La personne physique ou morale qui fabrique, développe, édite ou exploite un service numérique en santé mentionné à l'article L. 1470-1 et qui souhaite obtenir le certificat attestant de la conformité d'un service numérique en santé à un référentiel d'interopérabilité, de sécurité et d'éthique mentionné à l'article L. 1470-5 en fait la demande, de manière dématérialisée, auprès du groupement d'intérêt public mentionné à l'article L. 1111-24, ou, lorsque l'arrêté approuvant le référentiel le prévoit, auprès d'un organisme de certification accrédité à cet effet.

Lorsqu'il prévoit d'y associer une procédure de délivrance d'un certificat de conformité, l'arrêté qui approuve un référentiel précise, parmi les personnes physiques ou morales mentionnées au premier alinéa, celles qui peuvent formuler une demande de certificat de conformité.

Les organismes de certification sont accrédités par l'instance française d'accréditation ou par l'instance nationale d'accréditation d'un autre Etat membre de l'Union européenne mentionnée à l'article 137 de la loi n° 2008-776 du 4 août 2008 de modernisation de l'économie, conformément à un référentiel d'accréditation élaboré par le groupement d'intérêt public mentionné à l'article L. 1111-24 et approuvé par arrêté du ministre chargé de la santé.

Le groupement d'intérêt public mentionné à l'article L. 1111-24 publie sur son site internet, pour chaque référentiel ayant fait l'objet d'une approbation par l'arrêté prévu à l'article L. 1470-5, la liste des organismes de certification accrédités pour délivrer le certificat de conformité qui lui est le cas échéant associé.

La demande de certificat de conformité est accompagnée d'un dossier qui comporte l'identification du service numérique concerné et du référentiel pour lequel le certificat de conformité est demandé, ainsi que les justificatifs nécessaires pour apprécier le respect par le service numérique des exigences du référentiel. Le directeur du groupement d'intérêt public mentionné à l'article L. 1111-24 fixe la liste des pièces composant le dossier de demande, qui est publiée sur le site internet du groupement.

L'organisme saisi de la demande accuse réception du dossier complet par tout moyen donnant date certaine à cette réception. Lorsque les pièces et éléments fournis ne contiennent pas toutes les informations nécessaires à l'instruction, il notifie au pétitionnaire une demande énumérant les informations manquantes. A défaut de communication de ces éléments dans un délai de soixante jours, la demande est réputée abandonnée.

Lorsque l'arrêté approuvant le référentiel en prévoit la faculté, l'organisme mentionné à l'article R. 1470-1 peut vérifier le respect de certaines exigences du référentiel par une visite ou une démonstration du fonctionnement de l'outil au sein des locaux du pétitionnaire. Cette demande précise la nature des vérifications que l'organisme compte entreprendre ainsi que l'identité et la qualité des personnes qui en sont chargées.

L'organisme saisi de la demande de certificat de conformité prend une décision dans un délai de six mois à compter de la réception du dossier complet. L'arrêté approuvant un référentiel peut, au regard de la teneur du référentiel et de la technicité de la procédure de certification, fixer un délai inférieur.

Cette décision est communiquée au pétitionnaire par tout moyen donnant date certaine à sa réception, avec la mention de ses motifs ainsi que des voies et délais de recours qui lui sont applicables.

Le silence gardé par l'organisme à l'issue du délai mentionné au premier alinéa vaut acceptation de la demande de certificat de conformité.

Le document attestant de la possession du certificat de conformité comporte les mentions suivantes :

1° Le nom et le numéro de version du service numérique concerné ;

2° Le nom et les coordonnées de la personne physique ou morale exploitant ce service ;

3° Le référentiel auquel la conformité est certifiée et sa version ;

4° Le nom de l'organisme ayant délivré le certificat ;

5° Le cas échéant, la date du prochain contrôle à effectuer en application de l'article R. 1470-7.

Les organismes accrédités mentionnés à l'article R. 1470-1 communiquent au groupement d'intérêt public mentionné à l'article L. 1111-24 les demandes de certificat de conformité qui leur sont adressées ainsi que les décisions prises sur ces demandes.

Le groupement met à disposition du public, sur son site internet, la liste des demandes de certificats en cours d'instruction, ainsi que celle des certificats de conformité délivrés. La liste des certificats de conformité délivrés comporte les informations mentionnées à l'article R. 1470-5.

L'arrêté approuvant le référentiel prévu à l'article L. 1470-5 peut prévoir l'obligation, pour le titulaire d'un certificat de conformité, de faire vérifier, suivant une périodicité déterminée, que le service numérique respecte toujours les exigences du référentiel.

Cette vérification est réalisée par un organisme pouvant délivrer le certificat de conformité concerné, qui peut, dans les conditions prévues à l'article R. 1470-3, demander pour cela de réaliser une visite ou de bénéficier d'une démonstration du fonctionnement de l'outil au sein des locaux du titulaire du certificat.

Un rapport relatif à la conformité du service au référentiel est adressé par l'organisme accrédité au titulaire du certificat ainsi qu'au groupement d'intérêt public mentionné à l'article L. 1111-24.

Outre les contrôles prévus à l'article R. 1470-7, le groupement d'intérêt public mentionné à l'article L. 1111-24 peut également effectuer des contrôles de tout service numérique certifié conforme à un référentiel afin de vérifier qu'il en respecte les exigences. Il peut, dans les mêmes conditions que celles prévues à l'article R. 1470-7, demander de réaliser une visite ou de bénéficier d'une démonstration du fonctionnement de l'outil au sein des locaux du titulaire du certificat.

I. Lorsqu'un service numérique en santé certifié n'est plus conforme aux exigences du référentiel pour lequel il a été certifié ou à celles prévues par l'arrêté l'ayant approuvé, le groupement d'intérêt public met en demeure le titulaire du certificat de conformité de prendre des mesures correctrices ou de présenter ses observations sur les non-conformités relevées dans un délai qu'il fixe, et qui ne peut excéder six mois.

Le certificat de conformité peut être suspendu jusqu'à ce qu'il soit remédié aux non-conformités.

II.-Si, à l'issue du délai mentionné au I, le titulaire du certificat de conformité n'a pas pris les mesures nécessaires, le groupement d'intérêt public mentionné à l'article L. 1111-24 peut retirer le certificat.

La prise d'effet du retrait d'un certificat de conformité peut, dans la mesure requise par les exigences de prise en charge des soins dispensés aux assurés sociaux, être fixée par le groupement à une date pouvant aller jusqu'à six mois après la notification de sa décision.

III.-Les décisions de retrait de certificat de conformité sont notifiées au titulaire du certificat qui est tenu d'en informer sans délai les utilisateurs du service concerné.

Le groupement d'intérêt public mentionné à l'article L. 1111-24 en informe également le ministre chargé de la santé et met immédiatement à jour la liste des services numériques certifiés figurant sur son site internet en application de l'article R. 1470-6.

Le titulaire d'un certificat de conformité est tenu de déclarer sans délai à l'organisme qui lui a délivré le certificat ou, à défaut, au groupement d'intérêt public mentionné à l'article L. 1111-24, toute modification du service numérique susceptible de remettre en cause sa conformité au référentiel.

Dans le cas où un arrêté du ministre chargé de la santé approuve une version modifiée du référentiel, cet arrêté fixe le délai au terme duquel les détenteurs d'un certificat de conformité sont tenus de solliciter la délivrance d'un nouveau certificat de conformité, ainsi que les éléments requis pour établir leur conformité au nouveau référentiel.