APRÈS ART. 10 BIS A	N°CS765	
ASSEMBLÉE NATIONALE
15 Septembre 2023
___________________________________________________________________
VISANT À SÉCURISER ET RÉGULER L’ESPACE NUMÉRIQUE - (N° 1514)
Adopté
AMENDEMENT N°CS765
présenté par
M. Latombe, M. Balanant, M. Croizier, M. Esquenet-Goxes, Mme Folest et Mme Morel, rapporteure thématique
------------
ARTICLE ADDITIONNEL
APRÈS L’ARTICLE 10 BIS A, insérer l’article suivant:
L’alinéa 2 du III de l’articleL. 1111‑8 du code de la santé publique est ainsicomplété : 
« À compter du 1erjuillet 2024, en cas d’archivage numérique au moyen d’un serviceinformatique en nuage, les conditions d’agrément respectentimpérativement les conditions en vigueur du « Référentield’exigences des prestataires de services informatiques ennuage » publié par l’Agence nationale de sécurité des systèmesd’information. »
EXPOSÉ SOMMAIRE
Les données de santé sont desdonnées personnelles d’une sensibilité particulière dont laprotection doit être maximale. C’est d’ailleurs en ce sens que leRèglement Général sur les Données Personnelles leur accorde untraitement particulier. C’est aussi dans cet esprit que la Premièreministre a publié le 31 mai 2023 une circulaire précisant ladéfinition des données sensibles (dont les données de santé) et lesexigences de protection adéquates, notamment en se conformant auxexigences du Référentiel en nuage dit SecNumCloud, concernant lesprestataires informatiques de l’ANSSI. Cette circulaire ne concerneque l’État. Or, les données de santé hébergées par des acteursprivés (cliniques, prestataires de prise de rendez-vous ou d’aideau maintien à domicile par exemple) ou des GIP publics (laPlateforme de Donnée de Santé, autrefois appelée Health Data Hub,ou le SNDS  par exemple) sont évidemment d’une sensibilitééquivalente et doivent être protégées dans l’intérêt de tous nosconcitoyens avec un haut niveau d’exigence.
Depuis de trop nombreux mois desattaques informatiques ciblent de manière privilégiées les donnéesde santé de nos concitoyens parce que celles-ci sont sensibles etdonc lucratives, et que dans de trop nombreux cas, la protection deces données en cas d’archivage électronique est insatisfaisante.Nous savons de manière certaine que les Jeux Olympiques etparalympiques de Paris, de juillet à septembre 2024, vont êtrel’occasion pour de nombreux cybercriminels d’attaquer lesinfrastructures françaises, notamment celles pouvant héberger desdonnées sensibles et lucratives. Il est donc nécessaire que leshébergeurs de données de santé, quand ils ont recours à desservices infonuagiques (dit cloud), même lorsqu’ils sont de droitprivé, respectent des exigences maximales de protection de cesdonnées.
La confiance de nos concitoyensdans notre organisation et notre gestion de leurs données de santéest nécessaire. Leur protection maximale est un préalableindispensable pour obtenir cette confiance.
Tel est l’objectif du présentamendement.