Délibération n°2012-055 du 16 février 2012 autorisant l’Institut de recherche et documentation en économie de la santé, l’IRDES, à mettre en œuvre un traitement de données à caractère personnel ayant pour finalité l’enquête sur la santé et la protection sociale - ESPS 2012
Nature: Autre autorisation

(demande d’autorisation n°1147702-V9)
La Commission nationale de l'informatique et des libertés, 
Saisie par l’Institut de recherche et documentation en économie de la santé d’une demande d’autorisation pour la mise en œuvre de l’enquête sur la santé et la protection sociale 2012 ;
Vu la Convention n°108 du 28 janvier 1981 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement de données à caractère personnel et la libre circulation de ces données ;
Vu la loi n° 51-711 du 7 juin 1951 relative à l’obligation, la coordination et le secret en matière de statistiques ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, notamment ses articles 8-IV et 25-I-1°;
Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, modifié;
Vu l’arrêté du 1er décembre 2011 relatif au système national d'information inter-régimes de l'assurance maladie ;
Vu la délibération de la CNIL n°2006-090 portant autorisation de mise en œuvre par l’Institut de Recherche et Documentation en Economie de la Santé de l’Enquête Santé Protection Sociale 2006 ;
Vu les délibérations de la CNIL n° 2010-003 du 14 janvier 2010, 2010-301 du 15 juillet 2010, 2010-404 du 9 novembre 2010 et 2011-171 du 9 juin 2011 autorisant l’Institut de Recherche et Documentation en Economie de la Santé, l’IRDES, à mettre en œuvre un traitement de données à caractère personnel ayant pour finalité l’enquête sur la santé et la protection sociale –ESPS 2010- ;
Sur la proposition de Monsieur Jean MASSOT, Commissaire et après avoir entendu, Mme ROLIN, Commissaire du gouvernement.
Formule les observations suivantes :
Sur la finalité poursuivie par le traitement
La Commission a été saisie par l’Institut de recherche et documentation en économie de la santé, IRDES, d’une enquête sur la santé et la protection sociale « ESPS - 2012 » qui a pour objet principal d’analyser l’articulation entre l’état de santé de la population, la consommation de soins, l’accès aux soins, la couverture santé et le statut économique et social. La finalité du traitement est déterminée, explicite, et légitime au sens de l’article 6 de la loi du 6 janvier 1978 modifiée. 
Sur la procédure applicable
La finalité du traitement est d’analyser les dépenses d’assurance maladie afin d’améliorer la prise en charge médicale des personnes et de contribuer à la réduction de la dépense publique. Cette finalité répond à une finalité d’intérêt public. La Commission considère, dès lors, qu’il y a lieu de faire application des dispositions des articles 8-IV et 25-I-1° de la loi du 6 janvier 1978 modifiée qui soumettent à autorisation les traitements automatisés comportant des données relatives à la santé justifiés par l’intérêt public.
Présentation de l’enquête
L’enquête ESPS réalisée pour la première fois en 1988, est menée, depuis 2010, à partir de l’échantillon généraliste de bénéficiaires (EGB) issu des trois grands régimes de l’assurance maladie : la Caisse nationale d’assurance maladie des travailleurs salariés (CNAMTS), le Régime social des indépendants (RSI) et la Mutualité sociale agricole (MSA). Quatre sous-échantillons sont constitués, deux sous-échantillons sont sollicités alternativement tous les deux ans et deux autres sous-échantillons de réserve permettent de surreprésenter certains des bénéficiaires en fonction des études. En 2012, les bénéficiaires issus du régime de la MSA, du RSI et de la Couverture maladie universelle complémentaire (CMU-C) du régime général seront surreprésentés.
Afin de pouvoir surreprésenter ces échantillons et ainsi moduler leur exploitation, un indicateur non identifiant permettra de les différencier de l’échantillon principal. En outre, les fichiers transmis par l’INSEE à l’IRDES pourront permettre que les catégories de bénéficiaires soient différenciées sans permettre l’identification directe des personnes.
L'enquête est menée tous les deux ans avec alternance des sous-échantillons sollicités. Elle se déroule en deux sessions l'une au printemps l'autre à l'automne afin de tenir compte de la saisonnalité de certaines pathologies. Elle combine des données déclaratives (questionnaires) avec des données de remboursements de l’assurance maladie. Des questions identiques (socle commun) permettent de suivre les évolutions du système de santé au travers de l’expérience des assurés et des questions ponctuelles (enquêtes complémentaires) permettent des analyses spécifiques en fonction des demandes issues de la recherche.
Afin de connaître les recours aux soins, un appariement des données de l’enquête avec les données du système national d’information inter-régimes de l’assurance maladie (SNIIRAM) est prévu. Ce système, géré par la CNAMTS, comporte les informations résultant du traitement des feuilles de soins, y compris les données du codage des actes, des prestations, des produits, des médicaments, des actes de biologie, des affections de longue durée ainsi que les données de facturation des établissements de santé, chaînées par individu sur 2 ans, plus l’année en cours.
Le SNIIRAM ne comporte pas de données directement identifiantes sur les bénéficiaires de soins, en revanche les données relatives aux professionnels de santé enregistrées comportent leur numéro d’identification professionnelle.
Chaque année, les régimes d’assurance maladie extraient pour les personnes échantillonnées et leurs ouvrants droit ou ayants droit dénommés « grappe assurance maladie », leur adresse, NIR, identifiant SNIIRAM et les données médico-administratives dont le nom et le prénom. 
L’INSEE, tiers de confiance, attribue aux personnes échantillonnées et aux différents membres de la « grappe », un numéro d’ordre non signifiant, pérenne, spécifique à l’étude ainsi qu’un numéro d’ordre pour l’ensemble de la « grappe ». 
L’IRDES confie la réalisation des enquêtes à une société qui contacte les personnes. La société renvoie les données recueillies avec le numéro d’ordre spécifique à l’étude.
L’INSEE envoie à la CNAMTS les numéros d’ordre des bénéficiaires et des membres de la grappe ainsi que l’identifiant SNIIRAM afin que soient extraites les données de consommations de soins liquidées. Ces données sont ensuite expédiées à l’IRDES avec les numéros d’ordre.
Les données de consommation de soins et les données d’enquête sont appariées par l’IRDES.
Avant de transmettre les données à l’assurance maladie, l’IRDES transformera les numéros d’ordre avec une nouvelle fonction d’anonymisation. Cette transmission fera l’objet de formalités préalables auprès de la CNIL avant toute mise en œuvre. 
Un appariement des données de l’enquête et de l’assurance maladie obligatoire avec les données de remboursement issues des organismes d’assurance maladie complémentaire est également mis en place afin de connaître le reste à charge des ménages.
Cette deuxième partie de l’enquête, intitulée « projet MONACO » (Méthodes, Outils, Normes pour la mise en commun de données des Assurances Complémentaire et Obligatoire) a été autorisée par la CNIL le 15 juillet 2010. La Commission prend acte de ce qu’actuellement ce traitement est réalisé en phase pilote et qu’elle sera saisie de toute demande de généralisation du dispositif.  
Sur les catégories de données traitées
Les catégories de données à caractère personnel traitées sont l’identité des personnes, le numéro de sécurité sociale (NIR), l’adresse, l’identifiant SNIIRAM, le cas échéant le mois et l’année  de décès, la situation familiale, la vie professionnelle, la situation économique et financière, les habitudes de vie, des données de santé, le numéro d’identification du médecin traitant, le code commune du médecin habituel, l’exonération éventuelle du ticket modérateur, la consommation de soins liquidés et l’organisme complémentaire.
Le numéro de sécurité sociale est utilisé pour sélectionner les bénéficiaires (échantillon pérenne) au sein des systèmes d’information de l’assurance maladie, les identifier et extraire leurs données de consommation du SNIIRAM après l’utilisation de l’algorithme d’anonymisation FOIN. 
Le NIR reste strictement cantonné à l’assurance maladie et à l’INSEE qui sont déjà habilités à le traiter.
Le nom, le prénom et l’adresse sont utilisés afin que la société d’enquête contacte les personnes soit par téléphone soit en se rendant à leur domicile. Le nom de famille n’est pas retransmis à l’IRDES.
S’agissant du traitement du prénom, la Commission prend acte que seules les quatre premières lettres du prénom sont traitées.
Les données relatives à la santé et aux difficultés ressenties sont collectées directement auprès des personnes concernées ou de leurs représentants légaux.
S’agissant du dispositif permettant de renseigner les auto-questionnaires via internet, la Commission ne peut se prononcer dans a mesure où elle ne dispose pas des précisions techniques sur les modalités de sa mise en œuvre. Elle devra donc être saisie de compléments sur ce point.
L’IRDES précise que pour l’ESPS 2012, la liste des données de consommation issues du SNIIRAM appariées avec les données de l’enquête ESPS est strictement identique à celle retenue en 2010. Les tables transmises par l’Assurance maladie à l’IRDES sont les suivantes :
La table des bénéficiaires : les informations individuelles de cette table permettent en particulier de réaliser l’appariement des bénéficiaires du SNIIRAM avec ceux enquêtés par la société d’enquête ;
Un ensemble de table de prestations et de codage permettant de calculer à partir d’informations fines les volumes de consommation des individus qui seront ensuite agrégés pour être diffusé aux chercheurs. Ce sont pour les prestations les tables « Décomptes », « Prestations », « Soins exécutés en établissement », « Autres remboursements que le régime obligatoire », et pour les codages les tables « Actes affinés de CCAM », « Actes affinés de biologie », « Actes affinés de pharmacie », « Actes affinés de LPP », « Actes affinés de transport » et « Codage UCD » ;
Des tables contenant des informations médicales de niveau individuel : « Les motifs d’ALD », « Les informations sur les rentes d’accident du travail » et « Les informations sur les pensions d’invalidité » ;
Les tables de l’application BGNA contenant les informations sur les remboursements effectués par les établissements publics anciennement sous dotation globale non pris en compte par ailleurs : « Table décomptes », « Table séjours hospitaliers » et « Table prestations » ;
Les tables du PMSI.
Les données individuelles relatives à la consommation de soins des bénéficiaires (extraction du SNIIRAM) reçues par l’IRDES sont agrégées par an et par grands postes de soins : médecins, praticiens (dont les médecins, les dentistes et les sages-femmes), auxiliaires, prestations sanitaires, biologie, hospitalisation et les soins hors nomenclature pour les complémentaires santé.
La Commission estime que ces données sont pertinentes, adéquates et non excessives au regard de la finalité du traitement.
A l’issue des travaux d’appariement, l’IRDES détruit de ses fichiers le prénom et le jour de naissance de chaque personne.
L’IRDES s’engage également, lors de la diffusion des résultats agrégés à ce que les professions exercées soient regroupées par catégorie socioprofessionnelle, que le niveau le plus fin de précision géographique soit le département et que les pays de naissance soient regroupés par grande zone géographique.
La Commission prend acte de ce qu’elle sera saisie de toute demande relative à la remontée d’informations vers les régimes d’assurance maladie obligatoire. Cette demande devra spécifier la nature exacte des données qui seront transmises et les modalités de consultation de ces données.
En outre, l’IRDES souhaite transmettre des informations sur les résultats de l’enquête ESPS aux personnes qui y ont participé. La Commission prend acte de ce que les modalités de ce suivi feront l’objet d’une demande de modification de l’autorisation.
Sur les mesures d’information mises en œuvre
Afin d’assurer l’information des personnes concernées, une lettre annonce de l’enquête sera envoyée quelques jours avant le démarrage, elle comporte les mentions d’informations prévues aux dispositions de l’article 32-I de la loi du 6 janvier 1978 modifiée et rappelle le caractère facultatif de l’enquête. Un numéro vert sera mis à la disposition du public pour contacter la société d’enquête et l’IRDES.
Sur les garanties de sécurité mises en place
S’agissant des mesures de sécurité interne à l’IRDES, la Commission prend acte que tous les échanges avec des organismes extérieurs font l’objet de mesures de chiffrement, même pour la messagerie. Des profils d’habilitation sont définis pour chaque utilisateur. 
Les échanges de données entre les régimes d’assurance maladie obligatoire et l’INSEE s’effectuent via un logiciel de transfert sécurisé des données, GnuPG dans une version certifiée par l’Agence Nationale de Sécurité des Systèmes d’informations. 
Le logiciel d’anonymisation utilisé, FOIN, dans le cadre du rapprochement des données de l’enquête avec des données du SNIIRAM n’appelle pas d’observation particulière.
La Commission prend acte de ce que la fonction  d’anonymisation retenue par l’IRDES repose sur une fonction irréversible de hachage sécurisé. Elle est complétée par une clé secrète conservée par l’INSEE dans des conditions de sécurité permettant de garantir sa confidentialité.
En conclusion, la Commission autorise l’IRDES à mettre en œuvre conformément au dossier transmis à la Commission et sous les conditions figurant dans la présente délibération, l’enquête santé protection sociale 2012.
La Présidente
Isabelle FALQUE-PIERROTIN