(demande d’autorisation n°1031843-V5)
La Commission nationale de l'informatique et des libertés,
Saisie par la société Axa France, d’une demande d’extension du traitement ayant pour finalité l’accès, sous forme anonymisée, aux données de santé figurant sur les feuilles de soins électroniques en matière pharmaceutique ;
Vu la Convention n°108 du 28 janvier 1981 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement de données à caractère personnel et la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée le 6 août 2004, notamment ses articles 8-III et 25-I, 1°;
Vu le code de la sécurité sociale et notamment les articles L. 161-29 et R. 115-1 et suivants ;
Vu le code de la santé publique et notamment l’article L. 4113-7 ;
Vu le code pénal et notamment les articles 226-13 et 226-14 ;
Vu la délibération n°2005-018 du 3 février 2005 portant autorisation d’une expérimentation présentée par la société Axa France ayant pour finalité d’accéder, sous forme anonymisée, aux données de santé figurant sur les feuilles de soins électroniques ;
Vu la délibération modificative n° 2005-314 du 20 décembre 2005 de la délibération du 3 février 2005 autorisant une expérimentation présentée par la société Axa France ayant pour finalité d’accéder, sous forme anonymisée, aux données de santé figurant sur les feuilles de soins électroniques ;
Vu la délibération n°2008-343 du 18 septembre 2008 autorisant la prolongation de l’expérimentation présentée par la société Axa France ayant pour finalité d’accéder, sous forme anonymisée, aux données de santé figurant sur les feuilles de soins électronique ;
Vu la délibération n°2009-580 du 22 octobre 2009 autorisant la prolongation de l’expérimentation présentée par la société Axa France ayant pour finalité d’accéder, sous forme anonymisée, aux données de santé figurant sur les feuilles de soins électroniques ;
Sur le rapport de Monsieur Jean MASSOT, commissaire et les observations de Madame Elisabeth ROLIN, commissaire du gouvernement ;
Formule des observations suivantes
La société Axa France a saisi la Commission d’une demande d’extension du traitement ayant pour finalité l’accès, sous forme anonymisée, aux données de santé figurant sur les feuilles de soins électroniques.
L’expérimentation menée par la société Axa France « Inédit santé » tend à créer une base de données statistiques et à liquider les prestations sur le fondement de données médicalisées (code des médicaments et liste des produits et prestations) prévues dans des contrats d’assurance santé d’ores et déjà existants qui proposent des garanties spécifiques pour certains médicaments non remboursés par le régime obligatoire et des produits et prestations de santé pour lesquels les frais réels dépassent le tarif forfaitaire de responsabilité.
Cette expérimentation s’inscrit dans le cadre du rapport de Monsieur Babusiaux relatif à l’accès des assureurs complémentaires aux données de santé des feuilles de soins électroniques qui recommande que les données sensibles « ne viennent pas, sous leur forme nominative, à la connaissance des assurances complémentaires » en précisant que l’architecture utilisée pour la transmission des données repose sur l’organisation du système d’information de l’assureur « en deux sous systèmes séparés communiquant entre eux par le truchement d’un tiers de confiance ». Le rapport envisage deux statuts possibles pour ce tiers de confiance qui est au cœur de la sécurité du système : soit une entité juridique distincte de l’assureur, n’ayant pas d’intérêts communs avec celui-ci, soit l’utilisation d’une boîte noire, c’est-à-dire un dispositif matériel inviolable même par l’assureur lui-même.
La Commission a estimé que la demande formulée par la société Axa France qui procède, à réception des données, à leur anonymisation, relève de la procédure d’autorisation prévue à l’article 8-III de la loi du 6 janvier 1978 modifiée, dans la mesure où le traitement des données de santé figurant sur les feuilles de soins électroniques fait l’objet d’une anonymisation à bref délai.
La Commission a, par sa délibération n°2005-018 en date du 3 février 2005, autorisé la société Axa France à mener une expérimentation d’un an sur l’accès, sous forme anonymisée, aux données de santé figurant sur les feuilles de soins électroniques. L’expérimentation a débuté en octobre 2007, elle a été prolongée jusqu’au 31 décembre 2009.
La société Axa France demande aujourd’hui à la CNIL une extension du traitement à périmètre constant à l’ensemble des assurés et des départements. Un bilan de l’expérimentation a été déposé à l’appui de sa demande, conformément à la délibération n°2008-343 de la CNIL du 18 septembre 2008.
Sur l’architecture du dispositif
L’expérimentation « Inédit Santé » se déroule dans 10 départements et concerne des pharmacies volontaires qui émettent par le biais du logiciel SESAM Vitale installé sur leurs postes des demandes de remboursement électroniques « médicalisées » vers le système informatique de la société Axa France dédié à l’expérimentation « Inédit Santé ». Ces demandes de remboursements détaillés qui contiennent le code des médicaments et la liste des produits et prestations sont chiffrées à l’aide d’une clé de chiffrement prêtée par le GIE SESAM Vitale.
Un chiffrement du transport est également prévu entre les organismes concentrateurs techniques (OCT) et le frontal de la société Axa France pour renforcer le niveau de sécurité des flux.
A réception des demandes de remboursements électroniques médicalisées chiffrées sur le système informatique de la société Axa France, celles-ci sont déchiffrées avec la clé implantée dans le système par le GIE SESAM Vitale puis à nouveau chiffrées par une clé propre à cet organisme complémentaire. La demande de remboursements électroniques ainsi cryptée alimente respectivement une base « statistique » et une base « sinistres » permettant d’assurer la liquidation des produits et prestations relevant de contrats particuliers.
Lors de la réception de la demande de remboursements électroniques, un traitement de purge élimine les codes détaillés de la facture en cas de refus de l’assuré de participer au dispositif ou si l’assuré ne fait pas partie de la cible de l’expérimentation.
La base « sinistres » comporte les numéros de sécurité sociale des assurés et les codes détaillés chiffrés. Elle permet de rechercher, sur la base du numéro de sécurité sociale de l’assuré, s’il dispose d’un contrat nécessitant le traitement de codes détaillés. Si tel n’est pas le cas, les données médicalisées sont supprimées et la demandes de remboursements électroniques est traitée de manière classique.
Dans le cas contraire, les codes des médicaments et la liste des produits et prestations sont déchiffrés uniquement le temps nécessaire pour permettre le calcul automatique du remboursement. Au terme de cette opération le traitement remplace les codes détaillés par des codes généraux. L’ensemble du traitement est réalisé quelques secondes. Parallèlement, un décompte expurgé des données sensibles est envoyé à l’assuré.
La base statistique permet d’effectuer des simulations pour mieux gérer le risque maladie et proposer de nouvelles garanties. Elle ne comporterait que des données anonymisées.
Sur l’appréciation du dispositif au regard de la loi du 6 janvier 1978 modifiée
Il convient d’apprécier la conformité du traitement présenté à la loi du 6 janvier 1978 modifiée et aux préconisations du rapport de M. Christian Babusiaux.
Le procédé d’anonymisation retenu par la société Axa France repose sur un chiffrement des données sensibles chez le professionnel de santé, une transmission sécurisée avec un déchiffrement en bout de chaîne au sein d’une machine appartenant au même assureur.
Lorsque les données sensibles sont déchiffrées au sein du système d’information, propre à la société Axa France, elles sont pendant une très courte période, quelques secondes, non chiffrées pour être associées aux données nominatives du patient afin de calculer le remboursement de l’assuré.
Le processus retenu par la société Axa France s’éloigne du processus d’anonymisation préconisé dans le rapport de M. Babusiaux dans la mesure où il ne fait pas intervenir de tiers de confiance ni sous la forme d’une entité juridique distincte de l’assureur, ni sous la forme d’une « boîte noire ».
En l’absence de tiers de confiance, cette association temporaire paraît être le point de vulnérabilité central du processus retenu par la société Axa France.
Suite à l’évaluation des documents remis par la société Axa France à l’Agence nationale de la sécurité des systèmes d’information, un audit a été réalisé à la demande de la Commission.
La Commission considère que l’audit interne mené sur l’entreprise ne saurait constituer un audit indépendant réalisé par un organisme externe et de nature à analyser le code source informatique exécuté (déchiffrement et l’éclatement de l’information).
La sécurisation des flux entre le pharmacien et le frontal SESAM Vitale de la société Axa France repose sur l’autorisation du Comité directeur du GIE SESAM Vitale d’utiliser la clé de chiffrement de l’assurance maladie pour la durée de l’expérimentation. La diffusion de cette clé n’apparaît pas envisageable en cas d’extension du dispositif.
La Commission donne un délai de 36 mois à la société Axa France pour adopter une des deux solutions suivantes :
Soit faire évoluer son architecture technique afin de se conformer au processus d’anonymisation préconisé dans le rapport de M. Babusiaux (tiers de confiance, entité juridique distincte de l’assureur, ou boîte noire).
Soit conserver son architecture actuelle, à condition de mettre en œuvre un processus d’audit complet et régulier du système « Inédit-santé » par une société externe indépendante, en conformité avec les recommandations figurant dans les conclusions de l’analyse du système réalisée par l’Agence nationale de la sécurité des systèmes d’information (notamment un audit technique et organisationnel ainsi qu’un audit du code source).
Quelle que soit la solution retenue, la société Axa France devra, dans ce même délai de 36 mois, la rendre compatible avec l’architecture commune d’acheminement des données détaillées des feuilles de soins électroniques vers l’assurance maladie complémentaire proposée par le ministère et examinée par la Commission ce jour laquelle prévoit l’utilisation d’une clé de chiffrement spécifique.
Dans l’intervalle, la Commission autorise la société Axa France à poursuivre le traitement, à périmètre constant, dans dix départements. Une extension de l’autorisation à l’ensemble des départements et des assurés ne sera envisageable qu’une fois que la société Axa France aura effectivement mis en œuvre une des deux solutions ci-dessus exposées. Dans cette hypothèse, il conviendra de saisir la Commission d’une nouvelle demande.