Décret n° 2018-137 du 26 février 2018 relatif à l'hébergement de données de santé à caractère personnel

Publics concernés : patients ; personnes physiques ou morales responsables de traitements de données de santé à caractère personnel ; prestataires qui concourent à la fourniture d'un service d'hébergement de données de santé à caractère personnel ; organismes de certification. Objet : règles relatives à l'hébergement de données de santé à caractère personnel. Entrée en vigueur : le décret entre en vigueur le lendemain de sa publication, sous réserve des dispositions prévues à l'article 3. Notice : le décret précise le champ des activités d'hébergement de données de santé à caractère personnel qui sont soumises à un agrément délivré par le ministre chargé de la santé ou à une certification. Il détermine les conditions d'application de l'obligation, pour toute personne physique ou morale à l'origine de la production ou du recueil de ces données de santé, de recourir à un hébergeur certifié ou agréé lorsqu'il externalise la conservation des données dont il est responsable. Le décret définit le périmètre des activités d'hébergement de données de santé relevant de la certification, fixe les conditions d'obtention du certificat de conformité et les clauses minimales que doit comporter le contrat d'hébergement de données de santé. Enfin, il précise les conditions dans lesquelles sont régis les demandes d'agrément déposées avant le 31 mars 2018 ainsi que les agréments jusqu'à leur terme. Références : le décret est pris pour l'application de l'ordonnance n° 2017-27 du 12 janvier 2017 relative à l'hébergement de données de santé à caractère personnel. Les dispositions du code de la santé publique modifiées par le présent décret peuvent être consultées, dans leur rédaction résultant de cette modification, sur le site Légifrance (www.legifrance.gouv.fr). Le Premier ministre,

Sur le rapport de la ministre des solidarités et de la santé,

Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données) ;

Vu la directive 2015/1535 du Parlement européen et du Conseil du 9 septembre 2015 prévoyant une procédure d'information dans le domaine des réglementations techniques et des règles relatives aux services de la société de l'information ;

Vu le code de la santé publique, notamment son article L. 1111-8 ;

Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés modifiée ;

Vu l'ordonnance n° 2017-27 du 12 janvier 2017 relative à l'hébergement de données de santé à caractère personnel, notamment son article 3 ;

Vu l'avis du Conseil national de l'ordre des sages-femmes en date du 11 septembre 2017 ;

Vu l'avis du Conseil national de l'ordre des pédicures-podologues en date du 15 septembre 2017 ;

Vu l'avis du Conseil national de l'ordre des chirurgiens-dentistes en date du 18 septembre 2017 ;

Vu l'avis du Conseil national de l'ordre des médecins en date du 21 septembre 2017 ;

Vu l'avis de la Commission nationale de l'informatique et des libertés en date du 12 octobre 2017 ;

Vu l'avis du Conseil national de l'ordre des pharmaciens en date du 6 novembre 2017 ;

Vu la saisine du Conseil national de l'ordre des infirmiers en date du 24 août 2017 ;

Vu la saisine du Conseil national de l'ordre des masseurs-kinésithérapeutes en date du 24 août 2017 ;

Vu la notification n° 2017/343/F adressée le 20 juillet 2017 à la Commission européenne ;

Le Conseil d'Etat (section sociale) entendu,