5. Cybersécurité 
5.3. Sécurité informatique et de l'information
5.3. Sécurité informatique et de l'information
Décret n° 2023-1315 du 27 décembre 2023 relatif à la délivrance du certificat de conformité mentionné à l’article L. 1470-6 du code de la santé publique et au délai d’instruction des demandes d’agrément des sociétés de téléconsultation
| Date de signature : | 27/12/2023 | Statut du texte : | En vigueur |
| Date de publication : | 29/12/2023 | Emetteur : | Ministère de la santé et de la prévention |
| Consolidée le : | Source : | JO du 29 décembre 2023 | |
| Date d'entrée en vigueur : | 30/12/2023 |
Décret n° 2023-1315 du 27 décembre 2023 relatif à la délivrance du certificat de conformité mentionné à l’article L. 1470-6 du code de la santé publique et au délai d’instruction des demandes d’agrément des sociétés de téléconsultation
NOR : SPRD2325146D
Publics concernés : personnes physiques ou morales de droit public ou privé qui proposent des services numériques en santé, organismes d’assurance maladie.
Objet : modalités de délivrance d’un certificat de conformité pour certains référentiels destinés aux services numériques en santé.
Entrée en vigueur : le décret entre en vigueur le lendemain de sa publication.
Notice : le décret définit les modalités de délivrance des certificats de conformité aux référentiels d’interopérabilité, d’éthique et de sécurité, qui peuvent être exigés des personnes morales et physiques mentionnées à l’article L. 1470-1. Le décret précise les opérateurs économiques qui sont tenus d’obtenir le certificat de conformité dans les cas où il est exigé, et définit la procédure de vérification de la conformité aux référentiels conduisant à la délivrance du certificat, qui ne peut excéder six mois. Le texte fixe les conditions de validité du certificat dans le temps et encadre notamment la demande de l’organisme certificateur de visite ou de démonstration du fonctionnement de l’outil au sein des locaux du pétitionnaire. Il étend à quatre mois le délai au terme duquel le silence gardé sur une demande de délivrance ou de renouvellement d’un agrément permettant aux sociétés de téléconsultation de facturer les téléconsultations effectuées par leurs médecins salariés à l’assurance maladie vaut acceptation.
Références : le décret est pris pour l’application du II et du a du 3° du III de l’article 53 de la loi n°2022-1616 du 23 décembre 2022 de financement de la sécurité sociale pour 2023. Le décret, ainsi que les dispositions du code de la santé publique qu’il modifie, peuvent être consultées, dans leur version résultant de cette modification, sur le site Légifrance (https://www.legifrance.gouv.fr).
La Première ministre,
Sur le rapport de la ministre de la santé et de la prévention et de la ministre des solidarités et des familles,
Décrète :
Art. 1er. – Le livre IV de la première partie du code de la santé publique est complété par un titre VII ainsi rédigé :
« TITRE VII
« SERVICES NUMÉRIQUES EN SANTÉ
« CHAPITRE Ier
« CERTIFICAT DE CONFORMITÉ AUX RÉFÉRENTIELS D’INTEROPÉRABILITÉ, DE SÉCURITÉ ET D’ÉTHIQUE
« Section 1
« Délivrance du certificat de conformité
« Art. R. 1470-1. – La personne physique ou morale qui fabrique, développe, édite ou exploite un service numérique en santé mentionné à l’article L. 1470-1 et qui souhaite obtenir le certificat attestant de la conformité d’un service numérique en santé à un référentiel d’interopérabilité, de sécurité et d’éthique mentionné à l’article L. 1470-5 en fait la demande, de manière dématérialisée, auprès du groupement d’intérêt public mentionné à l’article L. 1111-24, ou, lorsque l’arrêté approuvant le référentiel le prévoit, auprès d’un organisme de certification accrédité à cet effet.
« Lorsqu’il prévoit d’y associer une procédure de délivrance d’un certificat de conformité, l’arrêté qui approuve un référentiel précise, parmi les personnes physiques ou morales mentionnées au premier alinéa, celles qui peuvent formuler une demande de certificat de conformité.
« Les organismes de certification sont accrédités par l’instance française d’accréditation ou par l’instance nationale d’accréditation d’un autre Etat membre de l’Union européenne mentionnée à l’article 137 de la loi n°2008-776 du 4 août 2008 de modernisation de l’économie, conformément à un référentiel d’accréditation élaboré par le groupement d’intérêt public mentionné à l’article L. 1111-24 et approuvé par arrêté du ministre chargé de la santé.
« Le groupement d’intérêt public mentionné à l’article L. 1111-24 publie sur son site internet, pour chaque référentiel ayant fait l’objet d’une approbation par l’arrêté prévu à l’article L. 1470-5, la liste des organismes de certification accrédités pour délivrer le certificat de conformité qui lui est le cas échéant associé.
« Art. R. 1470-2. – La demande de certificat de conformité est accompagnée d’un dossier qui comporte l’identification du service numérique concerné et du référentiel pour lequel le certificat de conformité est demandé, ainsi que les justificatifs nécessaires pour apprécier le respect par le service numérique des exigences du référentiel. Le directeur du groupement d’intérêt public mentionné à l’article L. 1111-24 fixe la liste des pièces composant le dossier de demande, qui est publiée sur le site internet du groupement.
« L’organisme saisi de la demande accuse réception du dossier complet par tout moyen donnant date certaine à cette réception. Lorsque les pièces et éléments fournis ne contiennent pas toutes les informations nécessaires à l’instruction, il notifie au pétitionnaire une demande énumérant les informations manquantes. A défaut de communication de ces éléments dans un délai de soixante jours, la demande est réputée abandonnée.
« Art. R. 1470-3. – Lorsque l’arrêté approuvant le référentiel en prévoit la faculté, l’organisme mentionné à l’article R. 1470-1 peut vérifier le respect de certaines exigences du référentiel par une visite ou une démonstration du fonctionnement de l’outil au sein des locaux du pétitionnaire. Cette demande précise la nature des vérifications que l’organisme compte entreprendre ainsi que l’identité et la qualité des personnes qui en sont chargées.
« Art. R. 1470-4. – L’organisme saisi de la demande de certificat de conformité prend une décision dans un délai de six mois à compter de la réception du dossier complet. L’arrêté approuvant un référentiel peut, au regard de la teneur du référentiel et de la technicité de la procédure de certification, fixer un délai inférieur.
« Cette décision est communiquée au pétitionnaire par tout moyen donnant date certaine à sa réception, avec la mention de ses motifs ainsi que des voies et délais de recours qui lui sont applicables.
« Le silence gardé par l’organisme à l’issue du délai mentionné au premier alinéa vaut acceptation de la demande de certificat de conformité.
« Art. R. 1470-5. – Le document attestant de la possession du certificat de conformité comporte les mentions suivantes :
« 1° Le nom et le numéro de version du service numérique concerné ;
« 2° Le nom et les coordonnées de la personne physique ou morale exploitant ce service ;
« 3° Le référentiel auquel la conformité est certifiée et sa version ;
« 4° Le nom de l’organisme ayant délivré le certificat ;
« 5° Le cas échéant, la date du prochain contrôle à effectuer en application de l’article R. 1470-7.
« Art. R. 1470-6. – Les organismes accrédités mentionnés à l’article R. 1470-1 communiquent au groupement d’intérêt public mentionné à l’article L. 1111-24 les demandes de certificat de conformité qui leur sont adressées ainsi que les décisions prises sur ces demandes.
« Le groupement met à disposition du public, sur son site internet, la liste des demandes de certificats en cours d’instruction, ainsi que celle des certificats de conformité délivrés. La liste des certificats de conformité délivrés comporte les informations mentionnées à l’article R. 1470-5.
« Section 2
« Validité du certificat dans le temps
« Art. R. 1470-7. – L’arrêté approuvant le référentiel prévu à l’article L. 1470-5 peut prévoir l’obligation, pour le titulaire d’un certificat de conformité, de faire vérifier, suivant une périodicité déterminée, que le service numérique respecte toujours les exigences du référentiel.
« Cette vérification est réalisée par un organisme pouvant délivrer le certificat de conformité concerné, qui peut, dans les conditions prévues à l’article R. 1470-3, demander pour cela de réaliser une visite ou de bénéficier d’une démonstration du fonctionnement de l’outil au sein des locaux du titulaire du certificat.
« Un rapport relatif à la conformité du service au référentiel est adressé par l’organisme accrédité au titulaire du certificat ainsi qu’au groupement d’intérêt public mentionné à l’article L. 1111-24.
« Art. R. 1470-8. – Outre les contrôles prévus à l’article R. 1470-7, le groupement d’intérêt public mentionné à l’article L. 1111-24 peut également effectuer des contrôles de tout service numérique certifié conforme à un référentiel afin de vérifier qu’il en respecte les exigences. Il peut, dans les mêmes conditions que celles prévues à l’article R. 1470-7, demander de réaliser une visite ou de bénéficier d’une démonstration du fonctionnement de l’outil au sein des locaux du titulaire du certificat.
« Art. R. 1470-9. – I. Lorsqu’un service numérique en santé certifié n’est plus conforme aux exigences du référentiel pour lequel il a été certifié ou à celles prévues par l’arrêté l’ayant approuvé, le groupement d’intérêt public met en demeure le titulaire du certificat de conformité de prendre des mesures correctrices ou de présenter ses observations sur les non-conformités relevées dans un délai qu’il fixe, et qui ne peut excéder six mois.
« Le certificat de conformité peut être suspendu jusqu’à ce qu’il soit remédié aux non-conformités.
« II. – Si, à l’issue du délai mentionné au I, le titulaire du certificat de conformité n’a pas pris les mesures nécessaires, le groupement d’intérêt public mentionné à l’article L. 1111-24 peut retirer le certificat.
« La prise d’effet du retrait d’un certificat de conformité peut, dans la mesure requise par les exigences de prise en charge des soins dispensés aux assurés sociaux, être fixée par le groupement à une date pouvant aller jusqu’à six mois après la notification de sa décision.
« III. – Les décisions de retrait de certificat de conformité sont notifiées au titulaire du certificat qui est tenu d’en informer sans délai les utilisateurs du service concerné.
« Le groupement d’intérêt public mentionné à l’article L. 1111-24 en informe également le ministre chargé de la santé et met immédiatement à jour la liste des services numériques certifiés figurant sur son site internet en application de l’article R. 1470-6.
« Section 3
« Modifications du service ou du référentiel
« Art. R. 1470-10. – Le titulaire d’un certificat de conformité est tenu de déclarer sans délai à l’organisme qui lui a délivré le certificat ou, à défaut, au groupement d’intérêt public mentionné à l’article L. 1111-24, toute modification du service numérique susceptible de remettre en cause sa conformité au référentiel.
« Art. R. 1470-11. – Dans le cas où un arrêté du ministre chargé de la santé approuve une version modifiée du référentiel, cet arrêté fixe le délai au terme duquel les détenteurs d’un certificat de conformité sont tenus de solliciter la délivrance d’un nouveau certificat de conformité, ainsi que les éléments requis pour établir leur conformité au nouveau référentiel. »
Art. 2. – Au titre VIII du livre préliminaire de la quatrième partie du code de la santé publique, il est inséré un article R. 4081-3 ainsi rédigé :
« Art. R. 4081-3. – Le silence gardé pendant quatre mois par l’administration sur la demande d’agrément ou de renouvellement d’agrément vaut acceptation de cette demande ».
Art. 3. – La ministre de la santé et de la prévention et la ministre des solidarités et des familles sont chargées, chacune en ce qui la concerne, de l’exécution du présent décret, qui sera publié au Journal officiel de la République française.
Fait le 27 décembre 2023.
Par la Première ministre :
Élisabeth Borne
La ministre de la santé et de la prévention,
Agnès Firmin Le Bodo
La ministre des solidarités et des familles,
Aurore Bergé
Source Légifrance
NOR : SPRD2325146D
Publics concernés : personnes physiques ou morales de droit public ou privé qui proposent des services numériques en santé, organismes d’assurance maladie.
Objet : modalités de délivrance d’un certificat de conformité pour certains référentiels destinés aux services numériques en santé.
Entrée en vigueur : le décret entre en vigueur le lendemain de sa publication.
Notice : le décret définit les modalités de délivrance des certificats de conformité aux référentiels d’interopérabilité, d’éthique et de sécurité, qui peuvent être exigés des personnes morales et physiques mentionnées à l’article L. 1470-1. Le décret précise les opérateurs économiques qui sont tenus d’obtenir le certificat de conformité dans les cas où il est exigé, et définit la procédure de vérification de la conformité aux référentiels conduisant à la délivrance du certificat, qui ne peut excéder six mois. Le texte fixe les conditions de validité du certificat dans le temps et encadre notamment la demande de l’organisme certificateur de visite ou de démonstration du fonctionnement de l’outil au sein des locaux du pétitionnaire. Il étend à quatre mois le délai au terme duquel le silence gardé sur une demande de délivrance ou de renouvellement d’un agrément permettant aux sociétés de téléconsultation de facturer les téléconsultations effectuées par leurs médecins salariés à l’assurance maladie vaut acceptation.
Références : le décret est pris pour l’application du II et du a du 3° du III de l’article 53 de la loi n°2022-1616 du 23 décembre 2022 de financement de la sécurité sociale pour 2023. Le décret, ainsi que les dispositions du code de la santé publique qu’il modifie, peuvent être consultées, dans leur version résultant de cette modification, sur le site Légifrance (https://www.legifrance.gouv.fr).
La Première ministre,
Sur le rapport de la ministre de la santé et de la prévention et de la ministre des solidarités et des familles,
- Vu le code des relations entre le public et l’administration, notamment son article L. 231-6 ;
- Vu le code de la santé publique, notamment ses articles L. 1470-6 et L. 4081-1 ;
- Vu la loi n°2008-776 du 4 août 2008 modifiée de modernisation de l’économie, notamment son article 137 ;
- Vu la loi n°2022-1616 du 23 décembre 2022 modifiée de financement de la sécurité sociale pour 2023, notamment son article 53 ;
- Vu l’avis de la Commission nationale de l’informatique et des libertés en date du 28 septembre 2023 ;
Décrète :
Art. 1er. – Le livre IV de la première partie du code de la santé publique est complété par un titre VII ainsi rédigé :
« TITRE VII
« SERVICES NUMÉRIQUES EN SANTÉ
« CHAPITRE Ier
« CERTIFICAT DE CONFORMITÉ AUX RÉFÉRENTIELS D’INTEROPÉRABILITÉ, DE SÉCURITÉ ET D’ÉTHIQUE
« Section 1
« Délivrance du certificat de conformité
« Art. R. 1470-1. – La personne physique ou morale qui fabrique, développe, édite ou exploite un service numérique en santé mentionné à l’article L. 1470-1 et qui souhaite obtenir le certificat attestant de la conformité d’un service numérique en santé à un référentiel d’interopérabilité, de sécurité et d’éthique mentionné à l’article L. 1470-5 en fait la demande, de manière dématérialisée, auprès du groupement d’intérêt public mentionné à l’article L. 1111-24, ou, lorsque l’arrêté approuvant le référentiel le prévoit, auprès d’un organisme de certification accrédité à cet effet.
« Lorsqu’il prévoit d’y associer une procédure de délivrance d’un certificat de conformité, l’arrêté qui approuve un référentiel précise, parmi les personnes physiques ou morales mentionnées au premier alinéa, celles qui peuvent formuler une demande de certificat de conformité.
« Les organismes de certification sont accrédités par l’instance française d’accréditation ou par l’instance nationale d’accréditation d’un autre Etat membre de l’Union européenne mentionnée à l’article 137 de la loi n°2008-776 du 4 août 2008 de modernisation de l’économie, conformément à un référentiel d’accréditation élaboré par le groupement d’intérêt public mentionné à l’article L. 1111-24 et approuvé par arrêté du ministre chargé de la santé.
« Le groupement d’intérêt public mentionné à l’article L. 1111-24 publie sur son site internet, pour chaque référentiel ayant fait l’objet d’une approbation par l’arrêté prévu à l’article L. 1470-5, la liste des organismes de certification accrédités pour délivrer le certificat de conformité qui lui est le cas échéant associé.
« Art. R. 1470-2. – La demande de certificat de conformité est accompagnée d’un dossier qui comporte l’identification du service numérique concerné et du référentiel pour lequel le certificat de conformité est demandé, ainsi que les justificatifs nécessaires pour apprécier le respect par le service numérique des exigences du référentiel. Le directeur du groupement d’intérêt public mentionné à l’article L. 1111-24 fixe la liste des pièces composant le dossier de demande, qui est publiée sur le site internet du groupement.
« L’organisme saisi de la demande accuse réception du dossier complet par tout moyen donnant date certaine à cette réception. Lorsque les pièces et éléments fournis ne contiennent pas toutes les informations nécessaires à l’instruction, il notifie au pétitionnaire une demande énumérant les informations manquantes. A défaut de communication de ces éléments dans un délai de soixante jours, la demande est réputée abandonnée.
« Art. R. 1470-3. – Lorsque l’arrêté approuvant le référentiel en prévoit la faculté, l’organisme mentionné à l’article R. 1470-1 peut vérifier le respect de certaines exigences du référentiel par une visite ou une démonstration du fonctionnement de l’outil au sein des locaux du pétitionnaire. Cette demande précise la nature des vérifications que l’organisme compte entreprendre ainsi que l’identité et la qualité des personnes qui en sont chargées.
« Art. R. 1470-4. – L’organisme saisi de la demande de certificat de conformité prend une décision dans un délai de six mois à compter de la réception du dossier complet. L’arrêté approuvant un référentiel peut, au regard de la teneur du référentiel et de la technicité de la procédure de certification, fixer un délai inférieur.
« Cette décision est communiquée au pétitionnaire par tout moyen donnant date certaine à sa réception, avec la mention de ses motifs ainsi que des voies et délais de recours qui lui sont applicables.
« Le silence gardé par l’organisme à l’issue du délai mentionné au premier alinéa vaut acceptation de la demande de certificat de conformité.
« Art. R. 1470-5. – Le document attestant de la possession du certificat de conformité comporte les mentions suivantes :
« 1° Le nom et le numéro de version du service numérique concerné ;
« 2° Le nom et les coordonnées de la personne physique ou morale exploitant ce service ;
« 3° Le référentiel auquel la conformité est certifiée et sa version ;
« 4° Le nom de l’organisme ayant délivré le certificat ;
« 5° Le cas échéant, la date du prochain contrôle à effectuer en application de l’article R. 1470-7.
« Art. R. 1470-6. – Les organismes accrédités mentionnés à l’article R. 1470-1 communiquent au groupement d’intérêt public mentionné à l’article L. 1111-24 les demandes de certificat de conformité qui leur sont adressées ainsi que les décisions prises sur ces demandes.
« Le groupement met à disposition du public, sur son site internet, la liste des demandes de certificats en cours d’instruction, ainsi que celle des certificats de conformité délivrés. La liste des certificats de conformité délivrés comporte les informations mentionnées à l’article R. 1470-5.
« Section 2
« Validité du certificat dans le temps
« Art. R. 1470-7. – L’arrêté approuvant le référentiel prévu à l’article L. 1470-5 peut prévoir l’obligation, pour le titulaire d’un certificat de conformité, de faire vérifier, suivant une périodicité déterminée, que le service numérique respecte toujours les exigences du référentiel.
« Cette vérification est réalisée par un organisme pouvant délivrer le certificat de conformité concerné, qui peut, dans les conditions prévues à l’article R. 1470-3, demander pour cela de réaliser une visite ou de bénéficier d’une démonstration du fonctionnement de l’outil au sein des locaux du titulaire du certificat.
« Un rapport relatif à la conformité du service au référentiel est adressé par l’organisme accrédité au titulaire du certificat ainsi qu’au groupement d’intérêt public mentionné à l’article L. 1111-24.
« Art. R. 1470-8. – Outre les contrôles prévus à l’article R. 1470-7, le groupement d’intérêt public mentionné à l’article L. 1111-24 peut également effectuer des contrôles de tout service numérique certifié conforme à un référentiel afin de vérifier qu’il en respecte les exigences. Il peut, dans les mêmes conditions que celles prévues à l’article R. 1470-7, demander de réaliser une visite ou de bénéficier d’une démonstration du fonctionnement de l’outil au sein des locaux du titulaire du certificat.
« Art. R. 1470-9. – I. Lorsqu’un service numérique en santé certifié n’est plus conforme aux exigences du référentiel pour lequel il a été certifié ou à celles prévues par l’arrêté l’ayant approuvé, le groupement d’intérêt public met en demeure le titulaire du certificat de conformité de prendre des mesures correctrices ou de présenter ses observations sur les non-conformités relevées dans un délai qu’il fixe, et qui ne peut excéder six mois.
« Le certificat de conformité peut être suspendu jusqu’à ce qu’il soit remédié aux non-conformités.
« II. – Si, à l’issue du délai mentionné au I, le titulaire du certificat de conformité n’a pas pris les mesures nécessaires, le groupement d’intérêt public mentionné à l’article L. 1111-24 peut retirer le certificat.
« La prise d’effet du retrait d’un certificat de conformité peut, dans la mesure requise par les exigences de prise en charge des soins dispensés aux assurés sociaux, être fixée par le groupement à une date pouvant aller jusqu’à six mois après la notification de sa décision.
« III. – Les décisions de retrait de certificat de conformité sont notifiées au titulaire du certificat qui est tenu d’en informer sans délai les utilisateurs du service concerné.
« Le groupement d’intérêt public mentionné à l’article L. 1111-24 en informe également le ministre chargé de la santé et met immédiatement à jour la liste des services numériques certifiés figurant sur son site internet en application de l’article R. 1470-6.
« Section 3
« Modifications du service ou du référentiel
« Art. R. 1470-10. – Le titulaire d’un certificat de conformité est tenu de déclarer sans délai à l’organisme qui lui a délivré le certificat ou, à défaut, au groupement d’intérêt public mentionné à l’article L. 1111-24, toute modification du service numérique susceptible de remettre en cause sa conformité au référentiel.
« Art. R. 1470-11. – Dans le cas où un arrêté du ministre chargé de la santé approuve une version modifiée du référentiel, cet arrêté fixe le délai au terme duquel les détenteurs d’un certificat de conformité sont tenus de solliciter la délivrance d’un nouveau certificat de conformité, ainsi que les éléments requis pour établir leur conformité au nouveau référentiel. »
Art. 2. – Au titre VIII du livre préliminaire de la quatrième partie du code de la santé publique, il est inséré un article R. 4081-3 ainsi rédigé :
« Art. R. 4081-3. – Le silence gardé pendant quatre mois par l’administration sur la demande d’agrément ou de renouvellement d’agrément vaut acceptation de cette demande ».
Art. 3. – La ministre de la santé et de la prévention et la ministre des solidarités et des familles sont chargées, chacune en ce qui la concerne, de l’exécution du présent décret, qui sera publié au Journal officiel de la République française.
Fait le 27 décembre 2023.
Par la Première ministre :
Élisabeth Borne
La ministre de la santé et de la prévention,
Agnès Firmin Le Bodo
La ministre des solidarités et des familles,
Aurore Bergé
Source Légifrance