Arrêté du 4 avril 2022

• Date du texte: 4 avril 2022
• Articles: 4

Article 1

En application de l'article L. 1470-3 du code de la santé publique, le groupement d'intérêt public mentionné à l'article L. 1111-24 du code de la santé publique, ci-après dénommé « Agence du numérique en santé », est chargé de mettre à disposition des professionnels, personnes morales, intervenant dans les secteurs sanitaire, social et médico-social, des moyens dématérialisés d'identification électronique permettant l'utilisation des services numériques en santé mentionnés à l'article L. 1470-1 du code de la santé publique.

Ces moyens d'identification électronique prennent la forme de certificats logiciels.

Deux catégories de certificats sont mis à disposition des utilisateurs des services numériques en santé :

1° Des certificats de type « organisation », qui servent à identifier une personne morale ;

2° Des certificats de type « serveur », qui sont utilisés pour identifier un serveur en particulier, placé sous la responsabilité d'une personne morale.

Ces certificats sont émis par l'autorité de certification de l'Agence du numérique en santé dénommée « Infrastructure de gestion de clés en santé ».

Article 2

I. - Les certificats logiciels sont délivrés aux personnes morales après une procédure d'enrôlement qui consiste à vérifier leur enregistrement préalable dans le répertoire sectoriel de référence des personnes morales mentionné à l'article L. 1470-4 du code de la santé publique ou, à défaut, dans le répertoire national mentionné au premier alinéa de l'article R. 123-220 du code de commerce.

Chaque certificat émis est référencé par un numéro de série unique. Il contient, outre l'identité du porteur, sa clé publique et précise le type d'usage auquel il est destiné.

L'autorité de certification garantit l'association entre la clé publique et l'identité de la personne morale.

La vérification de la non-expiration, de l'absence de révocation et le bon usage du certificat est à la charge du service numérique en santé.

II. - Les certificats mentionnés au I comportent l'identifiant de la personne morale, issu de l'enregistrement au répertoire sectoriel de référence des personnes morales mentionné à l'article L. 1470-4 du code de la santé publique ou, à défaut, au répertoire national mentionné au premier alinéa de l'article R. 123-220 du code de commerce.

Ces certificats donnent droit à deux types d'usage :

1° Un usage d'" authentification ", qui permet l'identification électronique de la personne morale ;

2° Un usage de " signature ", qui permet la signature de jetons d'identification électronique.

III. - Les caractéristiques détaillées et la durée de validité des certificats mentionnés au I sont précisées dans les politiques de certification relatives aux certificats d'authentification de type " serveur " et aux certificats d'authentification et ou de signature de type " organisation ", éditées par l'Agence du numérique en santé.

Ces politiques de certification peuvent être consultées sur le site internet de l'Agence du numérique en santé à l'adresse suivante : http://igc-sante.esante.gouv.fr/PC/#pcr.

Article 3

Toute demande de certificat doit être précédée de la désignation, par la personne morale à l'origine de la demande, d'un administrateur technique qui sera chargé de la phase technique de la commande et de la récupération du certificat.

La demande s'effectue en ligne sur le site de l'Agence du numérique en santé, à l'adresse suivante : https://pfc.eservices.esante.gouv.fr/.

La personne morale qui s'est vue délivrer un certificat garantit que des mesures de protection techniques et organisationnelles sont mises en œuvre pour assurer la sécurité des clés privées associées aux certificats émis par l'Agence du numérique en santé.

Les certificats logiciels peuvent être révoqués notamment en cas de perte ou vol, de cessation d'activité du demandeur ou de changement d'une donnée contenue dans le certificat. Toute révocation est définitive.

La révocation d'un certificat logiciel s'effectue selon les modalités suivantes :

- soit sur demande du propriétaire du certificat, du représentant légal de la structure ou d'un mandataire désigné ;

- soit sur demande d'une autorité judiciaire ou de tutelle ;

- soit d'office par l'Agence du numérique en santé, en cas de non-respect des conditions d'utilisation des produits de certification.

L'intégralité des causes et modalités de révocation des certificats sont précisées dans les " Politiques de Certification " de l'Agence du numérique en santé mentionnées à l'article 2.

Article 4

La déléguée ministérielle au numérique en santé est chargée de l'exécution du présent arrêté, qui sera publié au Journal officiel de la République française.