Il est y précisé que désormais l’hébergement de données de santé à caractère personnel concerne aussi les données sur support papier.

Texte actuel de l’article 1111-8

Si cette disposition permettra plus facilement aux établissements d’externaliser leurs archives papier, cela implique toutefois que les prestataires spécialisés dans l’archivage papier devront se conformer au décret sur l’hébergement de données de santé, et donc se soumettre à la procédure d’agrément.

Le référentiel de constitution des dossiers de demande d’agrément paru en Mars 2009 leur est donc opposable.

A noter, que le consentement du patient est toujours un pre-requis à l’hébergement, on imagine alors les quelques soucis à pouvoir externaliser les archives qui engorgent actuellement les hôpitaux.

Voici le début de l’article 1111-8 du CSP tel qu’il devrait être publié dans les prochains jours :

” Les professionnels de santé ou les établissements de santé ou la personne concernée peuvent déposer des données de santé à caractère personnel, recueillies ou produites à l’occasion des activités de prévention, de diagnostic ou de soins, auprès de personnes physiques ou morales agréées à cet effet. Cet hébergement de données, quel qu’en soit le support, papier ou informatique, ne peut avoir lieu qu’avec le consentement exprès de la personne concernée.

Les traitements de données de santé à caractère personnel que nécessite l’hébergement prévu au premier alinéa, quel qu’en soit le support, papier ou informatique, doivent être réalisés dans le respect des dispositions de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés. La prestation d’hébergement, quel qu’en soit le support, fait l’objet d’un contrat. Lorsque cet hébergement est à l’initiative d’un professionnel de santé ou d’un établissement de santé, le contrat prévoit que l’hébergement des données, les modalités d’accès à celles-ci et leurs modalités de transmission sont subordonnées à l’accord de la personne concernée.

Les conditions d’agrément des hébergeurs des données, quel qu’en soit le support, sont fixées par décret en Conseil d’Etat pris après avis de la Commission nationale de l’informatique et des libertés et des conseils de l’ordre des professions de santé. Ce décret mentionne les informations qui doivent être fournies à l’appui de la demande d’agrément, notamment les modèles de contrats prévus au deuxième alinéa et les dispositions prises pour garantir la sécurité des données traitées en application de l’article 34 de la loi n° 78-17 du 6 janvier 1978 précitée, en particulier les mécanismes de contrôle et de sécurité dans le domaine informatique ainsi que les procédures de contrôle interne. Les dispositions de l’article L. 4113-6 s’appliquent aux contrats prévus à l’alinéa précédent.”

A l’heure du SaaS, du green computing et de la télé médecine, stocker des données sur du papier puis les faire héberger, c’est plutôt cocasse !