Délibération n° 2026-066 du 18 juin 2026 portant décision unique et autorisant la société OSPI à mettre en œuvre des traitements automatisés permettant la réalisation d’études destinées à la construction d’indicateurs d’activité, nécessitant un accès aux données nationales du programme de médicalisation des systèmes d’information (PMSI).(demande d’autorisation n°9-64)
Nature: Autre autorisation

La Commission nationale de l'informatique et des libertés,
Saisie d’une demande d’autorisation relative à un traitement de données à caractère personnel dans le domaine de la santé ;
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données) ; 
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés ;
Vu l’avis favorable du comité éthique et scientifique pour les recherches, les études et les évaluations dans le domaine de la santé du 8 janvier 2026 ;
Sur la proposition de Mme Marie Zins, commissaire, et les observations de M. Damien Milic, commissaire du Gouvernement,
Formule les observations suivantes :
Sur le responsable de traitement :
La société OSPI est spécialisée dans l’amélioration le pilotage et le codage des différentes activités des établissements hospitaliers. Elle a notamment développé un outil destiné à analyser l’activité, la performance, permettant aux établissements de santé de comparer leur activité à celles d’autres établissements à partir des données du Programme de médicalisation des systèmes d’information (PMSI), une des bases composant le Système national des Données de Santé (SNDS).
 
La société OSPI définit les indicateurs d’activité qui seront calculés et mis à disposition des établissements. Elle définit les modalités de calculs et la méthodologie d’analyse ainsi que les objectifs des études en vue de produire les indicateurs. 
La liste des indicateurs calculés, est définie de manière autonome et exclusive par la société OSPI.
 
Sur la finalité du traitement et son caractère d’intérêt public :
Les traitements nécessitant un accès aux données du PMSI ont pour finalité la réalisation d’études destinées à la construction d’indicateurs d’activité sur l’ensemble des établissements de santé français pour permettre aux établissements utilisateurs de solutions de la société OSPI de se comparer aux autres établissements.
 
 
Ces indicateurs, qui ont été détaillés dans le dossier de demande, auront pour objectifs : 
la planification et l’amélioration de l’offre de soins, 
la consolidation et l’élévation de leur performance, 
l’élaboration et l’évolution des projets médicaux, 
l’analyse de la pertinence de coopérations entre établissements de santé.
 
Sur la licéité des traitements et l’exception permettant de traiter des données concernant la santé :
Les traitements mis en œuvre par la société OSPI s’inscrivent dans le cadre de son activité commerciale.
Ils sont nécessaires aux fins de la poursuite des intérêts légitimes de la société, compte tenu du caractère indirectement identifiant des données ainsi que des garanties prévues par les textes encadrant la mise à disposition des données du SNDS, notamment s’agissant des droits des personnes.
Ces traitements sont, à ce titre, licites au regard du f) du 1 de l’article 6 du règlement général sur la protection des données (RGPD).
Ces traitements, nécessaires à des fins de recherche scientifique, remplissent la condition prévue au point j) du 2 de l’article 9 du RGPD permettant de traiter des données concernant la santé. 
Sur le traitement de données issues du SNDS :
Pour chacun des traitements mis en œuvre dans le cadre de la présente décision unique (quatre études par an), seules les données strictement nécessaires et pertinentes au regard des objectifs poursuivis devront être traitées. 
 
Sous réserve que ces fichiers soient diffusables par l’ATIH, les données concernant les activités suivantes sont nécessaires à la réalisation de ces études : 
médecine, chirurgie, obstétrique et odontologie (MCO) ; 
hospitalisation à domicile (HAD) ; 
séjours en soins médicaux et de réadaptation (SMR) 
les soins en psychiatrie.
 
Les traitements inclus dans le cadre de la décision unique portent sur les données nationales du PMSI dont la profondeur historique maximale sera de cinq ans, qui seront mise à disposition en fenêtre roulante (données de 2020 à 2025, puis de 2021 à 2026, etc.).
 
L’ensemble des dispositions législatives et réglementaires relatives au SNDS sont applicables en l’espèce, notamment l’interdiction d’utiliser ces données pour les finalités décrites à l’article L. 1461-1 V du code la santé publique (CSP) et l’obligation de communiquer à la Plateforme des données de santé (PDS) plusieurs éléments avant et après les études.
 
Par ailleurs, le caractère adéquat, pertinent et limité à ce qui est nécessaire au regard des finalités pour lesquelles les données sont traitées, la zone géographique concernée et la profondeur historique des données consultées devront être justifiés dans ce registre pour chaque traitement mis en œuvre dans le cadre de cette décision unique. 
 
Sur l'information et les droits des personnes :
Conformément aux dispositions du b) du 5 de l’article 14 du RGPD, dans l’hypothèse où la fourniture d'une information individuelle exigerait des efforts disproportionnés, des mesures appropriées devront être mises en œuvre par le responsable de traitement afin de protéger les droits et libertés, ainsi que les intérêts légitimes de la personne concernée, y compris en rendant les informations publiquement disponibles. 
 
En l'espèce, il sera fait exception au principe d'information individuelle des personnes et des mesures appropriées seront prises par le responsable de traitement afin de rendre publiquement disponible l’information concernant la mise en œuvre de ces traitements. 
 
La CNIL relève qu’une rubrique dédiée aux traitements mis en œuvre dans le cadre de cette décision unique est publiée sur le site web de la société OSPI au sein de laquelle figurent :
une note d’information générale sur les traitements mis en œuvre dans le cadre de cette décision unique, qui inclut l’ensemble des mentions prévues par l’article 14 du RGPD ;
une fiche descriptive de chaque analyse ou étude.
Sur les accédants et les destinataires des données :
Seul le responsable du traitement et les personnes habilitées par lui ont accès aux données dans le cadre de la présente décision unique. Le responsable de traitement tient à jour des documents indiquant la ou les personnes compétentes en son sein pour délivrer l'habilitation à accéder aux données, la liste des personnes habilitées à accéder à ces données, leurs profils d'accès respectifs et les modalités d'attribution, de gestion et de contrôle des habilitations. 
 
Ces catégories de personnes sont soumises au secret professionnel dans les conditions définies par les articles 226-13 et 226-14 du code pénal. 
 
La qualification des personnes habilitées et leurs droits d'accès doivent être régulièrement réévalués, conformément aux modalités décrites dans la procédure d’habilitation établie par le responsable de traitement.
 
Sur la sécurité des données et la traçabilité des actions :
La mise en œuvre de traitements de données à caractère personnel intervenant dans le cadre de l’étude s'effectue sous la responsabilité du responsable de traitement, y compris chez des tiers agissant pour son compte, dans le respect des dispositions des articles 24, 25, 28, 32 à 35 du RGPD ainsi que de l’arrêté du 6 mai 2024 relatif au référentiel de sécurité applicable au SNDS et de ses mises à jour ultérieures.
 
Les données seront mises à disposition auprès du responsable de traitement par l’intermédiaire du prestataire d’accès sécurisé désigné par l’ATIH, à savoir le CASD.
 
Seules des données issues de processus d’anonymisation, de telle sorte que l’identification, directe ou indirecte, des personnes est impossible, peuvent faire l’objet d’une extraction. 
La CNIL rappelle que les responsables de traitement doivent réaliser une analyse permettant de démontrer que leurs processus d’anonymisation respectent les trois critères définis par l’avis n° 05/2014 sur les techniques d’anonymisation adoptés par le groupe de l’Article 29 (G29) le 10 avril 2014. Si ces trois critères ne peuvent être réunis, une analyse approfondie des risques d’identification doit être menée afin de démontrer que ces derniers, avec des moyens raisonnables, sont inexistants.
Sur la durée d’accès aux données :
Les données à caractère personnel du PMSI ne peuvent faire l’objet d’une conservation par le responsable de traitement en dehors de la plateforme du CASD, leur exportation étant interdite.
La durée d’accès aux données dans la plateforme sécurisée doit être limitée à la durée nécessaire à la mise en œuvre des traitements, qui ne saurait être supérieure à trois ans à compter de la date d’accès effectif aux données.
Sur l’opportunité du recours à la décision unique : 
Les traitements décrits répondent à une même finalité, portent sur des catégories de données identiques, les seules données du PMSI, et concernent des catégories de destinataires identiques, les personnes habilitées par le responsable de traitement.
Ces traitements relevant du régime prévu par les dispositions des articles 66 et 72 et suivants de la loi n° 78-17 du 6 janvier 1978 modifiée (ci-après la loi "informatique et libertés"), la CNIL estime opportun, au vu des éléments présentés dans le dossier de demande, de faire application des dispositions de l’article 66 IV de cette même loi. 
 
 
Dans ces conditions, la CNIL autorise la société OSPI à mettre en œuvre les traitements de données à caractère personnel décrits ci-dessus pour une durée de trois ans, avec obligation de remise d’un bilan détaillant les analyses réalisées et la méthodologie suivie à l’issue de ce délai. 
 
La Présidente,
Marie-Laure Denis