Est autorisée l'expérimentation, pour une durée de dix-huit mois, par le groupement d'intérêt public prévu par l'article L. 1111-24 du code de la santé publique dénommé « Agence du numérique en santé » (ANS), pour le compte du ministère chargé de la santé, d'une extension du périmètre du traitement de données à caractère personnel dénommé « Répertoire partagé des professionnels intervenant dans le système de santé » (RPPS).
L'expérimentation vise :

- à permettre à des professionnels des secteurs sanitaire, médico-social et social non-inscrits à ce jour au RPPS de bénéficier de moyens d'identification électroniques fournis par la puissance publique qui leur permettront d'accéder de manière sécurisée à certains services numériques en santé ;
- à permettre aux services numériques en santé de rechercher ou vérifier de manière fiable certaines données d'identification personnelle des professionnels intervenant dans le système de santé.

Dans le cadre de la présente expérimentation, les professionnels sont inscrits dans le RPPS « élargi » par de nouvelles autorités d'enregistrement, qui peuvent être leurs employeurs, les agences régionales de santé ou les groupements régionaux d'appui au développement de la e-santé, sous la responsabilité desquelles les professionnels visés agissent.

Peuvent participer à l'expérimentation, en tant qu'autorité d'enregistrement, les structures sanitaires, médico-sociales ou sociales qui le souhaitent et dont la démarche s'inscrit dans le cadre défini à l'article 1er.
Les demandes de participation à l'expérimentation sont adressées par voie électronique au groupement d'intérêt public prévu par l'article L. 1111-24 du code de la santé publique dénommé « Agence du numérique en santé » (ANS) qui les instruit et accompagne les structures concernées dans la mise en œuvre de l'enregistrement des professionnels placés sous leur responsabilité.
L'agence du numérique en santé publie sur son site internet la liste des autorités d'enregistrement prenant part à l'expérimentation ainsi que celle des services bénéficiaires.
Les autorités d'enregistrement participant à l'expérimentation sont seules responsables de la collecte, de la vérification et de l'enregistrement des données concernant les professionnels placés sous leur responsabilité.

Le traitement mis en œuvre dans le cadre de la présente expérimentation repose sur l'intérêt public.
a) Au titre de l'expérimentation relative à l'extension du RPPS, sont collectées et traitées les données à caractère personnel suivantes, concernant les professionnels visés à l'article 1er :
1. Données d'identification de la personne : noms de famille et d'usage, prénoms, civilité, sexe, date et lieu de naissance, numéro d'identification technique de l'utilisateur ;
2. Coordonnées personnelles ou professionnelles auxquelles le professionnel souhaite être joint : adresse postale, adresse de messagerie électronique, numéro de téléphone mobile ;
3. Données décrivant l'exercice de la profession : profession, catégorie de professionnel, identité d'exercice ;
4. Activités et structures d'exercice :

- genre d'activité, date de début et de fin de l'activité ;
- mode d'exercice, fonction (rôle dans la structure) ;
- coordonnées professionnelles : coordonnées de la structure d'exercice ou d'emploi (adresse postale, adresse de messagerie électronique, téléphone) ;
- structure d'exercice ou d'emploi : numéros SIREN/SIRET ou FINESS, activité, secteur d'activité santé, catégorie juridique.

b) Dans le portail permettant la saisie et l'enregistrement des données concernant les professionnels, sont collectées et conservées les données à caractère personnel suivantes :
1. Données relatives aux personnels habilités, au sein des autorités d'enregistrement, à valider l'inscription d'un professionnel : identifiant, liste d'habilitation ;
2. Données liées à l'utilisation du portail d'enregistrement : historique de navigation, adresse IP de l'utilisateur, numéro d'identification technique de l'utilisateur.

Les professionnels concernés par l'expérimentation ont la possibilité de pré-enregistrer eux-mêmes les informations les concernant via un portail mis à leur disposition par l'agence du numérique en santé. Pour ce faire, ils peuvent utiliser le téléservice « FranceConnect » prévu par l'arrêté du 8 novembre 2018 susvisé.
Les données listées à l'article 3 ainsi collectées sont enregistrées et rendues accessibles, via le portail, à l'autorité d'enregistrement sous la responsabilité de laquelle les professionnels sont placés.
Ces mêmes données peuvent également être saisies directement par l'autorité d'enregistrement, avec le consentement du professionnel concerné.
Une fois vérifiées par l'autorité d'enregistrement, les données concernant les professionnels sont versées temporairement dans le RPPS. Les professionnels sont alors enregistrés au répertoire et un identifiant national individuel « RPPS », unique et pérenne, leur est délivré par l'agence du numérique en santé.

Afin de garantir l'intégrité, la confidentialité, et la sécurité des données enregistrées, l'agence du numérique en santé met notamment en œuvre des mesures d'identification électronique des personnes habilitées à consulter ou à modifier les données, ainsi que des outils de traçabilité des accès aux données.

Les données personnelles collectées au titre de la présente expérimentation sont conservées pendant une durée de dix-huit mois, correspondant à la durée de l'expérimentation. A l'issue, elles pourront faire l'objet d'un versement définitif dans le RPPS.

Les professionnels sont informés des modalités de l'expérimentation ainsi que de l'existence et de la mise en œuvre du traitement de données à caractère personnel relatif à l'expérimentation de l'extension du périmètre du RPPS par l'autorité d'enregistrement sous l'autorité de laquelle ils sont placés.
Ils reçoivent également toutes les informations prévues par les articles 13 et 14 du règlement (UE) 2016/679 du 27 avril 2016, concernant notamment l'exercice de leur droit d'accès, d'opposition, de rectification, et droit à la limitation des données les concernant, qui s'exercent auprès de leur autorité d'enregistrement pour ce qui relève des données prévues au a de l'article 3.
Les droits d'accès, de rectification, d'opposition ainsi que le droit à la limitation et à l'effacement s'exercent auprès de l'Agence du numérique en santé, dans les conditions prévues aux articles 15, 16, 17 et 18 du même règlement, pour les données prévues au b de l'article 3.

Le 3° de l'article 5 de l'arrêté du 18 avril 2017 est complété par la donnée suivante : « fonction » (rôle dans la structure).
Les dispositions des articles 5 à 9 de l'arrêté du 6 février 2009 modifié par l'arrêté du 18 avril 2017, relatives aux modalités d'accès aux données du RPPS par les tiers, s'appliquent aux données traitées dans le cadre l'expérimentation prévue par le présent arrêté.

Le présent arrêté sera publié au Journal officiel de la République française.