Je suis par exemple un hébergeur américain, je suis obligé de mettre ma soumission au FISA, au Cloud Act, etc. ?

L’hébergeur doit renseigner la liste des réglementations extra communautaires auxquelles il est soumis (FISA, Cloud Act, etc.) dans la documentation à fournir à son client. S’agissant de la transparence (tableau des garanties publiques), il doit indiquer s'il est soumis ou pas un risque d'accès tel qu’évoqué dans la question et citer le pays concerné.

Sous-traitant ultérieur : jusqu’à quel niveau de sous-traitance aller ?

Tout sous-traitant ultérieur réalisant tout ou partie d’une des six activités identifiées dans l’article R1111-9 du Code de la Santé Publique doit figurer dans le tableau des garanties.

S’agissant de la table de correspondance SecNumcloud, comment la compléter ? Qui va l’auditer ?

La table de correspondance avec SecNumCloud fournie en annexe du référentiel est uniquement fournie à titre indicatif. Elle n’est pas à compléter.

En cas de rachat d’un hébergeur ou d’un sous-traitant ultérieur que faire ?

Le régime de l'hébergement des données santé prévu par le Code de la santé publique s'applique aux sous-traitants ainsi qu'a l'hébergeur après le rachat. Par ailleurs, le tableau des garanties et les informations fournies aux clients doivent être mis à jour.

Y a-t-il une liste officielle des pays qui sont considérés comme à risque ?

La CNIL propose sur son site une mappemonde sur le niveau de protection des données reconnu dans les divers pays du monde qui identifie ceux qui n’ont pas un niveau de protection adéquat et pour ceux qui ont un niveau de protection adéquat mais qui malgré tout, comme les États-Unis par exemple, ont des législations qui permettent un accès non autorisé. Le lien, indiqué dans le référentiel, est rappelé ici : https://www.cnil.fr/fr/la-protection-des-donnees-dans-le-monde

Si j’héberge des données de santé pseudonymisées, suis-je soumis à l’obligation de certification HDS ?

Oui, la pseudonymisation n'a pas d'impact sur l'obligation de certification. La nature de la donnée de santé à caractère personnel n'est pas modifiée.

Si j’héberge des données de santé sous forme de codes issue d'une nomenclature sans héberger les libellés associés au code, suis-je soumis à l’obligation de certification HDS ?

Oui, l'utilisation d'un code d'une nomenclature au lieu d'un libellé n'a pas d'impact sur l'obligation de certification. La nature de la donnée de santé à caractère personnel n'est pas modifiée.

Que se passe-t-il après l'obtention du plein exercice ?

Après obtention du plein exercice, l'inscription à l'ordre est obligatoire. Le professionnel est alors enregistré dans le RPPS comme professionnel pleinement reconnu, avec conservation de son numéro RPPS. L'employeur ou employé doit fermer l'activité PADHUE dans le Portail RPPS+. L’inscription à l’ordre doit être réalisée par le professionnel.

Les ordres auront-ils accès aux données des PADHUE enregistrés par les employeurs ?

Oui. Les ordres auront accès aux données du RPPS via une extraction de l'Annuaire Santé afin d'identifier les PADHUE ayant une activité ouverte dans un établissement. Cet accès leur permettra d'assurer un premier niveau de suivi et de contrôle, notamment pour les professionnels ayant obtenu le plein exercice.

Que signifie le libellé PADHUE affiché dans l'annuaire Santé ? Est-ce un professionnel pleinement qualifié ?

Non. L'acronyme « PADHUE (Praticiens à Diplôme Hors Union Européenne) – Médecin / Pharmacien / Sage-Femme / Chirurgien-Dentiste » indique qu'il s'agit d'un professionnel à diplôme hors Union Européenne, en cours de procédure d'autorisation d'exercice. Ce libellé ne doit pas être confondu avec les titulaires d'une autorisation temporaire d'exercice (ATE), qui sont des professionnels pleinement qualifiés. L'affichage de ce libellé dans le Portail RPPS+ et dans l'Annuaire Santé est volontairement différencié pour éviter toute confusion.