Article R1111-8-8 of the French Public Health Code

I. – The activity of hosting personal health data referred to in I of Article L. 1111-8 consists of hosting personal health data collected in the course of prevention, diagnosis, care or social and medico-social monitoring activities:

1° On behalf of natural or legal persons responsible for processing within the meaning of Law No. 78-17 of 6 January 1978, who are responsible for producing or collecting this data;

2° On behalf of the patient himself.

However, the fact of being entrusted with data for a short period by the natural or legal persons responsible for the production or collection of this data, in order to carry out processing involving the input, formatting, materialisation or dematerialisation of this data, does not constitute a hosting activity within the meaning of Article L. 1111-8.

II. – The data controllers mentioned in 1° of I, who entrust the hosting of personal health data to a third party, ensure that the latter holds the certificate of compliance mentioned in II of Article L. 1111-8.

Original in French

Article R1111-8-8

I. – L’activité d’hébergement de données de santé à caractère personnel mentionnée au I de l’article L. 1111-8 consiste à héberger les données de santé à caractère personnel recueillies à l’occasion d’activités de prévention, de diagnostic, de soins ou de suivi social et médico-social :

1° Pour le compte de personnes physiques ou morales, responsables de traitement au sens de la loi n° 78-17 du 6 janvier 1978, à l’origine de la production ou du recueil de ces données ;

2° Pour le compte du patient lui-même.

Toutefois, ne constitue pas une activité d’hébergement au sens de l’article L. 1111-8, le fait de se voir confier des données pour une courte période par les personnes physiques ou morales, à l’origine de la production ou du recueil de ces données, pour effectuer un traitement de saisie, de mise en forme, de matérialisation ou de dématérialisation de ces données.

II. – Les responsables de traitement mentionnés au 1° du I, qui confient l’hébergement de données de santé à caractère personnel à un tiers, s’assurent que celui-ci est titulaire du certificat de conformité mentionné au II de l’article L. 1111-8.