(Demande d’autorisation n° 1147702-V14)
La Commission nationale de l'informatique et des libertés,
Saisie par l’Institut de recherche et documentation en économie de la santé (IRDES) d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité la mise en œuvre de la phase 2014 de l’enquête sur la santé et la protection sociale (ESPS) ;
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 51-711 du 7 juin 1951 modifiée relative à l’obligation, la coordination et le secret en matière de statistiques ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 8-IV et 25-I-1 ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu l’arrêté du 19 juillet 2013 relatif à la mise en œuvre du Système national d’information interrégimes de l’assurance maladie ;
Vu les délibérations n° 2006-090, n° 2010-003, n° 2010-301, n° 2010-404, n° 2011-007, n° 2011-171, n° 2012-055, n° 2012-185, en date des 21 mars 2006, 14 janvier 2010, 15 juillet 2010, 9 novembre 2010, 13 janvier 2011, 9 juin 2011, 16 février 2012 et 19 juillet 2012 ;
Vu l’avis du 26 juin 2013 du Comité du label du Conseil national de l’information statistique (CNIS) attribuant le label d’intérêt général et de qualité statistique à la phase 2014 de l’enquête ESPS ;
Après avoir entendu M. Jean MASSOT, commissaire, en son rapport, et M. Jean-Alexandre SILVY, commissaire du Gouvernement, en ses observations,
Formule les observations suivantes :
L'Institut de recherche et documentation en économie de la santé (IRDES) a saisi la Commission, le 18 juin 2013, d’une demande d’autorisation pour la mise en œuvre de l’enquête sur la santé et la protection sociale « ESPS 2014 ».
L’enquête ESPS est une enquête pluridisciplinaire et longitudinale dont l’objet principal est d'analyser l'articulation entre l'état de santé de la population, la consommation de soins, l'accès aux soins, la couverture santé et le statut économique et social.
L’enquête a vocation à permettre d’acquérir une meilleure connaissance du système de santé national, de la santé et de l’accès aux soins des participants, afin d’améliorer la prise en charge médicale des personnes, l’offre de soins et de contribuer à la réduction des dépenses publiques.
L’enquête ESPS, réalisée pour la première fois en 1988, est menée, depuis 2010, à partir de l’échantillon généraliste de bénéficiaires (EGB) issu des trois grands régimes de l’assurance maladie : la Caisse nationale d’assurance maladie des travailleurs salariés (CNAMTS), le Régime social des indépendants (RSI) et la Mutualité sociale agricole (MSA).
Quatre sous-échantillons sont constitués, deux sous-échantillons sont sollicités alternativement tous les deux ans et deux autres sous-échantillons de réserve permettent de surreprésenter certains des bénéficiaires en fonction des études.
L'enquête se déroule en deux sessions afin de tenir compte de la saisonnalité de certaines pathologies. Elle combine des données déclaratives recueillies par questionnaire par une société d'enquête, avec des données de remboursement de l’assurance maladie. Des questions identiques posées à chaque vague d’enquête permettent de suivre les évolutions du système de santé au travers de l’expérience des assurés et des questions ponctuelles (enquêtes complémentaires) permettent des analyses spécifiques en fonction des demandes issues de la recherche.
L’IRDES confie la réalisation des enquêtes auprès des personnes à une société de service chargée de les contacter, d’administrer les questionnaires et de renvoyer les données recueillies associées au numéro d’ordre spécifique à l’étude.
Afin de connaître les recours aux soins ayant fait l’objet d’un remboursement, les données individuelles de l’enquête sont appariées avec les données du système national d’information interrégimes de l’assurance maladie (SNIIRAM). Ce système d’information, géré par la CNAMTS, regroupe l’ensemble des données de remboursement de l’assurance maladie et du PMSI (Programme de Médicalisation des Systèmes d’Information) chaînées par individu sur trois ans, plus l’année en cours.
L’échange d’informations entre les différents organismes qui concourent à la mise en œuvre de l’étude (la société d’enquête, les régimes d’assurance maladie et l’IRDES) suppose la mise en œuvre de procédés d’anonymisation, garantis par le recours à un tiers de confiance. Il s’agit de l’INSEE qui joue ce rôle depuis le début de l’enquête.
Chaque année, les régimes d'assurance maladie extraient pour les personnes échantillonnées et leurs ouvrants droit ou ayants droit dénommés « grappe assurance maladie », leur adresse, le numéro de sécurité sociale (Numéro d’Inscription au Répertoire national d’identification des personnes physiques ou NIR), le triplet SNIIRAM (NIR de l’ouvrant droit, date de naissance et sexe du bénéficiaire) et les données médico-administratives dont le nom et le prénom.
Les régimes d'assurance maladie envoient ces informations à l’INSEE, tiers de confiance qui attribue aux personnes échantillonnées et aux différents membres de la grappe, un numéro d'ordre non signifiant, pérenne, spécifique à l'étude, ainsi qu'un numéro d'ordre pour l'ensemble de la « grappe ».
L’INSEE transmet à l’IRDES les numéros d’ordre et les éléments de situation extraits par l’assurance maladie (à l’exclusion du nom) et à la société d'enquête toutes les informations nécessaires (nom, prénom, date de naissance, coordonnées, numéro d'ordre, qualité au regard de l'assurance maladie) pour qu'elle puisse contacter les personnes et recueillir leurs réponses aux questionnaires, soit par téléphone, soit en face-à-face. Une fois les données recueillies, la société d’enquête les renvoie à l’IRDES associées au seul numéro d'ordre spécifique à l'enquête.
L’INSEE envoie également à la CNAMTS les numéros d'ordre des bénéficiaires et des membres de la « grappe », ainsi que le triplet SNIIRAM afin que soient extraites les données de consommation de soins liquidées. Ces données sont ensuite expédiées par la CNAMTS à l’IRDES avec les seuls numéros d'ordre.
Les données de consommation de soins et les données d'enquête sont appariées par l’IRDES. Une fois cette opération réalisée, le numéro d'enquête est supprimé au profit d’un nouveau numéro.
Dans la mesure où les données de l’enquête ESPS contribuent à la mise en place et l’évaluation des politiques publiques en matière de santé et contribuent à de nombreux projets de recherche, la CNIL a autorisé les différentes phases d’enquête depuis 2006 sur le fondement des articles 8-IV et 25-I-1° relatifs aux traitements de données de santé à caractère personnel justifiés par l’intérêt public. En application des ces dispositions, la nouvelle phase d’enquête doit faire l’objet d’une nouvelle autorisation de la Commission.
Sur la finalité du traitement mis en œuvre en 2014
L’enquête objet de la présente demande d’autorisation s’inscrit dans le processus des recueils d’informations à intervalles réguliers inhérents à l’étude. Le dispositif est, dans ses grandes lignes, identique aux précédentes vagues menées en 2010 et 2012.
La phase 2014 prévoit les modifications suivantes :
L’INSEE aura recours à un sous-traitant pour assurer le rôle de tiers de confiance : le Groupe des écoles nationales d’économie et statistique (GENES) et, plus précisément, sa plateforme sécurisée dite « centre d’accès sécurisé distant aux données » (CASD).
Les données de consommation de soins issues des bases PMSI SSR (soins de suite et réadaptation), HAD (hospitalisation à domicile) et RIM-PSY (établissement ayant une activité de psychiatrie) seront désormais étudiées.
L'adresse exacte des personnes interrogées et des professionnels de santé sera recueillie temporairement afin de permettre à l’IRDES de calculer précisément les distances d'accès aux soins, dans des conditions d’anonymat précisées ci-dessous.
Par souci de représentativité, le champ de l’enquête sera élargi aux régimes spéciaux d’assurance maladie et aux sections locales mutualistes. A titre expérimental, des bénéficiaires résidant hors métropole seront interrogés (département de la Réunion).
L’enquête ESPS 2014 servira de support à l’enquête européenne de santé « European Health Interview Survey – EHIS », pilotée pour la France par la Direction de la recherche, des études, de l’évaluation et des statistiques (DREES) et au niveau européen par Eurostat, la direction générale de la Commission européenne chargée de l’information statistique. Cette enquête a pour objectif de collecter les informations nécessaires pour répondre au règlement européen n°1338/2008 du 16 décembre 2008 relatif aux statistiques communautaires de la santé publique et de la santé et de la sécurité au travail.
La société d’enquête conservera pendant 4 ans les courriels des individus ayant participé qui y ont consenti afin de leur rappeler leur participation et de les informer des résultats principaux de l’enquête.
Les fichiers d’échantillonnage transmis par les régimes d'assurance maladie seront archivés par le tiers de confiance pendant toute la durée du panel, soit vingt ans.
La Commission prend acte que le recueil des informations par auto-questionnaires administrés sur internet, testé en 2012, n’est pas reconduit pour 2014.
Elle relève également que l'appariement des réponses aux questionnaires avec les données de remboursement d'assurance maladie complémentaire, testé dans le cadre du  projet « MONACO » (Méthodes, Outils, Normes pour la mise en commun de données des Assurances Complémentaire et Obligatoire), au cours de la précédente vague ESPS, ne concernera pas la phase 2014.
Elle relève enfin que le questionnaire destiné aux moins de quinze ans est abandonné.
La Commission considère que la finalité du traitement est déterminée, explicite et légitime au sens de l'article 6-2° de la loi du 6 janvier 1978 modifiée.
Sur la nature des données traitées :
Les catégories de données à caractère personnel traitées sont l'identité des personnes, le NIR, l'adresse, le triplet SNIIRAM, le cas échéant le mois et l'année de décès, la situation familiale, la vie professionnelle, la situation économique et financière, les habitudes de vie, des données de santé, le numéro d'identification et l'adresse du médecin traitant, l'exonération éventuelle du ticket modérateur, la consommation de soins liquidés.
Le NIR sera utilisé pour sélectionner les bénéficiaires au sein des systèmes d’information de l’assurance maladie, les identifier et extraire leurs données de consommation du SNIIRAM après l’utilisation de l’algorithme d’anonymisation FOIN (Fonction d’Occultation des Informations Nominatives). Le NIR est traité exclusivement par les régimes d'assurance maladie et par l’INSEE qui sous-traite sa prestation de tiers de confiance au GENES.
Le nom, le prénom et l’adresse seront utilisés afin que la société d’enquête contacte les personnes, soit par téléphone, soit en se rendant à leur domicile. Le nom de famille ne sera pas retransmis à l’IRDES. S’agissant du traitement du prénom par l’IRDES, la Commission prend acte que seules les quatre premières lettres du prénom seront traitées.
L’adresse exacte des personnes interrogées et des professionnels de santé sera collectée à des fins de géocodage, afin de permettre à l’IRDES de calculer précisément les distances d'accès aux soins.
La Commission prend acte que :
- le géocodage des adresses sera réalisé au sein de l’IRDES ;
- les adresses seront accessibles à une personne spécialement habilitée de l’IRDES, qui ne fait pas partie de l’équipe dédiée à l’ESPS, et conservées dans des conditions de nature à garantir leur confidentialité le temps strictement nécessaire à l’opération de géocodage et à la validation des données, puis supprimées ;
- seules figureront dans la base de données les distances d’accès aux soins, à l’exclusion des adresses.
La Commission relève que les données de consommation de soins des bénéficiaires transmises dans le cadre des précédentes enquêtes ESPS seront toujours étudiées en 2014. Toutefois, l’IRDES souhaite y adjoindre de nouvelles données de consommation de soins, issues du SNIIRAM, à savoir les tables PMSI SSR (soins de suite et réadaptation), HAD (hospitalisation à domicile) et RIM-PSY (établissement ayant une activité de psychiatrie). Interrogé sur la pertinence de ces informations sensibles au regard de la finalité de l’étude, l’IRDES a indiqué qu’une bonne évaluation de l’impact des dispositifs de prise en charge individualisés nécessitait d’appréhender le parcours de soin dans sa globalité et qu’une approche limitée au champ MCO (Médecine, Chirurgie, Obstétrique) pouvait induire des biais substantiels.
La Commission en prend acte et demande que les personnes concernées soient clairement informées du recueil de leurs données de consommation de soins dans la note d’information qui leur est destinée.
En outre, les données individuelles relatives à la consommation de soins des bénéficiaires (extraction du SNIIRAM) reçues par l’IRDES seront agrégées par an et par grands postes de soins : médecins, praticiens (dont les médecins, les dentistes et les sages-femmes), auxiliaires, prestations sanitaires, biologie, hospitalisation et traitements et cures ambulatoires. Compte tenu, par ailleurs, des mesures mises en œuvre pour assurer leur sécurité et leur confidentialité, la collecte de ces données de consommation de soins peut être admise.
Enfin, la Commission prend acte que les personnes enquêtées seront sensibilisées à ne pas livrer d’informations personnelles dans le champ libre du questionnaire.
Elle prend acte également de l’engagement de l’IRDES, lors de la diffusion des résultats agrégés, que les professions exercées soient regroupées par catégorie socioprofessionnelle, que le niveau le plus fin de précision géographique soit le département et que les pays de naissance soient regroupés par grande zone géographique.
Dans ces conditions, la Commission estime que ces données sont pertinentes, adéquates et non excessives au regard de la finalité du traitement.
Sur la durée de conservation des données :
Les fichiers d'échantillonnage de l'enquête ESPS 2014 seront conservés pendant toute la durée du panel, soit vingt années. L’archivage sera mis en œuvre par le tiers de confiance et le désarchivage n’aura lieu qu’à la demande expresse de l’IRDES, en cas de difficulté particulière ou de projet de recherche nécessitant le recours aux données sources d’échantillonnage.
En outre, la prestation de l’institut de sondage qui concourt à la réalisation de l’étude sera encadrée par une convention qui définira les opérations que ce prestataire est autorisé à réaliser à partir des données confiées, ainsi que les engagements qu’il prend de garantir leur sécurité et leur confidentialité, en particulier l’interdiction d’utiliser les données à d’autres fins et l'engagement de les détruire dans un délai de trois mois suivant la remise à l’IRDES des fichiers de réponses.
Les adresses e-mail des personnes qui ont souhaité recevoir régulièrement des informations sur l'ESPS seront conservées par la société d’enquête pendant quatre ans. Seule la société d'enquête pourra utiliser cette information exclusivement pour les fins précitées.
La Commission estime que ces durées de conservation sont pertinentes au regard de la finalité poursuivie par le traitement.
Sur les destinataires des données :
Sont destinataires des informations les personnels de l’IRDES dédiés à l’enquête ESPS et spécialement habilités dans la mesure strictement nécessaire à la mise en œuvre de l’étude.
En outre, les données de l’étude sont mises à la disposition de chercheurs extérieurs à l’IRDES et institutions publiques selon les modalités suivantes.
Les réponses aux questionnaires de l’enquête ESPS sont mises à disposition des chercheurs et des institutions publiques directement par l’IRDES ou via le réseau Quételet. La mise à disposition est gratuite et fait l’objet d’une convention avec l’IRDES précisant le projet scientifique et définissant les règles d’utilisation et de conservation des données.
Les données appariées aux consommations de soins sont, quant à elles, disponibles dans un format agrégé.
L’accès à des informations plus détaillées est subordonné à l’accord des régimes d'assurance maladie ainsi qu’à l’autorisation de la CNIL.
Ces destinataires n’appellent pas d’observation de la part de la Commission.
Sur les droits des personnes :
Afin d’assurer l’information des bénéficiaires sélectionnés de l’enquête ESPS, une lettre annonce leur sera adressée avant le début de l’enquête qui comporte les mentions d’informations légales, conformément aux dispositions de l’article 32-I de la loi du 6 janvier 1978 modifiée.
La Commission relève qu’ils y seront clairement informés du caractère facultatif de leur participation à l’enquête, des modalités d’exercice de leur droit d’opposition auprès de l’enquêteur, ainsi que du recueil des données de consommation de soins les concernant.
Ce courrier les informe également  qu’un numéro vert sera mis à leur disposition pour toute  question concernant l’enquête et de l’existence d’une page internet dédiée à l’ESPS sur le site internet de l’IRDES.
L’IRDES enverra également aux mairies des communes de moins de 20 000 habitants et aux caisses primaires d’assurance maladie des courriers et des courriels pour les informer de la réalisation de l’enquête à venir. Celles-ci seront ainsi en mesure d’informer leurs administrés (sur le site internet ou le bulletin municipal pour les mairies) ou leurs bénéficiaires et répondre, le cas échéant, à leurs questions.
Pour le bon suivi du panel, l’IRDES adressera en 2016 aux participants à l’enquête ESPS 2014, ainsi qu’à ceux qui n'ont pas pu être joints, un courrier rappelant leur participation ou leur sollicitation en 2014 et une plaquette d’information sur les résultats principaux de l’enquête. Les personnes qui auront donné leur accord seront contactées par courriel.
Toute demande d’accès, de rectification ou de suppression des informations recueillies pourra être formulée par écrit auprès de la société d’enquête qui s’engage à y répondre dans les dix jours suivant réception d’une telle demande.
Cette possibilité d’accès est limitée à la date de remise des fichiers définitifs à l’IRDES.
Ces modalités d’information et d’exercice des droits sont suffisantes.
Sur la sécurité des données et la traçabilité des actions :
La Commission souhaite que compte tenu de la sensibilité des données traitées et de l’envergure et de la durée de l’étude, une attention particulière soit portée à la sécurité des données, afin d’en garantir la confidentialité.
La Commission prend acte que tous les échanges entre les intervenants (régimes d’assurance maladie, société d’enquête, IRDES) feront l’objet de mesures de chiffrement garanties par le tiers de confiance.
Elle relève que les numéros d'ordre attribués par le tiers de confiance reposent sur un processus d’anonymisation (à l'aide de l'algorithme « Secure Hash Algorithm 1 » ou SHA-1 combiné avec une clé secrète) qui offre des garanties suffisantes d’anonymisation.
Au sein de chaque organisme participant à l'ESPS 2014, des profils d’habilitation sont définis pour chaque utilisateur en fonction du rôle de chacun.
Les échanges d’informations entre les différents organismes qui concourent à la mise en œuvre du projet (les régimes d’assurance maladie, la société d’enquête, l’IRDES) sont soumis à des procédures garanties par le tiers de confiance et le pôle « géographie en santé » de l’IRDES, afin que l’équipe de chercheurs de l’IRDES ne puisse à aucun moment connaître l’identité des bénéficiaires de l’assurance maladie.
Les échanges de fichiers impliquant un acteur autre que la CNAMTS seront réalisés avec le logiciel de chiffrement Gnupg, comme dans le cadre de l'enquête ESPS 2012. La CNAMTS, le RSI et la MSA qui avaient développé pour les enquêtes précédentes les outils nécessaires pour assurer l’envoi des informations via le logiciel CAMEL (Chiffrement Anonymisation Maladie Elargie), continueront à utiliser cet outil.
Les intervenants du projet ESPS assurent l’installation du logiciel Gnupg et produisent un jeu de clés asymétriques spécifique à chaque partenaire du projet avec lequel il y a des échanges de données. Le jeu de clés est valide pour toute la durée de l'ESPS 2014. Les clés publiques sont échangées par messagerie électronique, tandis que les clés privées sont conservées par l’équipe projet ESPS. Chaque partenaire communiquera une adresse électronique dédiée au projet ESPS.
Les numéros d'ordre attribués par le tiers de confiance reposent sur le hachage du NIR ou du triplet SNIIRAM par l'algorithme SHA-1 combiné avec une clé secrète, ce qui offre des garanties suffisantes pour assurer que l’équipe de chercheurs de l’IRDES ne pourra retrouver le NIR des individus à partir de ces numéros d’ordre.
L’équipe de l’IRDES accède aux données par l’utilisation d’un identifiant et d’un mot de passe dont la complexité est conforme aux recommandations précitées de la Commission.
La Commission relève, en revanche, que les mots de passe utilisés par la société d’enquête ne sont pas conformes aux recommandations de la Commission. En effet, la Commission a toujours recommandé l’utilisation de mots de passe d’une longueur minimale de huit caractères, composés de trois types de caractères distincts parmi les minuscules, majuscules, chiffres ou caractères spéciaux. Le mot de passe doit être modifié par l’utilisateur dès sa première connexion, puis régulièrement.
Les données d’identification des personnes incluses dans l’enquête sont uniquement conservées au sein du GENES, prestataire du tiers de confiance. Le personnel de l’IRDES ne peut accéder à ces informations.
Tous les accès aux données sont tracés.
La Commission prend acte que les courriels conservés par la société d’enquête seront séparés de toute donnée relative à l’enquête ESPS 2014 et que les données seront chiffrées (par Gnupg) et copiées sur un CD-Rom conservé dans le local à usage informatique de la société d’enquête, dont l’accès n’est possible qu’au moyen d’un badge nominatif à l’usage exclusif des salariés habilités du service informatique de la société d’enquête.
Sous réserve des précédentes observations, les mesures de sécurité décrites par le responsable de traitement sont de nature à assurer la confidentialité des données traitées et conformes à l’exigence de sécurité prévue par l’article 34 de la loi du 6 janvier 1978 modifiée.
La Commission rappelle toutefois que cette obligation nécessite la mise à jour des mesures de sécurité au regard de la réévaluation régulière des risques.
Dans ces conditions, la Commission autorise l’Institut de recherche et documentation en économie de la santé (IRDES) à mettre en œuvre un traitement de données à caractère personnel ayant pour finalité la mise en œuvre de la phase 2014 de l’enquête sur la santé et la protection sociale (ESPS).
La Commission rappelle que la poursuite du projet sera subordonnée au dépôt d’une nouvelle demande d’autorisation auprès de la CNIL.
La Présidente
Isabelle FALQUE-PIERROTIN