Carte de professionnel de santé

La Carte de Professionnel de Santé (CPS) est une carte à puce utilisée en France afin d'assurer la confidentialité de l’accès aux données personnelles dans le cadre des applications de santé communicantes. Elle est délivrée par le GIP ASIP Santé à chaque professionnel de santé qui en fait la demande.

Aujourd'hui les Cartes de Professionnel de Santé déployées dans le secteur santé sont des CPS 2ter. Ces cartes contiennent :

• un certificat de signature X509 et un certificat d'authentification X509. Les certificats de chiffrement utilisés pour la sécurisation des transmissions de données par internet, sont générées par des applications tierces utilisant la CPS. Les clefs publiques (authentification, signature et chiffrements) des cartes CPx sont disponibles sur un annuaire public géré par l'ASIP Santé.
• Deux volets d’information utilisés dans le contexte SESAM Vitale :

1. Des informations identifiant le Professionnel de Santé. La lecture est libre et l'écriture est protégée.
2. Le DAM (Domaine Assurance Maladie) : Ces données (situations d’exercices et de facturation) sont protégées par code porteur en lecture et protégées en écriture. Ce sont des informations conventionnelles et de nature financière à l’usage exclusif de l’Assurance maladie et servant à générer les feuilles de soins électroniques (FSE) avec des progiciels de facturation agréés. Ces données devraient à terme être retirées des prochaines générations de CPS et installées dans les systèmes informatiques des professionnels. C'est déjà ce qui se passe lors des situations de remplacements des professionnels de santé. Le remplaçant est doté d'une CPS munie d’un volet d’identification et d’un Domaine d’Assurance Maladie banalisé (C'est aussi le cas pour les professionnels exerçant en Centres de Santé). Le DAM de la CPS du remplacé est d'abord copié sur son poste de travail. La FSE est constituée à partir des données de facturation du professionnel remplacé et de la CPS du remplaçant. Le 18 janvier 2003, le conseil d’administration du GIP CPS a approuvé le principe à terme de la sortie des données d’assurance maladie de la CPS qui redeviendrait alors un outil générique garantissant à la fois sécurité et confidentialité. En mars 2009, la sortie du DAM de la carte reste toujours d'actualité...

• Depuis 1998, début du programme Sesam Vitale, la principale fonction des CPS est de "signer" les feuilles de soins électroniques (FSE) conjointement avec la Carte Vitale des assurés sociaux. La base réglementaire est l'article L161-33 du Code de la Sécurité Sociale  : qui précise que dans " le cas de transmission électronique par les professionnels, organismes ou établissements dispensant des actes ou prestations remboursables par l'assurance maladie, l'identification de l'émetteur, son authentification et la sécurisation des échanges sont assurées par une carte électronique individuelle, appelée carte de professionnel de santé."
• Depuis la parution du "décret confidentialité" le 15 mai 2007 en application de la loi Kouchner du 4 mars 2002, cette carte est réglementairement devenue obligatoire pour les accès aux données de santé à caractère personnel. En pratique l'énorme majorité des échanges de documents médicaux entre professionnels de santé se fait aujourd'hui sans utilisation de la CPS.

Histoire de la CPS

L'histoire de la CPS est née en même temps que celle de la Carte Vitale, pour les besoins du programme Sesam-Vitale afin d'être utilisées simultanément pour générer des Feuilles de Soins Électroniques (FSE).

En 1996 afin de permettre la qualification sur le terrain de la CPS (Carte du Professionnel de Santé), il y eut une diffusion de jeux de cartes Vitale 1 à Blois Onzain ainsi que sur une autre zone test de la CPS à Lens.

CPS 2 ter

C'est la carte CPS actuellement déployée sur le terrain. Les données contenue par cette carte sont principalement :

• Les données relatives au porteur dont :
  • Les éléments d’identification (identifiant national, nom, …).
  • Les qualifications.
  • Les situations d’exercice.
  • Les situations de facturation du domaine Assurance Maladie Obligatoire.
• Le code porteur et le code de déblocage de la carte.
• Les bi-clés RSA d’authentification et de signature.
• Les certificats X509 d’authentification et de signature.

CPS 3

• C'est la troisième génération de cartes à puce. Les lecteurs CP2 bi-fentes homologués par le GIE Sesam Vitale et monofentes PC/SC seront compatibles avec les carte CPS 3. Cette CPS 3 émulera une CPS 2ter ce qui permettra de conserver les couches API & Cryptographiques existantes. En plus de la puce à lecture "avec contact", cette carte "duale" sera dotée d’une technologie de lecture "sans contact" autorisant une lecture à moins de 10 cm des lecteurs. La norme en sans-contact sera soit ISO 14443A soit ISO 14443B à 13,56 MHz. A terme les cartes CPS 3 devraient contenir un composant dont l'interface sera conforme simultanément aux normes ISO 14443A et ISO 14443B. Cette carte n'intègre pas la basse fréquence 125 Khz. Le Mifare n‘est pas implanté mais la fonctionnalité de lecture du numéro de série CSN (Card Serial Number) le sera. Ce CSN ou "numéro de série de la carte" est un numéro aléatoire de 32 bits théoriquement encodé dans la puce lors de sa fabrication.

Le niveau de sécurité est EAL4+. Cette carte embarque un microprocesseur et un coprocesseur cryptographique.

• Dans une deuxième étape, la carte CPS devrait converger avec les cartes ordinales et devenir la carte d’identité professionnelle unique. Les pharmaciens qui ont inauguré le RPPS (Répertoire Partagé des Professionnels de Santé), déjà récolté les photos devraient être les premiers à être équipés d'une carte "convergée". Quant aux médecins, chirurgiens dentistes et sages-femmes, les nouvelles CPS ne seront pas diffusées avant 2010. Il y aura un code barre sur le recto pour la CPS 3 convergente ordinale.
• Troisième étape, la carte ordinale va devenir européenne (European professional card). Cette version CPS 3 convergée ordinale et européenne intègrera une photo et un code barre au-dessus de la puce.

C'est le 29 décembre 2008 que le GIP-CPS a notifié le contrat d'attribution de marché à la société Oberthur Card Systems (pour un montant supérieur à 5 150 000 € HT), retenue après appel d'offre pour la réalisation de la CPS 3. Les contrats incluent la réalisation du "masque" CPS 3 sur la base d’un système d'exploitation standard IAS (Identification Authentification Signature), ainsi que la fourniture et la personnalisation des cartes, la mise sous pli et l'expédition. Avec un retard de 9 mois sur le planning initial, la CPS 3 pourrait être distribuée à partir de fin 2009

GIP ASIP Santé (ex GIP-CPS)

L’Agence nationale des systèmes d’information partagés de santé, l’ASIP Santé, est un groupement d’intérêt public (voir Convention constitutive du Groupement d’intérêt public Agence nationale des systèmes d’information partagés de santé, à la date du 19 novembre 2009).

Son objet est de favoriser le développement des systèmes d’information partagés dans les domaines de la santé et du secteur médico-social, au service de la qualité des soins.

Une constitution en deux temps Le gouvernement a approuvé la modification de la convention constitutive du Groupement d’intérêt public du Dossier Médical Personnel, qui emporte son changement de dénomination en « Agence nationale des systèmes d’information partagés de santé » par arrêté du 8 septembre 2009 publié au Journal officiel de la République française le 15 septembre 2009).

La publication au Journal officiel le 29 novembre 2009 des arrêtés du 28 novembre 2009 a acté la dissolution du GIP Carte professionnel de santé (CPS) et l’élargissement du périmètre des actions de l’ASIP Santé aux missions attachées à la CPS.

L’ASIP Santé intègre donc la mise en œuvre de dispositifs de sécurité (identification, authentification, signature et chiffrement) nécessaires pour assurer la protection de la confidentialité des données et donc générer la confiance des utilisateurs de systèmes d’information de santé. L’Agence est donc désormais en mesure de poursuivre les travaux entamés pour structurer le cadre national des systèmes d’information partagés de santé, en concertation avec l’ensemble des acteurs de la santé.

L’ASIP Santé est constituée pour une durée de 15 ans.

• Arrêté du 28 novembre 2009 portant approbation des modifications de la convention constitutive du groupement d'intérêt public dénommé « Agence des systèmes d'information partagés de santé »)
• Arrêté du 28 novembre 2009 portant approbation de la dissolution du groupement d'intérêt public « Carte de professionnel de santé » et transfert des biens, droits et obligations à l'Agence des systèmes d'information partagés de santé)

RPPS

Le RPPS contient pour chaque personne référencée : un identifiant unique et pérenne (numéro RPPS) et un ensemble de données d’intérêt commun fiables et certifiées (par l’INSEE et par les Ordres, le service de santé des armées ou l’État). Le numéro RPPS suivra le professionnel tout au long de sa carrière. Il figure sur les ordonnances et les feuilles de soins, en ville comme à l’hôpital. Les données relevées dans le RPPS renseignent sur l’état-civil du professionnel, ses diplômes, leur date et lieu d’obtention, et les modalités d’exercice.

• 10 février 2009 : Parution au JORF du décret et de l’arrêté concernant le RPPS.

Liens externes

Liens officiels 

• Le site de l'ASIP Santé, portail de la e-santé
• Annuaire CPS: certains (tous ?) salariés ne sont pas consultable sur le site, dans ce cas voir l'annuaire des ordres.