Depuis le 28 mars, le référentiel d’identification électronique a été rendu opposable par arrêté ministériel. Il fait partie de la Politique Générale de Sécurité des Systèmes d’Information en Santé (PGSSI-S).
Qu’est ce que le référentiel opposable sur l’identification électronique ?
Le référentiel normalise le niveau de garanties attendu en terme d’identification électronique pour tous les utilisateurs des services d’e-santé. Il possède 3 volets qui correspondent aux utilisateurs des services numériques en santé : les usagers, les professionnels de santé et les structures sanitaires, médico-social ou social et/ou entreprises fournissant lesdits services numériques.
Il définit toutes les modalités d’identification électronique selon l’utilisateur en fonction du cadre d’usage.
En quoi le référentiel sécurise les données de santé ?
Ce référentiel définit des exigences sur les connexions à des services numériques traitant des données de santé. Il va imposer notamment l’utilisation de mots de passe suffisamment forts, des seconds facteurs d’authentification et va se baser sur des informations d’identification des utilisateurs vérifiées et issues des répertoires de référence (INS, RPPS, FINESS) ce qui renforce la sécurité des données des santé.
Comment cela s’inscrit-il dans le paysage des professionnels de santé ?
Les professionnels de santé continueront d’utiliser leurs identifiants nationaux à savoir :
- Le numéro RPPS, à utiliser en priorité ;
- Ou le numéro ADELI, toléré de façon transitoire jusqu’à son remplacement définitif par l’identifiant RPPS pour les professions encore enregistrées dans ADELI (RPPS+).
Ces identifiants nationaux constitueront leur identité électronique. Un moyen d’identification électronique (tel que l’application mobile e-CPS ou encore les cartes CPS) sera délivré au professionnel de santé par le fournisseur d’identité*.
Pour se connecter aux services numériques en santé l’utilisation de Pro Santé Connect, téléservice permettant de se connecter via les moyens d’identification électronique, est plébiscité. Pour certains services sensibles**, il sera imposé au 1er janvier 2023. Cela simplifie les méthodes de connexion aux services d’e-santé (car l’interface est unique) que les professionnels de santé seront amenés à utiliser.
L’authentification à double facteur sera également de rigueur à partir du 1er juin 2022 notamment pour les accès à distance (lors par exemple d’une visite à domicile).
Quels changements pour les usagers ?
Pour les usagers, il incite l’usage de FranceConnect : accessible aux fournisseurs de services numériques privés et qui intégrera la future application carte vitale. Le référentiel impose également dès le 1er juin 2022 l’authentification à double facteur pour les usagers.
Retrouvez le corpus documentaires PGSSI-S ici
*Un fournisseur d’identité est une entité qui délivre un moyen d’identification électronique à une personne physique ou morale qui a demandé ce moyen et dont elle a établi une identité électronique fiable. Dans le cadre de Pro Santé Connect, le fournisseur d’identité est l’ANS.
**Les services « sensibles » sont les services numériques en santé au sens du L. 1470-1 du code de la santé publique, qui traitent des données de santé à caractère personnel au sens du RGPD, et qui appartiennent au moins à l’une des catégories suivantes :
- Les services partagés, définis comme dépassant le cadre d’une personne morale et/ou mis en oeuvre à l’échelle d’un territoire ou au niveau national (ex : dossier médical partagé, plateforme de e-parcours, dossier pharmaceutique, etc.) ;
- Par transitivité, les services numériques qui intègrent des services partagés (ex : dossier patient informatisé, système de gestion de laboratoire, système d’information de radiologie, boites de messageries sécurisées de santé, etc.) ;
- Les services proposant un accès web externe aux SI, pour les professionnels d’un établissement (ex : services accessibles en mobilité ou télétravail) ou leurs correspondants de ville ;
- Les services non partagés mais qui intègrent des traitements de données ou des accès de grande échelle, définis comme les situations où :
- Soit le nombre de patients dont les données sont nouvellement référencées dépasse 10 000 par an ;
- Soit le nombre de professionnels distincts s’identifiant électroniquement dépasse 1 000 par an.
Source : esante.gouv.fr