Décret 2016-1214 : signalement des incidents graves de sécurité des systèmes d'information

Le décret 2016-1214, pris en aplication de la loi 2016-41 de modernisation du système de santé, définit les incidents et la finalité de leurs déclarations.

La déclaration des incidents graves de sécurité des systèmes d'information est transmise aux autorités de l'Etat pour prévenir et aux établissements de santé pour prendre les mesures nécessaire.
Sont définis comme incidents graves ceux ayant des conséquences potentielles sur la sécurité des soins ou sur la confidentialité des données ou qui portent atteinte au fonctionnement de l'hôpital et ceux avec un retentissement sur l'organisation départementale.

Le directeur de l'établissement prévient l'ARS qui qualifie et prévient le GIP qui informe le service du Haut Fonctionnaire de Défense et de Sécurité (HFDS).

Le GIP transmet un rapport annuel avec les signalement anonymisés.

JORF n°0214 du 14 septembre 2016 texte n° 15

Décret n° 2016-1214 du 12 septembre 2016 relatif aux conditions selon lesquelles sont signalés les incidents graves de sécurité des systèmes d'information

NOR: AFSZ1622277D

ELI: https://www.legifrance.gouv.fr/eli/decret/2016/9/12/AFSZ1622277D/jo/texte
Alias: https://www.legifrance.gouv.fr/eli/decret/2016/9/12/2016-1214/jo/texte

Publics concernés : établissements de santé, organismes et services exerçant des activités de prévention, de diagnostic ou de soins.
Objet : conditions et modalités de mise en œuvre du signalement des incidents graves de sécurité des systèmes d'information dans le cadre de l' article L. 1111-8-2 du code de la santé publique.
Entrée en vigueur : le texte entre en vigueur le 1er octobre 2017.
Notice : le texte définit les catégories d'incidents de sécurité des systèmes d'information des établissements de santé et les organismes et services exerçant des activités de prévention, de diagnostic ou de soins devant faire l'objet d'un signalement à l'agence régionale de santé et les conditions dans lesquelles ils sont traités.
Références : le décret est pris pour l'application de l' article 110 de la loi n° 2016-41 du 26 janvier 2016 de modernisation de notre système de santé. Il peut être consulté sur le site Légifrance (http://www.legifrance.gouv.fr).

Le Premier ministre,
Sur le rapport de la ministre des affaires sociales et de la santé,
Vu le code de la santé publique, notamment son article L. 1111-8-2 ;
Vu le code de la défense, notamment son article R. 1143-1 ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés,
Décrète :

Article 1 La section 1 du chapitre Ier du titre Ier du livre Ier de la première partie réglementaire du code de la santé publique est complétée par une sous-section 4 ainsi rédigée :

« Sous-section 4
« Catégories d'incidents et conditions de mise en œuvre du signalement des incidents graves de sécurité des systèmes d'information

« Art. D. 1111-16-2.-I.-La déclaration des incidents graves de sécurité des systèmes d'information prévue par l'article L. 1111-8-2 est destinée à :
« 1° Fournir aux autorités compétentes de l'Etat les informations nécessaires pour décider des mesures de prévention en matière de sécurité des systèmes d'information ;
« 2° Aider les établissements de santé, organismes et services exerçant des activités de prévention, de diagnostic ou de soins à prendre toute mesure utile pour prévenir la survenue d'incidents graves de sécurité des systèmes d'information ou en limiter les effets.
« II.-Sont considérés comme incidents graves de sécurité des systèmes d'information les événements générateurs d'une situation exceptionnelle au sein d'un établissement, organisme ou service, et notamment :

«-les incidents ayant des conséquences potentielles ou avérées sur la sécurité des soins ;
«-les incidents ayant des conséquences sur la confidentialité ou l'intégrité des données de santé ;
«-les incidents portant atteinte au fonctionnement normal de l'établissement, de l'organisme ou du service.

« III.-Parmi les incidents graves de sécurité des systèmes d'information, sont jugés significatifs les incidents ayant un retentissement potentiel ou avéré sur l'organisation départementale, régionale ou nationale du système de santé et les incidents susceptibles de toucher d'autres établissements, organismes ou services.

« Art. D. 1111-16-3.-La déclaration des incidents graves de sécurité des systèmes d'information, sans préjudice des autres déclarations obligatoires, est effectuée sans délai par le directeur de l'établissement de santé, de l'organisme ou du service exerçant des activités de prévention, de diagnostic ou de soins, ou la personne déléguée à cet effet, auprès du directeur général de l'agence régionale de santé. L'agence régionale de santé est responsable de la qualification des incidents signalés.
« Les incidents de sécurité des systèmes d'information jugés significatifs sont transmis sans délai par l'agence régionale de santé au groupement d'intérêt public mentionné à l'article L. 1111-24. Le groupement d'intérêt public assure :

«-l'analyse des incidents significatifs ;
«-l'appui aux agences régionales de santé, la prévention des incidents en organisant les retours d'expérience au niveau national, la proposition de mesures d'aide au traitement des incidents ;
«-la gestion et la mise en œuvre du traitement automatisé de données à caractère personnel relatif aux signalements.

« Le groupement d'intérêt public informe sans délai le service du haut fonctionnaire de défense et de sécurité des ministères chargés des affaires sociales de tout signalement analysé.
« Le groupement d'intérêt public informe sans délai les services compétents de la direction générale de la santé de tout signalement susceptible d'avoir un impact sanitaire direct ou indirect, notamment en cas de dysfonctionnement de l'offre de soins.
« Le groupement d'intérêt public établit, au vu des informations communiquées par les agences régionales de santé, un rapport annuel à caractère statistique relatif aux signalements anonymisés des incidents de sécurité des systèmes d'information. Ce rapport est rendu public.
« Un arrêté du ministre chargé de la santé définit les modalités de signalement et de traitement des incidents, en définissant notamment un formulaire de déclaration.

« Art. D. 1111-16-4.-Pour l'application de la présente sous-section, les établissements de santé, organismes et services exerçant des activités de prévention, de diagnostic ou de soins mentionnés à l'article D. 1111-16-2 sont :

«-les établissements de santé ;
«-les hôpitaux des armées ;
«-les laboratoires de biologie médicale ;
«-les centres de radiothérapie. »

Article 2 Les dispositions du présent décret entrent en vigueur le 1er octobre 2017.

Article 3 La ministre des affaires sociales et de la santé est chargée de l'exécution du présent décret, qui sera publié au Journal officiel de la République française.

Fait le 12 septembre 2016.

Manuel Valls

Par le Premier ministre :

La ministre des affaires sociales et de la santé,
Marisol Touraine