(saisine n° 08016186)
La Commission nationale de l’informatique et des libertés,
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée en 2004 et notamment son article 11-4° ;
Vu le code de la sécurité sociale et notamment l’article L. 161-28-1 ;
Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, modifié en 2007 ;
Vu la délibération de la Commission nationale de l'informatique et des libertés n°01-054 du 18 octobre 2001 ;
Sur le rapport de M. Jean-Pierre de LONGEVIALLE, commissaire, et les observations de Mme Pascale COMPAGNIE, commissaire du gouvernement ;
Vu le projet d’arrêté du ministre de la santé, de la jeunesse, des sports et de la vie associative relatif à la mise en œuvre du système national d’information inter-régimes de l’assurance maladie (SNIIRAM) ;
Vu le protocole et ses annexes, transmis par le ministre de la santé, de la jeunesse, des sports et de la vie associative définissant les modalités de gestion, d’alimentation et d’organisation de la base, le contenu de la base de données, les conditions d’accès, le plan qualité et la sécurisation du système ;
Emet l’avis suivant :
La Commission a été saisie par le ministre de la santé, de la jeunesse, des sports et de la vie associative d’un projet d’arrêté modifiant les arrêtés du 11 avril 2002, du 20 juin 2005 et du 26 juin 2006 relatifs à la mise en œuvre du système national d’information inter-régimes de l’assurance maladie, SNIIRAM et de son protocole inter-régime.
Les arrêtés précités, pris en application de l’article L. 161-28-1 du code de la sécurité sociale, approuvent les modalités de gestion et de renseignement du SNIIRAM qui sont définies par un protocole signé entre la Caisse nationale d’assurance maladie des travailleurs salariés (CNAMTS), la Caisse nationale de la mutualité sociale agricole (CCMSA) et la caisse nationale du régime social des indépendants (RSI).
La gestion technique de cette base de données nationale et de l’annuaire sécurisé est confiée à la CNAMTS.
L’article L. 161-28-1 du code de la sécurité sociale prévoit que l’arrêté relatif au SNIIRAM est pris après avis motivé de la CNIL.
Les traitements mis en œuvre dans le cadre du SNIIRAM ont pour finalités d’améliorer la qualité des soins, notamment par la comparaison des pratiques à des référentiels, de contribuer à une meilleure gestion de l’assurance maladie, de contribuer à une meilleure gestion des politiques de santé, de transmettre aux prestataires de soins les informations pertinentes relatives à leur activité, à leurs recettes et, s’il y a lieu, à leurs prescriptions.
Les modifications proposées ont pour objet, outre des évolutions rédactionnelles, d’une part d’insérer la date de décès parmi les variables du SNIIRAM et d’autre part de donner l’accès au SNIIRAM à deux nouveaux utilisateurs : l’agence pour le traitement de l’information hospitalière (ATIH) et « les membres des membres » de l’Institut des données de santé (IDS).
Ainsi, la date de décès, lorsqu’elle est connue, sera appelée à figurer dans le SNIIRAM. Elle est considérée comme une variable dite « sensible » au même titre que le code commune, la date des soins, les mois et année de naissance dans la mesure où elle pourrait permettre par corrélation avec d’autres données d’identifier indirectement des personnes. Seuls les médecins-conseils et les personnels placés sous leur responsabilité, sont autorisés à effectuer des recherches mettant en œuvre simultanément plus d’une de ces quatre variables sensibles.
Les agents de l’ATIH qui transmettent au SNIIRAM les données issues du programme de médicalisation des systèmes d'information couvrant le champ des soins hospitaliers sanitaires et sociaux, publics et privés, sont ajoutés comme destinataires des données du SNIIRAM et peuvent accéder aux produits statistiques, agrégés ou individualisés sur les professionnels de santé ainsi qu’à l’échantillon généraliste, sans toutefois avoir accès aux données d’identification des professionnels de santé.
Sont autorisés à accéder aux produits statistiques agrégés ou individualisés sur les professionnels de santé en excluant toute donnée d’identification des professionnels de santé (et des assurés) : les « membres des membres » de l’Institut des données de santé, à savoir, les fédérations de complémentaires santé représentés par l’Union nationale des organismes d'assurances maladie complémentaires, les syndicats de professionnels de santé constitutifs de l’Union nationale des professions de santé et les associations de patients appartenant au Collectif inter associatif sur la santé.
Sur cette dernière évolution, il convient de rappeler que l’arrêté du 20 juin 2005 relatif au SNIIRAM prévoit déjà que « les membres de l’Institut des données de santé » peuvent accéder aux données figurant dans le SNIIRAM sous forme de statistiques agrégées et pour l’échantillon sous forme individualisée, à l’exclusion de données identifiantes à l’égard des professionnels de santé.
Or, l’Union nationale des organismes d'assurances maladie complémentaires, comme l’Union nationale des professions de santé et le Collectif inter associatif sur la santé qui sont membres de l’Institut des données de santé n’ont pas les moyens d’exploiter directement les données issues du SNIIRAM et souhaitent que leurs membres puissent également avoir accès. L’arrêté modificatif a notamment pour vocation de permettre un tel accès.
La Commission prend acte que la demande d’accès aux données du SNIIRAM se limite aux fédérations de complémentaires santé, Fédération nationale de la mutualité française, Fédération française des sociétés d’assurance, Centre technique des instituts de prévoyance et non aux entreprises d’assurance elles-mêmes.
Dans ces conditions, les modifications apportées au système national d’information inter-régimes de l’assurance maladie, SNIIRAM, n’appellent pas d’observation particulière au regard de la protection des données à caractère personnel.