Le décret du 4 août 2021 remplace la section 4 du chapitre Ier du titre Ier du livre Ier de la première partie du code de la santé publique (partie réglementaire), jusqu’ici consacrée exclusivement au dossier médical partagé, par une section 4 intitulée « Espace numérique de santé ». Le dossier médical partagé ne disparaît pas mais il est intégré à l’Espace numérique de santé, d’où la modification de cette section.

Le décret précise d’emblée que l'espace numérique de santé est conçu et mis en œuvre sous la responsabilité conjointe du ministre chargé de la santé et de la Caisse nationale de l'assurance maladie. Puis il en définit le contenu et les modalités de fonctionnement.

Contenu de l’Espace numérique de santé

Comme cela avait été plus ou moins annoncé par le législateur, l’Espace numérique de santé comprend huit catégories de données :

1. Les données administratives du titulaire ;

2. Son dossier médical partagé ;

3. D’autres informations ayant trait à la santé de son titulaire :

   a) Ses constantes de santé produites notamment par des services ou outils numériques référencés au catalogue mentionné au 6° ;

   b) Un questionnaire de santé librement renseigné par le titulaire contenant ses traitements en cours, les dernières interventions dont il a fait objet et ses antécédents médicaux ;

   c) Toutes autres données de santé utiles à la prévention, la coordination, la qualité et la continuité des soins ne figurant pas dans le dossier médical partagé, renseignées, avec le consentement du titulaire, par un professionnel, un établissement de santé, un établissement ou service social ou médico-social, ou au moyen d'un service ou outil numérique référencé au catalogue ;

4. Les données relatives au remboursement de ses dépenses de santé par les régimes obligatoires d'assurance maladie ;

5. Des outils pratiques :

   a) Une messagerie sécurisée de santé permettant au titulaire d'échanger des messages et documents avec les professionnels, les établissements de santé et les établissements ou services sociaux ou médico-sociaux, dans des conditions de nature à assurer le respect de la sécurité des informations ainsi transmises ;

   b) Un agenda permettant au titulaire d'organiser les évènements relatifs à sa santé, qui peut être alimenté par le titulaire lui-même, par un professionnel, un établissement de santé, un établissement ou service social ou médico-social ou par un service ou outil numérique référencé au catalogue ;

6. Un catalogue d'outils et de services numériques en santé référencés dans les conditions prévues par le décret proposant, notamment, des services de télésanté, des services développés pour favoriser la prévention et fluidifier les parcours, des services de retour à domicile, des services procurant une aide à l'orientation et à l'évaluation de la qualité des soins, des services visant à informer les usagers sur l'offre de soins et sur les droits auxquels ils peuvent prétendre ;

7. Le cas échéant, les données relatives à l'accueil et l'accompagnement assurés par les établissements et services sociaux et médico-sociaux mentionnés à l'article L. 312-1 du code de l'action sociale et des familles, qui peuvent être renseignées par le titulaire lui-même, par un professionnel, un établissement de santé, un établissement ou service social ou médico-social, ou au moyen d'un service ou outil numérique référencé au. Ces données concernent notamment l'évaluation sociale et médico-sociale des personnes en vue d'offrir un accompagnement adapté, l'élaboration et le suivi du projet d'accueil et d'accompagnement des personnes, ainsi que la coordination entre les intervenants sociaux, médicaux et paramédicaux ;

8. Un répertoire des autorisations d'accès à tout ou partie de son espace numérique de santé et, le cas échéant, à des données de santé le concernant traitées hors de cet espace, données par le titulaire aux professionnels, établissements et services ou outils numériques en santé.

Le décret, qui donne ainsi à l’Espace numérique de santé un contenu particulièrement vaste, répond à l’ambition de réunir sur une même plateforme tous les services existants afin que chacun ait accès à toutes les données de santé le concernant et à des outils d’échanges avec les professionnels de santé ou d’organisation de leur parcours de santé.

Titulaires de l’Espace numérique de santé

Toute personne – et non uniquement les bénéficiaires de l’Assurance maladie – a vocation à être titulaire d’un Espace numérique de santé. Pour chaque titulaire, l’identifiant de son espace numérique de santé est son identifiant national de santé mentionné à l’article L. 1111-8-1 du Code de la santé publique. Pour les bénéficiaires de l’aide médicale de l’Etat qui ne disposent pas de l’identifiant national de santé, l’identifiant de l’espace numérique de santé est défini à partir du numéro national provisoire qui leur est attribué lors de la demande d’ouverture de droits.

Ouverture de l’Espace numérique de santé

L’ENS est ouvert en l’absence d’opposition de la personne concernée ou de son représentant légal après qu’un délai de six semaines s’est écoulé depuis l’information, donnée par l’Assurance maladie au moyen d’un courrier électronique, de son ouverture prochaine.

Concrètement, l’Assurance maladie doit porter à la connaissance de l’intéressé ou de son représentant légal : 

1. La mise à disposition d'un espace numérique de santé et les modalités de son fonctionnement, ainsi que son articulation avec le dossier médical partagé ;

2. L'existence et les modalités d'exercice de son droit de s'opposer à l'ouverture de cet espace, notamment par une démarche en ligne sur le portail de l'espace numérique de santé ;

3. Les modalités de la clôture de l'espace numérique de santé, ainsi que toute autre information utile à son fonctionnement.

En l'absence d'adresse électronique disponible ou en cas d'échec d'envoi du courrier électronique, l'information est adressée par voie postale.

A l'issue de ce délai de six semaines et en l'absence d'opposition de l’intéressé, l'espace numérique de santé est ouvert par la Caisse nationale d'assurance maladie.

Un accord exprès n’est donc pas requis.

En cas d'exercice du droit d'opposition, les organismes d'assurance maladie notifient à la personne concernée la prise en compte de son opposition. Son ENS n'est pas ouvert.

La personne peut à tout moment revenir sur sa décision, soit pour clôturer son ENS si elle ne s’était pas opposée à son ouverture, soit au contraire pour l’ouvrir si elle s’y était initialement opposée.

S’agissant des mineurs, si leur ENS a été créé, ils sont informés lorsqu’ils atteignent leur majorité que leur espace demeurera ouvert, sauf opposition de leur part. S’il n’a pas été créé, ils sont informés de son ouverture automatique lorsqu’ils atteignent la majorité, là encore sauf opposition de leur part.

Cependant et contrairement à ce qu’avait préconisé la CNIL dans sa délibération du 15 avril 2021 relative au projet de décret, aucun accès des mineurs à leur ENS, quel que soit leur âge, ne semble avoir été prévu.

En outre, le décret prévoit la possibilité de créer l’ENS d’une personne durant sa minorité sauf opposition de son représentant légal, alors que selon l'article 45 de la Loi « Informatique et libertés », une personne mineure peut, à compter de l'âge de 15 ans, consentir seule à un traitement de ses données.

Conditions et modalités d’accès à l’Espace numérique de santé

Les conditions et modalités d’accès à l’ENS sont clairement définies et inscrites aux articles R. 1111-32 et suivants du Code de la santé publique.

Le titulaire ou son représentant légal accède à son espace numérique de santé par le téléservice « FranceConnect », par le moyen d'identification électronique mis à sa disposition par l'organisme d'assurance maladie auquel il est rattaché ou par tout autre moyen d'identification électronique de nature à garantir son authentification.

En pratique, l’ENS est accessible sur le site monespacesante.fr à partir de tous les types des terminaux (smartphones, tablettes, ordinateurs).

Le titulaire peut autoriser un professionnel, un établissement de santé ou un établissement ou service social ou médico-social à consulter ou alimenter tout ou partie de son espace numérique de santé, soit temporairement, soit de manière permanente. Pour autoriser un accès temporaire, un moyen d'identification électronique propre à chaque autorisation d'accès est fourni par l'opérateur de l’ENS. L’autorisation d’accès permanent est délivrée selon les mêmes modalités que celles prévues pour l'accès au dossier médical partagé, c’est-à-dire notamment dans le respect des dispositions de l’article L. 1110-4 du code de la santé publique relatives au secret médical partagé. Il convient de rappeler ici que selon l’article L. 1111-17 du code de la santé publique, issu de la Loi « ASAP » du 7 décembre 2020 (Loi n° 2020-1525 du 7 décembre 2020 d’Accélération et de Simplification de l’Action Publique : JO, 8 déc.), « tout professionnel participant à la prise en charge d'une personne en application des articles L. 1110-4 et L. 1110-12 peut accéder, sous réserve du consentement de la personne préalablement informée, au dossier médical partagé de celle-ci et l'alimenter. L'alimentation ultérieure de son dossier médical partagé par ce même professionnel est soumise à une simple information de la personne prise en charge ».

Le titulaire peut également autoriser les services et outils numériques en santé référencés dans l'espace numérique de santé à accéder à certaines données de son dossier dans les conditions prévues au III de l'article L. 1111-13-1. En particulier, ces services et outils numériques ne peuvent accéder aux données de l'espace numérique de santé du titulaire qu'avec l'accord exprès du titulaire, dûment informé des finalités et des modalités de cet accès lors de l'installation de ces services et outils, et qu'à des fins de prévention, de diagnostic, de soins ou de suivi social et médico-social, pour une durée de conservation strictement proportionnée à ces finalités. En d’autres termes, ils ne peuvent accéder aux données contenues dans l’ENS à des fins purement commerciales.

Toutes les autorisations d'accès données par le titulaire sont modifiables à tout moment.

Des dispositions spéciales sont là aussi prévues pour préserver le secret voulu par la personne mineure qui, en application de l’article L. 1111-5 du code de la santé publique, s’est faite soigner à l’insu du ou des titulaire(s) de l’autorité parentale : elle est informée par le professionnel qui la prend en charge de son droit de s'opposer à la mention des données correspondantes dans un ou plusieurs des éléments figurant dans son espace numérique de santé. En cas d'opposition de la personne mineure, l'organisme d'assurance maladie auquel elle est rattachée ne transfère pas dans son espace numérique de santé les données relatives au remboursement de ces actes et des produits de santé prescrits à l'occasion de ces actes.

Traçabilité des accès et protection contre les dysfonctionnements graves ou utilisations frauduleuses

Le décret prévoit expressément que le titulaire de l’ENS est informé sans délai de chaque accès par un professionnel ou un établissement à son espace numérique de santé. Toutes les actions réalisées dans l’ENS sont tracées et conservées dans cet espace, notamment la date, l'heure et l'identification de la personne, du service ou de la personne morale qui l'a consulté ou modifié. Ces traces sont accessibles au titulaire de l'espace numérique de santé.

Cette traçabilité des accès est bien sûr destinée, d’une part, à favoriser la confiance du public, d’autre part, à dissuader les éventuels auteurs d’accès intempestifs, puisque ceux-ci, rendus ainsi aisément repérables (à l’exclusion des pirates informatiques) encourent des peines d’un an d’emprisonnement et 15 000 euros d’amende, les données inscrites dans l’ENS étant couvertes par le secret médical.

Au demeurant, le décret prévoit que lorsque la Caisse nationale d’assurance maladie constate une situation ou un évènement révélant un dysfonctionnement grave ou une utilisation frauduleuse de l'espace numérique de santé qu'elle ne peut corriger, elle peut suspendre d'office l'accès à l'espace numérique de santé dans l'intérêt du titulaire concerné. Elle en informe le titulaire par tout moyen à sa disposition et, en l'absence d'opposition de sa part dans un délai de six semaines suivant l'envoi de cette information, procède d'office à la clôture de l'espace numérique de santé.

Les droits du titulaire

Le titulaire de l'espace numérique de santé exerce son droit d'accès aux données contenues dans cet espace soit directement, en utilisant ses propres moyens d'identification, soit par l'intermédiaire de l'organisme d'assurance maladie auquel il est rattaché. Il exerce son droit de rectification, son droit à la limitation, son droit à l'effacement et son droit d'opposition, dans les mêmes conditions. Cela ne signifie pas qu’il peut librement et directement rectifier ou effacer les données contenues dans son ENS. Il peut rectifier ou effacer les données qu’il a lui-même inscrites. En revanche, pour les autres données, il doit s’adresser au professionnel de santé qui les a inscrites, au support de « Mon espace santé » ou à l’Assurance maladie. La suppression suppose un motif légitime.

Le référencement des services et outils numériques en santé

Comme indiqué plus haut, l’espace numérique de santé peut contenir des services et outils numériques en santé proposant, notamment, des services de télésanté, des services développés pour favoriser la prévention et fluidifier les parcours, des services de retour à domicile, des services procurant une aide à l'orientation et à l'évaluation de la qualité des soins, des services visant à informer les usagers sur l'offre de soins et sur les droits auxquels ils peuvent prétendre. Pour figurer dans l’ENS, ces outils et services doivent d’abord être référencés au catalogue de l’ENS. Pour cela, ils doivent respecter des référentiels d’interopérabilité et de sécurité ainsi que des référentiels d’engagement éthique définis par arrêté du ministre chargé de la santé.

Le décret institue une commission de référencement des services et outils numériques au catalogue de services de l'espace numérique de santé, dont la composition et le fonctionnement doivent être définis par un arrêté du ministre chargé de la santé. Elle aura pour rôle de donner un avis au ministre de la santé mais seuls les outils et services numériques ayant obtenu un avis favorable de la commission pourront être référencés au catalogue de l'espace numérique de santé, sur décision du ministre chargé de la santé.

L’entrée en vigueur du décret est prévue pour le 1^er janvier 2022, sauf dans trois départements concernés par une « phase pilote » nécessaire à l'ajustement technique du dispositif : la Haute-Garonne, la Loire-Atlantique et la Somme. Dans ces départements, la plupart des dispositions sont entrées en vigueur au lendemain de la publication du décret, mettant ainsi en place une version partielle des services avant la généralisation en 2022.

À la veille des 20 ans de la loi relative aux droits des malades et à la qualité du système de santé (Loi « Kouchner » du 4 mars 2002), chacun peut mesurer le chemin accompli dans l’accès des personnes aux données de santé les concernant et l’entreprise délicate que constitue ce véritable « coffre-fort » numérique, parfois difficile à concilier avec la protection du secret médical.