Vu la procédure suivante :

Par une requête et des mémoires, enregistrés le 2 août 2022, le 9 mai 2023 et le 24 juillet 2023, l’association pour la promotion de l’informatique et la communication en médecine (APICEM), représentée par la SELARL Desmarais Avocat, demande au tribunal, dans le dernier état de ses écritures :

1°) à titre principal, d’annuler la version 2 du contrat « opérateur MSSanté » et la version 1.5 du " référentiel socle MSSanté #1 ", qui ont été publiés le 22 avril 2022 sur le site internet de l’Agence du numérique en santé (ANS) ;

2°) à titre subsidiaire, d’annuler les exigences du référentiel RE_GBM_4430, RE_GBM_4440 et RE_GBM_4450, celles relatives au niveau de sécurité des protocoles (TLS 1.0 et TLS 1.1), celles interdisant techniquement le chiffrement de bout en bout des messages électroniques, celles imposant la délivrance des informations prévues par le règlement général relatif à la protection des données (RGPD) dues par l’opérateur et l’ANS via le contrat utilisateur, celles imposant la production d’un justificatif d’identité pour l’exercice de leurs droits par les personnes concernées, celles imposant la conservation des traces applicatives pendant dix ans, l’article 8 du contrat opérateur et l’article 7.2 du référentiel relatifs à la procédure de sanction par l’ANS, l’exigence EX_DCU_5010 imposant l’introduction d’une convention de preuve irréfragable dans le contrat utilisateur et l’exigence TM3.1P imposant le recours au protocole SMTP pour la réception de messages électroniques ;

3°) à titre infiniment subsidiaire, d’annuler l’arrêté du 19 décembre 2019 approuvant la convention constitutive de l’ANS et, par voie de conséquence, l’ensemble des contrats, référentiels, normes et, de façon générale, documents dont l’élaboration, la mise à disposition et le contrôle du respect ont été prévus par la convention constitutive, pris par l’ANS sur la base de cet arrêté ;

4°) de mettre à la charge de l’ANS le versement à l’APICEM d’une somme de 15 000 euros au titre des dispositions de l’article L. 761-1 du code de justice administrative.

Elle soutient que :

— le contrat opérateur et le référentiel attaqués sont entachés d’incompétence ;

— le référentiel aurait dû être notifié à la Commission européenne sur le fondement de la directive 2015/1535 du 9 septembre 2015 et, à défaut, méconnaît les dispositions des articles 5, 6, 8 et 12 de de la directive 2018/1972 du 11 décembre 2018 ;

— les recommandations figurant dans le référentiel traduisent un vice de forme dès lors qu’elles sont rédigées de telle manière qu’elles sont rendues obligatoires ;

— le référentiel est entaché d’une erreur de droit dès lors qu’il ne permet pas de respecter le cadre d’interopérabilité des systèmes d’information de santé (CI-SIS) ;

— il méconnaît les principes de protection des données dès la conception et par défaut, l’obligation de sécurité, le droit à l’information et le principe de minimisation des données résultant des articles 25, 32, 13 et 14 et 5 du RGPD et la délibération n° 2021-122 de la Commission nationale de l’informatique et des libertés (CNIL) du 14 octobre 2021 ;

— il méconnaît le principe d’égalité ;

— il méconnaît les stipulations de l’article 6, paragraphe 1, de la convention européenne de sauvegarde des droits de l’homme et des libertés fondamentales ;

— il est entaché d’erreurs de droit dès lors que l’ANS n’a pas été habilitée à mettre en place une messagerie sécurisée de santé et à prononcer des sanctions administratives ;

— il est entaché d’une erreur de fait dès lors qu’il exige que les messages électroniques soient reçus et expédiés via le protocole SMTP, qui ne permet pas leur réception ;

— il traduit un détournement de pouvoir ;

— il est privé de base légale en raison de l’illégalité de l’arrêté ayant approuvé la convention constitutive de l’ANS dès lors que le ministre chargé de la santé ne pouvait pas, sans commettre une erreur de droit, confier à cette dernière une mission de régulation.

Par des mémoires en défense, enregistrés le 23 mars 2023, le 11 juillet 2023 et le 28 juillet 2023, l’Agence du numérique en santé (ANS), représentée par la SCP UGGC Avocats, conclut au rejet de la requête et à ce qu’il soit mis à la charge de l’APICEM une somme de 15 000 euros au titre des dispositions de l’article L. 761-1 du code de justice administrative.

Elle fait valoir que :

— la requête est irrecevable, faute d’intérêt à agir de l’APICEM et faute de qualité de son président pour la représenter ;

— les conclusions aux fins d’annulation du contrat et du référentiel sont irrecevables dès lors qu’il s’agit d’actes préparatoires à la conclusion d’un contrat administratif ;

— les conclusions aux fins d’annulation de l’arrêté du 19 décembre 2019 relèvent de la compétence en premier et dernier ressort du Conseil d’Etat et sont en tout état de cause irrecevables car tardives ;

— aucun des moyens de la requête n’est fondé.

La clôture de l’instruction est intervenue le 4 septembre 2023.

Un mémoire, présenté par l’APICEM, a été enregistré le 6 mars 2024.

Vu les autres pièces du dossier.

Vu :

— la convention européenne de sauvegarde des droits de l’homme et des libertés fondamentales ;

— la directive 2002/21 du Parlement européen et du Conseil du 7 mars 2002 ;

— la directive 2015/1535 du Parlement européen et du Conseil du 9 septembre 2015 ;

— la directive 2018/1972 du Parlement européen et du Conseil du 11 décembre 2018 ;

— le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 ;

— le code de la santé publique ;

— la loi n° 78-17 du 6 janvier 1978 ;

— l’arrêté du 19 décembre 2019 portant approbation d’un avenant modifiant la convention constitutive du groupement d’intérêt public « Agence nationale des systèmes d’information partagés de santé » ;

— le code de justice administrative.

Les parties ont été régulièrement averties du jour de l’audience.

Ont été entendus au cours de l’audience publique :

— le rapport de M. Rezard, rapporteur,

— les conclusions de M^me Pestka, rapporteure publique,

— les observations de M^e Desmarais, représentant l’APICEM,

— et les observations de M^e Bekkali, pour l’ANS.

Une note en délibéré, présentée pour l’ANS, a été enregistrée le 24 mai 2024.

Considérant ce qui suit :

1. L’agence du numérique en santé (ANS), groupement d’intérêt public dont l’avenant à la convention constitutive a été approuvé par arrêté du 19 décembre 2019, exploite un système de messagerie sécurisée de santé dénommé MSSanté, dont des opérateurs de messagerie peuvent utiliser le nom de domaine à condition qu’ils s’engagent, par la signature d’un contrat type, à se mettre en conformité avec les exigences définies dans un référentiel. Le 22 avril 2022, l’ANS a publié sur son site internet la version 2 du contrat « opérateur MSSanté » et la version 1.5 du référentiel, toutes deux applicables à compter du 22 décembre 2022. Par un courrier du 30 mai 2022, l’association pour la promotion de l’informatique et la communication en médecine (APICEM) a présenté un recours gracieux contre ces documents, sans obtenir de réponse. L’APICEM demande à titre principal leur annulation, en totalité ou à défaut en partie, et, à titre subsidiaire, l’annulation de l’arrêté du 19 décembre 2019 et par voie de conséquence de tous les actes adoptés postérieurement par l’ANS sur la base de cet arrêté.

Sur la version 1.5 du référentiel socle MSSanté #1 :

En ce qui concerne les fins de non-recevoir opposées en défense :

2. En premier lieu, en vertu des stipulations de l’article 8 des statuts de l’APICEM, adoptées le 23 février 2023, « sous réserve d’en aviser au préalable le conseil d’administration et en l’absence d’opposition d’un l’un de ses membres dans les quinze jours suivants, le président peut décider seul d’agir en justice ». Il ressort des pièces du dossier que chacun des membres du conseil d’administration a été informé par courrier du 23 février 2023 de l’action contentieuse initiée par le président de l’association. Il ne ressort pas des pièces du dossier que l’un d’entre eux se serait opposé à ce recours. Dans ces conditions, l’irrecevabilité tenant au défaut de qualité pour agir du président de l’APICEM a été régularisée en cours d’instance. La fin de non-recevoir opposée à ce titre par l’ANS ne peut par conséquent pas être accueillie.

3. En deuxième lieu, en vertu de l’article 2 des statuts de l’APICEM dans sa rédaction en vigueur à la date d’introduction de sa requête, date à laquelle son objet social doit être pris en compte pour apprécier si elle justifie d’un intérêt à agir, l’association avait « pour but de favoriser, de susciter, de permettre le financement de toute action ou expérience dans le domaine de l’informatique médicale ou de la communication entre des médecins par transmission électronique ». Il ressort des pièces du dossier que le référentiel attaqué met de nouvelles obligations à la charge des opérateurs de messageries en santé souhaitant intégrer le système de MSSanté. Il est dès lors de nature à soumettre à de nouvelles contraintes les systèmes de communication médicale par transmission électronique et, partant, à rendre plus difficiles les actions en la matière. Dans ces conditions, le référentiel litigieux est susceptible de contrevenir à l’objectif, auquel l’APICEM s’est assigné comme objet social de concourir, consistant à favoriser et à susciter de la manière la plus large possible les actions et expériences dans le domaine de l’informatique médicale ou de la communication entre des médecins par transmission électronique. Par suite, c’est à tort que l’ANS oppose une fin de non-recevoir tirée du défaut d’intérêt à agir de l’association requérante.

4. En troisième et dernier lieu, en vertu de son article 1.1, le référentiel attaqué « décrit les principes, les exigences à respecter, les interfaces d’accès et les fonctionnalités à prendre en compte pour tout Opérateur de messagerie souhaitant intégrer le système de » Messageries Sécurisées de Santé « (ci-après désigné système MSSanté) ». Il résulte de ces dispositions que, si, comme le fait valoir l’ANS, le recours au système MSSanté n’est pas par lui-même obligatoire, le référentiel attaqué, qui est rédigé en termes généraux et impersonnels, n’en présente pas moins un caractère obligatoire pour tous les opérateurs de messagerie de santé qui souhaitent intégrer ce système. Il constitue par suite un acte réglementaire, ce que ne remet pas en cause le fait que son champ d’application ne couvre pas l’ensemble des opérateurs de messagerie de santé mais porte seulement sur la situation de ceux intégrés au système MSSanté. Le référentiel attaqué est dès lors un acte faisant grief qui était donc susceptible de recours pour excès de pouvoir. La circonstance qu’il avait vocation à figurer parmi les documents contractuels des contrats devant être conclus entre chaque opérateur et l’ANS et à constituer dès lors, eu égard à la nature de ses mentions, un ensemble de clauses réglementaires de ces contrats, ne fait pas obstacle à ce qu’un justiciable, à qui il était également loisible d’attaquer les clauses règlementaires de chaque contrat conclu pourvu qu’il justifie d’un intérêt à agir pour le faire, fasse plutôt le choix d’attaquer directement le référentiel à la suite de sa publication sur le site internet de l’ANS. Il suit de là que la fin de non-recevoir opposée en défense doit être écartée.

En ce qui concerne les conclusions aux fins d’annulation :

5. Aux termes de l’article L. 1470-5 du code de la santé publique : « Afin de garantir l’échange, le partage, la sécurité et la confidentialité des données de santé à caractère personnel, les services numériques en santé destinés à être utilisés par les personnes morales et physiques mentionnées aux 1° et 2° de l’article L. 1470-1 doivent être conformes aux référentiels d’interopérabilité, de sécurité et d’éthique élaborés par le groupement d’intérêt public mentionné à l’article L. 1111-24, pour le traitement de ces données, leur conservation sur support informatique et leur transmission par voie électronique. / Ces référentiels () sont approuvés par arrêté du ministre chargé de la santé () ».

6. L’ANS constitue le groupement d’intérêt public mentionné à l’article L. 1111-24 du code de la santé publique. Aux termes de l’article 3 de sa convention constitutive, approuvée, dans sa dernière rédaction, par arrêté du 19 décembre 2019 : " 3.1. L’ANS a pour objet de créer les conditions du développement des systèmes d’information, des services ou outils numériques utilisés dans le cadre de la prise en charge sanitaire et du suivi social et médico-social des usagers du système de santé, pour la coordination des actions des professionnels y concourant, ainsi que pour la télésanté, la recherche, le dépistage et la prévention, la veille et l’alerte sanitaires () / 3.2. A cette fin, l’ANS assure les missions suivantes () / a) Créer les conditions du développement et de la régulation du numérique en santé ; / b) Permettre aux professionnels () de bénéficier de l’innovation et des mutations numériques () « Aux termes de l’article 4 de la convention constitutive : » L’ANS met en place des procédures d’évaluation et de certification, afin de veiller au respect des règles définies au niveau national d’urbanisation, d’interopérabilité, de sécurité et d’éthique des systèmes d’information mentionnés à l’article 3.1 () / Elle peut mettre à disposition () tout produit, service, référentiel, document, composant logiciel au bénéfice des acteurs des secteurs visés à l’article 3.1 () ".

7. Il résulte de la combinaison de ces dispositions que l’ANS, à qui aucune disposition législative ou réglementaire n’a confié un pouvoir réglementaire délégué, est compétente soit sur le fondement de l’article 4 de sa convention constitutive pour adopter des référentiels dépourvus de portée obligatoire, soit sur le fondement de l’article L. 1470-5 du code de la santé publique pour soumettre à l’approbation du ministre chargé de la santé, seule à même de les rendre opposables, des projets de référentiel susceptibles de présenter une telle portée.

8. Comme il a été dit au point 4, le référentiel attaqué présente un caractère obligatoire pour l’ensemble des opérateurs de messagerie sécurisée de santé souhaitant intégrer le système MSSanté. Par suite, l’ANS ne disposait pas de la compétence pour l’adopter mais pouvait seulement le soumettre à l’approbation du ministre des solidarités et de la santé, ce qu’il est constant qu’elle n’a pas fait. Dès lors, c’est à bon droit que l’association requérante soutient que la décision attaquée est entachée d’incompétence. Elle est donc fondée à demander l’annulation du référentiel, sans qu’il soit besoin de se prononcer sur les autres moyens de sa requête.

Sur la version 2 du contrat « opérateur MSSanté » :

9. Ainsi qu’il a été dit au point 3, à la date d’introduction de sa requête, les statuts de l’APICEM, au regard desquels s’apprécie son intérêt à agir, lui assignaient « pour but de favoriser, de susciter de permettre le financement de toute action ou expérience dans le domaine de l’informatique médicale ou de la communication entre des médecins par transmission électronique ». Contrairement au référentiel en litige, le contrat-type « opérateur MSSanté » ne constitue pas un acte règlementaire qui serait susceptible de porter atteinte à l’objet social ainsi assigné à l’association requérante. Par suite, l’association requérante ne justifie pas à ce titre d’un intérêt suffisamment direct pour demander son annulation. Par ailleurs, les modifications que l’APICEM a apportées à son objet social au cours de l’instance ne peuvent être prises en compte pour apprécier son intérêt à agir. Enfin, l’association requérante n’exploitant pas elle-même un service de messagerie sécurisé de santé et n’ayant dès lors pas vocation à conclure avec l’ANS un contrat en qualité d’opérateur d’un tel service, elle ne justifie d’aucune autre qualité susceptible de lui conférer un intérêt à agir contre le contrat-type attaqué. Dès lors, les conclusions de l’association requérante dirigées à son encontre doivent être écartées comme étant irrecevables et la fin de non-recevoir opposée à ce titre par l’ANS doit être accueillie.

Sur l’arrêté du 19 décembre 2019 :

10. Aux termes de l’article R. 351-4 du code de justice administrative : « Lorsque tout ou partie des conclusions dont est saisi un tribunal administratif () ou le Conseil d’Etat relève de la compétence d’une de ces juridictions administratives, le tribunal () ou le Conseil d’Etat, selon le cas, est compétent, nonobstant les règles de répartition des compétences entre juridictions administratives, pour rejeter les conclusions entachées d’une irrecevabilité manifeste insusceptible d’être couverte en cours d’instance () » Aux termes de l’article R. 421-1 du même code : « La juridiction ne peut être saisie que par voie de recours () dans les deux mois à partir () de la publication de la décision attaquée () ».

11. L’arrêté du 19 décembre 2019 ayant approuvé l’avenant à la convention constitutive de l’ANS, a été publié au Journal officiel de la République française le 20 décembre 2019. Par suite, les conclusions aux fins d’annulation présentées à son encontre le 2 août 2022, soit plus de deux mois après cette date, sont tardives et donc irrecevables. Cette irrecevabilité étant manifeste et insusceptible d’être couverte en cours d’instance, il y a lieu de rejeter ces conclusions ainsi que celles tendant à l’annulation par voie de conséquence de l’ensemble des actes adoptés par l’ANS sur son fondement. La fin de non-recevoir opposée en ce sens doit être accueillie.

Sur les frais liés à l’instance :

12. Dans les circonstances de l’espèce, il y a lieu de mettre à la charge de l’ANS la somme de 1 500 euros à verser à l’APICEM au titre des dispositions de l’article L. 761-1 du code de justice administrative. Ces dispositions font en revanche obstacle à ce que soit mise à la charge de cette dernière, qui n’est pas la partie perdante dans la présente instance, la somme que l’ANS demande au titre des frais liés à l’instance.

D E C I D E :

Article 1er : La version 1.5 du référentiel socle MSSanté #1 est annulée.

Article 2 : L’ANS versera à l’APICEM la somme de 1 500 euros au titre des dispositions de l’article L. 761-1 du code de justice administrative.

Article 3 : Le surplus des conclusions de la requête est rejeté.

Article 4 : Le présent jugement sera notifié à l’association pour la promotion de l’informatique et la communication en médecine et à l’Agence du numérique en santé.

Délibéré après l’audience du 24 mai 2024, à laquelle siégeaient :

M^me Weidenfeld, présidente,

M. Rezard, premier conseiller,

M. Lautard-Mattioli, premier conseiller.

Rendu public par mise à disposition au greffe le 14 juin 2024.

Le rapporteur,

A. Rezard

La présidente,

K. Weidenfeld

Le greffier,

A. Lemieux

La République mande et ordonne à la ministre du travail, de la santé et des solidarités en ce qui la concerne ou à tous commissaires de justice à ce requis en ce qui concerne les voies de droit commun, contre les parties privées, de pourvoir à l’exécution du présent jugement.

2/6-1