Quel calendrier pour le déploiement des API de Mon espace santé ?

Lancé officiellement le 3 novembre, le catalogue de services de Mon espace santé permet aux personnes disposant d’un profil d’accéder à des applications référencées. Certaines d’entre elles impliquent un échange de données avec Mon espace santé qui s’effectue grâce à des interfaces de programmation d’application (API). Pour faciliter l’interopérabilité, les API sont basées sur le standard international HL7 FHIR, la consommation et l’alimentation sont effectuées en REST-FHIR.

 La définition des API a fait l’objet d’un travail collaboratif avec les éditeurs. Au début de l’année 2021, un appel à candidature a été lancé pour élaborer les premiers cas d’usage et déterminer une première version des spécifications des API. Une trentaine d’industriels y ont participé. Une concertation a ensuite été ouverte par l’Agence du numérique en santé du 4 août au 20 octobre 2022 afin que les acteurs de l’écosystème puissent, notamment, commenter les choix techniques proposés. 

L’API pour sécuriser l’échange de données 

La connexion entre Mon espace santé et les applications tierces s’effectue grâce à une API d’appariement. Elle permet, au travers d’une authentification successive du patient à l’application puis à Mon espace santé, de recueillir son consentement à l’utilisation de ses données et de lui attribuer un identifiant technique permettant des échanges ultérieurs. Une fois cette étape terminée, l’application peut envoyer directement ses données de machine à machine à Mon espace santé. 

 “Pour éviter les transmissions entre systèmes, les services tiers ne connaissent pas nos identifiants utilisateurs et les identifiants utilisateurs fournis par le service tiers que nous utilisons ne sont pas forcément ses identifiants internes. De ce fait, il n’y a pas de corrélation possible entre ces identifiants, chacun utilise ses propres identifiants, la correspondance ayant été faite lors de l’appariement”, précisait Alain Faure, membre de l’équipe projet Mon espace santé de la Caisse nationale de l’assurance maladie (Cnam) lors de l’événement Meetup FHIR du 28 septembre 2022 consacré à Mon espace santé.

Trois API métier

 Le recours à une API est recommandé par la Commission nationale informatique & libertés (Cnil) lorsque des données personnelles  sont fréquemment mises à jour. “Nous consacrons beaucoup d’énergie à ce que Mon espace santé soit un succès en termes de protection des données et que le référencement des applications se fasse en toute confiance pour les utilisateurs. Nous considérons que les API sont un bon outil pour la protection des données, car elles apportent une meilleure sécurité mais sont aussi plus intéressantes en termes de minimisation des données, elles permettent de récupérer juste les données nécessaires, juste à temps en évitant les copies de base de données et les transferts par des canaux non sécurisés”, confiait Bertrand Pailhès, directeur des technologies et de l’innovation à la CNIL lors de l’événement. Le développement des API s’est également fait en lien avec l’Agence nationale de la sécurité des systèmes d’information (Anssi). “Nous travaillons en lien étroit avec l’Anssi sur le référencement à Mon espace santé, sur l’analyse des risques avec ou sans échange de données”, indique  Pierre Dubreuil, directeur de projet à la Délégation ministérielle au numérique en santé.

Outre l’API d’appariement, trois API métier sont prévues pour Mon espace santé : l’API Mesures, l’API Documents et l’API Agenda. L’API Mesures permet d’alimenter et de consulter des mesures de santé. Elle se base sur le volet “mesures de santé” du Cadre d’Interopérabilité des Systèmes d’Information de Santé et défini 11 profils FHIR  (poids, taille, fréquence cardiaque, tension artérielle, température, IMC, tour de taille, glycémie, niveau de douleur, périmètre crânien, nombre de pas). L’API Documents permet aux applications et à Mon espace santé d’échanger des documents (ajout, consultation et récupération). L’API Agenda permet elle d’ajouter, de rechercher ou de modifier un rendez-vous pris auprès d’un professionnel de santé ou d’un établissement. 

Un déploiement à la mi-2023

“Depuis que la concertation est terminée, le gros chantier a été d’obtenir une première version stable et définitive des spécifications des API Mesures, Documents et Agenda”, explique Pierre Dubreuil.

Une autre point est également ressorti de la concertation et des échanges avec les éditeurs ayant participé à l’appel à candidatures : la nécessité de standardiser l’API d’appariement.

 La fin de la concertation a également permis d’établir un premier calendrier des prochaines étapes du déploiement des API. “Début 2023, nous allons publier les spécifications fonctionnelles métiers en version stable puis les spécifications sur l’appariement avec la nouvelle version OAuth 2.0. Les preuves de sécurité qui seront demandées aux éditeurs référencés pour l’échange de données avec Mon espace santé seront également publiées, au début de l’année. Le calendrier sera ensuite divisé en deux temps, tout d’abord avec le référencement des applications qui seront candidates à l’échange de données avec Mon espace santé puis l’ouverture effective du store avec échange de données à la mi-2023″, détaille Pierre Dubreuil. Si une première version des API sera lancée à cette période, il ne s’agira pas de leur version définitive. “Une deuxième version est envisagée pour le deuxième semestre 2023. Nous allons voir si nous pouvons embarquer un périmètre fonctionnel un peu plus large et intégrer les remarques faites par les éditeurs que nous n’avons pas pu mettre en place”, révèle Pierre Dubreuil. Tout comme Mon espace santé, les API ont vocation à évoluer.