Questions fréquentes

Non. 
L’exigence Visu.01 n’impose pas l’affichage HTML du contenu clinique. 
Le contenu médical peut être affiché en PDF, dès lors que l’accès est fluide et conforme aux usages.

Oui. 
Dans le cadre de l’exigence Visu.01 : 

• pour un document CDA R2 N1, l’en-tête est structuré, 
• le corps du document est généralement un PDF encapsulé. 

L’exigence est respectée dès lors que le PDF encapsulé est accessible et lisible par l’utilisateur, en cliquant par exemple sur un bouton de visualisation du PDF 

Le DSR Vague 2 Médecine de ville n’a pas vocation à être republié. 
Toutefois, des ajustements ciblés peuvent être étudiés lorsque des difficultés techniques ou fonctionnelles sont objectivées et documentées par les éditeurs (ex. impacts de performance, volumétrie, faisabilité). 
Ces ajustements concernent uniquement des exigences identifiées et ne remettent pas en cause la structure globale du référentiel. 

Non, la conservation des justificatifs d’identité INS n’est pas requise. Il n’existe aucune obligation de les stocker, conformément au principe de simplification prévu par le RGPD.

Le règlement européen sur la protection des données personnelles donne une définition depuis avril 2016. Ce sont les données relatives à la santé physique ou mentale d'une personne physique, y compris la prestation de services de soins de santé, qui révèlent des informations sur l'état de santé de cette personne.

Des précisions sont apportées par la CNIL en suivant ce lien : https://www.cnil.fr/fr/quest-ce-ce-quune-donnee-de-sante

Non, une trace dans les logs de l'appel au téléservice est suffisante. Cette trace est nécessaire, notamment pour l'auditabilité de votre solution.

Le rôle de l’organisme certificateur (OC) est de s’assurer que les éléments attendus sont mis à disposition des clients des hébergeurs et du grand public et non de les évaluer.  

En cas de nécessité, la CNIL est l’autorité compétente pour contrôler la véracité de ces déclarations et sanctionner les éventuels manquements.

Dans le cadre d’un appel d’offres pour un système d’information nécessitant un hébergement de données de santé à caractère personnel, le titulaire du marché est soumis à l’obligation de certification HDS.
Aussi :

• l'organisme qui lance l'appel d'offre doit prévoir une exigence relative à l'obligation d'être certifié HDS dans son appel d'offre ;
• le titulaire du marché doit obtenir la certification avant l’hébergement des premières données de santé personnelles « réelles ».

Les modalités sont définies dans les référentiels d’accréditation et de certification HDS. Ces deux documents sont téléchargeables sur le site de l’ANS.
 

Il n’y a pas d’obligation de recourir au même organisme de certification qui a délivré la certification ISO 27001.
Pour obtenir la certification HDS, un hébergeur peut recourir au même organisme de certification qui lui a délivré sa certification ISO 27001, si ce dernier est accrédité HDS ou à un autre organisme de certification accrédité HDS.

Pour se prévaloir d’une certification ISO 27001 déjà obtenue, la certification doit respecter les conditions d’équivalence du certificat précisées dans le référentiel d’accréditation HDS et notamment celles relatives au périmètre d’application de la certification déjà obtenue : cette dernière doit inclure le périmètre pour lequel le candidat demande une certification HDS.