou immatériel, comporte la photographie de son titulaire. Sa mise à disposition est gratuite.

« L’utilisation de ce moyen d’identification électronique est subordonnée à la validité des droits. En cas de vol, perte, dysfonctionnement ou compromission, ce moyen fait l’objet d’une opposition dont les professionnels, les établissements de santé et toute personne ou organisme intervenant dans la prise en charge des soins délivrés au titulaire sont informés.

« Les caractéristiques de ce moyen d’identification électronique, ses modalités de délivrance, d’utilisation et de désactivation ainsi que les caractéristiques du système d’opposition sont fixées par décret en Conseil d’Etat pris après avis de la Commission nationale de l’informatique et des libertés. « Ce décret précise les conditions dans lesquelles une personne titulaire d’un moyen d’identification électronique peut déléguer temporairement son usage à une autre personne titulaire d’un moyen d’identification électronique similaire aux fins d’assurer son identification ou celles de ses ayants-droit. » ; 

b) Au II, les mots : « Cette carte électronique » sont remplacés par les mots : « Le moyen d’identification électronique mentionné au I » et les mots : « de la carte » sont supprimés ;

c) Au III, les mots : « de cette carte » sont remplacés par les mots : « de ce moyen d’identification électronique » et les mots : « de la carte mentionnée » sont remplacés par les mots : « du moyen d’identification électronique mentionné » ;

d) Au V, les mots : « de la carte électronique individuelle inter-régimes » sont remplacés par les mots : « du moyen d’identification électronique interrégimes » ;

3° Au dernier alinéa de l’article L. 161-33, les mots : « une carte électronique individuelle appelée carte de professionnel de santé » sont remplacés par les mots : « un moyen d’identification électronique » et les mots : « de cette carte » sont remplacés par les mots : « de ce moyen d’identification » ;

4° Au premier alinéa de l’article L. 161-36-3, les mots : « la carte électronique de l’assuré mentionnée à l’article L. 161-31 et qu’elle » sont remplacés par les mots : « le moyen d’identification électronique de l’assuré mentionné à l’article L. 161-31 et que celui-ci » ;

5° Au 1° de l’article L. 161-36-4, les mots : « la carte électronique mentionnée » sont remplacés par les mots : « le moyen d’identification électronique mentionné » ;

6° Au premier alinéa de l’article L. 162-4-3, les mots : « la carte mentionnée » sont remplacés par les mots : « le moyen d’identification électronique mentionné » ;

7° Aux articles L. 162-4-5 et L. 162-8-1, les mots : « la carte professionnelle » sont remplacés par les mots : « le moyen d’identification électronique » ;

8° A l’article L. 162-16-3-1, dans leurs deux occurrences, les mots : « la carte » sont remplacés par les mots : « le moyen d’identification électronique ».

Article 3

Après l’article L. 312-9 du code de l’action sociale et des familles, il est ajouté un article L. 312-10 ainsi rédigé :

« Art. L. 312-10. – Les dispositions des articles L. 1470-2 à L. 1470-6 du code de la santé publique sont applicables aux établissements et services mentionnés à l’article L. 312-1 du présent code, lorsqu’ils utilisent ou proposent des services numériques en santé mentionnés à l’article L. 1470-1 du code de la santé publique. »

Article 4

Au premier alinéa de l’article 42 de la loi du 26 avril 2021 susvisée, la référence : « L. 1110-4-1 » est remplacée par la référence : « L. 1470-5 ».

Article 5

L’article 20-5-6 de l’ordonnance du 20 décembre 1996 susvisée est complété par un alinéa ainsi rédigé : « Pour l’application du I de l’article L. 161-31, les mots : “des articles L. 160-1, L. 160-2, L. 160-3 et L. 160-4” sont remplacés par les mots : “du II ou du III de l’article 19 de la présente ordonnance”. »

Article 6

Lorsqu’un bénéficiaire de l’assurance maladie dispose d’une carte électronique individuelle interrégimes délivrée selon les dispositions de l’article L. 161-31 applicables avant l’entrée en vigueur de la loi du 13 août 2004 susvisée, la deuxième phrase du I de l’article L. 161-31 du code de la sécurité sociale, telle qu’elle résulte du a du 2° de l’article 2 de la présente ordonnance, entre en vigueur en ce qui concerne cette personne lors de la délivrance d’un nouveau moyen d’identification électronique.

Article 7

Le Premier ministre, le ministre de l’économie, des finances et de la relance, la ministre des armées, le ministre des outre-mer et le ministre des solidarités et de la santé sont responsables, chacun en ce qui le concerne, de l’application de la présente ordonnance, qui sera publiée au Journal officiel de la République française.

Fait le 12 mai 2021. 

Par le Président de la République :
Emmanuel Macron

Le Premier ministre, 
Jean Castex

Le ministre des solidarités et de la santé,
Olivier Véran

Le ministre de l’économie,
des finances et de la relance,
Bruno Le Maire

La ministre des armées, 
Florence Parly

Source Légifrance