Le bureau de la Commission nationale de l'informatique et des libertés,
Vu la convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés modifiée par la loi n° 2004-801 du 6 août 2004 relative à la protection des personnes physiques à l'égard des traitements de données à caractère personnel, et notamment ses articles 8-IV et 25 ;
Vu la délibération n° 2004-071 du 9 septembre 2004 portant délégation d'attributions au bureau de la Commission nationale de l'informatique et des libertés ;
Vu le code de la sécurité sociale et en particulier les articles L. 315-1 et L. 162-22-18 ;
Vu la demande d'autorisation présentée par le Ministère des solidarités, de la santé et de la famille de mise en oeuvre par les services médicaux de l'assurance maladie obligatoire d'un traitement automatisé de données à caractère personnel ayant pour finalité le contrôle de la facturation des établissements publics et privés de santé dans le cadre de la réforme de la tarification à l'activité ;
Après avoir entendu Mme Charlotte-Marie Pitrat, commissaire du Gouvernement, en ses observations ;
Formule les observations suivantes :
Le Ministère des solidarités, de la santé et de la famille a saisi la CNIL d'une demande d'autorisation relative à la mise en oeuvre au sein des services médicaux de l'assurance maladie obligatoire d'un traitement de données à caractère personnel ayant pour finalité le contrôle de la facturation des établissements publics et privés de santé dans le cadre de la réforme de la tarification à l'activité.
Il y a lieu de faire application des nouvelles dispositions applicables en matière de formalités préalables, en particulier de l'article 25 de la loi du 6 janvier 1978 modifiée qui soumet à autorisation les traitements de données de santé justifiés par l'intérêt public.
Un nouveau mode de financement des établissements de santé publics ou privés fondé sur une tarification à l'activité en médecine, chirurgien, obstétrique et odontologie est en place depuis la loi n° 2003-1199 du 18 décembre 2003 relative au financement de la sécurité sociale pour 2004.
Cette réforme de la tarification harmonise le financement des établissements de santé publics et privés et crée le paiement au forfait par séjour. Ainsi, chaque séjour donne lieu à la production, par le programme de médicalisation des systèmes d'information (PMSI) de l'établissement, d'un résumé standardisé de sortie (RSS). Après traitement des principales données contenues dans ce résumé, le séjour est classé dans un groupe homogène de malade (GHM). A chaque GHM est appliqué un tarif. Afin de pouvoir moduler ce tarif et qualifier la prestation assurance maladie facturée, le groupe homogène de séjour (GHS) a été créé.
Le dispositif présenté à la Commission a pour objet de contrôler les informations produites par les établissements de santé dans le cadre de la tarification à l'activité. Ce contrôle, mené par les médecins conseils contrôleurs des trois principaux régimes l'assurance maladie, régime général, régime agricole et les professions indépendantes, devrait permettre de détecter les erreurs de facturation, les recouvrements indus et d'éviter les paiements injustifiés notamment à partir de la transmission de données issues des RSS du PMSI.
En application des articles L. 315-1 et L. 162-22-18 du code de la sécurité sociale, le contrôle médical porte notamment sur la facturation des prestations médicales et les séjours hospitaliers. Les établissements de santé sont passibles de sanctions financières en cas de manquement aux règles de facturation, d'erreurs de codage ou d'absence de réalisation des prestations facturées. Ces sanctions sont prises par la commission exécutive (COMEX) de l'agence régionale de l'hospitalisation (ARH) à la suite d'un contrôle réalisé sur pièces et sur place par les médecins inspecteurs de santé publique ou des praticiens conseils des organismes d'assurance maladie.
Le contrôle sera organisé au niveau régional. Ainsi, dans chaque région, une unité de coordination régionale, placée près de la COMEX, est composée de représentants de l'assurance maladie dotés d'expérience en matière de PMSI. Cette unité technique proposera le programme de contrôle, suivra sa réalisation, recevra les rapports de contrôle et les traitera. Un rapport de synthèse sur les contrôles réalisés sera effectué et le cas échéant, de sanctions seront proposées.
Préalablement aux contrôles sur site, une analyse des fichiers de résumés de sortie anonymisés (RSA) transmis aux agences régionales de l'hospitalisation par les établissements de la région sera réalisée afin de déterminer les établissements et les activités à contrôler en priorité.
Une fois le ciblage des établissements et des activités effectué, à partir du comportement moyen de description d'activité d'établissements de même nature et le comportement propre de chaque établissement, le contrôle portera sur un échantillon de l'activité considérée. Le médecin conseil demandera à l'établissement la liste des numéros de résumés de sortie standardisés (RSS) correspondant à l'activité contrôlée. Un tirage au sort des numéros de RSS sera réalisé. Le médecin responsable de l'information médicale devra préparer pour le jour du contrôle, les RSS complets, les dossiers médicaux correspondant aux séjours dont les numéros ont été retenus ainsi que les factures.
Les contrôles sur place consisteront donc à vérifier que la facturation des séjours est conforme aux règles de production des résumés en les rapprochant des informations contenues dans les dossiers médicaux. Ils seront réalisés sous l'autorité conjointe du médecin conseil et du médecin responsable de l'information médicale dans des conditions de nature à assurer la confidentialité des données traitées.
Afin de fiabiliser et d'alléger le travail des médecins contrôleurs, un outil de gestion du contrôle sur site est installé sur les micro-ordinateurs portables des médecins conseils. Cet outil contiendra les numéros des RSS retenus pour le contrôle. Sur place, les fichiers de RSS tirés au sort seront temporairement intégrés dans l'application ainsi que des éléments issus des dossiers médicaux des patients afin de mettre en exergue les divergences de codages.
A l'issue du contrôle un rapport sera édité qui comportera comme seul identifiant les numéros de RSS concernés.  Les fichiers de RSS seront détruits. Un CD-Rom crypté contenant le rapport de contrôle sera transmis à l'équipe médicale des unités de coordinations régionales.
Les ordinateurs portables des médecins conseils seront sécurisés selon les modalités du système de protection développé par chaque régime d'appartenance qui comportent au minimum une identification et une authentification préalable à l'ouverture de toute session.
L'accès à l'outil de gestion du contrôle sur site sera lui même protégé par un mot de passe.
Le présent traitement ne remet pas en cause le droit d'accès prévu au patient, auprès du médecin responsable de l'information médicale, dans le cadre du programme de médicalisation des systèmes d'information (PMSI).
Les catégories de données à caractère personnel enregistrées seront relatives aux informations médico-administratives figurant dans les résumés standardisés de sortie (RSS) et anonymisées (RSA), les bordereaux de facturation et les éléments du dossier médical anonymisés.
Les destinataires des informations seront les médecins conseils contrôleurs, l'équipe médicale des unités de concertation régionales et les caisses d'assurance maladie.
Autorise, dans ces conditions, le ministère des solidarités, de la santé et de la famille, à mettre en place au sein des services médicaux des régimes d'assurance maladie un traitement de données à caractère personnel ayant pour finalité le contrôle de la facturation des établissements publics et privés de santé dans le cadre de la réforme de la tarification à l'activité.
Le président, Alex TURK.