Un décret encadre désormais l'externalisation des archives des hôpitaux

L'article 21 de la loi du 21 juillet 2009 remédie à un vide législatif et permet ainsi aux établissements de santé qui manquent de place pour stocker leurs archives papier dans leurs locaux de faire appel à d'autres lieux ou sociétés.

L'article L.1111-8 du code de la santé publique, issu de la loi du 4 mars 2002, autorisait l'externalisation des données de santé, mais le Conseil d'État a jugé que cela ne concernait que les données informatisées, en raison de la référence à la Commission nationale de l'informatique et des libertés (Cnil) et de l'utilisation du terme « hébergeur ». Il était donc nécessaire de compléter la loi, ce qui fut fait par l'article 21 de la loi HPST du 21 juillet 2009.

Le décret n° 2011-246 du 4 mars 2011 (JO du 6 mars 2011) encadre cet article et définit « le contenu minimum du contrat de prestation passé par l'établissement de santé avec l'hébergeur, qui doit être agréé ». Ce texte distingue l'hébergement des données de santé à caractère personnel sur support informatique de l'archivage papier. Pour être mis en œuvre, l'hébergement des données de santé à caractère personnel sur support papier « est confié à une personne physique ou morale » agréée par l'administration des archives nationales, placée sous l'autorité du ministère de la Culture.

Trois textes encadrent la délivrance de cet agrément :

• Le décret n° 79-1037 du 3 décembre 1979 (JO du 5 décembre 1979) relatif à la compétence des services d'archives publics et à la coopération entre les administrations pour la collecte, la conservation et la communication des archives publiques.
• Le décret n° 2009-1124 du 17 septembre 2009 (JO du 18 septembre) et un arrêté du 4 décembre 2009 (JO du 12 décembre 2009) fixant les normes relatives aux prestations d'archivage et à la gestion externalisée.
• Le code de la santé publique prévoyant dans son article L.1118-8 que la prestation d'hébergement des données, « quel qu'en soit le support, fait l'objet d'un contrat » entre le professionnel de santé ou l'établissement, et l'hébergeur.

Le contrat devra comporter dix points dont la description des prestations (contenu des services, nature et volume des données, caractère d'archives publiques ou non des données hébergées, résultats attendus), les moyens mis en œuvre par le dépositaire pour la fourniture des services et la mise à disposition des données, les modalités liées à la sécurisation des accès aux données, à la restitution des archives, au recours à des prestataires externes, ainsi que des clauses relatives à l'assurance du dispositif. En cas de litige (impayés par exemple) avec l'établissement, le prestataire ne peut faire jouer un « droit de rétention » sur les archives médicales papier qu'il détient.