Article L1111-8 of the French Public Health Code

I.-Any person who hosts personal health data collected in the course of preventive, diagnostic, care or social and medico-social monitoring activities, on behalf of the natural or legal persons responsible for producing or collecting this data or on behalf of the patient him/herself, shall do so under the conditions set out in this article.

Hosting, on whatever medium, paper or digital, is carried out after the person being cared for has been duly informed and unless there is an objection for a legitimate reason.

The hosting of personal health data is the subject of a contract.

II – The host of the data mentioned in the first paragraph of I on a digital medium must hold a certificate of compliance. If it stores data as part of an electronic archiving service, it is subject to the provisions of III.

This certificate is issued by certification bodies accredited by the French accreditation body or the national accreditation body of another Member State of the European Union mentioned in Article 137 of Law No. 2008-776 of 4 August 2008 on the modernisation of the economy.

The conditions for issuing this certificate are laid down by decree in the Conseil d’Etat after consultation with the Commission nationale de l’informatique et des libertés and the national councils of the health professions.

III – The host of the data mentioned in the first paragraph of I is approved by the Minister of Culture for the storage of this data on paper or digital media as part of an electronic archiving service.

The conditions for approval are laid down by decree in the Conseil d’Etat after consultation with the Commission nationale de l’informatique et des libertés and the national councils of the health professions.

Approval may be withdrawn, in accordance with the conditions set out in Articles L. 121-1, L. 121-2 and L. 122-1 of the Code of Relations between the Public and the Administration, in the event of a breach of the legislative or regulatory requirements relating to this activity or of the requirements set out in the approval.

IV – The nature of the hosting services mentioned in II and III, the roles and responsibilities of the host and the natural or legal persons on whose behalf the personal health data is stored, as well as the stipulations that must appear in the contract mentioned in I are specified by decree in the Conseil d’Etat, issued after consultation with the Commission nationale de l’informatique et des libertés and the national councils of the health professions.

V.-Access to hosted data is provided in accordance with the terms and conditions set out in the contract, in compliance with articles L. 1110-4 and L. 1111-7.

Hosting providers may not use the data entrusted to them for any purpose other than the performance of the hosting service. When the hosting service is terminated, the host returns the data to the persons who entrusted it to them, without keeping any copies. Personal health data hosts and persons placed under their authority who have access to the data deposited are bound by professional secrecy under the conditions and subject to the penalties laid down in Article 226-13 of the French Penal Code.

VI – Hosting providers of personal health data or who offer this hosting service are subject, under the conditions laid down in articles L. 1421-2 and L. 1421-3, to supervision by the Inspectorate General of Social Affairs and the agents mentioned in articles L. 1421-1 and L. 1435-7, with the exception of hosting providers certified under the conditions defined in II. The inspectors may be assisted by experts appointed by the Minister for Health.

VII -Any act of transferring directly or indirectly identifying health data for consideration, including with the consent of the person concerned, is prohibited, subject to the penalties laid down in Article 226-21 of the French Penal Code.

Original in French 🇫🇷

Article L1111-8

I.-Toute personne qui héberge des données de santé à caractère personnel recueillies à l’occasion d’activités de prévention, de diagnostic, de soins ou de suivi social et médico-social, pour le compte de personnes physiques ou morales à l’origine de la production ou du recueil de ces données ou pour le compte du patient lui-même, réalise cet hébergement dans les conditions prévues au présent article.

L’hébergement, quel qu’en soit le support, papier ou numérique, est réalisé après que la personne prise en charge en a été dûment informée et sauf opposition pour un motif légitime.

La prestation d’hébergement de données de santé à caractère personnel fait l’objet d’un contrat.

II.-L’hébergeur de données mentionnées au premier alinéa du I sur support numérique est titulaire d’un certificat de conformité. S’il conserve des données dans le cadre d’un service d’archivage électronique, il est soumis aux dispositions du III.

Ce certificat est délivré par des organismes de certification accrédités par l’instance française d’accréditation ou l’instance nationale d’accréditation d’un autre Etat membre de l’Union européenne mentionnée à l’article 137 de la loi n° 2008-776 du 4 août 2008 de modernisation de l’économie.

Les conditions de délivrance de ce certificat sont fixées par décret en Conseil d’Etat pris après avis de la Commission nationale de l’informatique et des libertés et des conseils nationaux de l’ordre des professions de santé.

III.-L’hébergeur de données mentionnées au premier alinéa du I est agréé par le ministre chargé de la culture pour la conservation de ces données sur support papier ou sur support numérique dans le cadre d’un service d’archivage électronique.

Les conditions d’agrément sont fixées par décret en Conseil d’Etat pris après avis de la Commission nationale de l’informatique et des libertés et des conseils nationaux de l’ordre des professions de santé.

L’agrément peut être retiré, dans les conditions prévues par les articles L. 121-1, L. 121-2 et L. 122-1 du code des relations entre le public et l’administration, en cas de violation des prescriptions législatives ou réglementaires relatives à cette activité ou des prescriptions fixées par l’agrément.

IV.-La nature des prestations d’hébergement mentionnées aux II et III, les rôles et responsabilités de l’hébergeur et des personnes physiques ou morales pour le compte desquelles les données de santé à caractère personnel sont conservées, ainsi que les stipulations devant figurer dans le contrat mentionné au I sont précisés par décret en Conseil d’Etat, pris après avis de la Commission nationale de l’informatique et des libertés et des conseils nationaux de l’ordre des professions de santé.

V.-L’accès aux données ayant fait l’objet d’un hébergement s’effectue selon les modalités fixées dans le contrat dans le respect des articles L. 1110-4 et L. 1111-7.

Les hébergeurs ne peuvent utiliser les données qui leur sont confiées à d’autres fins que l’exécution de la prestation d’hébergement. Lorsqu’il est mis fin à l’hébergement, l’hébergeur restitue les données aux personnes qui les lui ont confiées, sans en garder de copie. Les hébergeurs de données de santé à caractère personnel et les personnes placées sous leur autorité qui ont accès aux données déposées sont astreints au secret professionnel dans les conditions et sous les peines prévues à l’article 226-13 du code pénal.

VI.-Les hébergeurs de données de santé à caractère personnel ou qui proposent cette prestation d’hébergement sont soumis, dans les conditions prévues aux articles L. 1421-2 et L. 1421-3, au contrôle de l’inspection générale des affaires sociales et des agents mentionnés aux articles L. 1421-1 et L. 1435-7, à l’exception des hébergeurs certifiés dans les conditions définies au II. Les agents chargés du contrôle peuvent être assistés par des experts désignés par le ministre chargé de la santé.

VII.-Tout acte de cession à titre onéreux de données de santé identifiantes directement ou indirectement, y compris avec l’accord de la personne concernée, est interdit sous peine des sanctions prévues à l’article 226-21 du code pénal.