Questions fréquentes

La responsabilité conjointe de traitement déclarée entre deux organismes ne fait pas disparaître l'obligation de certification HDS si les autres conditions sont remplies. En effet, dans la mesure où la détermination de la responsabilité conjointe de traitement relève de leur appréciation, on ne peut pas considérer qu'ils pourraient décider de se soustraire à l'obligation de certification, par cette seule décision.

Les activités de prévention mentionnées dans le CSP sont les actions menées afin éviter l’apparition ou l’aggravation de maladies. Les principales catégories d'activités de prévention incluent :

1. La prévention primaire : ces activités visent à éviter l'apparition de maladies ou d'incidents de santé en réduisant les facteurs de risque. Cela peut inclure i) les vaccinations, ii) les campagnes de sensibilisation (i.e. tabagisme, alimentation, prévention des maladies cardiovasculaires), iii) d'éducation à la santé (promotion des comportements favorables à la santé comme l’activité physique, lutte contre la sédentarité, éducation sur la santé mentale, etc.).
2.  La prévention secondaire : elles concernent le dépistage précoce de maladies ou de conditions afin de les traiter rapidement. Par exemple, le dépistage prénatal, le dépistage néo-natal, dépistages des troubles du développement, le dépistage pour certains cancers ou maladies chroniques, etc.
3.  La prévention tertiaire : ces actions visent à diminuer les complications ou les séquelles d'une maladie déjà installée, souvent en rapport avec des soins ou du suivi de rééducation après un incident de santé ou une intervention médicale (réadaptation), sont concernés les programmes d’éducation thérapeutique du patient (diabète, hypertension, etc.).

Toutes ces activités peuvent nécessiter, par différents moyens, la collecte et l'hébergement de données personnelles de santé.

Cas de la fusion par absorption : dans le cas de la fusion de plusieurs entités juridiques par absorption par une autre entité qui existe, les entités juridiques absorbées sont fermées et le numéro FINESS de l’entité juridique absorbante est conservé.

Cas de la fusion par création : dans le cas de la fusion de plusieurs entités juridiques par création d'une nouvelle entité, les entités juridiques absorbées sont fermées et la nouvelle entité juridique avec un nouveau numéro FINESS est créée.

Exemple de cas d'usage : les coffres forts numériques où l'utilisateur peut stocker des données de santé à caractère personnel.

Il n’y a pas de ré-immatriculation dans FINESS, l’établissement conserve son numéro FINESS géographique. 
En revanche, il est désormais rattaché au FINESS juridique de l'entité repreneuse.

Vous pouvez joindre le support FINESS de l'Agence du Numérique en Santé.

Cela signifie que le service consomme le référentiel d'identité national des acteurs de santé personnes morales afin de les identifier au moins à l'aide de l'identité nationale (FINESS) lorsque l'acteur en dispose.Pour en savoir plus sur le répertoire FINESS, vous pouvez consulter la page dédiée : https://esante.gouv.fr/produits-services/repertoire-finess

Le numéro FINESS juridique identifie une personne morale (comparable au SIREN).
Le numéro FINESS géographique identifie un site ou établissement (comparable au SIRET).
Au demeurant, les FINESS juridique et géographique partagent la même syntaxe et ne peuvent donc être distingués visuellement.

Les fournisseurs de biens médicaux tels que les magasins d’optique et d’audioprothèses ne sont pas répertoriés dans la base de données FINESS. L’Assurance Maladie attribue au magasin un numéro d'identifiant propre à la CNAM, souvent confondu avec un numéro FINESS. Si vous vous installez et n'avez donc pas encore de numéro CNAM, vous devez présenter votre demande d’identification à la CPAM de votre département, qui vous attribuera ce numéro. 

Les procédures sont présentées ici : https://www.ameli.fr/professionnel-de-la-lpplatm/exercice-professionnel/vie-professionnelle/installation

Chacun des acteurs qui réalise tout ou partie des 4 sous activités précisées pour l’activité 5 doit être certifié (cf. Chapitre 2.1 du référentiel de certification) : 

• La définition d’un processus d’attribution et de revue annuelle de droits d’accès nominatifs, justifiés et nécessaires ; 
• La sécurisation de la procédure d’accès ; 
• La collecte et la conservation des traces des accès effectués et de leurs motifs ; 
• La validation préalable des interventions (plan d’intervention, processus d’intervention).

Si plusieurs acteurs ont en charge ces sous-activités, tous ces acteurs doivent être certifiés.

Recommandation : la désignation d’un unique acteur (ou d’un nombre réduit d’acteurs) pour la gestion des droits permet de limiter l’obligation de certification à quelques acteurs.