Amendement n° 33 rect. Sénat

Au début de cet article

Insérer un paragraphe ainsi rédigé :

…. – Le premier alinéa du I de l’article L. 1111‑8 du code de la santé publique est complété par une phrase ainsi rédigée : « Ces conditions ne s’appliquent pas dans le cas où l’hébergement des données de santé à caractère personnel fait l’objet d’un transfert ou d’une convention conclue entre plusieurs personnes morales de droit public dont l’une assure la tutelle administrative et financière des autres. »

La rédaction actuelle du code de la santé publique contraint ces collectivités à obtenir une certification à l’hébergement de données de santé lorsque cet hébergement est le fruit d’une convention constitutive (comme c’est le cas des conseils départementaux hébergeant les données des MDPH) ou d’un transfert décidé par délibération (comme c’est le cas des communes hébergeant les données des CCAS).

Cette obligation :

-          contrevient manifestement à l’esprit initial de la loi Touraine de janvier 2016 qui entendait réserver l’obligation de certification aux personnes morales de droit privé hébergeant pour le compte de tiers (les textes réglementaires d’application allant même jusqu’à définir une relation contractuelle entre l’hébergeur et son client) ;

-          expose potentiellement ces collectivités à des sanctions pénales alors même que l’hébergement des données de santé à caractère personnel correspond à leur mission de service public.

C’est pourquoi il est proposé de les exonérer du champ de l’obligation de certification.