L'utilisation des services numériques en santé requiert l'identification électronique de leurs utilisateurs. Cette identification électronique repose sur un moyen, matériel ou immatériel, qui garantit un niveau adapté de sécurité et de protection des données à caractère personnel traitées par le service numérique en santé concerné.

Un référentiel, établi par arrêté des ministres chargés de la santé et de l'action sociale, détermine des catégories de services numériques en santé en fonction notamment des finalités du service, du type de données traitées, du nombre d'utilisateurs susceptibles d'accéder au service, de sa dimension nationale ou territoriale et, le cas échéant, de la circonstance que le service bénéficie à des utilisateurs professionnels de santé exerçant simultanément leur activité au sein de plusieurs personnes morales.

Ce référentiel précise, pour chaque catégorie d'utilisateurs et pour chaque catégorie de service numérique en santé :

1° Le niveau de garantie minimal exigé pour l'identification électronique, au regard des spécifications techniques et des procédures minimales prévues à l'annexe du règlement d'exécution (UE) 2015/1502 de la Commission du 8 septembre 2015 fixant les spécifications techniques et procédures minimales relatives aux niveaux de garantie des moyens d'identification électronique visés à l'article 8, paragraphe 3, du règlement (UE) n° 910/2014 du Parlement européen et du Conseil sur l'identification électronique et les services de confiance pour les transactions électroniques au sein du marché intérieur, en pouvant, le cas échéant, ajouter au niveau de garantie dit “ faible ” des exigences complémentaires ;

2° Pour les professionnels, le ou les moyens d'identification électronique exigés.

Les ministres chargés de la santé et de l'action sociale, ou le cas échéant le ministre de la défense, mettent à disposition des professionnels, personnes physiques et morales, intervenant dans les secteurs sanitaire, social et médico-social les moyens d'identification électronique, matériels ou immatériels, permettant l'utilisation des services numériques en santé.

Les caractéristiques de ces moyens d'identification électronique ainsi que les modalités de leur mise à disposition et de leur utilisation sont fixées par arrêté des ministres chargés de la santé, de l'action sociale et de la défense.

La mise à disposition des moyens d'identification électronique est subordonnée à l'enregistrement préalable des professionnels dans le répertoire sectoriel de référence des personnes physiques ou dans le répertoire sectoriel de référence des personnes morales administrés par le groupement d'intérêt public mentionné à l'article L. 1111-24.

Les ministres chargés de la santé, de l'action sociale et de la défense définissent par arrêté les conditions de mise en œuvre du répertoire sectoriel de référence des personnes physiques et du répertoire sectoriel de référence des personnes morales, notamment :

1° Les catégories de données traitées par ces répertoires ;

2° Les modalités d'accès et, le cas échéant, de publicité afférentes à ces données ainsi que leurs destinataires ;

3° Les autorités d'enregistrement et, le cas échéant, leurs délégataires, compétentes pour l'enregistrement des professionnels, ainsi que les conditions de mise à jour des données des professionnels et les modalités de vérification ;

4° Pour les personnes physiques, les modalités d'information des professionnels sur le traitement mis en œuvre et sur l'exercice des droits liés à ce traitement ;

5° Les obligations de vérification de l'enregistrement des professionnels dans ces répertoires incombant aux responsables des services numériques en santé.

Afin de garantir l'échange, le partage, la sécurité et la confidentialité des données de santé à caractère personnel, les services numériques en santé destinés à être utilisés par les personnes morales et physiques mentionnées aux 1° et 2° de l'article L. 1470-1 doivent être conformes aux référentiels d'interopérabilité, de sécurité et d'éthique élaborés par le groupement d'intérêt public mentionné à l'article L. 1111-24, pour le traitement de ces données, leur conservation sur support informatique et leur transmission par voie électronique.

Ces référentiels sont élaborés en concertation avec les représentants des professions de santé, d'associations d'usagers du système de santé agréées, des établissements de santé, des établissements et services des secteurs médico-social et social ainsi que des opérateurs publics et privés du développement et de l'édition des systèmes d'information et des services et outils numériques en santé. Ils sont approuvés par arrêté du ministre chargé de la santé.

Les référentiels d'interopérabilité mentionnés au premier alinéa du présent article s'appuient sur des standards ouverts en vue de faciliter l'extraction, le partage et le traitement des données de santé dans le cadre de la coordination des parcours de soins, de l'amélioration de la qualité des soins et de l'efficience du système de santé ou à des fins de recherche clinique, chaque fois que le recours à ces standards est jugé pertinent et possible par le groupement d'intérêt public mentionné à l'article L. 1111-24.

Le groupement d'intérêt public mentionné au même article L. 1111-24 assure le suivi et la revue régulière de ces référentiels.

I.-La conformité d'un système d'information ou d'un service ou outil numérique en santé aux référentiels mentionnés à l'article L. 1470-5 est attestée par la délivrance d'un certificat de conformité par le groupement d'intérêt public mentionné à l'article L. 1111-24, par un des organismes de certification accrédités par l'instance française d'accréditation ou par l'instance nationale d'accréditation d'un autre Etat membre de l'Union européenne mentionnée à l'article 137 de la loi n° 2008-776 du 4 août 2008 de modernisation de l'économie, selon des modalités fixées par un décret en Conseil d'Etat pris après avis de la Commission nationale de l'informatique et des libertés. L'arrêté mentionné à l'article L. 1470-5 du présent code précise si une procédure de délivrance d'un certificat de conformité est associée à ce référentiel. Dans ce cas, l'arrêté mentionne les organismes qui délivrent le certificat ainsi que, le cas échéant, les situations dans lesquelles ce certificat de conformité est obligatoire.

II.-L'attribution de fonds publics dédiés au financement d'opérations de conception, d'acquisition ou de renouvellement de systèmes d'information ou de services ou outils numériques en santé destinés à être utilisés par les personnes morales et physiques mentionnées aux 1° et 2° de l'article L. 1470-1 est conditionnée à des engagements de mise en conformité aux référentiels d'interopérabilité mentionnés à l'article L. 1470-5.

Les conventions d'objectifs et de gestion mentionnées à l'article L. 227-1 du code de la sécurité sociale, les contrats pluriannuels d'objectifs et de moyens mentionnés à l'article L. 1435-3 du présent code et les contrats ayant pour objet d'améliorer la qualité et la coordination des soins mentionnés à l'article L. 1435-4 comprennent des engagements relatifs à l'acquisition ou à l'utilisation de systèmes d'information ou de services ou outils numériques en santé dont la conformité aux référentiels d'interopérabilité mentionnés à l'article L. 1470-5 est attestée dans les conditions prévues au I du présent article.

La liste des services numériques disposant de certificats de conformité aux référentiels mentionnés à l'article L. 1470-5 est mise à la disposition du public par le groupement d'intérêt public mentionné à l'article L. 1111-24.

Les conventions mentionnées aux articles L. 162-14-1, L. 162-16-1 et L. 162-32-1 du code de la sécurité sociale peuvent prévoir que certains soins délivrés et prescrits par les professionnels et les établissements de santé et réalisés au moyen de services numériques en santé ne disposant pas d'un certificat de conformité mentionné au I du présent article ne sont pas pris en charge par l'assurance maladie. Dans ce cas, il peut être fait application de l'article L. 133-4 du code de la sécurité sociale.

Des modalités complémentaires d'incitation à la mise en conformité des systèmes d'information et services ou outils numériques en santé aux référentiels d'interopérabilité mentionnés à l'article L. 1470-5 peuvent être prévues par décret en Conseil d'Etat.

III.-Lorsqu'un éditeur de services numériques en santé, un professionnel personne physique ou une personne morale mentionnée aux 1° et 2° de l'article L. 1470-1, autre qu'un professionnel de santé relevant des professions faisant l'objet d'une convention mentionnée aux articles L. 162-14-1 ou L. 162-16-1 du code de la sécurité sociale, ne se conforme pas aux référentiels mentionnés à l'article L. 1470-5 du présent code ou ne dispose pas du certificat de conformité aux référentiels mentionné à l'article L. 1470-6 lorsque celui-ci est requis, et en l'absence de réponse dans le délai fixé par l'injonction ou si cette réponse est insuffisante, le ministre chargé de la santé, sur proposition du groupement d'intérêt public mentionné à l'article L. 1111-24, peut prononcer, après que l'intéressé a été mis en mesure de présenter ses observations, une pénalité financière à sa charge. Le montant de la pénalité ne peut être supérieur :

1° A 1 % du chiffre d'affaires, hors taxes, réalisé en France par l'éditeur au titre du dernier exercice clos pour l'année précédente, dans la limite d'un million d'euros ;

2° A 1 000 euros pour les personnes physiques et à 10 000 euros pour les personnes morales.

Le montant de la pénalité est fixé en fonction de la gravité du manquement constaté. Le ministre chargé de la santé peut assortir cette amende d'une astreinte journalière lorsque l'éditeur ne s'est pas conformé, à l'issue du délai fixé par une mise en demeure, aux prescriptions qui lui ont été adressées. Le montant de l'astreinte ne peut excéder 1 000 euros par jour.

Les professionnels et les services de santé relevant de l'une des conventions mentionnées aux articles L. 162-14-1, L. 162-16-1 et L. 162-32-1 du code de la sécurité sociale qui utilisent des services numériques en santé ne disposant pas du certificat de conformité mentionné au I du présent article, lorsque celui-ci est requis, encourent les sanctions prévues par la convention.

Le produit des sanctions financières prévues au présent III est affecté à la Caisse nationale de l'assurance maladie.