Le Décret n° 2023-1057 du 17 novembre 2023 crée le traitement de données à caractère personnel dénommé « Répertoire national de l'offre et des ressources en santé et accompagnement social et médico-social » (ROR).

Objet

Recensement de l'ensemble des activités et ressources opérationnelles mises en œuvre en santé et en accompagnement social et médico-social par les professionnels de santé et les structures sanitaires et sociales et médico-sociales, sous la responsabilité conjointe de la direction générale de l'offre de soins et la direction générale de la cohésion sociale, dans le cadre d'une mission d'intérêt public.

Opérateur

Agence du numérique en santé (ANS), en qualité de sous-traitant.

Finalités du traitement

• Mettre à disposition des personnes et utilisateurs des services numériques une présentation homogène, normalisée et exhaustive de l'offre sanitaire, sociale et médico-sociale sur le territoire national, afin de faciliter l'orientation des usagers
• Mettre à la libre disposition du public les données publiques du répertoire.

Etablissements, structures et professionnels

• Les établissements de santé
• Les structures sociales et médico-sociales concourant à l'accompagnement des personnes
• Les professionnels de santé et sociaux et médico-sociaux dont les conditions d'exercice ou les activités en exercice libéral sont régies par le code de la santé publique ou le code de l'action sociale et des familles
• Les structures de coordination des parcours de santé mentionnées aux articles L. 6327-2 et L. 6327-3 du code de la santé publique

Offre et des ressources opérationnelles sanitaires, sociales et médico-sociales (selon les normes et nomenclatures définies et publiées par l’ANS)

• Les activités opérationnelles assurées par les établissements, structures et professionnels dans le cadre du parcours de santé ou d'accompagnement social et médico-social
• La capacité d'accueil mobilisée par ces mêmes établissements, structures et professionnels pour la réalisation de ces activités
• Les équipements spécifiques dont ils disposent pour la réalisation de ces activités
• Les coordonnées électroniques, téléphoniques et postales de ces mêmes établissements, structures et professionnels, ainsi que, le cas échéant, les coordonnées des professionnels référents à contacter en situation de crise.
• Les agences régionales de santé (ARS), en partenariat avec les collectivités territoriales compétentes, accompagnent les structures de santé et d'accompagnement social et médico-social et les professionnels mentionnés au I dans la description de leur offre, et veillent à la réalité et à la correspondance de cette description avec le projet régional de santé.

Catégories de données à caractère personnel

Données contenues dans le répertoire :

• Les données des professionnels de santé et sociaux et médico-sociaux issues du répertoire sectoriel de référence des personnes physiques : nom, prénom, coordonnées électroniques, téléphoniques et postales, données relatives à l'exercice professionnel et au mode d'exercice de l'activité
• Les données d'identification et coordonnées téléphoniques et postales des personnes morales, établissements, services ou organismes de soins, et des établissements ou services sociaux et médico-sociaux, issues du répertoire sectoriel de référence des personnes physiques
• Les données relatives à l'offre et aux ressources opérationnelles sanitaires, sociales et médico-sociales

Données nécessaires à la gestion du répertoire :

• Les données relatives aux personnes disposant d'un compte utilisateur du traitement : nom, prénom, profession, adresse électronique et coordonnées téléphoniques
• Un annuaire des personnes habilitées à accéder au traitement
• Les nomenclatures nécessaires à la tenue du répertoire
• Les identifiants techniques
• Les dates liées à la gestion des historiques.

Les structures de santé et d'accompagnement social et médico-social et les professionnels renseignent et mettent à jour les données et informations au moins une fois par an, afin de garantir la fiabilité des informations destinées à l'orientation des patients en toute situation.

MAJ :  l'Arrêté du 26 décembre 2023 fixe la liste des données qui doivent obligatoirement être saisies par les établissements, structures et organismes :

1. Les données strictement nécessaires à la connaissance de l'offre de santé et d'accompagnement social et médicosocial : activités opérationnelles, horaires, mode de prise en charge, patientèle, adresse et contact
2. Les données nécessaires à la gestion des urgences et des crises ou présentant un caractère sensible en termes de sécurité :
   1. Données de la classe « Contact » et « Télécommunication » lorsqu'il s'agit des numéros de téléphone direct de professionnels de santé et lorsqu'il s'agit des lignes privées des professionnels utilisables en cas d'urgence
   2. Données concernant le nombre de lits et de places installés, ainsi que leurs disponibilités
   3. Zone de poser pour hélicoptère
   4. Les unités hospitalières sécurisées inter-régionales (UHSI) et les unités fixes de décontamination hospitalières (UFDH), ainsi que toute unité que l'établissement considère comme présentant un caractère sensible
   5. Données propres à la réponse sanitaire en cas de crise (niveau recours ORSAN, capacité d'accueil de crise).

Accès aux données

Trois niveaux de confidentialité :

• Les données en accès très restreint : données sensibles présentant un risque d'utilisation des informations à des fins criminelles et données propres à la gestion des crises sanitaires
• Les données en accès restreint : données relevant du domaine technique des prises en charge et exploitables uniquement par un utilisateur professionnel
• Les données en libre accès : données d'identification mentionnées aux a et b du 1° de l'article 3 et données relatives à l'offre sanitaire et sociale et médico-sociale telles que précisées au II de l'article 2, dès lors qu'il ne s'agit pas de données en accès restreint ou très restreint.

La répartition des données du répertoire par niveau de confidentialité est fixée par arrêté* du ministre chargé de la santé.

*MAJ : l'Arrêté du 26 décembre 2023 définit les données comme suit :

1. Les données en accès très restreint : données de la classe « Contact » et « Télécommunication » lorsqu'il s'agit des lignes privées des professionnels utilisables en cas d'urgence, zone de poser pour hélicoptère, unités sensibles présentant un risque d'utilisation des informations à des fins criminelles et données de gestion de crise (niveau recours ORSAN, capacité d'accueil de crise)
2. Les données en accès restreint : actes spécifiques, spécialisations de prise en charge, professions ressources et compétences spécifiques pour les structures mentionnées au I.1° et I.3° de l'article 2 ; équipements spécifiques ; données des professionnels hors cabinets et structures de ville ; données de la classe « Contact » et « Télécommunication » lorsqu'il s'agit des numéros de téléphone direct de professionnels de santé ; capacité d'accueil hors capacité d'accueil de crise et capacité installée
3. Les données en libre accès : données d'identification des structures mentionnées au I de l'article 2 ainsi que la capacité installée et les données de description de l'offre de santé telles que précisées au II de l'article 2 et saisies manuellement par les structures précitées, dès lors qu'il ne s'agit pas de données en accès restreint ou très restreint.

Personnes ayant accès aux données (à raison de leurs profils d'accès respectifs déterminés par l’ANS et validés par la DGOS et la DGCS en fonction de leur besoin d'en connaître) :

• Les utilisateurs des services numériques en santé
• Les professionnels de santé libéraux, les professionnels sociaux et médico-sociaux libéraux et les professionnels agissant sous leur responsabilité
• Les professionnels intervenant dans le système de santé enregistrés dans le répertoire mentionné à l'article L. 1470-4 du code de la santé publique exerçant au sein des établissements, services ou organismes de soins, des établissements ou services sociaux et médico- et au sein des structures de coordination des parcours de santé
• Les agents administratifs et les gestionnaires de comptes utilisateurs du traitement mentionné à l'article 1er au sein des établissements, services ou organismes de soins, des établissements ou services sociaux et médico-sociaux et au sein des structures de coordination des parcours de
• Les agents des agences régionales de santé et des groupements régionaux d'appui au développement de la e-santé, pour le pilotage régional de l'offre sanitaire et sociale et médico-sociale et pour la création et la gestion des comptes utilisateurs du traitement en région
• Les agents des collectivités territoriales pour les établissements et services sociaux et médico-sociaux avec lesquels elles ont conclu un contrat pluriannuel d'objectifs et de moyens
• Les agents du groupement d'intérêt public en tant qu'administrateur national, notamment pour la création et la gestion des comptes utilisateurs du traitement
• Les agents de la direction générale de l'offre de soins, de la direction générale de la cohésion sociale, de la direction générale de la santé, de la direction de la recherche, des études, de l'évaluation et des statistiques et de la Caisse nationale de solidarité pour l'autonomie.

Durée de conservation de ces données

Les données comprises dans le répertoire sont conservées pour toute la durée de vie de l'offre des structures de santé et d'accompagnement social et médico-social et des professionnels, et pendant une durée d'un an après la fermeture de l'offre. Dans la limite de cette durée, l'historique des modifications de l'offre existante est conservée trois ans.

Les données collectées dans le cadre de l'accès et de l'utilisation du compte utilisateur des destinataires de données sont conservées pendant toute la durée d'utilisation du compte utilisateur, soit à compter de la création du compte jusqu'à sa résiliation. Lorsque le compte est inactif depuis plus de dix-huit mois, les données de l'utilisateur concerné sont supprimées

Les traces fonctionnelles et techniques liées à l'utilisation du répertoire sont conservées pendant une période de douze mois, pour les besoins de gestion technique.

Droits reconnus aux personnes concernées au titre du règlement (UE) 2016/679 du 27 avril 2016 (RGPD) et modalités d'exercice de ces droits

Les personnes dont les données sont traitées reçoivent les informations prévues aux articles 13 et 14 du règlement (UE) du 27 avril 2016 susvisé.

Elles peuvent exercer leurs droits d'accès et de rectification des données, ainsi que le droit à la limitation du traitement, prévus respectivement aux articles 15, 16 et 18 du règlement (UE) du 27 avril 2016 susvisé, auprès du groupement d'intérêt public mentionné à l'article L. 1111-24 du code de la santé publique, dans les conditions fixées par la politique de confidentialité accessible sur le Répertoire national d'offres de santé et d'accompagnement social et médico-social

En application de l'article 23 du règlement (UE) du 27 avril 2016 et de l'article 56 de la loi du 6 janvier 1978 susvisés, le droit d'opposition prévu à l'article 21 du même règlement ne s'applique que pour la mise à disposition des données du public, telle que prévue au 3° de l'article 1er et à l'article 6.