(Dossier n°1492397)
La Commission nationale de l'informatique et des libertés,
Saisie par l’Institut de veille sanitaire, l’InVS, d’une demande d’autorisation pour la mise en œuvre d’un système de surveillance multi sources des cancers (SMSC) ;
Vu la Convention n°108 du 28 janvier 1981 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement de données à caractère personnel et la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée le 6 août 2004, notamment ses articles 8-IV et 25-I, 1 ;
Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, modifié en 2007 ;
Sur le rapport de M. Jean MASSOT, commissaire et les observations de Mme Elisabeth ROLIN, commissaire du gouvernement ;
Formule les observations suivantes :
L’Institut de veille sanitaire (InVS) est un établissement public de l’Etat qui a pour missions :
d'effectuer la surveillance et l'observation permanente de l'état de santé de la population,
d'alerter les pouvoirs publics en cas de menace pour la santé publique de la population,
de mener toute action nécessaire pour identifier les causes d'une modification de l'état de santé de la population, notamment en situation d'urgence.
Dans le domaine du cancer, l’InVS assure la surveillance des cancers, l’alerte des pouvoirs publics en cas de détection d’un accroissement du nombre de cas sur une période ou dans une zone géographique donnée, le suivi épidémiologique et l’évaluation des programmes de dépistage organisé.
Actuellement, le système de surveillance des cancers repose principalement sur les registres des cancers qui assurent l’enregistrement des nouveaux cas de cancers dans une zone géographique délimitée. Il n’existe cependant pas de registre dans tous les départements et tous les types de cancers ne sont pas répertoriés. Les registres couvrent environ 18% des adultes atteints et presque 100% des enfants.
Les imperfections du dispositif actuel de surveillance des cancers ont milité pour la mise en place par l’InVS d’un dispositif national de surveillance des cancers, le SMSC.
Sur la finalité de l’étude
Le système de surveillance multi sources des cancers (SMSC) s’appuie sur le recueil de données anonymisées issues d’un suivi passif des personnes sur l’ensemble du territoire. Il repose sur le croisement de deux sources de données :
les données issues du programme de médicalisation des systèmes d’information (PMSI) ;
les données de l’assurance maladie relatives aux exonérations du ticket modérateur pour cancer, correspondant à l’affection longue durée n° 30 ou ALD n°30,
Sur les caractéristiques du traitement
Le PMSI et les données ALD sont des bases de données médico-administratives centralisées au niveau national, la première par l’Agence technique de l’information hospitalière (ATIH), la seconde par la Caisse nationale d’assurance maladie des travailleurs salariés, CNAMTS. Les données PMSI sont extraites du Système national d’information inter-régimes de l’Assurance maladie, SNIIRAM.
Les données anonymisées du PMSI et des ALD sont chaînées avec un numéro commun aux deux sources de données. Ce numéro est généré par la CNAMTS.
Les données individuelles ALD de la CCMSA n’alimentent pas encore le SNIIRAM. Un circuit spécifique est donc prévu jusqu’à l’intégration de ces données dans le SNIIRAM.
Les données ALD n°30 de la CCMSA sont centralisées à la caisse et anonymisées par la CNAMTS.
Sur la procédure applicable
Le traitement mis en œuvre à des fins de surveillance multi sources des cancers répond à un besoin de santé publique. Il entre donc dans le cadre des articles 8-IV° et 25-I-1 de la loi du 6 janvier 1978 modifiée qui soumet à autorisation les traitements automatisés comportant des données relatives à la santé justifiés par l’intérêt public.
Sur les catégories de données à caractère personnel traitées
Les données PMSI et ALD n°30 sont utilisées à partir de l’année 2006. Les années 2004 et 2005 du PMSI sont également utilisées pour être chainées avec les données PMSI de 2006 et plus.
Les catégories de données PMSI utilisées dans le cadre du SMSC sont :
- le numéro d’anonymat,
- le code FINESS de l’établissement,
- l’âge du patient à l'entrée dans le service,
- le sexe du patient,
- les mois et année de sortie,
- la durée de séjour,
-  le code postal de résidence,
- le diagnostic principal d'hospitalisation, les diagnostics associés et les diagnostics reliés : codés depuis 1997 selon la classification internationale des maladies (CIM-10),
- les actes réalisés, codés selon la classification commune des actes médicaux (CCAM).
Les catégories de données traitées concernant les ADL sont les suivantes :
- L’organisme gestionnaire
- Le bénéficiaire :
Numéro d’anonymat
Mois de naissance
Année de naissance

Département de résidence
Commune de résidence
Bureau distributeur (code postal)
- Les informations médicales du bénéficiaire
Numéro d’ALD
Codes pathologies (code CIM)
Date de mise en ALD ou date de début d’ALD
Date de fin d’ALD
Motif d’exonération du ticket modérateur
Les données traitées apparaissent pertinentes au regard de la finalité poursuivie par le traitement.
La Commission rappelle toutefois que les informations tirées de l’exploitation des bases de données et susceptibles d’être diffusées doivent se présenter uniquement sous la forme de statistiques agrégées de telle sorte que les personnes concernées ne puissent pas être identifiées.
Sur les mesures d’information mises en œuvre
Une présentation du système de surveillance multi sources des cancers est diffusée sur le site de l’InVS.
Dans la mesure où les données font l’objet d’un procédé d’anonymisation, une information sur le site de l’INVS apparaît satisfaisante.
Sur les garanties de sécurité mises en place
Le processus d’anonymisation utilise la procédure FOIN comportant une triple anonymisation irréversible.
A réception des données, l’InVS opère une troisième anonymisation à l’aide de la même procédure. L’InVS estime qu’il est indispensable qu’ puisse générer son propre numéro anonyme à partir du numéro d’anonymisation de la CNAMTS afin de pouvoir croiser les données d’ALD et les données PMSI avec les données issues des comptes rendus des anatomo-cytopathologistes (ACP) lorsque les données seront disponibles. L’utilisation des données ACP fera l’objet d’une demande de modification de la présente autorisation.
Dans la mesure où les données ALD des ressortissants de la CCMSA n’alimentent pas encore le SNIIRAM, la CCMSA transmet à la CNAMTS un numéro d’ordre et les données administratives nécessaires des bénéficiaires concernés afin que la CNAMTS génère le numéro d’anonymat avec la procédure FOIN.
Les données ALD cancer des bénéficiaires sont envoyées par la CCMSA à l’InVS avec le numéro d’ordre. La CNAMTS envoie le numéro d’ordre et le numéro d’anonymat à l’InVS.
Les données envoyées par la CNAMTS à l’InVS sont chiffrées au moyen d’une double clé de chiffrement dédiée au projet. Le fichier chiffré est compressé et protégé en accès par un mot de passe transmis à l’InVS par un autre canal.
Le personnel qui accède à l’application SMSC est spécifiquement habilité à cet effet. Les accès à l’application sont tracés.
La Commission considère que les mesures de sécurités mises en place sont satisfaisantes.
Sur la durée de conservation des données
La durée de conservation des données du SMSC est prévue jusqu’en 2020.
La Commission prend acte qu’une prolongation du dispositif sera en cas de besoin demandée.
En conclusion, la Commission autorise l’Institut de veille sanitaire à mettre en œuvre un système de surveillance multi sources des cancers (SMSC), dans les conditions énoncées ci-dessus et conformément au dossier transmis à la Commission.