L’hypothèse d’un établissement de santé hébergeur de données

212. Un établissement de santé, qui choisirait d’être son propre hébergeur de données, n’a pas à obtenir d’agrément. En effet, l’article L. 1111-8 du Code de la santé publique est très clair à ce sujet et le périmètre de l’agrément (et, à compter du 1er janvier 2019, de la certification) ne concerne que les cas dans lesquels les données ont été déposées auprès de personnes tiers. Mais quid dans le cas où un établissement de santé hébergerait les données d’un autre établissement ou un autre professionnel ? Cette hypothèse existe par exemple dans le cas de mise en place de réseaux de télémédecine. En toute logique, l’établissement devenant un tiers hébergeur devra donc répondre aux obligations posées par l’article L. 1111- 8 du Code de la santé publique ainsi que celles du décret "hébergeur". Cependant, une autre question se pose alors, celle de la possibilité juridique, pour un établissement de santé, d’assurer des missions de tiers hébergeur de données de santé. En effet, les établissements publics de santé sont soumis au principe de spécialité et sont donc tenus de limiter leurs activités aux missions qui leur ont été fixées par la loi. Il ne leur est donc pas possible, en théorie, de sortir du champ de compétence qui leur a été attribué. L’hébergement de données de santé d’autres établissements pourrait-il entrer dans les compétences d’un établissement public de santé ?

213. Les missions des établissements de santé sont prévues à l’article L. 6111-1 du Code de la santé publique283 et l’hébergement de données de santé pour le compte d’un autre

établissement public ou privé de santé ne fait pas partie de la liste exhaustive dressée par l’article. Toutefois, l’article L. 6145-7 du Code de la santé publique prévoit quant à lui la possibilité pour un établissement public de santé, sans porter atteinte au principe de spécialité, d’effectuer des prestations de service à titre subsidiaire. Reste à savoir ce que recouvre cette notion de prestation réalisé à titre subsidiaire.

283 _{« Les établissements de santé publics, privés et privés d'intérêt collectif assurent, dans les conditions prévues}

par le présent Code, le diagnostic, la surveillance et le traitement des malades, des blessés et des femmes enceintes. Ils délivrent les soins avec hébergement, sous forme ambulatoire ou à domicile, le domicile pouvant s'entendre du lieu de résidence ou d'un établissement avec hébergement relevant du Code de l'action sociale et des familles. Ils participent à la coordination des soins en relation avec les membres des professions de santé exerçant en pratique de ville et les établissements et services médico-sociaux, dans le cadre défini par l'Agence Régionale de Santé en concertation avec les conseils généraux pour les compétences qui les concernent. Ils participent à la mise en œuvre de la politique de santé publique et des dispositifs de vigilance destinés à garantir la sécurité sanitaire. Ils mènent, en leur sein, une réflexion sur l'éthique liée à l'accueil et la prise en charge médicale »

125

214. Le juge administratif est venu apporter quelques précisions à ce sujet. Dans une décision du 29 mars 2000, la Cour administrative d’appel de Nantes284 a considéré qu’une prestation de blanchisserie, assurée par un établissement public de santé au profit d’une clinique privée, n’entrait pas dans les critères de l’article L. 6145-7 du Code de la santé publique, dès lors que l’activité concernée est sans rapport avec les missions dévolues aux établissements de santé. Pour le juge administratif, une activité exercée à titre subsidiaire doit donc obligatoirement constituer le prolongement d’une activité principale d’un établissement public de santé. Certains auteurs voient, dans cette jurisprudence, l’affirmation selon laquelle un établissement public de santé ne pourrait pas être hébergeur de données de santé, considérant que l’article L. 1111-8 du Code de la santé publique « n’avait pas pour but

d’ouvrir un potentiel d’activité commercial aux établissements publics eux-mêmes »285

.

215. Pourtant, aujourd’hui, plusieurs établissements de santé sont devenus hébergeurs agréés de données de santé. C’est le cas, par exemple, du Centre Hospitalier Universitaire de Nice, qui a reçu trois agréments différents pour l’hébergement de données de santé. Deux d’entre eux concernent l’utilisation d’une application informatique spécifique (les applications e-nadis et Calliope) et le troisième concerne l’exploitation et la gestion, par le CHU, d’une plateforme technique sur laquelle sont hébergées des applications de ses partenaires. Les Hospices Civils de Lyon sont également agréés pour l’hébergement d’applications gérant des données de santé à caractère personnel, tout comme l’Assistance Publique des Hôpitaux de Paris et l’Assistance Publique des Hôpitaux de Marseille. Enfin, le CHU de Nantes a, quant à lui, reçu un agrément pour une activité d’hébergement assez large, puisqu’il est agréé pour « une prestation d’hébergement d’applications fournies par les clients et gérant des données

de santé à caractère personnel, ainsi que pour une prestation d’hébergement de serveurs contenant des données de santé à caractère personnel »286. Les établissements publics de santé sont donc en train de développer une réelle activité d’hébergement de données de santé.

216. De notre point de vue, il semble raisonnable d’envisager la possibilité pour les établissements publics de santé de développer ce type d’activité. En effet, ce sont bien les établissements de santé qui sont les plus à même de prendre en compte à la fois, les

284 _{CAA Nantes, 29 mars 2000, Centre Hospitalier de Morlaix, n° 97NT00451.} 285

MARZOUG, Sanaa. « L’hébergement des données de santé à caractère personnel des établissements de santé : quelques repères juridiques », Actualités JuriSanté, n° 74, 2011, p. 5.

126

contraintes techniques et juridiques qui les entourent, mais également de concilier les besoins des professionnels de santé avec la confidentialité et la sécurité dus aux données de santé des patients. De plus, une interprétation plus souple de l’article L. 6111-1 du Code de la santé publique permet d’envisager l’hébergement des données de santé comme étant le prolongement direct de la mission principale des établissements publics de santé qu’est le diagnostic, la surveillance et le traitement des malades, des blessés et des femmes enceintes.

Les établissements de santé ne peuvent pas ou ne souhaitent pas héberger de données de santé disposent d’autres solutions, soumises au respect préalable de certaines conditions.