Une utilisation à développer, une sécurité à renforcer

Avertissement

En application de l’article LO 132-3-1 du code des juridictions financières, la Cour des comptes a été saisie par lettre de la présidente de la commission des affaires sociales et des co-présidents de la mission d’évaluation et de contrôle des lois de financement de la sécurité sociale (MECSS) de l’Assemblée nationale en date du 3 décembre 2014 d’une enquête sur les données médicales personnelles interrégimes détenues par l’assurance maladie, à laquelle le Premier président de la Cour des comptes a répondu par courrier du 23 décembre 2014.

Le champ des investigations de la Cour a été présenté lors d’une réunion tenue le 8 avril 2015 à l’Assemblée nationale. Il a fait l’objet d’un courrier du Premier président à la présidente de la commission des affaires sociales et aux co-présidents de la MECSS de l’Assemblée nationale en date du 19 mai 20151. Aux termes de ces échanges, il a été convenu que la communication serait centrée sur le système national interrégimes de l’assurance maladie (SNIIRAM), géré par la caisse nationale d’assurance maladie des travailleurs salariés, et porterait plus particulièrement sur les thèmes suivants :

la stratégie de pilotage, les coûts et les performances du SNIIRAM, complété par un audit des risques pouvant affecter la confidentialité, la sécurité et la fiabilité des données ;

l’utilisation du SNIIRAM par les caisses d’assurance maladie, les administrations et les autres utilisateurs directs, en particulier les agences sanitaires, pour examiner les modalités d’accès aux données, le périmètre des études menées et leur apport aux politiques de santé publique et à la gestion de l’assurance maladie, y compris en matière de lutte contre les abus et la fraude ;

les potentialités d’extension des usages du SNIIRAM par un élargissement de ses accès et de ses perspectives d’évolution dans le contexte de la loi de modernisation de notre système de santé, en cours de discussion au Parlement lors de l’enquête et promulguée le 26 janvier 2016, qui a défini les voies et moyens d’une politique publique d’open data en ce domaine.

L’enquête a été notifiée au directeur général de général de la caisse nationale d’assurance maladie des travailleurs salariés (CNAMTS), au directeur général de la caisse centrale de la mutualité sociale agricole (CCMSA), au directeur général de la caisse nationale du régime social des indépendants (RSI), au secrétaire général des ministères chargés des affaires sociales et aux directeurs des administrations centrales concernées, au directeur général de l’agence technique de l’information sur l’hospitalisation (ATIH), à la présidente de la Commission nationale informatique et libertés (CNIL), au président de l’institut des données de santé (IDS) ainsi qu’aux directeurs ou présidents des agences et autorités sanitaires (Haute Autorité de santé, Institut national de veille sanitaire, Agence nationale de la sécurité du médicament et des produits de santé notamment).

Des réunions de travail ont été tenues avec les organismes producteurs de données (CNAMTS, RSI, CCMSA et ATIH), avec les services de l’État concernés, y compris au sein des agences régionales de santé d’Aquitaine, d’Île-de-France, de Haute-Normandie et de Languedoc-Roussillon, avec la CNIL et l’Institut des données de santé. La quasi-totalité des utilisateurs habilités à accéder aux données du SNIIRAM ont été sollicités pour des entretiens ou des contributions écrites, en particulier les différentes agences et autorités sanitaires ainsi que l’INSERM. Ont également été rencontrés l’Union nationale des professions de santé (UNPS), le collectif inter-associatif pour la santé (CISS), l’association Prescrire, ainsi que des sociétés d’études privées. Les fédérations hospitalières privées et publiques et les fédérations des organismes d’assurance complémentaire ont été sollicitées par questionnaire.

L’enquête s’est appuyée sur la mobilisation d’une expertise spécialisée sur les enjeux de sécurité informatique avec le recours à un prestataire extérieur pour un total cumulé de 70 jours d’une part et de pharmacovigilance d’autre part avec le concours du Dr Bénédicte Lebrun-Vignes, responsable du centre régional de pharmacovigilance de la Pitié-Salpêtrière.

Par ailleurs, les conseillers sociaux des ambassades de France en Allemagne, Espagne, Italie, Royaume-Uni, Suède et États-Unis ont fourni des éléments de parangonnage pour compléter les éléments recueillis lors de déplacements à Washington et à Londres, avec le concours du Government Accountability Office américain et du National Audit Office britannique ainsi qu’à Rome.

Un relevé d’observations provisoires a été communiqué aux fins de contradiction dans son intégralité à douze destinataires par courrier du 26 janvier 2016. Des extraits les concernant ont été envoyés à onze autres destinataires le 27 janvier 2016. Tous les destinataires ont répondu à l’exception de la direction générale de la recherche et de l’innovation au ministère de l’éducation nationale, de l’enseignement supérieur et de la recherche et de l’ATIH.

Des auditions ont été organisées les 25 et 29 février 2016 avec le secrétaire général des ministères sociaux, la direction de la sécurité sociale et la direction de la recherche, des études, de l’évaluation et des statistiques, le directeur général de la CNAMTS, la présidente de la CNIL, et le président de l’Institut des données de santé.

Le présent rapport, qui constitue la synthèse définitive de l’enquête de la Cour, a été délibéré le 29 février 2016 par la sixième chambre présidée par M. Durrleman, président de chambre, et composée de MM. Banquey, Diricq, Selles, Laboureix, conseillers maîtres, et M. Lefas, président de chambre maintenu, M. de la Guéronnière, conseiller maître étant contre-rapporteur, les rapporteurs étant M. Alain Gillette, conseiller maître honoraire, rapporteur à temps partiel, Mme Delphine Rouilleault, auditrice, et Mme Clélia Delpech, rapporteure extérieure.

Il a ensuite été examiné et approuvé le 15 mars 2016 par le comité du rapport public et des programmes de la Cour des comptes, composé de M. Migaud, Premier président, MM. Durrleman, Briet, Mme Ratte, MM. Vachia, Paul, rapporteur général du comité, Duchadeuil, Piolé, Mme Moati, présidents de chambre, et M. Johanet, procureur général, entendu en ses avis.

Synthèse

Le système national interrégimes de l’assurance maladie, une base sans équivalent en Europe adossée à un système informatique puissant, réalisée par la CNAMTS en dépit d’un pilotage éloigné de l’État

Conçu pour doter les pouvoirs publics d’un outil unifié de pilotage des dépenses de santé et créé par la loi de financement de la sécurité sociale pour 1999, le Système national d’information interrégimes de l’assurance maladie (SNIIRAM) enregistre, dans une base unique, les données de liquidation des bénéficiaires des régimes d’assurance maladie obligatoire. Entre sa création législative et sa mise en service opérationnelle, trois années se sont écoulées en raison de l’ampleur des migrations à opérer depuis les systèmes préexistants et de la complexité du cadre réglementaire à définir.

Le SNIIRAM a connu des évolutions successives pour enrichir son contenu et améliorer sa structuration, jusqu’à devenir aujourd’hui une base de données médico-administratives, sans équivalent en Europe au regard du nombre de personnes concernées et de la diversité des données disponibles. À cet égard, le chaînage des données de ville avec les données de paiement hospitalières issues du programme de médicalisation des systèmes d’information depuis 2009 a constitué une avancée majeure. La CNAMTS, maître d’ouvrage dont il convient de souligner l’implication et les résultats obtenus, a développé des outils de structuration des données, en créant en particulier un échantillon généraliste des bénéficiaires en 2005, qui ont contribué à l’exploitation du SNIIRAM en dehors de l’assurance maladie. Ces efforts de structuration doivent encore être poursuivis dans une logique d’offre de service à des utilisateurs plus nombreux.

Le potentiel de ces outils est très important, mais il reste à parfaire. La qualité de la base peut être améliorée en réduisant certaines fragilités de codage et des remontées d’informations encore parfois incomplètes.

La gouvernance du SNIIRAM, projet majeur, a été partagée entre deux instances – le comité de pilotage interrégimes, associant notamment les administrations et le maître d’ouvrage, et l’Institut des données de santé, faisant pour sa part place aux utilisateurs potentiels – partiellement concurrentes. En l’absence d’investissements et de moyens de la tutelle, le pilotage du SNIIRAM, les choix en matière d’orientations stratégiques, de gestion des évolutions techniques et de détermination des droits d’accès, ont été de fait délégués à la CNAMTS, impliquée dans la gestion technique pour améliorer la base, à petit pas et souvent empiriquement. Dès lors, de maître d’ouvrage, la CNAMTS s’est comportée en propriétaire du SNIIRAM ce qui, conjugué à une approche restrictive des demandes par la CNIL, a conduit à la forte limitation des accès permanents au SNIIRAM et à des freins au développement des utilisations ponctuelles par les acteurs du monde de la santé publique.

Après une période marquée par un attentisme certain, la mise à niveau technique du SNIIRAM et de sa sécurité informatique est depuis 2013 conduite diligemment et l’absence de tout incident de fuite de données est à souligner. Un renforcement des audits techniques et de la documentation relative aux applications s’impose néanmoins, d’autant que si la mise en conformité technique avec les normes et bonnes pratiques de gestion de méga-données apparait satisfaisante, plusieurs risques et défaillances de sécurité identifiés par la CNAMTS subsistent. D’autres concernent les dispositifs de cryptage, obsolescents même si leur changement ne s’avèrera indispensable qu’à horizon de quelques années. L’ampleur des enjeux appelle la plus grande anticipation dans la programmation des chantiers, l’estimation de leurs coûts et la mise en œuvre des actions de réduction des risques. Une attention suffisante n’y a pas été apportée par la tutelle. La CNAMTS doit se doter sans plus attendre d’un calendrier et d’un plan d’actions adapté et définir l’échéancier financier correspondant, des moyens devant impérativement être dégagés à hauteur du nécessaire compte tenu du caractère stratégique des enjeux de sécurisation.

Une diversification progressive des utilisations du SNIIRAM malgré une gestion prudente à l’extrême des accès, mais nettement insuffisantes au regard des enjeux financiers et sanitaires du pays

Alors que la France a réussi à constituer une base exceptionnelle par son exhaustivité, sa richesse et sa finesse d’informations, qui n’a pas d’exemple dans le monde, et aux potentialités considérables en matière de santé publique, de recherche, d’efficience du système de soins et de maîtrise des dépenses, elle s’interdit paradoxalement de l’exploiter pleinement.

En effet, le cadre juridique est particulièrement complexe et l’approche des différentes parties prenantes restrictive à l’extrême. Les difficultés de gouvernance du SNIIRAM n’ont pas permis de traiter convenablement ces enjeux d’accès aux données du SNIIRAM. La définition des droits d’accès, accordés au cas par cas aux termes de procédures aux délais excessifs, mobilisent de nombreux acteurs, mal coordonnés, tels l’IDS, le COPIIR, la CNAMTS et la CNIL. Cette situation dans un contexte de montée des demandes au cours des dernières années a conduit à une paralysie des accès permanents depuis près de trois années et à une asphyxie des instances chargées des demandes d’accès ponctuels. De surcroît, les protocoles de recherche peuvent faire l’objet de modifications des variables utilisées à la demande de la CNIL afin de limiter, selon elle, la réidentification des personnes mais qui, de fait, au nom du principe de précaution, peuvent entraver ou démotiver la recherche. S’il appartient sans conteste à la CNIL de veiller au respect de l’anonymat des personnes concernées et la sécurité des données, ses procédures d’instructions techniques et juridiques sont marquées par de multiples exigences a priori qui contrastent fortement avec l’absence de tout contrôle a posteriori.

Dans ces circonstances, il n’est pas étonnant que le degré d’utilisation du SNIIRAM soit très variable suivant le type d’acteurs sans compter le fait que, même en cas d’accès permanent, les procédures d’interrogation sont complexes et nécessitent le soutien ou l’entremise de la CNAMTS.

Malgré une utilisation devenue régulière, la CNAMTS n’exploite pas encore le SNIIRAM au maximum de ses potentialités, en particulier en matière de gestion du risque et de lutte contre les abus et la fraude des professionnels de santé. Or, il s’agit d’un outil puissant à mettre au service d’une stratégie d’ensemble d’amélioration de l’efficience des prises en charge et de maîtrise des dépenses.

Par son manque d’investissement et d’expertise, renforcé par des droits d’accès parfois trop restreints, l’État s’est, quant à lui, privé au niveau national comme déconcentré, d’un instrument précieux pour le pilotage du système de santé et la recherche d’efficience des dépenses d’assurance maladie.

Si l’utilisation du SNIIRAM à des fins de veille sanitaire est en pleine expansion grâce au chaînage avec le PMSI, les agences et autorités sanitaires sont inégalement impliquées, et la contribution du SNIIRAM aux analyses portant sur l’amélioration de la qualité des soins est insuffisante. Des efforts rapides doivent être consentis pour améliorer encore le contenu du SNIIRAM, notamment par sa médicalisation.

Des transformations importantes introduites par la loi de modernisation de notre système de santé, dont la portée reste conditionnée par les textes d’application et l’évolution des principaux acteurs

La loi de modernisation de notre système de santé, en son article 193, crée le système national des données de santé (SNDS), au périmètre élargi par rapport au SNIIRAM. Ce dernier constitue toutefois et pour longtemps le cœur du système de données de santé. Les priorités restent donc les enjeux d’amélioration et de sécurisation de l’existant, de gouvernance et d’ouverture fluide des accès pour encourager leur utilisation à des fins d’intérêt général.

La nouvelle gouvernance prévue par la loi devra résoudre l’éclatement du pilotage du SNIIRAM et l’actuelle dilution des responsabilités en distinguant clairement entre gestion technique du SNDS, gestion des droits d’accès et définition des orientations stratégiques. Il importe donc que les textes d’application soient suffisamment ambitieux et précis, notamment dans la définition des procédures d’instruction des demandes d’accès à la base, ce qui suppose une implication forte et convergente du ministère de la santé, de l’assurance maladie et de la CNIL. La rénovation du cadre juridique d’accès ne suffira pas à résoudre l’ensemble des difficultés rencontrées. Face à l’augmentation prévisible, et souhaitable, des demandes d’accès, la CNIL devra faire évoluer sa doctrine et ses méthodes de travail afin d’accompagner une ouverture sécurisée des données et non plus de la freiner.

Dans ce contexte l’accent doit être mis moins sur le contrôle a priori qui doit être radicalement allégé que sur une politique de contrôle a posteriori aujourd’hui inexistante, reposant tout d’abord sur la responsabilisation des utilisateurs. La CNIL, autorité indépendante de régulation, doit faire du SNDS un de ses axes prioritaires de contrôle dans le champ de la santé et ne pas hésiter, si nécessaire, à sanctionner les mésusages.

Le système national des données de santé, par son périmètre plus large que les seules données du SNIIRAM, nécessite des efforts particuliers. Il importe de faire preuve de pragmatisme et de réalisme comme les promoteurs du SNIIRAM, la CNAMTS au premier chef, ont su le faire, en construisant, en marchant, ce système reconnu, et de ne pas succomber à la tentation d’une construction ex nihilo alors que les appariements entre bases de données sont désormais facilités. En tout état de cause, le SNIIRAM constituera, pour quelques temps encore, l’essentiel du SNDS. Il convient alors de continuer sans relâche à enrichir et sécuriser son contenu, et à améliorer sa structuration pour faciliter son appropriation par le plus grand nombre.

À cet égard, la question de la valorisation de l’exploitation du SNIIRAM et demain du SNDS se pose au regard de la soutenabilité financière de ces projets. Même si les gestionnaires et les administrations de tutelle n’ont pas été en mesure de produire des documents prévisionnels sur les coûts potentiels du SNDS pour l’étude d’impact de la loi ou pour répondre aux demandes de la Cour, les principaux postes de dépenses liés tant au SNIIRAM et aux autres bases de données qui vont s’intégrer dans le SNDS qu’au développement, à la sécurité et à la gestion de ce dernier, devront être identifiés et être suivis rigoureusement. Il importe en ce sens de mettre en place un modèle économique qui permette de dégager les ressources nécessaires pour contribuer à la prise en charge des investissements humains et financiers prioritaires et coûteux qui doivent être réalisés pour la sécurisation du SNIIRAM, son enrichissement et les développements nécessaires à la création du SNDS.

Recommandations

poursuivre, en les hiérarchisant, les efforts d’amélioration de la complétude et de la qualité des données, en particulier des informations issues du PMSI ;

mettre en place rapidement un suivi analytique des coûts d’alimentation, de sécurisation, de gestion et d’utilisation du SNIIRAM ;

reconnaître à la CNAMTS le statut d’opérateur d’importance vitale et la soumettre aux règles et contrôles périodiques externes de sécurité y afférant ;

anticiper en vue de la prochaine COG la programmation financière et le calendrier des travaux additionnels de mise en conformité du SNIIRAM et de son environnement informatique avec les exigences de renforcement de sa sécurité rendues indispensables par l’obsolescence progressive de certains dispositifs ;

exploiter, au sein des régimes d’assurance maladie obligatoire, les potentialités du SNIIRAM à des fins de gestion du risque, notamment pour sanctionner plus systématiquement les comportements abusifs, fautifs et frauduleux ;

développer l’exploitation du SNIIRAM par les pouvoirs publics en définissant les besoins de chaque direction d’administration centrale et en mutualisant les compétences au sein de la DREES, selon des priorités concertées ;

intensifier l’utilisation des bases médico-administratives par l’introduction systématique d’objectifs ambitieux et d’indicateurs de performance dans les conventions passées entre le ministère et les opérateurs ;

enrichir le SNIIRAM en améliorant la qualité des informations médicales contenues, notamment par le codage médical des soins de ville et en facilitant son rapprochement avec les données socio-économiques ou d’habitude de vie ;

hiérarchiser, dans le prolongement de la loi de modernisation de notre système de santé, les finalités poursuivies par le SNDS, afin de définir les investissements à consentir et les accès permanents et ponctuels à autoriser ;

simplifier les procédures relevant de la CNIL pour l’accès ponctuel aux données du SNDS par l’élaboration, dans les meilleurs délais, de méthodologies de référence et d’autorisations cadres selon des priorités concertées avec l’État et l’INDS ;

articuler précisément et explicitement le rôle des différents acteurs dans la gestion du pilotage et des accès au SNDS ;

mettre en œuvre une politique systématique et rigoureuse de contrôle a posteriori des règles relatives à l’utilisation du SNIIRAM et du SNDS, s’appuyant sur des sanctions renforcées et faisant notamment l’objet d’un rapport annuel au Parlement de la CNIL ;

assurer la soutenabilité financière du SNDS, en articulant gratuité d’une offre de base et tarification adaptée des services spécifiques apportés de manière à contribuer au financement des dépenses de développement, de sécurisation, de mise à disposition des données et d’accompagnement.

Introduction

Les données comprenant des informations individuelles sur l’état de santé des personnes, leurs maladies, leurs comportements de santé, leurs consommations de soins, le cas échéant leurs facteurs de risques médicaux, leurs conditions de travail et de vie, constituent des outils de connaissance et d’analyse à l’importance de plus en plus majeure pour les politiques de santé publique, la qualité et la sécurité des soins et la bonne organisation et l’efficience du système de santé.

Elles sont en France réparties dans un grand nombre de bases de données, parmi lesquelles la plus importante se trouve être gérée par l’assurance maladie.

Créé par la loi de financement de la sécurité sociale pour 1999, le Système national d’information interrégimes de l’assurance maladie (SNIIRAM) est en effet une base de données qui centralise l’ensemble des données de liquidation des prestations de tous les bénéficiaires des régimes d’assurance maladie obligatoire de base dans des conditions préservant l’anonymat des personnes. Placé sous la maîtrise d’ouvrage de la CNAMTS, il a été créé dans une triple finalité2 :

la connaissance des dépenses de l'ensemble des régimes d'assurance maladie ;

la transmission en retour aux prestataires de soins d'informations pertinentes relatives à leur activité et leurs recettes, et s'il y a lieu à leurs prescriptions ;

la définition, la mise en œuvre et l'évaluation de politiques de santé publique.

Cet « entrepôt de données » a été mis en service en 2004 à partir d’un retraitement des « feuilles de soins » transmises par les différents régimes pour les soins de ville et en cliniques et connaît depuis un enrichissement constant de son contenu, en particulier du fait de son chaînage depuis 2010 avec les informations médico-administratives sur les séjours hospitaliers issues du PMSI. Il est devenu une des plus importantes bases de données médico-administratives au monde, tant par l’étendue de la population couverte que par l’ampleur et la finesse des informations retracées se traduisant par la diversité de ses utilisations potentielles, en matière d’évaluation de la pertinence des soins, de veille sanitaire, de pilotage des politiques de santé ou encore de maîtrise des dépenses de l’assurance maladie.

Au-delà de la richesse tout à fait considérable de ses usages possibles, cet entrepôt de données est au cœur d’enjeux essentiels en termes de sécurité informatique, de transparence et de droit d’accès, d’autant plus majeurs qu’il s’agit de données à caractère médico-administratif particulièrement sensible.

Conformément à la demande formulée par la commission des affaires sociales et la mission d’évaluation et de contrôle de la sécurité sociale de l’Assemblée nationale, l’enquête conduite par la Cour a cherché à apprécier la solidité du dispositif mis en œuvre au regard de la confidentialité, de la sécurité et de la fiabilité des données que le SNIIRAM conserve. Elle a visé également à évaluer l’utilisation qui en est actuellement faite par les caisses nationales d’assurance maladie, les services de l’État et d’autres utilisateurs, dans son cadre d’accès juridiquement contraignant. Elle a enfin entendu éclairer les perspectives d’évolution de ces usages, dans le contexte de l’intégration du SNIIRAM au sein du nouveau système national des données de santé (SNDS) créé par la loi de modernisation de notre système de santé du 26 janvier 2016.

Le système national des données de santé

L’article 193 de la loi de modernisation de notre système de santé introduit dans le code de la santé publique un article 1.1461-1 qui précise que le Système national des données de santé rassemble et met à disposition cinq types de données :

les données issues des systèmes d'information hospitaliers (données du programme de médicalisation des systèmes d’information -PMSI- gérées par l’agence technique de l’information sur l’hospitalisation) ;

les données du système national d'information interrégimes de l'assurance maladie (SNIIRAM) ;

les données sur les causes de décès (base CepiDc gérée par l’institut national de la santé et de la recherche médicale - INSERM) ;

les données médico-sociales du système d'information mentionné à l'article L. 247-2 du code de l'action sociale et des familles ;

un échantillon représentatif des données de remboursement par bénéficiaire transmises par des organismes d'assurance maladie complémentaire et défini en concertation avec leurs représentants.

Le SNIIRAM est ainsi inclus dans un ensemble plus vaste. Mais il constitue la principale composante du nouveau SNDS dont la mise en place complète ne sera pas immédiate, la base de données médico-sociales et l’échantillon de données en provenance des organismes d’assurance maladie complémentaire n’étant pas encore disponibles.

Outre l’élargissement du périmètre, les finalités du SNDS sont également définies de manière plus étendue que celles du SNIIRAM. Six finalités sont ainsi désormais assignées au SNDS : l'information sur la santé ainsi que sur l'offre de soins, la prise en charge médico-sociale et leur qualité ; la définition, à la mise en œuvre et à l'évaluation des politiques de santé et de protection sociale ; la connaissance des dépenses de santé, des dépenses d'assurance maladie et des dépenses médico-sociales ; l'information des professionnels, des structures et des établissements de santé ou médico-sociaux sur leur activité ; la surveillance, à la veille et à la sécurité sanitaires ; la recherche, aux études, à l'évaluation et à l'innovation dans les domaines de la santé et de la prise en charge médico-sociale.

Dans cette perspective, la présente communication est articulée en trois parties :

une première partie présente le système d’information, son origine, son contenu, ses développements et son pilotage : le SNIIRAM est une base particulièrement riche et progressivement structurée pour répondre plus finement aux besoins des utilisateurs, qui reste cependant encore pour partie limitée et incomplète. Construction empirique, le SNIIRAM a souffert d’un pilotage confus qui a conduit à la paralysie de sa gouvernance depuis 2013. Système informatique de très grande capacité, sa sécurité doit être constamment renforcée, même si aucune fuite publique de données n’a été constatée ;

la deuxième partie analyse la gestion prudente et complexe des accès aux données du SNIIRAM qui a freiné la diversification de ses utilisations, au-delà de l’assurance maladie : malgré une utilisation régulière, la CNAMTS n’exploite pas suffisamment le SNIIRAM à des fins de maîtrise des dépenses, notamment dans sa politique de lutte contre les abus et la fraude. L’État, quant à lui, se prive d’un outil précieux pour le pilotage du système de santé. Enfin, si l’utilisation du SNIIRAM à des fins de santé publique est en pleine expansion, les agences et autorités sanitaires sont inégalement impliquées, et la contribution du SNIIRAM aux études en vue de l’amélioration de la qualité des soins est insuffisante ;

la troisième partie dresse des perspectives et formule des recommandations pour permettre une ouverture réussie des accès aux données de santé dans le cadre du nouveau système national des données de santé (SNDS) : le nouveau système pourrait permettre de lever une part importante des constats critiques formulés à l’égard du SNIIRAM, à condition qu’une très grande vigilance soit apportée aux textes d’application. Des marges d’amélioration existent encore par ailleurs. L’ouverture des accès pour une pleine utilisation des données du SNDS ne sera possible qu’avec l’engagement simultané, chacun dans son rôle mais dans une cohérence de démarche renforcée, de l’ensemble des acteurs, notamment la CNAMTS, l’État et la CNIL, pour ouvrir plus largement les accès permanents et rendre plus fluides et plus aisés les accès ponctuels. Cette approche nouvelle suppose également de mettre en place sans tarder une politique de contrôle a posteriori de l’utilisation des accès et de sanction des éventuels abus, qui fait aujourd’hui complètement défaut. Elle impose enfin, compte tenu de l’importance des coûts futurs de développement et de sécurisation du nouveau système, de définir un modèle économique de la mise à disposition des données pour assurer la soutenabilité financière du dispositif.

Une base de données d’une richesse exceptionnelle, une sécurité à renforcer

Un système créé empiriquement, au pilotage défaillant

Une construction pragmatique et progressive en 10 ans

Les lacunes des systèmes préexistants

Avant la création du SNIIRAM, deux systèmes d’information relatifs aux dépenses de santé coexistaient au sein d’un système national inter-régimes (SNIR) :

le SNIR « professionnels de santé » était l’outil statistique utilisé pour mesurer l’activité et les prescriptions des praticiens libéraux. Il rassemblait l’ensemble des informations collectées par les différents régimes d’assurance maladie volontaires permettant ainsi de connaître le volume et le montant des prestations ;

le SNIR « établissements » couvrait le champ des établissements publics et privés, sanitaires et médico-sociaux. Il avait pour vocation de regrouper l’ensemble des flux financiers liés aux dépenses hospitalières prises en charge par l’assurance maladie.

Ces deux outils de comptabilisation des dépenses d'assurance maladie étaient alimentés par les différents régimes d’assurance maladie et techniquement gérés par la Caisse nationale de l'assurance maladie des travailleurs salariés (CNAMTS). Mais leur alimentation reposait sur de simples accords conventionnels entre régimes, car aucune base légale ne leur imposait de transmettre leurs données.

Dans ses rapports sur l'application de la loi de financement de la sécurité sociale pour 1997 et 19983, la Cour des comptes avait mis en lumière leurs limites : absence complète de données en provenance de certains régimes ou de mutuelles gérant le régime de base, ou incomplétude des données transmises. La CNAMTS ne pouvait pas contrôler la qualité des données fournies. Au sein du SNIR « professionnels », l’identification des praticiens n’était pas toujours assurée. Au sein du SNIR « établissements », certains hôpitaux non soumis à dotation globale manquaient et des flux de patients étaient mal renseignés.

La création du SNIIRAM en 1998 pour y remédier

Pour répondre aux besoins croissants de maîtrise des dépenses, l’État s’est engagé, dans la convention d’objectif et de gestion signée avec la CNAMTS sur la période 1997-1999, à fournir une base légale aux SNIR.

Cela s’est traduit en 1998 par la création du système national d'information inter-régimes de l'assurance maladie (SNIIRAM) par la loi de financement de la sécurité sociale pour 19994. Le système fusionnait les deux SNIR existants et rendait obligatoire la transmission des informations en provenance de l’ensemble des régimes obligatoires d’assurance maladie. Il devait contribuer à la connaissance des dépenses d'assurance maladie et assurer la transmission aux prestataires de soins d'informations pertinentes relatives à leur activité, leur revenu et leurs prescriptions.

La loi de financement de la sécurité sociale a ainsi disposé que le SNIIRAM serait alimenté par les données de liquidation en provenance des différents organismes en charge de la gestion des régimes de base de l’assurance maladie (issues des « feuilles de soins », concernant donc les soins de ville et les dépenses en cliniques privées essentiellement)5. Cette solution pragmatique évitait d’avoir à construire coûteusement et avec de longs délais un système d’information ex nihilo. Tirées des feuilles de soins transmises électroniquement dans le cadre du dispositif Sésame-Vitale, pour leur très grande majorité, les données intégrées dans le SNIIRAM permettaient une mise en place à moindres frais.

La loi fixait cependant seulement un cadre général et renvoyait la définition des modalités techniques de gestion de la base à un simple protocole négocié entre les régimes puis approuvé par un arrêté du ministre en charge de la sécurité sociale.

Un long chemin pour élaborer le cadre réglementaire puis enrichir le contenu

Le premier protocole a été signé presque trois ans plus tard, le 15 octobre 20016. Conclu entre les trois régimes d’assurance maladie obligatoire (régime général, régime des artisans et commerçants, mutualité sociale agricole), il fixe les modalités d’alimentation et de contrôle qualité de la base, les régimes d’accès aux données et le dispositif de pilotage du système. Un arrêté du 11 avril 2002 relatif à la mise en œuvre du SNIIRAM7 l’a approuvé, constituant ainsi le fondement réglementaire du dispositif.

À compter de cette date, le SNIIRAM a progressivement été constitué. Les modalités techniques de transmission des flux en provenance des différents régimes et des sections locales mutualistes (SLM) ont été définies ; la CNAMTS a procédé à la migration des deux SNIR dans le nouvel environnement au cours de l’année 2004. Mais, à l’exception des SLM dont les flux transitaient déjà par la CNAMTS et de quelques régimes spéciaux, les données issues des autres régimes n’ont commencé à alimenter de manière opérationnelle le SNIIRAM qu’en 2009, selon des rythmes différents.

Dans le même temps, la base n’a cessé d’évoluer, de manière pragmatique, au gré d’opportunités et d’initiatives qui se sont succédé non sans pertinence même si elles n’ont pas nécessairement été pensées dans un cadre global. Les données contenues dans la base ont été enrichies avec, par exemple, des améliorations du codage des actes (CCAM8) entre 2005 et 2007, l’introduction des dates de décès en 2009 ou encore le recensement de l’activité externe des hôpitaux publics en 2009 également. Parallèlement la base a été progressivement structurée grâce à la création de magasins de données agrégées et à la construction d’un échantillon généraliste des bénéficiaires en 2005.

De plus, les données du SNIIRAM ont été rapprochées de celles issues de la tarification à l’activité dans les hôpitaux (données issues du Programme de médicalisation des systèmes d'information PMSI, gérées par l’Agence technique de l’information sur l’hospitalisation - ATIH -), ce qui a constitué un progrès majeur permettant à partir de 2010 le suivi des consommations individuelles de soins pour un même patient à la fois en ville et à l’hôpital. Il aura donc fallu à peine dix ans pour que le SNIIRAM trouve son format actuel.

Principales évolutions du SNIIRAM

23 décembre 1998 loi portant création du SNIIRAM

15 octobre 2001 signature du 1er protocole interrégimes

11 avril 2002 publication du premier arrêté relatif au SNIRAM

2003 constitution de l’entrepôt de données

2004 migration des SNIR et premières utilisations par la CNAMTS

2005 création de l’Échantillon généraliste des bénéficiaires (EGB)

2005 codage des actes selon la nomenclature CCAM

2007 premiers chaînages ville-hôpital

2009 intégration des dates de décès, de l’activité externe à l’hôpital

Septembre 2009 alimentation effective par la CCMSA et le RSI

2010 chaînage effectif avec le PMSI

2011 intégration du PMSI dans l’EGB

Février 2012 renseignement du NIR Bénéficiaire

2013 création de l’EGB simplifié

26 janvier 2016 loi de modernisation de notre système de santé, intégrant le

SNIIRAM comme composante du SNDS

Un pilotage stratégique confus

Le pilotage stratégique devait incomber au comité d’orientation et de pilotage de l’information interrégimes (COPIIR), instance créée en 2001 en même temps que le SNIIRAM alors que sa gestion technique était confiée à la CNAMTS. Dans les faits, plusieurs instances se sont partagé la gouvernance de la base et de ses accès sans que leur rôle soit bien articulé (voir graphique infra). Absent des grandes orientations, l’État a une part de responsabilité indéniable dans cette situation.

la gouvernance du SNIIRAM

Source : Cour des comptes.

Le comité d’orientation et de pilotage de l’information interrégimes, un organe exécutif paralysé depuis 2013

Le comité d’orientation et de pilotage de l’information interrégimes (COPIIR) a été institué par le protocole interrégimes du 15 octobre 2001 pour assurer le pilotage global du système. L’existence, les missions et les modalités de fonctionnement de cette instance font l’objet d’un paragraphe et d’une annexe du protocole, mais ne sont pas mentionnées dans le code de la sécurité sociale. Ce positionnement juridique assez fragile contraste avec la position centrale de cette instance dans la gouvernance du SNIIRAM et de ses accès.

Une composition progressivement élargie, des droits de vote restreints

L’avenant n° 1 du 16 mai 2005 au premier protocole a substantiellement modifié la composition initiale du COPIIR, limitée aux trois régimes obligatoires, aux régimes spéciaux avec une désignation tournante et aux unions régionales des caisses d’assurance maladie, pour l’élargir notamment à l’État et aux professionnels de santé. Le COPIIR compte aujourd’hui 23 membres9, désignés pour une période de trois ans renouvelable. Sa composition reflète la diversité des producteurs de données alimentant le SNIIRAM et des parties prenantes utilisatrices (organismes de recherche en 2005, IDS et CNSA en 2008).

Néanmoins la plupart de ces membres n’ont pas de droit de vote, puisque seuls les organismes d’assurance maladie obligatoire (CNAMTS, RSI, CCMSA, 2 voix chacun) auxquels s’ajoutent les régimes spéciaux (2 voix), l’État (8 voix) et l’union nationale des professionnels de santé (8 voix) ont voix délibérative. Les décisions se prennent à la majorité qualifiée des deux tiers des voix délibératives, à l’exception des décisions de gestion directe du SNIIRAM, pour lesquelles la majorité des deux tiers s’apprécie par rapport aux seules voix des régimes obligatoires et de l’État. Une minorité qualifiée, réputée acquise dès lors qu’elle comprend deux des trois régimes obligatoires, l’État ou l’UNPS, peut demander la suspension d’une décision pendant deux mois renouvelables si elle porte atteinte à ses intérêts.

Il n’y a pas de présidence explicitement nommée pour le COPIIR. Les textes prévoient la nomination d’une direction de projet chargée d’assurer l’animation, le bon fonctionnement et le secrétariat du COPIIR.

Depuis 2008, le COPIIR a cinq missions principales : définir les orientations et les priorités afférentes ; fédérer et coordonner les besoins exprimés ; assurer les arbitrages nécessaires au bon déroulement des opérations dans le respect des priorités ; évaluer la qualité du service rendu auprès des utilisateurs et déterminer les règles de tarification et de facturation. Cette liste, pourtant large, qui en fait l’instance de pilotage du système d’information est néanmoins le fruit d’une première restriction puisqu’initialement le COPIIR avait une compétence en matière de droits d’accès aux données (voir infra). Mais l’analyse des relevés de décisions montre que le COPIIR a délaissé ses missions, en particulier le pilotage du SNIIRAM et de ses évolutions, au bénéfice de la CNAMTS. Ainsi, depuis 2010, seul un quart des points inscrits à l’ordre du jour a porté sur les données. Cette évolution marque une dérive très forte de la gouvernance de la base : de gestionnaire technique, la CNAMTS est devenu le seul vrai pilote du système.

L’Institut des données de santé, un GIP utile aux missions cependant mal définies

Créé par la loi du 13 août 2004 relative à l’assurance maladie10, le groupement d’intérêt public « Institut des données de santé » (IDS) n’a été mis en place que trois ans plus tard, après publication de sa convention constitutive, approuvée par arrêté ministériel du 30 avril 2007.

Aux termes de l’article L. 161-36-5 du code de la sécurité sociale, l’IDS a pour « mission d’assurer la cohérence et de veiller à la qualité des systèmes d’information utilisés pour la gestion du risque maladie ». Précisées dans une liste non exhaustive par sa convention constitutive, ses missions recoupent partiellement celles du COPIIR : recueillir, fédérer et coordonner les besoins, favoriser et coordonner la mise en commun de données et coordonner la définition des modalités permettant d’assurer l’échange et le chaînage des informations, en garantissant leur cohérence et leur qualité.

Une composition qui reflète la diversité des producteurs et des utilisateurs des données de santé

Le GIP est aujourd’hui constitué entre l’État, les régimes d’assurance maladie obligatoires et complémentaires, les professionnels de santé (UNPS), la CNSA, les fédérations hospitalières publiques et privées, la fédération des centres de lutte contre le cancer11 ainsi que des représentants des patients. L’IDS compte aussi huit membres associés avec voix consultative, œuvrant dans le champ de la protection sociale12, qui peuvent accéder à l’offre de service de l’IDS. Il regroupe ainsi des producteurs de données, à l’exclusion notable de l’ATIH qui n’est pas membre de l’IDS, et des utilisateurs potentiels des bases de données médico-administratives du secteur sanitaire et médico-social.

Le champ de compétence de l’IDS inclut par conséquent le SNIIRAM et l’ensemble des systèmes d’information de ses membres (notamment les assurances complémentaires et marginalement le secteur médico-social). Mais, compte tenu de la faiblesse des autres bases et de la maturité du SNIIRAM, l’IDS a travaillé presque exclusivement sur ce dernier ce qui a brouillé les frontières avec le COPIIR et contribué à fragiliser le positionnement des deux instances. Ainsi, les actions de l’IDS en faveur de l’amélioration de la qualité et de la cohérence des bases de données13 ont donné lieu à 154 propositions d’évolution relatives aux règles de gestion, à la correction d’anomalies et l’architecture des bases. L’IDS a, par ailleurs, animé des clubs utilisateurs sur les magasins de données agrégées du SNIIRAM et sur l’EGB14, ainsi que sur le PMSI15 en tant que composante du SNIIRAM. Leur activité est telle que la CNAMTS a suspendu ses propres clubs d’utilisateurs externes pour participer, plus ou moins régulièrement, à ceux de l’IDS.

Une tutelle absente des grandes décisions stratégiques

La tutelle administrative du SNIIRAM est assurée par le bureau en charge des systèmes d’informations de la direction de la sécurité sociale. Ce faisant, l’État a restreint son pilotage au seul champ technique sans organiser, au sein des ministères sociaux, un dialogue entre directions compétentes sur les données de santé.

Il en est résulté un manque patent d’investissement stratégique des pouvoirs publics. Malgré la participation régulière du ministère aux différentes instances de gouvernance, les évolutions du contenu de la base ont été très peu impulsées par l’État. Ceci illustre tout autant un manque d’intérêt pour la base que l’étroitesse de ses marges de manœuvre comparées à celles du gestionnaire de celle-ci.

Son absence de réaction face aux problèmes de gouvernance est à cet égard caractéristique. Le COPIIR s’est réuni à un rythme inférieur à celui exigé par les textes puis a définitivement cessé de se tenir depuis le 18 avril 2013. La direction de la sécurité sociale a considéré, avec la CNAMTS, qu’il n’y avait pas lieu de le convoquer tant que les réflexions sur l’ouverture des données de santé n’avaient pas abouti. Elle porte ainsi une responsabilité importante dans la paralysie de cette instance.

Une gestion opérationnelle confiée à la CNAMTS

Un exercice de la maîtrise d’ouvrage bien assuré

Le développement progressif du SNIIRAM, son enrichissement, sa structuration sont à mettre, pour l’essentiel, au crédit de la CNAMTS qui en assure, en vertu de l’arrêté du 11 avril 2002, la gestion technique.

L’organisation de la gestion du SNIIRAM au sein de la CNAMTS

Deux directions s’en partagent la responsabilité.

La maîtrise d’œuvre informatique du SNIIRAM relève de la direction déléguée des systèmes d’information (DDSI), qui assure la production et mise à jour des bases, la maintenance en condition opérationnelle et le développement des projets informatiques d’évolution du SNIIRAM.

La direction de la stratégie, des études et des statistiques (DSES) est quant à elle chargée de la couverture fonctionnelle du SNIIRAM. Elle exerce une maîtrise d’ouvrage classique pour garantir l’évolution du système en fonction du cadre légal, des usages et des difficultés rencontrées. Elle anime à ce titre deux comités de gestion technique16 du SNIIRAM prévus par le protocole. Elle est également en charge du suivi des normes de sécurité et de confidentialité, de la structuration et de la qualité des données ou encore de l’assistance aux utilisateurs. Par ailleurs, le département MOISE exerce la direction de projet du SNIIRAM (animation et secrétariat du COPIIR).

La responsabilité de la CNAMTS de développer et faire évoluer le SNIIRAM au service de l’information décisionnelle se retrouve dans les conventions d’objectifs et de gestion (COG) successivement signées avec l’État pour les périodes 2006-2009, 2010-2013 et 2014-2017. Ainsi, des objectifs relatifs au SNIIRAM sont fixés dans la fiche 14 de la COG 2014-201717, partiellement atteints à mi-parcours. Un des neuf programmes stratégiques du schéma directeur des systèmes d’information est consacré au système « Décisionnel/SNDS », dont le SNIIRAM est l’élément-clé. Il vise à le rénover, à renforcer les outils de pilotage et de suivi des performances du régime, et ouvre la voie au futur système national des données de santé.

Des coûts insuffisamment évalués

Néanmoins, cette mission de gestion technique du SNIIRAM ne s’est pas accompagnée d’un suivi budgétaire approprié par la CNAMTS. Initialement confiée au COPIIR en 2001, la mission de suivi des coûts du SNIIRAM lui a été retirée en 2008, au motif qu’elle incombait à la CNAMTS dans le cadre du pilotage budgétaire et du suivi des dépenses de la caisse. La CNAMTS n’a pas pris la mesure de cette nouvelle responsabilité, privant l’ensemble des acteurs du système d’un précieux outil de suivi. Elle a considéré de fait que s’agissant pour l’essentiel d’un système d’information dérivé de ses outils de liquidation, les dépenses supplémentaires spécifiquement liées au SNIIRAM étaient relativement marginales par rapport au total de ses charges de gestion informatique et ne justifiaient pas en dépit de l’obligation qui pesait sur elle d’en rendre compte d’un suivi ad hoc.

Malgré la présence d’une fiche dédiée dans la COG et l’importance du projet, aucun récapitulatif du coût du SNIIRAM depuis sa création n’a été dressé par la caisse. Sollicitée à ce sujet, la CNAMTS n’a pu produire que le tableau ci-après, extrêmement succinct, des dépenses directes d’investissement et de fonctionnement18, à compter seulement de l’année 2010, en indiquant qu’elle est dans l’incapacité de remonter plus haut comme d’estimer les dépenses en ressources humaines internes.

dépenses de la CNAMTS au titre du SNIIRAM (2010-2014)

 Dépenses 2010 2011 2012 20132014
Total4 274 182 4 206 922 9 912 161 7 281 557 4 147 735
Investissement matériel783 117 700 778 3 669 751 1 524 445 141 058
Investissement logiciel419 604 176 673 2 395 834 1 645 411 89 462
Investissement assistance technique479 519 148 196 484 310 707 139 1 054 239
Fonctionnement maintenance. /redevance1 405 630 1 406 794 1 547 038 1 600 628 1 439 330
Fonctionnement assistance technique1 186 312 1 765 846 1 807 796 1 802 375 1 409 837
Fonctionnement achat 8 635 7 432 1 560 13 807

Source : CNAMTS

Même pour ces années récentes, l’absence d’évaluation des temps de travail consacrés au SNIIRAM ne permet pas de retracer la réalité de son coût, en tout état de cause sensiblement supérieur de ce fait aux données partielles et d’une profondeur chronologique restreinte fournies par la caisse nationale, mais dans une proportion que l’absence de comptabilité analytique ne permet pas de documenter précisément.

Une base de données médico-administratives particulièrement riche malgré plusieurs limites

Des données d’une ampleur et d’une finesse sans guère d’équivalent

Les variables renseignées dans le SNIIRAM sont précisées dans l’annexe n° 1 du protocole (cf., pour une présentation résumée, l’annexe n° 5). On y trouve 204 variables regroupées par nature d’informations. Pour chaque soin consommé, figurent des informations relatives aux organismes de prise en charge, au décompte des remboursements, aux bénéficiaires, aux prestations, aux professionnels de santé ou encore aux établissements dispensateurs de soins.

Chaque acte médical (près de 500 millions par an), chaque feuille de soins (plus de 1,2 milliard par an), chaque séjour hospitalier (plus de onze millions pour le seul champ MCO) sont ainsi documentés par une ou plusieurs lignes renseignant les consommations remboursées à des assurés sociaux de métropole et des départements d’outre-mer19. Ces données sont déversées dans le SNIIRAM pour l’ensemble de la population consommante, en dehors de certaines limites présentées infra. Grâce à ce niveau de précision, le SNIIRAM peut donc être utilisé aussi bien pour suivre des populations, des pathologies ou des professionnels de santé avec un niveau de détail inégalé.

En raison d’une part de son taux de couverture de la population (98 %, assurés et ayants droits) et d’autre part de la possibilité qu’il offre de retracer finement la consommation de soins d’une personne en ville comme à l’hôpital, le SNIIRAM peut être considéré comme une base exceptionnelle tant par sa dimension que par sa richesse et sa qualité d’informations. La centralisation de la gestion du système d’assurance maladie et du système de soins en France a de fait permis cette convergence des données médico-administratives sur un périmètre très étendu et un champ très large, les données ont pu être rapprochées de chaque personne du fait de l’utilisation du numéro d’identification au répertoire des personnes physiques comme identifiant unique quel que soit le mode de recours aux soins.

L’ampleur et la finesse des données que le SNIIRAM regroupe dans un cadre centralisé et homogène en font sa forte spécificité et son très grand intérêt au regard des bases étrangères qui sont présentées de façon détaillée à l’annexe n° 11, que synthétise l’encadré suivant.

À l’étranger, des bases de données davantage dispersées

En Allemagne, les données ambulatoires sont communiquées par les médecins à leur union conventionnelle locale. Les unions les transmettent à l’une des 120 caisses d’assurance maladie, entités autonomes de droit public mais de gestion privée, sous la tutelle du ministère fédéral de la santé. Les caisses financent les établissements sur la base d’un codage exhaustif de l’activité, un forfait journalier et des subventions des Länder. Il n’existe pas de système d’information unique pour le régime légal d’assurance maladie– lequel est un ensemble de normes et non un établissement. Le DIMDI, Institut fédéral des médicaments et des dispositifs médicaux, et l’Autorité centrale des Länder pour la protection de la santé gèrent ensemble le système d’information fédéral sur les médicaments, utilisé notamment pour homologuer des essais cliniques. Le DIMDI met à disposition une cinquantaine de séries statistiques, pour moitié gratuites et accessibles à tous, selon trois niveaux d’habilitation.

En Belgique, la Banque carrefour de la sécurité sociale (BCSS), fédérale, anime un réseau électronique commun aux institutions sanitaires et sociales. Des séries statistiques sont publiées par le Service public fédéral de sécurité sociale, principalement issues de l’Institut national d’assurance maladie-invalidité (INAMI) et d’ordre macro-économique. Une plateforme healthdata.be a été récemment mise en place, issues d’environ 150 bases de facturation, mais sans données cliniques.

Au Canada, la Régie de l’assurance maladie du Québec (RAMQ) et l’Institut national de santé publique de la province disposent de trois bases de données : banque de données (médicament, laboratoire, imagerie médicale, immunisation, allergie et intolérance, sommaire d’hospitalisation), système intégré de surveillance des maladies chroniques du Québec et MED-ÉCHO (maintenance et exploitation des données pour l’étude de la clientèle hospitalière), fichier des hospitalisations en partie comparable au PMSI français.

En Espagne, le système national de santé est un service public de couverture universelle, financée au travers d’impôts, à l’exception d’un ticket modérateur payé notamment par le patient aux prestataires pharmaceutiques. Il n’existe aucune base nationale de données comparable au SNIIRAM.

Aux États-Unis, les assurances privées prédominent, chaque groupe ayant son propre système informatique, riche en données cliniques autant que comptables, comme la fonction publique fédérale. La sécurité sociale (Medicare et, confié aux États, Medicaid) gère un système proche du SNIIRAM, pour moins d’un sixième de la population ; elle y ouvre et ferme les dossiers d’une personne au fil des variations de ressources, des changements d’employeur ou d’État de résidence, ce qui peut obérer la pertinence et la continuité des données. La législation fédérale s’applique de manière hétérogène, sans interopérabilité des données de paiement. Des opérateurs privés fusionnent en partie des bases de données d’assurances privées, certaines comportant plus d’un tiers de la population, à des fins d’optimisation des dépenses, notamment au travers d’informations pour les assurés.

En Angleterre, les données de santé se caractérisent surtout par leur grande hétérogénéité. Les données sur l’offre de soins et la performance des établissements sont nombreuses et accessibles. Celles relatives aux consommations de soins sont beaucoup plus limitées, car il n’en existe aucun cadre « national » d’enregistrement. Les efforts de construction d’indicateurs de qualité des praticiens et des établissements sont notables, tout comme la profondeur d’analyse. Cependant, chaque acte de soin n’étant pas facturé, ni nécessairement valorisé, indépendamment, les données ne permettent pas une évaluation fine du coût du système de soins.

En Italie, le Nuovo Sistema Informativo Sanitario a été mis en place à partir de 2009. Il est limité aux seules prestations obligatoires minimales, plus petit dénominateur commun à l’ensemble des régions et provinces autonomes. Les données sont vérifiées au niveau régional, puis adressées au ministère de la santé, qui opère d’autres contrôles de qualité. La région peut suivre les patients en remplaçant le code fiscal par un code anonymisé régional ; certaines régions fusionnent en un même dossier tous les éléments du parcours de soins d’un patient, mais un tel suivi en cas de changement de région de domicile est impossible, l’adoption d’un code anonymisé national étant encore à l’étude.

Des limites intrinsèques et techniques au contenu de la base

L’absence d’informations médicales ou médico-sociales

Malgré sa richesse, le SNIIRAM connaît cependant des limites dans les informations qu’il peut procurer, notamment parce que les données qu’il rassemble sont issues de sources administratives et non médicales.

La première limite tient à la nature même de l’outil qui ne contient que des informations nécessaires à la liquidation. Par construction, aucune donnée relative aux soins non remboursés ou à ceux pris en charge par une assurance maladie complémentaire n’y figure. On ne peut donc pas exploiter le SNIIRAM pour étudier les pratiques d’automédication ni pour évaluer les restes à charge réels des patients. On n’y trouve également que très peu d’informations permettant de caractériser le profil socio-économique des assurés, la seule donnée à cet égard étant l’éventuel bénéfice de la CMU-C.

La deuxième limite tient à la faible qualité des informations médicales. En soins de ville, les seules informations médicales disponibles concernent les affections de longue durée (ALD), codées à partir de la classification internationale des actes médicaux – CIM10, soit 16 % de la population assurée, ainsi que les pathologies relatives aux maladies professionnelles. À cet égard, le chaînage avec le PMSI a représenté un progrès précieux et une étape majeure pour la recherche en santé publique. La présence dans les résumés de sortie hospitalière d’informations relatives aux diagnostics motivant l’hospitalisation (diagnostic « principal » codé en CIM-10) permet, en effet, non seulement de disposer de données médicales sur les actes hospitaliers, mais également de contribuer à donner du sens médical aux données de soins de ville. Néanmoins, ce progrès ne permet pas de répondre à l’ensemble des besoins de recherche, et le niveau des informations médicales contenues dans la base en constitue sa principale faiblesse.

Enfin, d’autres limites sont intrinsèques au PMSI. Ainsi, il est impossible de retracer les consommations de médicaments ou de dispositifs médicaux à l’hôpital au sein des groupes homogènes de séjour (GHS)20, hors médicaments particulièrement onéreux de la liste des spécialités pharmaceutiques prises en charge « en sus » des prestations d'hospitalisation.

Des difficultés résiduelles dans la qualité des flux techniques d’information en dépit de progrès continus

En matière de flux d’alimentation, le SNIIRAM est progressivement devenu la base qu’il est aujourd’hui grâce à une dynamique complexe, croisant amélioration de la qualité des données en provenance du régime général et industrialisation de l’alimentation par les autres régimes. Des progrès majeurs ont été réalisés au cours de la décennie passée, donnant à la base cette ampleur exceptionnelle. Néanmoins, des décalages techniques encore importants continuent de nuire à sa qualité.

Des progrès majeurs dans les flux d’alimentation

Les données en provenance du régime général et des sections locales mutualistes sont transmises quotidiennement aux neuf centres de traitements informatiques (CTI) dont dispose la CNAMTS, après avoir été validées par le système d’ordonnancement des caisses primaires d’assurance maladie (CPAM). Les CTI procèdent alors à leurs propres contrôles en matière de qualité des flux puis à la « pseudonymisation » des données (voir infra). Ils transmettent ensuite ces données au Centre national de traitement informationnel d’Évreux, site national de gestion technique du SNIIRAM également entrepôt physique des données. Si certaines CPAM peuvent encore très exceptionnellement rencontrer des problèmes techniques conduisant à la transmission de flux à la qualité dégradée, dans l’ensemble, les données en provenance du régime général sont de très bonne qualité avec un taux de rejet de seulement 0,01 %.

Les flux en provenance des autres régimes présentent, pour leur part, des caractéristiques plus disparates, qui tiennent essentiellement aux choix informatiques initiaux des organismes et à l’insuffisance des investissements consentis pour mettre les systèmes au niveau des exigences techniques de la CNAMTS. L’intégration des données en provenance de la CCMSA et du RSI a été tardivement opérée, en 2009, sur la base de contrats de service, signés avec la CNAMTS en 2008 au terme de six ans de négociations. À l’inverse, plus de quinze ans après la création du SNIIRAM, les données des régimes spéciaux sont pour la plupart absentes21, essentiellement pour des raisons techniques : ces régimes transmettent leurs données à la CNAMTS mais selon une norme trop ancienne pour qu’elles puissent être intégrées au SNIIRAM. Compte tenu des régimes qui l’alimentent, le SNIIRAM couvre cependant désormais 98 % du total des dépenses remboursées par la branche maladie, ce qui représente un progrès indéniable mais encore perfectible en termes d’exhaustivité et de qualité des données transmises.

Des difficultés résiduelles

Ainsi, en matière d’alimentation du SNIIRAM le retard dans les mises aux normes techniques et l’absence de certaines données transmises à la CNAMTS limitent la qualité globale des flux en provenance des autres régimes. Si de telles lacunes semblent marginales au regard de la quantité de données correctement produites, elles peuvent poser de réelles difficultés aux utilisateurs du SNIIRAM. La CNAMTS elle-même continue de produire une grande partie de ses analyses (dont le suivi de l’ONDAM) à partir des seules informations « régime général ».

Des normes d’échange différentes selon les caisses qui nuisent à la qualité des flux

Alors que les données du régime général transitent via une norme dite NEC (norme d’échange commune), interne à la CNAMTS, les autres régimes utilisent une norme technique d’échange inter-régimes (NTEIR). Cette différence date de la création du SNIIRAM, et explique beaucoup de retards pris dans l’amélioration de l’alimentation, notamment par le RSI et la CCMSA. Les évolutions de normes décidées en interne à la CNAMTS sur sa propre norme (NEC) s’imposent ensuite aux régimes alimentant le SNIIRAM par la norme NTEIR. Les autres régimes doivent alors adapter leurs propres normes, ce qui peut entraîner des retards voire des blocages conséquents. Cela se ressent sur la nature des données renseignées, mais également sur la qualité des flux en provenance des autres régimes.

En fonction de la version, plus ou moins récente, de la norme NTEIR utilisée par chaque régime, des données sont encore absentes ou mal renseignées. C’est par exemple le cas, concernant le RSI, des affections de longue durée (ALD), parfois absentes, des dates de décès, ou des indemnités journalières antérieures à juillet 2015.

Pourtant, un comité interrégimes, animé par la CNAMTS, se réunit plusieurs fois par an afin de recenser les besoins d’évolution des normes. Ses comptes rendus permettent de mesurer le travail opéré afin de résoudre les difficultés rencontrées. Mais ils ne donnent pour autant pas à voir de stratégie réelle en matière d’harmonisation des normes et de qualité des données. Le dernier audit complet de « la qualité des données intégrées dans les bases informationnelles de l’assurance maladie » réclamé par la CNAMTS remonte à 2009.

Un chaînage avec le PMSI encore perfectible

Bien que n’étant pas techniquement des données du SNIIRAM, les données d’information hospitalière issues du PMSI constituent le troisième pilier des informations contenues dans la base (avec les données du régime général et celles des autres régimes). Elles pourraient, elles aussi, bénéficier d’efforts supplémentaires pour améliorer leur qualité et leur rapidité d’alimentation.

Le rapprochement entre les deux bases, appelé « chaînage », dont l’intérêt avait été identifié dès l’origine par les promoteurs du SNIIRAM, a été long à mettre en œuvre. Pendant cinq ans, l’Agence technique de l’information sur l’hospitalisation (ATIH) a travaillé avec la CNAMTS pour essayer de traduire les données de facturation hospitalière dans les normes internes de la CNAMTS. Mais la forte évolutivité des données du PMSI aurait rendu une fusion des deux bases périlleuse et instable, c’est pourquoi il a été décidé de lier (« chaîner ») les deux bases plutôt que d’aligner les données du PMSI sur le format des données SNIIRAM. Après plusieurs années de tests techniques, ce chaînage a été industrialisé en 2010. Mais le processus d’alimentation n’a été sécurisé qu’en 2015, quand, à l’envoi physique d’un simple cd-rom, contenant l’ensemble des données de la tarification hospitalière, a succédé le téléchargement sur un portail de l’ATIH, protégé notamment par plusieurs clés de chiffrement.

Ce chaînage souffre d’un problème de temporalité. Le rythme d’alimentation du SNIIRAM par les données du PMSI diffère, en effet, fortement de celui des données du régime général, ce qui nuit à son utilisation. Si l’envoi des données du PMSI est mensuel pour les champs « médecine-chirurgie-obstétrique » (MCO) et « hospitalisation à domicile »22, les données ne sont chaînées qu’une fois par an quand la base complète de l’année a été validée techniquement et comptablement par l’ATIH. En moyenne, les données du PMSI ont pu alimenter le SNIIRAM avec un retard allant jusqu’à 18 mois (alors que les données de ville du régime général sont chargées de manière hebdomadaire). Des progrès notables ont été néanmoins réalisés dans la période récente. La CNAMTS précise attendre beaucoup de la mise en place de la facturation individuelle au séjour (FIDES), sans qu’elle soit en mesure d’évaluer précisément son incidence.

Les défaillances de codage du PMSI

Alors que le codage des diagnostics explique en grande partie l’intérêt porté au PMSI par les utilisateurs du SNIIRAM, la qualité de ce codage est régulièrement critiquée : les utilisateurs soulignent sa fiabilité statistique au niveau agrégé mais sa fragilité au niveau individuel.

L’exactitude des informations médicales dépend en effet à la fois de la procédure de codage des dans les établissements qui n’est pas nécessairement réalisée par des médecins spécialisés et de stratégies « d’optimisation » de la tarification mises en place par certains établissements. De plus, les diagnostics enregistrés lors de l’admission d’un patient à l’hôpital ne sont pas modifiés s’ils s’avèrent, lors du séjour, erronés.

Or les contrôles du codage de la tarification à l’activité, effectués par les directions régionales et échelons locaux du service médical, ainsi que par les agences régionales de santé (ARS), qui pourraient permettre d’y remédier, se concentrent sur l’aspect « tarifiant » du codage et les risques de comportements atypiques, voire abusifs ou frauduleux. Ils portent rarement sur la précision médicale des données. Ces doutes sur la qualité du codage du PMSI fragilisent son utilisation à des fins de recherche médicale.

Des données progressivement structurées pour répondre à des besoins variés

Une fois collectées, les données du SNIIRAM sont organisées par la CNAMTS afin d’être mises à disposition des utilisateurs dans différents magasins de données. Les efforts continus fournis par la caisse nationale pour améliorer leur maniabilité et répondre aux besoins des utilisateurs ont contribué de manière importante au développement des utilisations.

Les données ont ainsi progressivement été organisées en plusieurs composantes comme l’illustre le graphique ci-dessous :

deux « magasins de données » individuelles, de dimension très différente :

une base individuelle exhaustive (DCIR, datamart de consommation interrégimes) qui permet d’accéder à l’ensemble des données collectées ;

un échantillon stable de près de 600 000 bénéficiaires (EGB – échantillon généraliste de bénéficiaires) ;

une série de « magasins de données » agrégées selon diverses problématiques, dits datamarts.

les magasins de données du SNIIRAM

Source : Cour des comptes.

Le « datamart de consommation inter-régimes » (DCIR), cœur du SNIIRAM

Le DCIR permet d’accéder à l’intégralité des informations de consommation de soins de chaque bénéficiaire présent dans la base. « Pseudonymisé »23, il est protégé par un cadre réglementaire d’accès particulièrement rigoureux en raison notamment des risques estimés de réidentification indirecte (voir infra). Les données y sont accessibles pour l’année de consommation en cours et les trois années précédentes. La CNAMTS est néanmoins autorisée par la CNIL à conserver les données pendant dix ans et à ouvrir ces archives sous des conditions strictes.

Des améliorations continues sont apportées au DCIR : amélioration du codage, enrichissement du contenu (par exemple la date de décès à partir de décembre 2009 pour le régime général), précision dans les informations recueillies24 ; autant d’évolutions qui ont renforcé son intérêt scientifique. Il est utilisé pour tous les traitements nécessitant de redescendre au niveau du bénéficiaire anonymisé et pour de nombreuses recherches en santé publique. Il sert également de base à l’essentiel des demandes d’appariement.

Vers un DCIR simplifié

La création d’un DCIR simplifié est inscrite parmi les objectifs pour 2016 de la COG 2014-2017. Il s’agit d’un projet de réorganisation des données au sein du DCIR qui, en plaçant le numéro d’inscription au répertoire (NIR), communément appelé « numéro de sécurité sociale » bénéficiaire au cœur du dispositif, permettrait d’identifier beaucoup plus simplement les données de consommation de chaque bénéficiaire, selon une méthode déjà employée pour créer l’EGB simplifié. Un même acte pouvant actuellement être scindé en plusieurs lignes dans le DCIR, l’objectif poursuivi est de les rassembler en une seule ligne pour rendre la base plus opérationnelle. Le budget de développement du projet sur l’année 2015 restait modeste, à 241 K€.

L’échantillon généraliste de bénéficiaires, outil utile mais imparfait

L’échantillon généraliste de bénéficiaires est un échantillon des données individuelles du SNIIRAM constitué au 1/97e de la population (600 000 personnes y figurent). Il a été conçu dès 2005 sur la base des données du régime général25, puis élargi aux données de la CCMSA et du RSI en mars 2011. Les autres régimes en sont absents. Les données sont sensiblement les mêmes que celles du DCIR, à l’exception des données du PMSI relatives aux soins de suites et à la psychiatrie (l’hospitalisation à domicile ayant été ajoutée début 2016).

Il est établi par bénéficiaire26, sur la base d’une clé de tirage aléatoire du NIR (NIR de l’ayant droit initialement, NIR du bénéficiaire désormais), et permet de retracer, sur la base d’un échantillon statistique solide, les comportements de soins. Stable dans le temps (mais sujet à des actualisations régulières liées aux naissances, décès et aux changements de régimes), d’une durée de conservation de vingt ans, l’échantillon est ainsi un outil très utile pour évaluer des parcours de soins et mener des études en santé publique, complémentaires dans certains cas de l’utilisation du DCIR.

Plus largement ouvert aux utilisateurs que le DCIR (voir infra), en raison de risques de réidentification des personnes moins importants, il est à la fois salué pour son utilité et critiqué en raison des limites de représentativité qu’il présente et qui en restreignent l’utilisation. Ainsi, constitué aléatoirement au niveau national, il n’est pas représentatif de la population d’une région ou d’un département. Sa limitation à 600 000 personnes ne le rend pas non plus représentatif pour analyser les pathologies peu fréquentes. Enfin, sa clé d’entrée étant celle de l’assuré, il ne permet pas d’analyser les pratiques des professionnels de santé, la patientèle d’un professionnel présente dans l’EGB pouvant ne pas être représentative de la patientèle totale. Un audit diligenté par la CNAMTS en 2012 a mis en évidence que la représentativité de la consommation de soins n’y était pas assurée, ce qui s’est traduit par la définition de coefficients d’extrapolation pour reconstituer les données pour la France entière.

Ces limites, par ailleurs fréquentes dans les échantillons statistiques intégrant un grand nombre de variables aussi diverses, ne remettent pas en cause l’intérêt de cet outil, mais illustrent le fait que l’accès à l’EGB ne saurait répondre à tous les besoins. Elles ont conduit à envisager un projet d’élargissement de l’EGB au 1/10e de la population (6,5 millions de bénéficiaires), dont l’étude de faisabilité est prévue par la COG 2014-2017. Néanmoins, dans la perspective d’une ouverture plus large des accès aux données de santé, la question se pose de savoir s’il ne conviendrait pas de faciliter et d’élargir l’accès au DCIR plutôt que de développer un nouvel outil coûteux.

Les magasins de données agrégées, des outils plus accessibles

Partant du constat d’une part que le DCIR était particulièrement complexe d’utilisation et très encadré juridiquement dans son accès et d’autre part que les besoins des utilisateurs ne nécessitaient pas systématiquement un retour aux consommations individuelles, la CNAMTS a développé des outils plus accessibles sous la forme de magasins de données agrégées. Il existe actuellement dix magasins disponibles, certains agrégeant bénéficiaires et offreurs de soins, d’autres uniquement les bénéficiaires, comme présenté dans le tableau ci-après. On y retrouve ainsi sous une forme agrégée au niveau des bénéficiaires certains des magasins préexistant au SNIIRAM (SNIR et SNIR-EP).

Progressivement enrichis en fonction de l'évolution des besoins et des règles de gestion, ces magasins sont en évolution permanente. Actuellement deux nouveaux magasins sont en cours de déploiement : le premier (AMOS) fusionnant les magasins « SNIR » et « Offre de soins » sera opérationnel en 2016 ; l’autre, dit « Cube », est un magasin très agrégé de statistiques de consommation encore expérimental.

Ces magasins de données ou datamarts sont très largement utilisés par la CNAMTS comme par des utilisateurs externes. Étant par construction agrégés, ils ne présentent pas les mêmes risques de réidentification que le DCIR et l’EGB et ont donc vocation à être plus largement diffusés. Ainsi, dans le cadre du développement de la politique d’open-data de l’État et des établissements poursuivant une mission de service public, le premier jeu de données issues du SNIIRAM (une extraction du DAMIR) a été mis à disposition du grand public27 au début de l’année 2015. Cette dynamique devrait se poursuivre à l’avenir.

les magasins de données agrégées au sein du SNIIRAM

MagasinCréé enContenuContenuConservation
Données agrégées des bénéficiaires et des offreurs de soinsDonnées agrégées des bénéficiaires et des offreurs de soinsDonnées agrégées des bénéficiaires et des offreurs de soinsDonnées agrégées des bénéficiaires et des offreurs de soinsDonnées agrégées des bénéficiaires et des offreurs de soins
Dépenses assurance maladie inter-régimes. (DAMIR)20122012Magasin de suivi des dépenses d’assurance maladie (suivi de l'ONDAM, dépenses de soins de ville, etc.)Durée illimitée
Dépenses de Santé / ONDAM20032003Datamart archivé, depuis l’ouverture en 2012 du DAMIR (accès aux données 2003-2008).Durée illimitée
Tableaux de bord biologie (TBSB)20052005Actes en quantité et montant, par âge et sexe du consommant, par motif d'exonération et par tranche de praticiens prescripteurs (hors hôpital)Durée illimitée
Tableaux de bord pharmacie (TBSP) 20052005Consommations de médicaments par code CIP28, hors hôpital.Durée illimitée
Univers Unité commune de dispensation (UCD) 20092009Hôpital: liste en sus du GHS (médicaments particulièrement onéreux) et rétrocession (pour consommation ambulatoire).Durée illimitée
Données agrégées des bénéficiaires et individuelles des offreurs de soinsDonnées agrégées des bénéficiaires et individuelles des offreurs de soinsDonnées agrégées des bénéficiaires et individuelles des offreurs de soinsDonnées agrégées des bénéficiaires et individuelles des offreurs de soinsDonnées agrégées des bénéficiaires et individuelles des offreurs de soins
Liste des Produits et Prestations (LPP)20142014Prestations inscrites sur données agrégées avec classes médico-techniques (hors hôpital) 10 ans
Offre de soins20082008Quatre bases relatives à l’activité des professionnels de santé, aux bénéficiaires, aux remboursements et aux auxiliaires médicaux. 10 ans
SNIR20082008Activité des professionnels de santé.10 ans
SNIR-EP20062006Dépenses et activité des établissements privés. 10 ans
CCAM20082008Actes codés en CCAM (classification commune des actes médicaux). 10 ans
RéférentielsRéférentielsRéférentielsRéférentielsRéférentiels
Base établissements référentielle (BERF)20102010Liste des établissements, progressivement enrichie d'informations administratives et de gestion.Durée illimitée

Source : CNAMTS, décembre 2015 

Un système informatique puissant et modernisé dont la sécurité devra encore être renforcée

Un système de grande capacité

Les données du SNIIRAM sont traitées, au centre national de traitement informationnel (CENTI) d’Évreux, par un serveur informatique dont la capacité de stockage a récemment été fortement augmentée : la CNAMTS a acquis en 2013 un nouvel ordinateur, d’une capacité de 450 téraoctets apportant au SNIIRAM une très ample marge de développement (un téraoctet = 1 000 000 000 000 octets, unité de base codant une information). En 2015, un cinquième seulement de cette capacité était utilisé. Dans la perspective de l’intégration du SNIIRAM dans un système national de données de santé plus vaste, ce potentiel remarquable est un facteur facilitant, en particulier au regard des chaînages à mettre en œuvre avec les nouvelles bases qui viendront le compléter (cf. infra).

La durée de calcul d’une requête lourde d’interrogation du DCIR a été divisée par un facteur de quelque 50 : avant 2014, une nuit de traitement était parfois nécessaire ; le temps d’exécution moyen d’une requête, une fois formatée, est passé de 30 minutes à 30 secondes environ. Le dispositif se révèle constamment disponible (peu d’heures annuellement d’arrêt de service non planifié), grâce à la redondance totale de tous les composants matériels et logiciels. Ces performances ont été obtenues en assemblant notamment 8 serveurs de calcul, 23 serveurs de stockage de données et 2 serveurs d’applications. Le choix technique effectué en 2013 entre les deux seules offres jugées disponibles sur le marché s’est ainsi avéré pertinent.

Une architecture complexe et inégalement documentée

Le SNIIRAM repose sur une architecture d’une grande complexité. Ses magasins de données spécialisés par métier (« magasins » évoqués par ailleurs), comportent en effet des « vues » de données individualisées prédéfinies (visualisation ou impression selon des formats préétablis), des tableaux de bord de données agrégées, ainsi que, de plus en plus, des résultats de requêtes préétablis.

Le graphique ci-après cherche à synthétiser cette architecture :

en haut, une quinzaine de flux entrants de données,

au milieu l’entrepôt, divisé en trois (PMSI, feuilles de soins, dépenses en budget global), ses référentiels (annuaires), ses magasins de données sectorielles, et de stockage d’extractions,

en bas, la gestion des profils d’utilisateurs autorisés et leur portail d’accès.

l’architecture complexe des entrepôts et magasins de données

Source : CNAMTS

Le graphe suivant situe les flux de données transférés entre les composantes ci-dessus dans l’ensemble du système d’information de la CNAMTS, en faisant apparaître les outils de sécurisation des données.

flux et réservoirs d’alimentation des données

Source : CNAMTS, octobre 2015

Cette complexité est bien maîtrisée par la CNAMTS, dans le fonctionnement quotidien. Toutefois, elle s’est accrue au fil des ans, sans avoir toujours été suffisamment documentée. Au regard de l’ancienneté de certains composants ou applications, datant d’une ou plusieurs décennies, la documentation de l’architecture fonctionnelle (fonctions, processus) est appropriée, celle de l’architecture applicative (flux, composants applicatifs) l’est moins, et l’architecture logicielle (logiciels du marché ou libres, développements spécifiques) reste à compléter.

De telles lacunes obèrent la maintenance corrective et évolutive, augmentent les coûts et les risques d’erreurs lors des évolutions, et exposent les données à un risque de sécurité en cas d’utilisation d’un composant logiciel dont la fiabilité s’est érodée. La sécurité est de surcroît quasi-absente des présentations de ces architectures. La CNAMTS a identifié cet axe de progrès mais a trop tardé à y remédier, comme la Cour l’avait relevé en 2010, entre autres insuffisances marquées de l’ensemble de son système d’information, dont certaines pouvaient affecter le SNIIRAM. La Cour avait alors estimé que les responsabilités en incombaient autant à l’État - il n’avait guère contribué à réunir à la hauteur des enjeux les conditions et les moyens d'une stratégie - qu’à la caisse nationale29.

La CNAMTS a depuis lors pris en compte progressivement la plupart des recommandations de la Cour, dont elle a suivi la mise en œuvre dans un plan d’actions qu’elle a amélioré en 2013. Les insuffisances de la documentation des applications anciennes demeurent cependant.

La sécurité informatique : une trajectoire à renforcer

La sécurité du SNIIRAM est un enjeu crucial au regard de la sensibilité extrême des données médicales personnelles qu’il entrepose. Comme pour tout grand système d’information, toute sa chaîne d’alimentation et d’exploitation est exposée à des risques en matière informatique. Aucune fuite publique de données n’a été constatée à ce jour, mais l’évolution permanente des risques appelle un renforcement en continu des mises en conformité de sécurité.

Les risques de sécurité sur ce type de base sont multiples : les systèmes informatiques eux-mêmes (matériels et logiciels) peuvent être détruits, détériorés ou pénétrés ; les données qu’ils contiennent peuvent être de ce fait altérées ou divulguées. La CNAMTS a développé des stratégies et des moyens pour maîtriser tous ces différents types de risques, mais sans toujours leur accorder la priorité, budgétaire notamment, appropriée. Trois périodes sont à distinguer à cet égard : avant 2013, la période 2013-2015, et celle de la prochaine COG pour la période 2018-2021, dont la détermination des objectifs et des moyens en termes de sécurité sera d’une importance primordiale et donc à anticiper dès maintenant.

Avant 2013, une priorité insuffisamment marquée

Jusqu’en 2013, les équipes concernées n’ont pas constamment attaché à la sécurité la priorité appropriée, alors même qu’indépendamment du rapport de la Cour établi en 2010, pas moins de trois autres rapports avaient souligné en 2009-2011 des lacunes et des défaillances à corriger sans attendre30.

Encore début 2016, le plus récent rapport de test d’intrusion par un prestataire spécialisé remontait à 2010. Sa conclusion avait été qu’un « attaquant n’ayant pas de compte sur le portail ne pouvait réaliser aucune action dangereuse » pour le SNIIRAM, mais que toute personne ayant un compte sur le portail du SNIIRAM, même en accès très limité, pouvait « rebondir sur une grande partie du système d’information de la CNAMTS ». Plusieurs risques étaient en partie classés comme étant d’une gravité majeure, avec une probabilité ou un impact « catastrophiques ».

Des redressements immédiats et à court terme ont été opérés à la suite de ce test, mais sans toujours remédier suffisamment aux failles, alors même qu’il y avait pourtant urgence à parer aux risques croissants de piratage auxquels sont confrontés de nombreuses institutions et opérateurs.

Entre 2013 et 2015, une sécurité renforcée

Depuis le début 2013, la protection contre les risques relatifs à la protection de la vie privée et des données a été nettement renforcée. Cette protection a été estimée en 2015 par les experts auprès de la Cour, comme correctement assurée à ce stade par les dispositifs informatiques de contrôle, cryptage et transfert sécurisé des flux, même si des évolutions sont indispensables à anticiper.

Des exigences accentuées et mieux suivies d’effets

En 2013, le changement de l’ordinateur du SNIIRAM a été enfin accompagné d’un remaniement de la gouvernance de la sécurité31, d’une définition d’une politique générale de sécurité des systèmes d’information (PSSI), et d’une actualisation en conséquence du dossier central de sécurité instauré dix ans plus tôt, de tests internes de vulnérabilité. La démarche d’intégration de la sécurité dans les projets (ISP) a été mise en œuvre dérivée de deux directives de l’Agence nationale de la sécurité des systèmes d’information (ANSSI), et d’un guide de la CNIL sur « gérer les risques sur les libertés et la vie privée ». Des actions ont été planifiées jusqu’à la fin 2017 sur la base de la COG du 6 août 2014 et de sa fiche 14 consacrée au SNIIRAM (cf. annexe n° 4) pour renforcer les investissements de sécurité, notamment en ressources humaines internes et externes, de manière à respecter les prescriptions, au demeurant succinctes, de ces dernières : pour l’ensemble des systèmes d’information, l’État « s’assurera dans ce cadre de la définition et de la bonne atteinte des objectifs, du respect des exigences réglementaires, notamment en termes de sécurité du système » ; pour le SNIIRAM, sont prévus la « mise à disposition sécurisée de données confinées » et le « portail sécurisé confinement /attente étude sécurité ».

Des progrès dans l’analyse et la réduction des risques

Un plan de réduction effective des risques32 a notamment été développé dans cette période, non sans délais. La CNAMTS n’a pu fournir que par étapes les premiers résultats d’une nouvelle analyse de risques demandée en juin 2013 par la CNIL : première version en septembre 2014, deuxième version, plus complète, en avril 2015, transmission informelle en août 2015, et officielle le mois suivant.

À l’automne 2015 ne restaient considérés comme majeurs que 13 des 39 risques résiduels (sur 86 initialement identifiés, et sans inclure les deux risques cryptologiques évoqués plus loin). Certains relèvent de comportements individuels dont la probabilité est faible et dont la prévention serait incertaine ou d’un coût disproportionné. La politique générale de sécurité des systèmes d’information est de nouveau en cours de révision, afin de l’aligner en 2016 sur l’évolution de la norme ISO 27002 et de la politique de sécurité informatique de l’État.

Le processus de gestion des incidents a été mis en conformité avec les normes en juillet 2014. La sécurité de l’information est désormais traitée dans la gestion des projets, mais elle l’est uniquement pour les projets de la maîtrise d’ouvrage nationale, dont celle du SNIIRAM, et non pas pour des projets régionaux ayant un impact sur le réseau alimentant ce dernier, point qui est à améliorer. Le « dossier central de sécurité » est d’une précision et d’une robustesse conformes dans l’ensemble aux bonnes pratiques.

Sécurité physique et site de secours

La Cour avait constaté dans son rapport de 2010 des défaillances dans la sécurité physique de certains sites de la DDSI, dont celui d’Évreux qui héberge le SNIIRAM. Les contrôles annuels de sécurité (alimentation électrique, etc.) y sont effectués mais la vulnérabilité du site, évoquée sommairement dans le dossier central de sécurité, a été illustrée par une intrusion nocturne en août 2015. La CNAMTS a indiqué que les dispositions prises depuis lors seront auditées en 2016.

Les enjeux justifieraient à cet égard que soit examiné l’éventuel classement de la CNAMTS en « opérateur d’importance vitale », objet d’une protection renforcée, conformément au décret 2006-212 relatif à la sécurité des activités d’importance vitale, qui impose en pareil cas une inspection triennale par l’ANSSI33. La CNAMTS indique que les actions qu’elle a prises (déclaration locale en préfecture, mise sous une liste de services à contacter prioritairement en cas d’incident, etc.) ont été estimées par le ministère comme répondant aux besoins de sécurité.

Plus compréhensible est le fait que le SNIIRAM ne dispose pas d’un site de secours qui lui soit propre. Cette précaution habituelle a été écartée en raison de son coût d’investissement (plus de 7 M€ en l’espèce) et de fonctionnement, et de l’absence de conséquences opérationnelles pour la production des paiements et la comptabilité en cas de panne. Les données sont en effet sauvegardées34 conformément aux bonnes pratiques, sur deux sites distants, et la durée de remise en service, en cas de destruction du système lui-même, estimée à un mois, est jugée acceptable.

Une conformité au référentiel général de sécurité à parfaire

La CNAMTS considère « être à l’état de l’art de la sécurisation et des investissements possibles au regard d’une gestion adaptée des moyens à la couverture des risques ». Elle rappelle que « le plan d’actions dont elle s’est dotée depuis 2013 identifie chacun de ces risques, par nature, par gravité et l’existence de mesures techniques et/ou organisationnelles permettant de les couvrir. » Elle a estimé que le coût, qui se chiffrerait en millions, voire en dizaines de millions d’euros, d’un strict alignement sur le référentiel général de sécurité de l’État (RGS35) aurait été disproportionné par rapport aux renforcements de la sécurité qui en résulteraient.

Pour ce motif, elle n’a commencé qu’en août 2015 l’étude d’une plus totale mise en conformité avec le RGS. Un audit est prévu à cet égard en 2016, soit six années après le précédent audit général, antérieur au RGS.

Pour autant, la CNAMTS prévoit, à ce stade, de ne pas l’appliquer intégralement, bien qu’il s’agisse d’une exigence règlementaire, ce qui engage la responsabilité de l’opérateur qui l’aurait méconnue, notamment en cas d’atteinte à la sécurité des systèmes d’information qui comme c’est en l’occurrence le cas y sont soumis. S’agissant de la protection de données très sensibles pour la vie privée de la quasi-totalité de la population résidant en France, cette position appelle la vigilance de la part de la tutelle. Il serait paradoxal qu’elle n’applique pas à la CNAMTS le niveau d’exigences qu’elle impose aux hébergeurs privés de données de santé.

Une exigence de sécurité inférieure à celle d’un « hébergeur de données de santé »

La CNAMTS est de fait un « hébergeur de données de santé » au sens des articles L. 1111-8 et L. 1121-1 du code de la santé publique et de la loi du 6 janvier 1978). Elle n’a pas été invitée à solliciter l’agrément que le ministre en charge de la santé délivre aux hébergeurs – du secteur privé principalement – après avis de la CNIL et du comité d’agrément concerné.

Techniquement, un tel agrément imposerait des mises en conformité dont la caisse nationale estime qu’elles seraient sans doute lourdes et coûteuses, et hors de portée en l'état de ses moyens – on a mentionné plus haut que le respect de ses référentiels de sécurité actuels – du secteur public – reste à parfaire, faute notamment qu’une priorité budgétaire appropriée y ait été accordée.

Une modification législative a de manière opportuniste exempté la CNAMTS en 2015 de cette obligation, désormais limitée aux hébergeurs assurant un dépôt et une restitution de données « sans réutilisation de celles-ci pour d’autres fins », par opposition implicite au SNIIRAM dont les données sont réutilisées à d’autres fins.

Or, la mission juridique des ministères sociaux avait souligné en 2013 que « compte tenu de la sensibilité des données figurant dans le SNIIRAM, il nous parait opportun qu’un niveau équivalent à celui du référentiel HDS soit atteint, en particulier dans la mesure où la CNAMTS paraît, à notre sens, disposer du niveau de maturité qui le permettrait sans nécessiter de modifications majeures du système. »36 La grande ampleur du SNIIRAM et du SNDS, la réutilisation accrue et l’ouverture annoncée des données aggravant les risques, l’État devrait imposer a minima à la CNAMTS les mêmes contraintes que celles imposées aux autres hébergeurs, au-delà de celles de la politique de sécurité des systèmes d’information du secteur public.33

Deux risques majeurs à anticiper dans le cadre de la prochaine COG 2018-2021

Un algorithme d’occultation crucial mais obsolescent

Un dispositif cryptologique, la fonction d’occultation des identifiants nominatifs (FOIN), protège l’anonymat des assurés en « hachant » leurs données identifiantes dans le SNIIRAM, mais il repose sur un algorithme obsolescent.

Une double « pseudonymisation » pour répondre au risque de réidentification

Quel que soit leur régime d’origine, les données enregistrées sont « pseudonymisées » de telle sorte qu’il soit théoriquement impossible, pour un utilisateur, de retrouver l’identité du bénéficiaire au travers de données potentiellement identifiantes. Les données de consommation de soins, enregistrées avec le NIR de l’ayant droit par les centres de traitement informatique des différents régimes ainsi qu’au sein des services hospitaliers, sont une première fois « pseudonymisées » avant leur transmission à la CNAMTS. Les producteurs de données utilisent une fonction de pseudonymisation appelée FOIN (fonction d’occultation des informations nominatives). Cet algorithme permet, en croisant le NIR, la date de naissance et le sexe, d’attribuer un nouveau numéro, non identifiable, à chaque bénéficiaire de soins. Les numéros issus de ce processus FOIN-1 sont retraités à nouveau, par la CNAMTS cette fois, selon le même processus (dit FOIN-2), afin de rompre le lien entre la source initiale contenant le NIR et la présentation finale correspondant au numéro pseudonymisé. Ce processus irréversible permet d’éviter l’existence d’une table de correspondance entre le NIR et les identifiants présents dans le SNIIRAM ; il est censé garantir l’anonymat des données recueillies.

FOIN repose notamment sur un algorithme international, initialement un standard fédéral américain, SHA-1. Or, une expertise confiée par la CNAMTS à un prestataire en avait rappelé en 2014 l’obsolescence, soulignée par l’ANSSI depuis 200837 ; elle concluait que cette protection ne resterait fiable que « durant une période limitée (quelques années au plus) ». Fin 2015, le ministère n’avait pas encore demandé, ni la CNAMTS engagé, l’élaboration de plan, de calendrier et d’estimations financières en vue d’un changement d’algorithme, inéluctable à moyen terme. L’ANSSI a souligné à la Cour que le risque d’une attaque réussie n’était en l’espèce pas imminent, ce qui fait que « le RGS proscrit l’utilisation de SHA-1 en tant que fonction de hachage cryptographique, mais en déconseille seulement l’utilisation, sans la proscrire, lorsqu’il sert de base à des mécanismes [… tels que] FOIN ». L’ANSSI considère cependant que son « remplacement à moyen terme (par exemple 5 à 10 ans) par un algorithme à l’état de l’art serait conforme aux recommandations énoncées dans le référentiel général de sécurité (RGS) ».

L’absence de procédure de remplacement des clés de cryptage

La CNAMTS doit également traiter, ce qui n’est pas encore fait dans son dossier central de sécurité, un autre risque, connexe, affectant les clés de cryptage (les « secrets »), utilisées par FOIN. La CNIL est d’avis que « la gestion dans le temps des secrets utilisés pour la génération des identifiants du SNIIRAM n’a pas été pensée lors de la mise en œuvre initiale du projet. Il faut (…) des procédures permettant de modifier les secrets en cas de compromission avérée ou suspectée, mais également de manière régulière afin d’éviter qu’une personne qui disposait de l’habilitation à un instant donné puisse réutiliser les secrets dont elle a pu prendre connaissance alors qu’elle ne dispose plus de cette habilitation ».

L’ANSSI a rappelé à la Cour qu’en pareil cas « l’une des exigences essentielles du RGS relative à la gestion de clés est que des procédures de récupération du système en cas de compromission de clés à risque systémique de ce genre soient « étudiées et documentées ». Il s’agit non pas de renouveler une fois les secrets, mais de disposer d’une procédure permettant, en cas d’attaque réussie, de le faire. Cette tâche sera « d’un volume et d’une complexité qui ne sauraient être sous-estimés ».

De ces deux écueils cryptologiques à terme, le dossier central de sécurité n’a rien mentionné, et la CNAMTS n’avait pas, en 2015, commencé à étudier une solution. S’agissant de la création d’une procédure de renouvellement des secrets, la CNAMTS indiquait encore début 2016 que « sera envisagé », sous forme « peut-être plutôt d’un remplacement du dispositif », ou d’une mise à niveau38. En réponse au constat relatif à SHA-1, la CNAMTS a annoncé en février 2016 son intention d’y remédier lors de la prochaine COG (2018-2021)39.

Ces deux chantiers inéluctables seront extrêmement complexes, longs et onéreux: la substitution d’un nouvel algorithme à SHA-1 ne concernera pas que la seule CNAMTS, mais l’ensemble des organismes producteurs des données intégrées dans le SNIIRAM. Elle supposera au surplus de reprendre pour les recoder l’ensemble des données précédemment archivées, ce que nécessiterait aussi en principe la mise en place d’un dispositif de renouvellement récurrent des secrets.

Leur programmation et leur financement sont à anticiper sans tarder en vue de la prochaine COG, qui devra préciser les prérequis pour conduire ce chantier de très grande ampleur. Certes, le consensus français semble être que SHA-1 tel qu’utilisé dans FOIN ne deviendrait très vulnérable que vers 2021-2026, soit plus tard que son utilisation pour protéger ailleurs seulement des accès, et que l’absence de dispositif de renouvellement des secrets ne le deviendrait que quelques années plus tard. Mais, face à des attaques d’une force croissante, il arrive que de telles protections soient annihilées plus vite que prévu. Compte tenu des enjeux, les moyens devront être adaptés au niveau de ce qui est nécessaire et anticipés dans leur montée en charge dans le cadre d’une vision à moyen terme.

La sécurité de la saisie initiale des données

Par ailleurs, la fiabilité du SNIIRAM dépend aussi de celle de la saisie des données identifiant les 61 millions de titulaires de carte Vitale et leurs ayant-droits, ainsi que le million de titulaires d’une carte de professionnel de santé (CPS et cartes similaires « CPx »).

Leur fiabilité et leur sécurité sont allées croissantes. Il n’y a ainsi pas d’exemple de fausse carte Vitale en état de fonctionnement : seul l’usage abusif ou frauduleux de vraies cartes présente un risque, très limité, puisque seules 60 000 feuilles de soins électroniques (FSE) ont été détectées à ce titre en 2015. Ce chiffre est insignifiant au regard des 1,3 milliards de FSE prises normalement en charge, et les caisses considèrent que la plupart de ces 60 000 FSE n’étaient pas frauduleuses. Toutefois, si le système de cartes Vitale est constamment modernisé par le GIE SESAM-Vitale qui en a la charge, sa technologie, dont les failles ont été progressivement réduites, est vieille de plus de vingt ans. Une stratégie devrait être esquissée pour son remplacement à moyen terme par un système conforme à l’état de l’art ; jusqu’à l’investissement considérable que cela appellera, le SNDS sera affecté, au travers du SNIIRAM, par une faiblesse originelle à cet égard.

La même interrogation pèse sur l’évolution à moyen terme des cartes de professionnel de santé (CPS/CPx), délivrées à plus d’un million de professionnels pour sécuriser la saisie des données au moyen de presque autant de postes de travail informatiques. Quels que soient les sécurités et contrôles informatiques ou humains mis en œuvre, le risque de données plus ou moins erronées ou incomplètes appelle toujours plus de pédagogie et de vigilance.

Un rôle de la tutelle en matière de sécurité à assumer pleinement

La répartition des rôles entre l’État et la gouvernance propre au système SNIIRAM devrait être claire : il incombe au ministère et à l’ANSSI de définir la stratégie de l’État et d’assurer la surveillance de sa bonne application, la maîtrise d’ouvrage incombant aux opérateurs, au premier rang desquels la CNAMTS. Mais, en matière de sécurité, le ministère souligne que ses moyens et son expertise limités l’empêchent de mieux s’assurer du respect des référentiels et standards, notamment ceux auxquels tant lui que la CNAMTS ont souscrit dans la COG. Or, la surveillance des enjeux de sécurité résumés plus haut relève pour une large part de sa responsabilité.

À cet égard, le ministère aurait dû veiller à ce que le SNIIRAM, ses développements et sa sécurité soient clairement identifiés par des lignes budgétaires propres dans la COG, ce qui a été le cas, par exemple, pour les investissements en matériels, logiciels et ressources humaines internes et externes liés à la mise en œuvre du dispositif SESAM Vitale. Or si, avec l’ANSSI, il a été attentif à formuler des prescriptions drastiques, conformes aux normes internationales et nécessaires au regard des risques mondialisés de piratage, il ne s’est pas assuré de la faisabilité technique et budgétaire de leur mise en œuvre effective, s’agissant du SNIIRAM, et n’a pas explicité dans les COG successives les moyens et redéploiements nécessaires pour s’y conformer - ni même défini un calendrier étalé sur plusieurs COG pour ce faire, compte tenu de l’empilement des strates pluri-décennales d’applications qui interviennent dans les flux du SNIIRAM et qui alourdiront la charge de mise en conformité.

En dehors de réunions communes avec d’autres institutions, le secrétariat général des ministères sociaux n’a rencontré périodiquement la CNAMTS, au titre de la surveillance de la sécurité des systèmes d’information, qu’à partir de l’automne 2015. Il est vrai que ses moyens sont en ce domaine des plus limités. La direction de la sécurité sociale dispose certes d’un bureau spécialisé, mais la modestie des ressources humaines qui y sont affectées - pour l’ensemble des branches de la sécurité sociale, qui plus est - en limite de même fortement les capacités de supervision.

La mise en place du nouveau système national des données de santé, dont la diversité des sources et l’élargissement des utilisateurs n’est pas sans conséquences éventuelles en termes de vulnérabilité, impose que l’administration se dote, en relation avec l’ANSSI, de l’expertise et des procédures et outils appropriés indispensables pour vérifier périodiquement la conformité de sécurité aux standards les plus exigeants des bases de données que ce denier à vocation à inclure.

Ainsi, alors que le comité de pilotage « sécurité » de l’ANSSI doit réglementairement procéder à une inspection triennale de la sécurité des systèmes d’information des ministères et des « opérateurs d’importance vitale », la CNAMTS n’est pas classée comme telle. Elle devrait l’être, ou, à défaut, être soumise à la même périodicité d’inspection. Une inspection similaire triennale devrait être effectuée par des prestataires spécialisés chez les principaux autres producteurs et utilisateurs de données du SNIIRAM.

Conclusion et RECOMMANDATIONS

Le SNIIRAM est un entrepôt de données qui regroupe l’ensemble des informations médico-administratives nécessaires aux remboursements et résultant des feuilles de soins et des facturations hors hôpitaux. Il a été créé en 1998 pour doter les pouvoirs publics d’un outil unifié de pilotage des dépenses de santé, en s’appuyant sur des bases préexistantes qu’il convenait de fusionner et d’enrichir. Sa mise en service a néanmoins été longue, en raison de l’ampleur des migrations à opérer et d’un cadre réglementaire complexe à définir.

Par une approche empirique et pragmatique, ce système a connu des évolutions successives pour améliorer son contenu et sa structuration, de sorte qu’il est désormais considéré comme une base sans équivalent en Europe. À cet égard, le chaînage des données de ville avec les données de paiement hospitalières issues du programme de médicalisation des systèmes d’information depuis 2009 a constitué une évolution majeure et a fortement accru l’intérêt que le monde de la recherche pouvait lui porter. La nature de la base, de fait, s’en est trouvée progressivement déportée d’une base présentant essentiellement un intérêt de gestion du risque à un outil de recherche pour le monde de la santé.

Le potentiel du SNIIRAM est considérable, mais il reste à parfaire. La qualité de la base est quelque peu amoindrie par l’absence totale ou partielle de données de plusieurs régimes ainsi que par des difficultés et des inexactitudes de codage qui appellent des redressements plus prompts. C’est pourquoi il importe de faire aboutir le projet initial d’un système d’information pleinement inter-régimes et d’améliorer le codage du PMSI.

La CNAMTS, gestionnaire technique du SNIIRAM, a développé des outils de structuration des données afin d’en faciliter l’utilisation. Ces efforts doivent être poursuivis dans une logique d’offre de service aux utilisateurs. Mais elle n’a pas, dans le même temps, opéré de suivi analytique des coûts complets du SNIIRAM, tant en matière de maintenance et développement de la base que sur les aspects de sécurité. Son incapacité à évaluer le « coût du SNIIRAM » est une lacune qu’il convient absolument de combler.

La complexité de la gouvernance bicéphale de la base, partagée entre un comité de pilotage focalisé sur les questions d’ouverture des accès permanents pourtant hors de son champ de compétence et un institut des données de santé, centré sur la seule base SNIIRAM, dont les missions recoupaient largement celles du COPIIR, a nui à l’ouverture des accès à la base. La tutelle n’a pas cherché à clarifier le cadre réglementaire et a laissé à la CNAMTS le pilotage du SNIIRAM. Celui-ci s’est ainsi résumé à une gestion technique pour améliorer, à petit pas, la base de données, sans stratégie de moyen terme sur les évolutions souhaitables de cet outil pour répondre aux finalités assignées par le législateur.

La mise à niveau technique du SNIIRAM et de sa sécurité informatique est désormais conduite diligemment, mais encore incomplètement. Un renforcement des audits techniques et de la documentation relative aux applications s’impose. Si la mise en conformité technique avec les normes et bonnes pratiques de gestion de mégadonnées apparait satisfaisante, plusieurs risques et défaillances significatifs de sécurité subsistent. Le retard apporté à se rapprocher de la réglementation édictée par les autorités compétentes et à tenir compte de mises en garde et rapports antérieurs, l’ampleur inhabituelle des enjeux, l’évolution des risques à raison de la visibilité accrue du système appellent la plus grande constance dans la programmation et la concrétisation des travaux de sécurisation. Une attention suffisante n’y a pas été apportée par la tutelle, et la CNAMTS ne s’est pas encore mise en mesure de se doter d’un calendrier et de moyens à la hauteur des enjeux par ailleurs affichés.

Il est ainsi nécessaire que le ministère de la santé exerce pleinement son pouvoir de tutelle, particulièrement en matière informatique, à la hauteur des enjeux et des risques, tant pour le suivi du SNIIRAM que pour l’élaboration des plans pluriannuels d’audit.

En conséquence, la Cour formule les recommandations suivantes :

poursuivre, en les hiérarchisant, les efforts d’amélioration de la complétude et de la qualité des données, en particulier des informations issues du PMSI ;
mettre en place rapidement un suivi analytique des coûts d’alimentation, de sécurisation, de gestion et d’utilisation du SNIIRAM ;
reconnaître à la CNAMTS le statut d’opérateur d’importance vitale et la soumettre aux règles et contrôles périodiques externes de sécurité y afférant ;
anticiper en vue de la prochaine COG la programmation financière et le calendrier des travaux additionnels de mise en conformité du SNIIRAM et de son environnement informatique avec les exigences de renforcement de sa sécurité rendues indispensables par l’obsolescence progressive de certains dispositifs.

Une utilisation précautionneuse, en-deçà des enjeux de santé publique et de maîtrise des dépenses

Initialement conçu comme un outil de pilotage et de gestion de l’assurance maladie pour participer à la maîtrise des dépenses, le SNIIRAM a rapidement vu ses finalités élargies, alors même que ses premières utilisations étaient balbutiantes. La loi n° 2004-806 du 9 août 2004 a, en effet, introduit une évolution majeure en ajoutant au SNIIRAM la mission de participer à « la définition, la mise en œuvre et l’évaluation de politiques de santé publique », marquant ainsi la prise de conscience rapide que l’outil pourrait être utilisé à des fins bien plus larges que celles pour lesquelles il avait été constitué. Quatre finalités sont désormais assignées au SNIRAM40 :

améliorer la qualité des soins, notamment par la comparaison des pratiques aux référentiels (…) et moyennes professionnelles, l’évaluation des comportements de consommation de soins et l’analyse des caractéristiques et des déterminants de la qualité des soins ;

contribuer à une meilleure gestion de l’assurance maladie, notamment par la connaissance des dépenses par circonscription géographique, par nature de dépense (…), l’évaluation des transferts entre enveloppes de l’ONDAM et l’analyse quantitative des déterminants de l’offre de soins et la mesure de leurs impacts sur l’évolution des dépenses ;

contribuer à une meilleure gestion des politiques de santé, notamment par l’identification des parcours de soins des patients, le suivi et l’évaluation de l’état de santé des patients, l’analyse de la couverture sociale des patients et la surveillance de la consommation de soins en fonction de différents indicateurs de santé publique ou de risque ;

transmettre aux prestataires de soins les informations pertinentes relatives à leur activité, à leurs recettes et s’il y a lieu, à leurs prescriptions.

Cet élargissement des finalités, accompagné de l’enrichissement du contenu de la base précédemment analysé, a conduit à une forte diversification des utilisations du SNIIRAM, malgré des freins importants liés à la limitation des accès permanents et à la lenteur des demandes d’accès ponctuels et d’extractions à des fins de recherche principalement. Les premiers ont surtout bénéficié aux agences et autorités sanitaires, les seconds sont d’abord le fait d’équipes de recherche. Pour autant, cette ouverture a été limitée et largement insuffisante, notamment au regard des enjeux de santé publique ou de gestion du risque que les données du SNIIRAM permettent d’éclairer, en raison des modalités juridiques d’accès à la base, particulièrement contraignantes et peu opérationnelles.

Une ouverture des accès aux données progressive mais limitée

Des procédures d’accès trop complexes

Les informations contenues dans le SNIIRAM sont considérées comme des données de santé, selon la définition jurisprudentielle de « donnée pouvant révéler un état de santé ou une pathologie ». Même « pseudonymisées », c’est-à-dire retraitées pour ne pas comporter l’identité des personnes, ces données par leur précision, leur chaînage et leur exhaustivité sont susceptibles par le croisement des informations contenues, de permettre d’identifier des personnes connues par ailleurs. Elles sont en ce sens considérées comme indirectement identifiantes : à partir de certaines informations (date et lieu d’une opération spécifique par exemple), et grâce à des recoupements, il peut se révéler possible de retracer l’ensemble du parcours de soins d’une personne et d’avoir accès à des données sur sa santé au mépris di respect dû à sa vie privée. Ce risque réel, même s’il ne doit pas être exagéré, implique un principe d’interdiction de collecte et de traitement de ces données auquel il est possible de déroger par la loi ou par une autorisation de la CNIL.

Risques de réidentification : de quoi parle-t-on ?

Le rapport « Données de santé : anonymat et risque de réidentification », publié en juillet 2015 par la DREES41 permet de comprendre comment les risques de réidentification ont été approchés et pris en compte par la CNIL :

« (…) Même si les données sont dé-identifiées ou pseudonymisées et même s’il n’est pas possible aux utilisateurs de remonter d’un pseudonyme à l’identité, il n’en résulte pas nécessairement que la base ou le jeu de données soit anonyme.

Le PMSI illustre bien cette difficulté. Avec sa généralisation rapide (…) on s’aperçut dès 1998 :

- qu’il était devenu possible de reconnaître des personnes dans la base, par recoupement, dès lors qu’on disposait sur elles d’informations assez banales (âge, sexe, code postal du domicile, dates d’hospitalisation -même approximatives- dans un établissement hospitalier…). Si dans la base, devenue quasi exhaustive, une seule personne présentait les caractéristiques connues, on pouvait la reconnaître à coup sûr ;

- que c’était d’autant plus facile que l’établissement était petit ou que le patient venait de loin ;

- et que c’était encore plus facile si on disposait, dans le jeu de données, du chaînage des hospitalisations successives des mêmes personnes (les parcours de soins présentent presque toujours des caractéristiques uniques).

Reconnaître une personne dans la base permet alors d’avoir accès à des informations particulièrement sensibles, en particulier les diagnostics motivant le ou les séjours.

A l’époque, le ministère de la santé et la CNIL en ont tiré la conclusion que ces données, bien que dé-identifiées et tenues jusque-là pour anonymes, présentaient en réalité un caractère personnel (on disait alors qu’elles étaient « indirectement nominatives ») et ne devraient donc plus être diffusées et traitées sans l’autorisation de la CNIL.

L’accès aux données du SNIIRAM présente des risques similaires d’autant plus grands que la base est exhaustive et la granularité de l’information est fine. Le DCIR, associant soins ambulatoires et soins hospitaliers pour l’ensemble des épisodes de soins de la totalité de la population, est ainsi bien davantage indirectement identifiant que l’EGB, même si le Groupe de travail sur les risques de réidentification, réuni dans le cadre de la commission open data chargé de réfléchir à l’ouverture des données de santé en 2013, signale aussi les risques de réidentification de personnes dans ce dernier (si ces personnes ont été hospitalisées). »

Les droits d’accès aux données du SNIIRAM s’inscrivent ainsi dans un cadre normatif complexe, entre d’une part l’application de la loi « informatique et libertés », et d’autre part des dispositions dérogatoires, prises par la loi ou par arrêté en fonction du caractère permanent ou non des accès sollicités. Les procédures d’accès sont de fait différentes pour les accès permanents qui permettent aux bénéficiaires de travailler directement sur les données du SNIIRAM ou pour les accès ponctuels qui nécessitent généralement des extractions de données.

Des droits d’accès permanents rares

Une ouverture parcimonieuse

Le SNIIRAM a connu une ouverture progressive des accès permanents mais très encadrée par la CNIL42, soucieuse de prévenir tout risque pour l’anonymat des bénéficiaires dans un contexte d’enrichissement progressif des données. Les droits d’accès permanents sont délimités strictement à partir des besoins justifiés par les organismes ou les administrations pour accomplir leurs missions.

Ils sont définis par l’arrêté relatif au SNIIRAM, selon une logique d’exclusion progressive : des droits les plus larges aux droits les plus restreints en fonction du niveau d’agrégation des données, de leur périmètre géographique et de l’identification en clair ou non des professionnels de santé. Ils permettent aux organismes habilités de travailler directement sur le SNIIRAM, mais ces derniers ne sont pas exonérés des procédures particulières encadrant les modalités de traitement.

Alors que seuls dix organismes43 avaient un accès permanent au SNIIRAM en 2001, ils étaient 25 à l’utiliser en 2015 dont sept seulement ayant un accès de droit aux données individuelles exhaustives (DCIR)44 et 15 aux magasins et à l’EGB45. Tirant les conséquences de l’élargissement des finalités du SNIIRAM, l’arrêté du 20 juin 2005 a marqué un tournant en introduisant une nouvelle catégorie de droits, prenant acte de la création de l’EGB et ouvrant les accès permanents notamment aux agences sanitaires (InVS et AFSSAPS) et à certains organismes comme l’IDS ou l’INSERM.

évolution des droits d’accès permanents depuis 2001

OrganismesMagasins de données agrégées Échantillon généraliste des bénéficiaires - EGBDonnées individuelles exhaustives - DCIR
Caisses des régimes de base d'assurance maladie X XX
CNSAX (2005)X X (2005)
Ministères sociauxX X  
Ministère des financesX x  
Ministère de l'agricultureX x  
Agences régionales de santéX X X(pour les médecins depuis 2012 + Paerpa pour 9 ARS depuis 2013)
Institut national de veille sanitaire (InVS)X (2005)X X (2011)
Agence nationale de sécurité du médicament (ANSM) X (2005)XX (2013)
Haute autorité de santé (HAS) X (2006)X (2006)X (2013)
Agence de la biomédecine (ABM)X (2011)X (2011) 
Institut national du cancer (INCa)X (2006)X (2006) 
Agence technique de l'information hospitalière (ATIH) X (2008)X (2008) 
Haut conseil pour l’avenir de l’assurance maladie (HCAAM) X (2005)X  
Centre technique d'appui et de formation des centres d'examens de santé (CETAF) X (2005)X 
Union nationale des professions de santé (UNPS) XX 
Unions régionales des professions de santé (URPS) X (2005 pour les médecins puis 2013 pour toutes) 
INSERMX (2005)X  
CNRSX (2005)X  
IRDESX (2005)X  
Institut des données de santé (IDS) et ses membres (UNOCAM, CISS, FEHAP, FHF, FHP)X (2005)X
Membres des membres de l’IDSX (2008)
Fonds CMU X (2011)X (2011)
Observatoire des drogues et toxicomanies X (2011)X (2011)
Organismes complémentaires participant à l'expérimentation MONACO X (2011)

Source : Cour des comptes d’après les arrêtés relatifs au SNIIRAM.

Les organismes à but lucratif n’ont pas accès aux données du SNIIRAM, en vertu d’une interdiction générale posée par l’arrêté, alors qu’ils accèdent aux données du PMSI. Des contournements sont possibles par l’intermédiation d’équipes de recherche publique, répondant à une commande privée, par exemple dans le secteur du médicament. C’est pourquoi l’IDS s’est prononcé le 4 février 2014 en faveur d’un accès des organismes à but lucratif réalisant des études et des recherches ayant un apport en termes de santé publique.

Début 2016, des questions d’accès étaient toujours pendantes en raison de la suspension des travaux du COPIIR depuis 2013, et du refus de la CNIL d’examiner de nouveaux projets d’arrêté. Des demandes, notamment de la DREES et de l’ATIH, sont ainsi bloquées depuis trois ans alors que le COPIIR s’est prononcé favorablement. D’autres demandes, malgré les vœux réitérés de l’IDS, n’ont pu être examinées faute de réunion du COPIIR, comme pour les équipes compétentes des CHU ou les observatoires régionaux de la santé. Cette situation est très dommageable au regard des enjeux liés à l’exploitation du SNIIRAM, notamment pour des sujets de santé publique.

Une imprécision dommageable des procédures d’instruction

La gouvernance des accès permanents aux données du SNIIRAM se caractérise par l’imprécision des textes en vigueur qui, en générant une concurrence entre instances, a conduit à mettre un coup d’arrêt, à partir de 2013, au mouvement d’ouverture amorcé.

En effet, aux termes du premier protocole de 2001, il revenait au COPIIR de définir les conditions d’accès aux données du SNIIRAM non seulement pour ses membres mais aussi pour des utilisateurs externes. Cette mission lui a été retirée en deux temps : d’abord pour les utilisateurs externes en 2005 après la création de l’Institut des données de santé, puis complètement en 2008 quand le protocole a expressément prévu que les accès permanents soient fixés dans l’arrêté relatif au SNIIRAM. Pourtant, depuis 2010, plus de la moitié des points à l’ordre du jour du COPIIR a concerné la gestion des droits d’accès permanents à la base, ce que rien ne justifiait réglementairement. Cette instance a de facto concentré son activité sur la gestion des droits d’accès permanents, outrepassant ses missions et responsabilités au détriment de son rôle d’orientation et de pilotage. Elle a ainsi profité du flou juridique concernant la procédure d’élaboration des arrêtés relatifs au SNIIRAM : même si aucune consultation du COPIIR n’est expressément prévue par les textes, la pratique est restée. L’institut des données de santé a, quant lui, pour mission de « veiller à la mise à disposition de ses membres, de la Haute autorité de santé (HAS), des unions régionales des médecins exerçant à titre libéral ainsi que d’organismes désignés par décret en Conseil d’État -qui n’a jamais été pris-, à des fins de gestion du risque maladie ou pour des préoccupations de santé publique, des données issues des systèmes d’information de ses membres, dans des conditions garantissant l’anonymat46 ». Si son rôle dans les demandes d’accès ponctuels est mentionné dans l’arrêté relatif au SNIIRAM, le cadre de son intervention en matière de demande d’accès permanents ne l’est pas. Pourtant, en s’appuyant sur une analyse des demandes récurrentes d’accès ponctuels et en profitant des rapports annuels au Parlement, l’IDS a pris l’initiative de formuler régulièrement des vœux en matière d’ouverture des accès permanents sans avoir en tant que tel, à exprimer d’avis sur ces demandes.

L’indétermination de la procédure d’instruction des droits d’accès permanents, en particulier des instances à consulter, explique pourquoi le COPIIR comme l’IDS ont cherché à étendre leurs prérogatives, profitant du vide juridique. Dès lors, loin de la complémentarité voulue par le législateur, ces deux structures sont entrées en concurrence, sans susciter de réaction de l’État. Il était de sa pleine responsabilité de modifier le cadre juridique, en particulier les textes réglementaires et dans une moindre mesure le protocole interrégimes ou la convention de l’IDS, pour clarifier les procédures et les compétences respectives. À l’inverse, l’administration a laissé cette situation infructueuse perdurer. Dès lors, la tutelle, responsable en dernier ressort du contenu de l’arrêté, a bloqué l’ouverture des droits d’accès permanents au SNIIRAM, arguant du refus de la CNIL d’examiner un nouveau projet d’arrêté dans l’attente d’un audit de sécurité du système par la CNAMTS.

Une procédure éclatée et particulièrement lente pour les accès ponctuels

En dehors des accès permanents définis par arrêté, les demandes d’accès et de traitement des données du SNIIRAM relèvent du droit commun de la loi « informatique et libertés », mais selon des procédures différentes en fonction de leurs finalités comme le résume le graphique ci-dessous. Néanmoins, l’autorisation revient toujours in fine à la CNIL à condition que les données aient un caractère personnel ou que leur traitement présente un risque de réidentification.

synthèse des procédures d’accès par finalité

Source : Cour des comptes.

Le rôle de la CNAMTS dans les demandes d’accès ponctuels

Le département « maîtrise d’ouvrage informatique et étude statistique » (MOISE) de la CNAMTS intervient tout au long de la procédure de demandes d’extraction ad hoc du SNIIRAM par un dialogue constant avec les organismes et équipes de recherche pour les aider à reformuler leur demande par rapport aux données contenues dans le SNIIRAM. Il assure tout ou partie de la représentation de la CNAMTS au sein de l’IDS, se prononçant de fait sur la légitimité des demandes et leur faisabilité. Il élabore les conventions de mise à disposition des données ou de collaboration comme avec l’ANSM. Il réalise l’extraction des données avec, le cas échéant, encore des échanges avec le demandeur et avec la CNIL si les termes de l’autorisation posent des difficultés : une fois la demande parfaitement définie et validée, ce qui prend plusieurs mois, trois mois en moyenne sont nécessaires pour livrer les données.

Les traitements de données ayant pour fin la recherche dans le domaine de la santé

Pour la recherche dans le domaine de la santé, des demandes d’accès et de traitement des données individuelles du SNIIRAM à des fins cliniques et épidémiologiques sont autorisées, à l’exception du suivi thérapeutique ou médical des patients. Il peut s’agir de suivi de médicaments ou de dispositifs médicaux en vie réelle, comme avec la cohorte nationale de femmes, constituée pour analyser les conséquences médicales du port de prothèses mammaires en silicones de la société PolyImplant Prothèse (PIP), dénommée Lucie. Ces demandes relèvent des dispositions du chapitre IX de la loi « informatique et libertés » (articles 53 à 61). Le comité consultatif pour le traitement de l’information en matière de recherche dans le domaine de la santé (CCTIRS, rattaché au ministère de la recherche) formule un avis sur la méthodologie de l’étude, la pertinence des données à caractère personnel demandées par rapport à l’objectif de la recherche et les modalités de protection des personnes. La CNIL se prononce ensuite dans un délai de deux mois, renouvelable une fois, délai qui en pratique peut être très supérieur.

Il n’a pas été possible à la CNIL de répertorier précisément en raison de leur absence de suivi, les demandes qui concernent spécifiquement les données du SNIIRAM, mais, selon ses indications, lui auraient été adressées chaque année entre 700 et 800 demandes portant sur le PMSI ou le SNIIRAM, avec un doublement depuis cinq ans. L’activité du CCTIRS a augmenté jusqu’en 2011 (de 744 dossiers en 2003 à 1053 en 2011) avant de diminuer et de se stabiliser autour de 960 dossiers traités par an. Ce nombre correspond à la limitation du nombre de dossiers traités par expert et non au plafonnement du nombre de dossiers reçus de sorte que les délais de réponse s’allongent et que les avis favorables avec réserves augmentent.

Les traitements de données à caractère personnel pour évaluation des pratiques de soins et de prévention

Si les données sollicitées ne visent pas un projet de recherche, mais « l’évaluation des pratiques de soins et de prévention », elles relèvent de la procédure prévue au chapitre X de la loi « informatique et libertés ». Dans ce cas, c’est l’IDS qui rend un avis amont de la CNIL. Celle-ci se prononce dans un délai de deux mois, renouvelable une fois. Ces demandes d’accès ponctuels concernent soit l’accès à des données agrégées déjà structurées47 sous la forme de magasins de données agrégées par des organismes ne figurant pas dans l’arrêté – que l’IDS qualifie d’offre standard, soit des demandes d’extraction ad hoc48 de données du SNIIRAM.

L’IDS, qui a formalisé sa procédure d’examen dès 2008, se prononce sur la recevabilité de la demande (complétude du dossier, statut juridique du demandeur), sur la finalité et la déontologie de l’étude. Il rend son avis dans un délai minimum d’un à deux mois à réception du dossier complet s’il s’agit d’une demande portant sur l’offre standard. Cette approbation peut se suffire à elle-même si les données traitées préservent réellement l’anonymat. Ce délai est porté à trois mois pour les demandes d’extraction ad hoc, lorsque le bureau de l’IDS décide de saisir son comité d’experts ou en cas de question importante de principe ou de méthodologie.

Le comité d’experts de l’IDS

Aux termes de l’article 36 du règlement intérieur, le comité d’experts de l’IDS est composé de 10 à 14 personnes physiques avec voix délibérative, ayant des compétences dans les domaines de la statistique, de l’épidémiologique, de l’économie de la santé, du médical et de l’éthique.

Le comité d’experts éclaire, à sa demande, le bureau de l’Institut sur les demandes d’accès au SNIIRAM sans donner d’avis en opportunité. Il s’exprime à partir d’une pré-instruction technique des demandes, réalisée par l’IDS.

Le quorum, fixé à la moitié des membres plus un, n’a pas été respecté dans douze des 22 réunions tenues de janvier 2011 à février 2015. En 2015, il n’a été atteint qu’une seule fois. Il revient certes au président du comité d’expert d’apprécier avant chaque délibération si les membres présents représentent les compétences nécessaires à l’expression de l’avis, mais l’absence régulière de quorum fragilise les avis rendus.

De janvier 2009 à juin 2015, 161 demandes ont été approuvées par l’IDS et autorisées par la CNIL. La croissance est particulièrement sensible depuis début 2014 avec 71 demandes approuvées, soit presqu’autant que sur les quatre années précédentes. Cette dynamique s’explique non seulement par les progrès dans la qualité de la base mais aussi par la rareté des accès permanents. Les demandes d’accès directs temporaires aux bases représentent 47 % des dossiers et celles d’extraction de données 53 %, avec une augmentation de ces dernières depuis janvier 2014, en particulier des CHU, de l’ATIH et de l’agence de biomédecine.

Des délais d’instruction excessifs et qui s’accroissent

Les procédures d’accès ponctuels aux données du SNIIRAM sont d’autant plus longues qu’aucune demande n’est validée par les instances concernées (CCTIRS, IDS ou CNIL) sans échanges, nombreux, avec les demandeurs pour limiter la transmission des données à celles strictement nécessaires pour atteindre l’objectif recherché.

Il faut donc en moyenne 18 mois pour obtenir une extraction de données du SNIIRAM dans le cadre d’un accès ponctuel : entre deux et quatre mois pour l’avis de l’IDS, puis entre six mois et un an pour l’autorisation de la CNIL avec des délais très variables et difficilement prévisibles, et enfin trois mois pour la réalisation de l’extraction par la CNAMTS. L’allongement des délais moyens d’instruction des demandes par la CNIL est sensible 49 : concernant les demandes d’extraction des données du SNIIRAM examinées par l’IDS, ils étaient de 3 mois en 2012, de 5 mois en 2014 et de 6 mois en 2015, certaines demandes étant pendantes depuis 9 mois50.

Un encadrement des modalités de traitement des données qui retarde l’accès réel au SNIIRAM

Une fois les droits d’accès obtenus, les organismes doivent encore obtenir des autorisations de traitement des données (confondues avec les demandes d’accès ponctuels dans certains cas) et des habilitations individuelles pour les accès permanents, signer des conventions de mise à disposition des données voire des engagements individuels, et suivre des formations aux différentes bases.

L’interdiction du croisement des variables sensibles, sauf exception

La prévention de tout risque pour l’anonymat des bénéficiaires suppose non seulement de garantir que les données directement ou indirectement nominatives sur les assurés ne puissent être transmises (ce qui justifie le double procédé de « pseudonymisation ») mais aussi que les données figurant dans la base, par recoupement, ne puissent permettre leur identification indirecte. Cette exigence a conduit à rendre impossible l’affichage des résultats en dessous du seuil de dix bénéficiaires concernés et à exclure certaines recherches croisées sur des variables potentiellement identifiantes dites sensibles, ou à les réserver à certains utilisateurs, en particulier les médecins51. La liste retenue pour ces variables sensibles est plus restreinte que celle proposée initialement par la CNIL : il s’agit du code de la commune de résidence, du mois et de l’année de naissance, de la date des soins et de la date de décès (depuis 2008).

Ne sont aujourd’hui52 autorisés à effectuer des recherches dans le SNIIRAM en croisant une ou plusieurs variables sensibles que :

les médecins-conseils de l’assurance maladie et les personnels habilités placés sous leur autorité et nommément désignés, depuis la mise en place du SNIIRAM ;

à titre expérimental, les médecins de l’InVS et les personnels habilités placés sous leur autorité, nommément désignés par le directeur de l’institut, médecin et donc représentant de l’autorité médicale de l’institut, pour une durée de trois ans (à compter du 19 juillet 2013) dans la mesure où ces variables sont strictement nécessaires à l’accomplissement de leur mission de surveillance, d’alerte sanitaire et de veille sanitaire ;

les médecins des ARS et les personnels habilités placés sous leur autorité dans le cadre des « expérimentations PAERPA », dans la mesure où ces variables sont strictement nécessaires à l’accomplissement de leurs missions et pour la seule durée de l’expérimentation.

La restriction que constitue la présence du code de la commune de résidence parmi les variables sensibles n’est pas exempte de contradiction avec la préoccupation d’une plus grande territorialisation des politiques de santé, par exemple en matière d’épidémiologie environnementale, qui pour prospérer doivent bénéficier d’études à ce niveau de finesse. La question se pose ainsi de donner plus largement accès aux données géographiques fines existantes (communes, voire quartiers) des bénéficiaires et des prestataires de soins, et de collecter des données géographiques plus fines au niveau du quartier ou selon la méthode du carroyage pratiquée par l’INSEE. D’autres mesures de sécurité existent pour protéger la vie privée telles que l’interdiction d’affichage et d’importation de résultats en dessous de dix bénéficiaires concernés qui ne rendraient pas impossibles certaines études.

Un décret en Conseil d’État pour utiliser le NIR à des fins d’appariement de données

L’utilisation du numéro d’inscription des personnes au répertoire d’identification des personnes physiques (NIR) permet aux équipes de recherche et aux agences sanitaires, en particulier l’InVS, d’apparier les données individuelles du SNIIRAM avec celles recueillies par d’autres organismes comme pour les cohortes, en retrouvant les personnes à partir de ce numéro. Cette utilisation nécessite une autorisation de traitement par décret en Conseil d’État, pris après avis motivé et publié de la CNIL.

Cette procédure, portée par la direction générale de la santé, s’avère lourde et longue même si, à la faveur de sa montée en charge, les délais ont été réduits. La DGS53 examine d’abord la pertinence et la complétude de la demande en veillant au respect d’une stricte proportionnalité entre l’objectif poursuivi, les données souhaitées, et leurs modalités de conservation. Elle transforme ensuite la demande en un projet de décret et se charge des consultations obligatoires avant transmission au Conseil d’État : CCTIRS ou comité de protection des personnes (pour les recherches interventionnelles sur la personne physique) ; CNIL qui rend son avis dans un délai théorique de deux mois ; conseils d’administration des caisses de sécurité sociale concernées : la CNAMTS systématiquement au titre du SNIIRAM, la CNAVTS en tant que tiers de confiance pour l’utilisation du NIR, ou encore la MSA par exemple pour la cohorte Coset 54.

Compte tenu de leur complexité, ces procédures sont très rares, et découragent parfois les initiatives des chercheurs. Seuls trois décrets en Conseil d’État ont ainsi été publiés - deux en 201355 et un en 201456 - et trois étaient en cours d’élaboration fin 2015.

Une procédure minutieuse d’autorisation au cas par cas par la CNIL

Un contrôle a priori des demandes de données

La CNIL délivre des autorisations de traitement des données, y compris pour les données archivées du SNIIRAM, qui permettent de déroger au principe d’interdiction de collecte et de traitement des données de santé à caractère personnel. Elles précisent notamment les données effectivement accessibles, les modalités d’organisation des flux d’information, la durée de conservation des données et les mesures de sécurité recommandées. Elles constituent le cadre à respecter, sous peine de sanction.

Son examen se déroule en deux temps : d’abord une phase d’instruction technique, menée par le service santé de la direction de la conformité en lien étroit avec des experts de la direction des technologies et de l’innovation ; puis une phase décisionnelle lorsque le collège est amené à se prononcer (élaboration du rapport et du projet de délibération avec un dialogue nourri avec le rapporteur) avant la réunion en séance plénière de la CNIL. Aux termes de l’article 64 de la loi « informatique et libertés », la CNIL peut interdire la communication des informations non nécessaires et restreindre les données transmises.

Pour ce faire, elle apprécie les demandes par rapport aux finalités de la recherche et aux missions des organismes, entrant dans le détail des protocoles de recherche au-delà même des avis déjà formulés par les comités consultatifs - CCTIRS et IDS-, alors même qu’elle ne dispose d’aucune compétence scientifique au sein de son service santé. Elle substitue parfois d’autres données à celles demandées, en autorisant par exemple la communication de l’âge plutôt que de la date de naissance de l’individu. Les protocoles des équipes de recherche s’en trouvent parfois modifiés, ce qui suscite une forte incompréhension de leur part.

Il appartient naturellement à la CNIL de veiller à ce que les dispositifs juridiques et techniques mis en place pour permettre l’accès aux données de santé et leur appariement ne soient pas de nature à remettre en cause l’anonymat des personnes concernées et la sécurité des données. La notion d’anonymat mentionnée dans l’article L. 161-28-1 du code de la sécurité sociale expliquerait des positions de la CNIL, jugées souvent trop restrictives, mais présentées par elle comme étant juridiquement contraintes. Ainsi, malgré les procédures rigoureuses de « pseudonymisation » opérées sur les données du SNIIRAM, ces données demeurent potentiellement identifiantes. C’est pourquoi, afin de lever toute difficulté, l’article 193 de la loi de modernisation de notre système de santé (voir infra) a remplacé la notion d’ « anonymat » par celle de protection de la « vie privée », offrant ainsi une plus grande souplesse d’interprétation.

Des démarches de simplification inabouties

Des démarches de simplification ont été engagées pour alléger les formalités ou développer les bonnes pratiques. Elles sont adoptées à l’initiative de la CNIL (au regard du volume de traitements concernés) ou des acteurs du secteur. Leur portée reste toutefois très limitée.

Pour les demandes à finalité de recherche du chapitre IX, la CNIL peut publier des méthodologies de référence pour les catégories les plus usuelles de traitement automatisé sans identification directe des personnes concernées. Le demandeur n’envoie alors à la CNIL qu’un engagement de conformité et la CNIL examine le dossier selon une procédure simplifiée. Ces méthodologies de référence désengorgent le CCTIRS et la CNIL, et réduisent de facto les délais de réponse pour l’ensemble des demandes. Or, sur une période de dix ans, seules deux méthodologies de référence ont été publiées : la première en janvier 2006 sur les recherches biomédicales et la deuxième en juillet 2015 sur les recherches relatives aux dispositifs de diagnostic in vitro. Compte tenu du risque de réidentification propre aux données du SNIIRAM et du PMSI, la CNIL considère que leur traitement ne relève pas des catégories les plus usuelles. Ces méthodologies sont en tout état de cause, en l’état de la loi « informatique et libertés », impossibles pour les demandes à des fins d’évaluation des soins et de prévention (chapitre X).

Dans le cadre du chapitre X, la CNIL peut délivrer des autorisations-cadres permettant d’autoriser en une seule fois des traitements « répondant à une même finalité portant sur des catégories de données identiques et ayant des destinataires ou des catégories de destinataires identiques57. » Or, seuls la CNAMTS et l’InVS, et encore seulement depuis le 23 février 2016, disposent d’une telle autorisation pour réaliser des études de cohortes rétrospectives à partir des données désarchivées du SNIIRAM (pour les années 2006 à 2011) selon une méthodologie unique. Il s’agit pour la CNAMTS de décrire d’éventuels liens statistiques entre la consommation d’une spécialité pharmaceutique et la survenue d’une pathologie ou d’un décès. Mais en l’état actuel du droit, cette mesure nécessite que le responsable de traitement ait une existence juridique propre, ce qui n’est par exemple pas le cas de chacune des unités de recherche de l’INSERM.

Face à la montée en charge des utilisations du SNIIRAM et à la faiblesse des effectifs du service santé de la CNIL (moins de 6 ETP58), une priorité devrait être accordée à l’élaboration de démarches de simplification pour l’accès au SNIIRAM et aux autres bases médico-administratives qu’intègrera le SNDS.

Une mise à disposition réelle des données soumise à conditions

Les conventions de mise à disposition et chartes de bonne utilisation

Le protocole inter-régimes prévoit une charte d’utilisation des données du SNIIRAM. Une convention générale d’utilisation précise quant à elle les obligations des fournisseurs de données et des utilisateurs en conditionnant leur exploitation de données détaillées à la signature d’un protocole d’exploitation, lorsqu’ils n’appartiennent pas à l’État, à l’assurance maladie, aux instances représentatives des prestataires de soins, aux URPS, et aux ARS. C’est sur le fondement de ce protocole que se font les demandes d’accès ponctuels auprès de la CNIL.

Par ailleurs, la CNAMTS, avant toute mise à disposition des extractions, élabore une « convention de cession des données dans le cadre de la mise à disposition », à partir d’une convention-type. Elle contient des dispositions relatives aux règles de sécurité, à la durée de l’étude et aux contreparties et obligations de l’utilisateur, en particulier sur la propriété des données et leur destruction une fois l’étude réalisée. Cette convention peut, le cas échéant, être complétée par une convention de collaboration comme avec l’ANSM. Aucune donnée n’est mise à disposition par la CNAMTS tant que cette convention n’a pas été signée.

L’Institut des données de santé a, de son côté, élaboré une charte de déontologie que tous les organismes demandeurs, qu’ils soient membres de l’IDS ou non, doivent respecter. Ainsi, ce code de bonne conduite fixe des principes généraux quant à l’utilisation des données (anonymat, confidentialité, non dissémination ou encore intégrité des données), rappelle les finalités autorisées des études et précise les modalités de diffusion59 des résultats qui est conditionnée à leur transmission préalable à l’IDS. Les organismes demandeurs s’engagent aussi à respecter l’ensemble des règles techniques, fonctionnelles et sécuritaires d’accès et d’utilisation des données formalisées et communiquées par les organismes apporteurs.

Ces documents relevant d’instances distinctes sont redondants et sources de complexité pour les organismes demandeurs. Ils répondent essentiellement à des enjeux de sécurisation des instances et acteurs impliqués dans la mise à disposition des données quant à leur éventuelle responsabilité en cas de mésusage des données pour pallier le silence des textes sur les responsabilités incombant à chacun, dans un cadre consolidé.

Une procédure d’habilitation individuelle complexe

Une procédure d’habilitation individuelle est également prévue à l’annexe n° 2 du protocole interrégimes60 afin de sécuriser les accès individuels aux données une fois les organismes autorisés. La gestion des habilitations individuelles pour leurs membres a été confiée aux organismes autorisés pour les responsabiliser en fonction d’une liste des principales données à mobiliser par finalité, et d’une typologie des données accessibles par finalité, utilisateur, périmètre géographique et durée d’utilisation. Un nombre maximal d’utilisateurs par organisme en fonction des profils d’habilitation est par ailleurs fixé par le protocole.

Les utilisateurs se voient délivrer des profils d’utilisation et des codes d’accès personnels, restreignant les données accessibles et les traitements autorisés sur le portail SNIIRAM. Chaque utilisateur, selon ses usages et les équipes avec lesquelles il travaille, peut également se voir délivrer plusieurs profils (pour une seule habilitation, donc).

Le nombre des profils a augmenté de manière exponentielle au fil du temps. La première délibération de la CNIL sur le SNIIRAM visait 14 profils. En 2015, il en existait 85. Le rapport coût/avantages des restrictions apportées aux profils utilisateurs semble parfois marginal au regard de la complexité engendrée.

Si cette procédure contribue au contrôle des utilisations faites du SNIIRAM, elle est néanmoins source de lenteur puisqu’elle rajoute une étape supplémentaire dans le parcours des utilisateurs. Par ailleurs, la CNIL a recommandé d’en renforcer la sécurité : malgré l’existence de revues régulières d’habilitations, les autorités d’enregistrement ne définissent pas systématiquement la durée d’habilitation et ne suppriment pas sans délai les habilitations en cas de départ ou de changement de fonction d’un employé habilité.

Un accompagnement des utilisateurs à renforcer

Trop longue et complexe, la procédure d’accès peut décourager certains utilisateurs, en particulier dans le monde de la recherche, qui attendent de longs mois tout en étant confrontés à des problèmes de financement des projets. Depuis 2006, l’Institut thématique multi-organismes (ITMO) de santé publique gère une procédure simplifiée et centralisée permettant aux chercheurs des structures de l’INSERM d’accéder aux données de l’EGB et à des extractions spécifiques. Cette cellule dédiée, véritable guichet unique, les accompagne à toutes les phases de l’instruction de leur demande d’accès puis assure la gestion des habilitations individuelles en lien avec la CNAMTS. Une telle centralisation permet d’améliorer la qualité des dossiers de demande, en particulier leur adéquation avec les données effectivement contenues dans le SNIIRAM et le cadre juridique en vigueur, et donc de diminuer les délais d’obtention des données.

Une fois les autorisations obtenues, les utilisateurs sont confrontés aux difficultés d’appropriation d’une très grande base de données contenant des variables complexes. Des outils d’apprentissage ont été développés, tels que les formations61 organisées par la CNAMTS dont certaines sont obligatoires pour être habilité, des stages dans des équipes expérimentées et des dictionnaires de variables qui pourraient gagner en précision62. Les lettres mensuelles « actualités SNIIRAM » de la CNAMTS, qui retracent les évolutions de la base mériteraient d’être synthétisées dans un document unique.

Des outils de traitement à la demande au service des utilisateurs

La CNAMTS développe, à la demande d’utilisateurs externes, des outils spécifiques. Ainsi, le RSI exploite depuis 2009 des outils simplifiés (« presse-boutons ») extrayant les données de ses seuls bénéficiaires.

L’Institut des données de santé63 développe lui aussi, dans le cadre de son service d’aide à la décision, des tableaux de bord agrégeant des données des datamarts (39 en 2015). Ils permettent d’assurer le suivi d’indicateurs dans le temps et sont déclinables géographiquement ou selon les caractéristiques des assurés ou des professionnels de santé. Ce service est mis gratuitement à disposition de ses membres, à l’exception de neuf tableaux de bord développés pour répondre à des besoins spécifiques de certains d’entre eux. Ces outils devraient se développer à l’avenir dans le cadre d’une demande croissante d’accès aux données par des acteurs qui ne disposeraient pas des compétences pour les exploiter directement.

Si l’ergonomie des bases et la mise à disposition de requêtes automatisées progressent, la mutualisation des compétences et l’accompagnement des utilisateurs dans le traitement des données sont des prérequis pour passer d’un accès de droit à un accès réel. Il manque ainsi un pôle fort de ressources, dont d’autres pays ont su se doter (voir l’exemple américain en annexe n° 11). Plusieurs initiatives sont néanmoins à signaler comme le réseau REDSIAM ou les outils développés par l’UMS 011 de l’INSERM, qui gère la cohorte Constances. Il s’agit de faciliter l’utilisation des données du SNIIRAM dans des cohortes par la mise à disposition de variables indicatrices simples64, pour enrichir en routine leur contenu, et par la construction de requêtes types et de modèles complets simplifiés.

Un usage croissant par l’assurance maladie mais encore insuffisant

Jusqu’à la création du SNIIRAM, la CNAMTS utilisait pour documenter ses travaux les différentes bases de données à sa disposition. Elle disposait de données concernant uniquement ses assurés sur l’activité des professionnels de santé et les consommations de soins (base SIAM – Système d’information de l’assurance maladie, qui agrégeait certaines données des CPAM à un rythme moins régulier), sur les cliniques privées ainsi que les données du PMSI transmises par l’ATIH.

Le SNIIRAM lui a permis de disposer d’un outil unifié qui alimente l’essentiel de ses études et traitements, de la connaissance du système de soins à travers l’analyse des consommations de soins et de l’offre de soins, à la mise en place d’actions multiples de gestion du risque et de maîtrise médicalisée des dépenses à la lutte contre les abus et les fraudes. La caisse est aujourd’hui dans l’incapacité d’évaluer le temps consacré par ses équipes à l’utilisation du SNIIRAM tant elle est quotidienne et indissociable de la conduite courante des missions des différents départements, sans être en mesure de documenter plus précisément la montée en charge de son usage. Pour autant, la référence désormais quasi-systématique au SNIIRAM comme source d’information des différentes études conduites par la caisse atteste de ce recours désormais de plus en plus régulier.

L’analyse des rapports « Charges et Produits » 65 des neufs dernières années met en lumière ce fort développement de l’utilisation du SNIIRAM et démontre l’amélioration de la qualité des informations et des études que la CNAMTS a ainsi pu conduire. Si la structure des rapports n’a pas fondamentalement changé, leur contenu s’est très nettement enrichi au fil des années. Alors que les premiers présentaient les grands équilibres du régime général et les grandes actions de maîtrise des dépenses menées par la CNAMTS, les rapports récents sont plus détaillés. Les deux derniers (publiés en septembre 2014 et 2015) contiennent des études variées : analyses de parcours de soins, développement des études sur les populations dites vulnérables, amélioration des connaissances en matière de pilotage des dépenses sur les produits de santé et sur les transports sanitaires, etc. Cette multiplication des études et leur précision accrue est le résultat non seulement de la prise de conscience du potentiel du SNIIRAM, mais également de la montée en compétence progressive des équipes.

Une organisation interne perfectible

Au 1er septembre 2015, 281 salariés de la CNAMTS étaient habilités à accéder au SNIIRAM, dont 76 dans des missions de support technique. Les habilitations sont concentrées dans deux directions : la direction déléguée à la gestion et à l’organisation des soins (DDGOS) et la direction de la stratégie, des études et des statistiques (DSES) représentent 81 % des habilitations et 86 % des profils autorisant le croisement des variables sensibles (45 à la DSES et 25 à la DDGOS). Les deux autres directions « métier » ayant recours au SNIIRAM sont la direction en charge de la lutte contre la fraude et la direction en charge du suivi des risques professionnels.

La DSES et la DDGOS ont toutes deux pour mission la production d’études dans des champs similaires et comptent dans leurs effectifs des statisticiens expérimentés capables d’exploiter les données du DCIR. Si la réorganisation de la CNAMTS en 2005 qui avait abouti à cette organisation a fait le choix d’une montée en compétence statistique des départements métiers notamment pour permettre l’exploitation la plus large possible du SNIIRAM, la répartition des études entre la DDGOS et la DSES semble ne dépendre ni des thématiques ni de la complexité des traitements. Au-delà de ses attributions propres66, la DSES réalise des études pour d’autres directions. Ainsi, les missions du département « Études sur l’offre de soins » de la DSES miroitent très largement avec celles du département « Offres de soins » de la DDGOS ce qui est sans doute caractéristique d’une organisation en mode projet. Mais l’absence de procédure de définition des études, connues des acteurs, invite à s’interroger sur le pilotage global des études au sein de la caisse.

Un outil au service de la connaissance du système de santé

Le SNIIRAM, outil de connaissance des dépenses de santé et d’aide à la décision

En tant que base enregistrant toutes les données de remboursement, le SNIIRAM est utilisé par la CNAMTS pour les analyses financières d’évolution des dépenses de l’assurance maladie. Ainsi, elle a publié le 29 septembre 2015 un important travail de « cartographie des pathologies et des dépenses » intégralement alimenté par des données du SNIIRAM.

L’apport du SNIIRAM dans la cartographie des pathologies prises en charge par l’assurance maladie

Les dépenses du seul régime général sont ventilées par pathologie. Grâce à la définition d’algorithmes de traitement du SNIIRAM croisant des informations issues du PMSI et des consommations d’actes et de produits de santé, selon une méthodologie fine, les pathologies couvertes par l’assurance maladie ont été regroupées en 56 catégories et les dépenses remboursées correspondantes leur ont été affectées. Ce travail montre à quel point le SNIIRAM, malgré sa faible médicalisation, permet désormais, grâce au chaînage avec le PMSI et à la montée en compétence des équipes chargées d’élaborer ces algorithmes, de conduire des études affinées sur les pathologies. La mise à disposition de ces données (et de la méthodologie sous-tendant l’étude) est également à souligner, marquant un effort de transparence et d’information du grand public.

Le SNIIRAM est également utilisé pour suivre, à un niveau agrégé, l’évolution des dépenses. C’est sur la base du DAMIR que la CNAMTS communique tous les mois au comité de suivi statistique de l’ONDAM les données nécessaires au suivi des dépenses et que sont élaborées les prévisions d’évolution de ces dernières. Ces données sont encore aujourd’hui des données « régime général », sur la base desquelles les dépenses « inter-régimes » sont extrapolées.

Enfin, dans le cadre des négociations conventionnelles, le SNIIRAM est utilisé comme outil d’aide à la décision. Les équipes de la CNAMTS s’en servent en effet pour modéliser les revendications des différents acteurs des négociations et évaluer leur impact financier et les populations concernées.

Une contribution aux études de santé publique complémentaire des missions des autorités et agences sanitaires

C’est l’apport médical et scientifique des données du PMSI qui est à l’origine du développement d’études de santé publique sur la base du SNIIRAM.

La profondeur historique du SNIIRAM permet de documenter, souvent à la suite d’alertes de pharmacovigilance, de nombreux effets des médicaments sur la santé des patients. En identifiant les patients ayant consommé un produit donné et en comparant leur consommation de soins ultérieure avec des groupes tests, les chercheurs peuvent mettre en lumière des complications ou des effets indésirables qui n’auraient pas été décelés lors des études préalables à la délivrance de l’autorisation de mise sur le marché.

La première étude d’ampleur a concerné le Médiator®, pour lequel une équipe de la CNAMTS a produit, en 2009, les premiers travaux statistiques confirmant le lien entre la consommation du médicament et le développement de valvulopathies et d’hypertension artérielle pulmonaire. Depuis, ont été conduites une dizaine d’études de cette nature comme celle sur les effets de la consommation de Dépakine chez les femmes enceintes démarrée à l’été 2015 à la suite d’une alerte de l’ANSM. Ces quelques études, dont certaines sont coordonnées avec l’ANSM, restent néanmoins marginales.

Un apport à l’efficience des soins et la gestion du risque encore timide

En matière de gestion du risque et d’amélioration de l’efficience des soins, l’utilisation du SNIIRAM pourrait davantage être développée. Des expérimentations ont lieu, mais restent encore insuffisantes. À titre d’exemple, l’absence d’outil en interne à la CNAMTS permettant de suivre sur longue période et de manière simple les dépenses rattachées aux affections de longue durée est regrettable.

Néanmoins, des progrès sont notables. Depuis la mise en place des parcours de soins coordonnés, la CNAMTS a développé ses études relatives au suivi des pathologies et des parcours, afin d’analyser leur qualité et leurs coûts. L’utilisation du SNIIRAM dans le cadre des programmes d’accompagnement des retours à domicile après hospitalisation (PRADO), dont la CNAMTS escompte 840 M€ d’économies cumulés sur trois ans, l’illustre. Ces programmes visent à améliorer l’efficience du système de soins en favorisant le retour à domicile des patients tout en limitant les risques de réhospitalisation. Pour leur définition et leur suivi, le SNIIRAM est très largement utilisé. Ses données permettent de cibler les motifs d’hospitalisation à prioriser, d’identifier les sources potentielles d’économies et les territoires d’expérimentation, puis de contrôler a posteriori que les parcours de soins mis en œuvre sont cohérents avec les recommandations de bonnes pratiques de la Haute autorité de santé (HAS) et les référentiels existants.

Plus généralement, en enregistrant l’ensemble des actes prescrits et des facturations en ville, le SNIIRAM permet d’identifier les comportements de prescription qui nécessitent des actions de régulation et les indicateurs de suivi appropriés. Des profils de prescription des médecins sont établis, tels que le « profil personnalisé de prescription des arrêts de travail » ou le « profil iatrogénie » pour détecter les risques de polymédication chez les personnes âgées. Ces profils, qui comparent les pratiques de prescription des médecins entre eux, sont le support des visites des délégués de l’assurance maladie et des campagnes de sensibilisation de la CNAMTS. Leur rôle dans la maîtrise des dépenses n’est pas encore à la hauteur des enjeux.

Des initiatives timides de maîtrise médicalisée des dépenses ont par exemple été prises en matière de pratiques individuelles des professionnels de santé. Ainsi, la CNAMT a élaboré quatorze référentiels relatifs à des actes de masso-kinésithérapie dans le champ ostéo-articulaire et définit ainsi des seuils de déclenchement de la procédure de mise sous accord préalable du remboursement67[1]. Ces seuils ont été établis à partir de l’exploitation des données du SNIIRAM, après consultation des syndicats représentatifs de la profession et des sociétés savantes et transmis pour avis à la HAS. Ceci montre comment le SNIIRAM, en mettant en lumière les pratiques moyennes des professionnels de santé, pourrait contribuer à un meilleur contrôle de leur activité et à une maîtrise accrue des dépenses, à condition toutefois que le respect de ces référentiels soit plus effectivement contrôlé comme la Cour l’a montré dans son rapport sur l’application des lois de financement de la sécurité sociale pour 2015.

Davantage exploiter le SNIIRAM pour améliorer la prise en charge des patients : l’exemple du pied diabétique

Une étude récente sur les patients diabétiques illustre ces nouvelles utilisations de la base par la CNAMTS. À partir des données du DCIR des quatre dernières années, le département d’études sur les pathologies et les patients a identifié, grâce à un algorithme, les patients souffrant de diabète qu’ils soient déclarés en ALD ou qu’ils aient bénéficié d’au moins trois remboursements d’antidiabétiques dans l’année ou l’année précédente. Puis, les données du PMSI ont permis de repérer parmi ces patients ceux ayant subi une amputation d’un membre inférieur, ou ayant été hospitalisé pour une plaie au pied. La prévalence de ces pathologies chez les patients précaires a été comparée à celle observée en population générale, par l’utilisation des informations socio-économiques disponibles dans le SNIIRAM (affiliés bénéficiant de la CMU-C, code PMSI de précarité). Enfin, ces informations ont été croisées avec des informations relatives aux recours aux soins (actes infirmiers, forfaits podologiques). Cette étude a ainsi permis de documenter l’augmentation des hospitalisations pour plaie du pied mais la baisse relative de celles pour amputation (augmentation en valeur absolue liée à la hausse du nombre de personnes diabétiques). À partir de ses résultats, la CNAMTS a élaboré des actions pour améliorer la prise en charge des patients diabétiques et des patients souffrant de plaies chroniques.

Une exploitation trop limitée dans la lutte contre les abus et la fraude

La CNAMTS, les CPAM et les directions régionales du service médical (DRSM) s’emploient de longue date à détecter des types de comportements « atypiques » (abusifs, fautifs ou frauduleux) de professionnels, d’établissements et de patients. Les données agrégées du SNIIRAM permettent de cerner les types et les localisations sectorielles ou géographiques d’aberrations de prescriptions et d’actes médicaux, d’inégalités importantes d’accès ou de consommation de soins, etc. Leur usage demeure toutefois extraordinairement hétérogène selon les organismes, au point d’apparaître parfois timoré, avec des résultats dont la lente progression ne peut masquer la grande insuffisance.

D’un point de vue strictement juridique, un tel usage du SNIIRAM n’avait pas été prévu : à l’appui de la première délibération de la CNIL sur cet outil, le rapporteur avait même mentionné un courrier du 15 octobre 2001 du directeur de la CNAMTS affirmant que ce ne serait « qu’un outil de statistique et d’analyse contribuant à une meilleure gestion de l’assurance maladie et à l’amélioration des soins et non un instrument de contrôle individuel des professionnels de santé ». L’article 193 de la loi de modernisation de notre système de santé (art. L. 1461-1, IV 1° du code de la santé publique) a repris ce dernier engagement, en stipulant qu’« aucune décision ne peut être prise à l’encontre d’une personne physique identifiée sur le fondement des données la concernant ». L’usage du SNIIRAM s’y conforme, en étant limité à des données agrégées, d’au moins dix individus par croisement de données « pseudonymisées », afin de caractériser des catégories, et non pas d’identifier des personnes physiques. La CNIL a indiqué à la Cour qu’elle n’est pas opposée au principe d’un tel usage, mais qu’elle a régulièrement souligné qu’une base légale lui paraît devoir encadrer cette finalité, qu’elle considère « comme étant d’autant plus légitime que l’équilibre des finances de la sécurité sociale est un objectif à valeur constitutionnelle ».

À l’exploitation des données du SNIIRAM succèdent ainsi nécessairement une recherche dans une base nominative pour affiner le résultat tiré du SNIIRAM, puis éventuellement un contrôle individuel et manuel grâce aux bases régionalisées ERASME et HIPPOCRATE, à un outil de recherche généralisé en 2014, PROFILEUR, et à des méthodologies appropriées.

L’utilisation du SNIIRAM par les caisses primaires et les directions régionales du service médical

Les DRSM et les CPAM disposent, en parallèle des données du SNIIRAM, d’une autre source d’information, les bases ERASME et HIPPOCRATE. Ces bases régionales préexistaient au SNIIRAM et sont alimentées par les mêmes flux issus des feuilles de soins du régime général. Deux particularités font leur intérêt : elles ne sont pas « pseudonymisées » (le nom, tout comme l’adresse exacte de l’assuré, y est lisible) et elles permettent de remonter aux archives sur papier. Leur cadre juridique d’accès, y compris pour des tiers extérieurs à l’assurance maladie, est moins contraignant compte tenu de leur taille plus modeste, de dimension régionale. Leur antériorité « technique », explique aussi que les agents préfèrent les utiliser. Mais, leurs données sont stockées brutes, sans correction des éventuelles anomalies, et ne sont pas chaînées avec le PMSI. Les deux bases sont donc complémentaires.

Le dernier audit interne, résumé dans l’annexe n° 10, avait établi en 2009 que, dans les DRSM, le SNIIRAM était alors utilisé à 47 % pour la détection d’abus, de fautes et de fraudes et le ciblage de contrôle, soit moins qu’ERASME (64 %). Au-delà de l’utilisation de données agrégées du SNIIRAM, les DRSM et les CPAM ont accès aux données individuelles de remboursement leur permettant non seulement la détection des abus et des fraudes mais aussi de procéder à des enquêtes documentant d’éventuelles poursuites (cf. infra) ainsi que des relevés individuels d’activités et de prescription des professionnels, des tableaux de suivi des dépenses ou encore des études locales par catégories de soins. Les DRSM et leurs échelons locaux y ajoutent la préparation d’entretiens confraternels, l’activité des établissements et sa tarification à l’activité, la gestion du risque et des travaux produits pour le compte des ARS.

Trois aspects retiennent plus particulièrement l’attention : en premier lieu, l’extrême hétérogénéité, d’une CPAM ou DRSM à l’autre, des niveaux d’utilisation du SNIIRAM à cet effet ; en deuxième lieu, le fait que l’efficacité du SNIIRAM dépend, ici comme en d’autres domaines, des moyens mobilisés en aval pour en exploiter les données, et, en dernier lieu, la non moins extrême modestie des résultats obtenus dans cette lutte, en dépit de lents progrès.

Un niveau d’usage très hétérogène

Sur le niveau d’utilisation en matière d’abus et de fraude, la CNAMTS n’a pas d’étude récente ni d’indicateur de moyens, que ce soit en nombre de requêtes ou en ressources humaines pour élaborer ces requêtes puis en exploiter les résultats. Cette lacune est attribuée à un choix délibéré, pour éviter que les caisses et les DRSM qui n’auraient pas atteints leurs objectifs en imputent la cause à une insuffisance de moyens. Ce souci est louable, mais inversement leur tentation peut être de stopper les recherches sitôt atteint un niveau optimal au regard des sous-objectifs assignés et de l’intéressement maximal obtenu. La Cour n’a donc pas obtenu d’autres données que le nombre de requêtes par site. Il s’agit d’un indicateur très approximatif, la notion de « requête » (cf. annexe n° 2) recouvrant des travaux d’ampleur très inégale, notamment en temps d’élaboration d’un algorithme de calcul (de quelques minutes à plusieurs heures selon la complexité), de traitement et d’analyse. Un même résultat peut découler d’une seule requête ou d’une longue série de requêtes.

Au plan national, la direction compétente de la CNAMTS a augmenté significativement le nombre de ses requêtes auprès du SNIIRAM : 146 en 2012, 342 en 2013, 392 en 201468. Lors de cette dernière année, cela équivalait, rapporté aux sept statisticiens ETP dont elle dispose, à un peu plus d’une requête par semaine hors congés et formation.

Un effort au long cours

Une analyse des cas d’infirmiers hyperactifs au premier semestre 2007 avait repéré dans le SNIIRAM, en 2008, 28 infirmiers (pseudonymisés). Deux ans plus tard, un programme était lancé, sans limitation de durée mais limité aux seuls soins liquidés en 2009. Au 21 août 2015, 227 dossiers sur 281 avaient été retenus pour un contrôle, dont 83 % ont dévoilé des prescriptions falsifiées ou fausses, des facturations d’actes non réalisés ou réalisés par des tiers, ou encore multiples pour un même acte. Les données stockées dans le SNIIRAM permettaient de généraliser ce programme à tous les exercices écoulés depuis 2007, mais tel n’a pas été le cas.

S’agissant du réseau territorial, en l’absence de compteurs informatisés, les statistiques annuelles de requêtes résumées ici ont été collationnées manuellement dans un tableur par la CNAMTS, en provenance de plus de 120 interlocuteurs. Le graphique ci-après détaille le nombre de requêtes, en valeur absolue, par région.

nombre de requêtes « fraude » par région, 2012-30 juin 2015

Source : Cour des comptes, données CNAMTS

Les 26 DRSM et cellules de gestion des risques outre-mer et les 107 CPAM, échelons locaux du service médical (ELSM) inclus, ont modérément augmenté le nombre de requêtes, passé de 25 660 en 2012, avant le changement de machine, à 27 451 en 2013, 30 919 en 2014, soit une croissance annuelle de l’ordre de 7 % en volume (15 520 au premier semestre 2015).

Une forte dispersion géographique des volumes de requêtes « abus et fraude » est manifeste, d’abord par région. Les deux cartes ci-après ont pour seul objectif d’illustrer la dispersion des comportements, les données produites par la CNAMTS ne permettant pas de chiffrer et comparer avec précision les requêtes « utiles ». Par régions (d’avant la réforme territoriale de 2015), le nombre de bénéficiaires par requête varie dans des proportions de 1 à 25 ; par département, les écarts sont de 1 à 200 en éliminant des cas extrêmes. L’évolution de 2012 à 2014 (carte à droite) varie plus encore. Des données plus fines, par département, font parfois défaut, le SNIIRAM n’étant pas doté de compteurs appropriés.

indicateurs « nombre de bénéficiaires par requête » 2014 et d’évolution 2012-2014

Des moyens très limités

L’impact de l’exploitation de « mégadonnées » dépend ici comme ailleurs des moyens mis en œuvre d’une part pour la piloter et pour donner des suites concrètes aux constats obtenus. S’agissant de mobiliser des compétences à ce niveau d’expertise, la Cour avait noté en 2007 que « la CNAMTS ne s’est saisie de la question que récemment à l’occasion de la création en 2006 de la direction du contrôle contentieux et de la répression des fraudes » 69.

Le département spécialisé de cette direction, devenue celle de l’audit et du contrôle contentieux et de la répression des fraudes (DACCRF), disposait au 30 septembre 2015 de 35 agents en fonction (contre 25 en 2007), dont sept statisticiens à temps plein habilités à utiliser le SNIIRAM70.

Les quelques responsables de terrain sollicités ont souligné leur attente du recrutement « d’experts en bases de données de santé ». La CNAMTS n’a toutefois pas pu produire d’indicateurs relatifs aux effectifs hors siège habilités à accéder au SNIIRAM dans le cadre de la lutte contre les abus et les fraudes. Elle explique cela par une stratégie laissant aux directeurs de CPAM toute latitude d’affectation de leurs agents, dans un contexte de resserrement constant des effectifs71.

Les contrôles d’assurés représenteraient les trois-quarts des recherches, mais un quart seulement des préjudices identifiés. Les professionnels et établissements représenteraient, eux, le quart des recherches et les trois quarts des préjudices : il est très probable que les résultats globaux seraient bien supérieurs si une majorité des contrôles leur étaient consacrés.

Ainsi que la CNAMTS l’a souligné à la Cour, « augmenter de façon conséquente la détection d’atypies grâce au SNIIRAM n’a un sens que dans la mesure où l’assurance maladie a les moyens de mener les investigations correspondantes et nécessaires. » Ces moyens qui sont de la responsabilité de la CNAMTS72 sont manifestement insuffisants, à en juger par les résultats d’ensemble, alors que l’exploration de ces données massives vise à réduire les dépenses.

Les objectifs et les résultats en volume financier d’abus et de fraudes détectés et stoppés, y compris en matière de T2A, ont certes décuplé en euros constants en une décennie (au regard de 15 M€ en 2005).

abus et fraudes détectés, prestations maladie et AT/MP, en M€

M€200920102011201220132014
CNAMTS1541671204916719673
MSA22333,53,9
RSInd66443,5

Source : DNLF, janvier 2016

Les résultats 2015 devraient être supérieurs à 220 M€, soit une progression annuelle d’à peine 6 % depuis 2009. Cela représenterait ainsi désormais près de 0,15 % des charges des branches maladie et AT/MP74. Il ne s’agit là que des montants détectés, dont une partie seulement est effectivement récupérée.

Or, comme le souligne la direction du Trésor, « l’important volume des données du SNIIRAM serait propice » à un effort accru.

Une utilisation marginale dans les autres régimes de sécurité sociale

Alors qu’ils disposent réglementairement des mêmes droits d’accès que la CNAMTS, les autres régimes d’assurance maladie n’ont qu’un recours très marginal au SNIIRAM. De septembre 2014 à août 2015, la caisse nationale du RSI y a ainsi accédé 2 171 fois (pour plus de 80 % aux tableaux de bord agrégés relatifs à l’offre de soins). Elle n’a utilisé ni l’EGB ni le PMSI. La CCMSA accède moins aux magasins de données agrégées avec 1 231 requêtes, dont 46 % portant sur les dépenses d’assurance maladie interrégimes ou DAMIR, mais beaucoup plus au DCIR (10 126 requêtes, les deux-tiers concernant le PMSI). Elle n’a pas accédé à l’EGB pendant cette période.

Alors que les deux régimes disposent de leurs propres bases de données, suffisantes pour retracer les consommations de soins de ville de leurs assurés, le SNIIRAM leur permet d’une part d’accéder directement aux données de consommation hospitalière pour leurs assurés et d’autre part de procéder à des comparaisons interrégimes particulièrement utiles pour analyser les spécificités de chaque régime. Le SNIIRAM est aussi intéressant pour retracer les profils des professionnels de santé, dans la mesure où leurs données internes sont trop partielles, pour avoir une vision complète de l’activité d’un professionnel.

Néanmoins, ces deux régimes se reposent largement sur la CNAMTS pour la production des études interrégimes, relatives aux parcours de soins comme à la gestion du risque. Quelques études de parcours de soins ont été produites, depuis le chaînage avec le PMSI, mais de manière trop dispersée pour que ces caisses nationales puissent revendiquer des compétences établies en matière de traitement des données du DCIR.

En dehors de l’assurance maladie, une sous-exploitation très préjudiciable

Malgré l’élargissement des finalités assignées au SNIIRAM, la diversification de ses utilisations en dehors de l’assurance maladie est freinée par la complexité et la lenteur des procédures d’accès aux données qu’il s’agisse d’accès permanents ou ponctuels. Les premiers se caractérisent encore par leur très inégale répartition comme l’illustre le graphique n° 7.

répartition des habilitations par organisme au 1er septembre 2015

Source : Cour des comptes d’après les données de la CNAMTS.

La lenteur des procédures et la complexité des données contenues dans le SNIIRAM expliquent aussi la faiblesse des demandes ponctuelles, même si leur nombre a fortement augmenté ces derniers mois. Mais ces utilisations restent infimes au regard des enjeux en termes de santé publique et des potentialités de la base.

Afin de mettre en évidence les richesses et limites des utilisations actuelles du SNIIRAM, l’approche retenue croise les finalités assignées au SNIIRAM et les entités utilisatrices. Certaines finalités relèvent d’une catégorie unique d’acteurs comme le pilotage du système de santé qui incombe aux pouvoirs publics, d’autres sont par définition partagée comme la recherche en santé publique ou plus encore les exploitations balbutiantes du SNIIRAM pour des réflexions sur l’amélioration de la qualité des soins.

Une utilisation insuffisante par les pouvoirs publics à des fins de pilotage du système de santé

Les pouvoirs publics font un usage du SNIIRAM anormalement limité au regard de l’apport que pourrait représenter la base, en matière de suivi des dépenses d’assurance maladie et d’amélioration des connaissances sur les patients, les professionnels de santé et les parcours de soins. L’État se prive ainsi d’un outil précieux pour le pilotage du système de santé et s’en remet largement à la CNAMTS pour obtenir des analyses destinées à en assurer la tutelle.

De septembre 2014 à août 2015, les agents habilités des ministères sociaux75 ont accédé moins de 1 200 fois aux magasins de données agrégées (en particulier au DAMIR, qui permet de suivre les dépenses) soit une moyenne de 150 accès mensuels, et ont réalisé 662 requêtes sur l’EGB76, toutes directions confondues.

La DREES, principal utilisateur malgré des droits d’accès limités

Compte tenu de ses missions et de sa responsabilité de coordination du système statistique en matière de santé, la direction de la recherche, des études, de l’évaluation et des statistiques (DREES) voit un grand intérêt au SNIIRAM en matière de dépenses de santé même si elle n’a commencé à l’exploiter que depuis 2010 alors qu’elle bénéficie d’un droit d’accès permanent depuis 2005.

Avec 12 agents habilités, répartis dans quatre bureaux sectoriels77, elle exploite l’EGB pour ses études, le plus souvent en l’appariant avec d’autres données (état de santé de la population, informations sociales, médico-sociales ou encore fiscales). La DREES a, par exemple, construit un outil de micro-simulation pour l’analyse des restes à charge « OMAR » en s’appuyant sur un échantillon de près de 10 000 personnes, constitué par l’IRDES, pour lesquelles les données de l’enquête « Santé Soins Protection sociale » sont appariées avec les consommations de soins présentes dans l’EGB. Mis à jour tous les trois ans environ, cet outil alimente des études sur les restes à charge après intervention de l’assurance maladie complémentaire. La DREES produit également des analyses à des fins d’aide à la décision.

Cependant, elle est largement freinée, dans ses usages, par ses droits d’accès limités aux seules données agrégées et échantillonnées. Elle n’a pas accès au DCIR et ne peut pas procéder sur l’EGB à des analyses territoriales fines, compte tenu de l’interdiction de croisement de l’indication géographique avec les dates de soins ou de décès. Elle est aussi limitée dans son suivi des professionnels de santé ou de certaines pathologies rares par la taille et la non-représentativité de l’EGB, analysées précédemment.

La limitation de l’accès par la DREES aux données du SNIIRAM

En vertu de l’article 7bis de la loi n° 51-711 du 7 juin 1951 sur l’obligation, la coordination et le secret en matière de statistiques, la DREES est habilitée en tant que service ministériel à accéder aux données individuelles de santé sous réserve d’un avis favorable du Conseil national de l’information statistique (CNIS) et d’une autorisation de la CNIL. Elle dispose en tant que direction technique du ministère chargé de la santé, d’un accès de droit, par arrêté du 20 juin 2005, aux magasins et à l’EGB, mais avec impossibilité de croiser deux ou plus des quatre variables sensibles.

Elle a demandé en 2013 un élargissement de son accès en routine au DCIR avec la possibilité de croiser des variables sensibles et au code « commune » des professionnels de santé. Le COPIIR du SNIIRAM s’est prononcé en faveur de cet élargissement (État et assurance maladie votant pour, l’UNPS s’abstenant) le 18 avril 2013. Cette demande a été incluse dans un projet d’arrêté soumis pour avis à la CNIL, qui a conditionné sa réponse à la réalisation par la CNAMTS de deux études relatives à la sécurité des données. La caisse ayant tardé à produire ces études, la demande est restée en suspens.

Une utilisation marginale par la direction de la sécurité sociale comme outil d’aide à la décision

Le bureau « Économie de la santé », dans lequel se trouvent les cinq agents habilités de la direction, utilise surtout les magasins de données à des fins d’analyse conjoncturelle ou d’aide à la décision, en appui aux sous-directions du financement du système de soins et de l’accès aux soins.

Ces données servent à modéliser les impacts économiques de certaines mesures envisagées dans le cadre des projets de loi de financement de la sécurité sociale ou des négociations conventionnelles. Le tableau de bord de consommations des médicaments (52 %) et le magasin de données sur les dépenses d’assurance maladie (23 %) sont de loin les plus sollicités. La seule utilisation de l’EGB a porté sur le calcul du montant moyen des franchises acquittées par les assurés.

Une absence d’utilisation par les autres directions

Malgré son expérience du PMSI, la direction générale de l’offre de soins (DGOS) ne travaille pas directement sur les données du SNIIRAM. Elle sollicite la CNAMTS ou l’ATIH pour produire des indicateurs ou des études dans le cadre d’une convention tripartite qui précise notamment l’engagement de la CNAMTS à faciliter l’accès de l’ATIH aux données individuelles exhaustives78.

De même, l’absence d’utilisation directe par la DGS du SNIIRAM de la base limite son rôle d’impulsion dans le développement de ses exploitations par exemple en matière de prévention ou encore de iatrogénie médicamenteuse. Pourtant, l’exercice de la tutelle sur les agences sanitaires et son rôle dans la rédaction de certains textes réglementaires (voir supra) lui ont permis de prendre conscience du potentiel du SNIIRAM en matière de pharmaco-épidémiologie ou de suivi des populations.

Enfin, l’utilisation très marginale du SNIIRAM par la DGCS, qui ne compte aucun agent habilité, et par les quatre agents habilités de la CNSA, qui bénéficient pourtant de droits d’accès comparables à ceux de l’assurance maladie à l’exclusion du croisement des variables sensibles, s’explique principalement par les limites inhérentes au SNIIRAM dans le champ médico-social. En effet, le SNIIRAM ne permet pas d’identifier précisément les bénéficiaires des politiques dont ces administrations ont la responsabilité faute de données sur le type de handicap, sur le niveau de dépendance des personnes âgées ou sur leur lieu de vie (domicile ou établissement).

La DREES fait donc figure d’exception au sein des administrations centrales. Les autres directions justifient leur faible recours au SNIIRAM par l’absence de moyens et de compétences. Pourtant, elles n’ont pas cherché à améliorer leur connaissance fine de la base, s’en remettant à une expertise externe plus difficile à piloter. Il est donc souhaitable de désigner au sein de chaque direction des agents référents, formés à l’utilisation du SNIIRAM, capables d’exploiter les magasins de données et les requêtes automatisées et de contribuer à la formalisation des besoins. Au regard de l’expertise et de la pratique régulière nécessaires pour travailler sur les données individuelles du SNIIRAM, les compétences et ressources humaines nécessaires en termes d’appui gagneraient à être mutualisées au sein de la DREES79

Une utilisation directe quasi-nulle au ministère des Finances

La direction du budget (bureau des comptes sociaux) n’utilise pas le SNIIRAM depuis le départ en retraite de la seule personne formée, mais souhaite former l’agent qui lui succédera. Alors que la CNAMTS, en construisant le datamart DAMIR, a élaboré un outil de suivi fin des dépenses d’assurance maladie et notamment de l’ONDAM, cette absence de continuité témoigne du manque d’intérêt de la direction pour le SNIIRAM.

La direction générale du Trésor (bureau de la santé et des comptes sociaux), compte deux agents habilités : l’un à l’EGB, l’autre aux datamarts sur l’offre de soins (depuis septembre 2015). Jusqu’à présent, l’EGB n’a été utilisé qu’à une seule occasion en vue de la publication d’une note en avril 2015 relative à la prise en charge des affections de longue durée80.

Le SNIIRAM, un outil prometteur pour les agences régionales de santé sous certaines conditions

Au 1er septembre 2015, les agences régionales de santé (ARS) disposaient de 167 comptes ouverts, répartis dans toutes les régions selon des proportions variables : de 1 en Guadeloupe à 19 en Bretagne avec une moyenne de 7 en France métropolitaine et de 6,4 en incluant les communautés ultramarines. De septembre 2014 à août 2015, les agents habilités des ARS ont accédé 7 762 fois aux magasins de données agrégées (en particulier au DAMIR et au tableau de bord sur la pharmacie qui retrace les consommations de médicaments hors hôpital TBSP) soit une moyenne de près de 650 accès mensuels, et ont réalisé en moyenne 125 requêtes par mois sur l’EGB81. Ces statistiques d’utilisation sont néanmoins très faibles comparées à celles des caisses primaires82, qui disposent pourtant de bases alternatives au SNIIRAM.

Des droits d’accès indûment limités

En vertu de l’article L. 1435-6 du code de la santé publique issu de la loi Hôpital, patients, santé et territoires du 21 juillet 2009, les agents des ARS ont accès aux données nécessaires à l’exercice de leurs missions, contenues notamment dans les systèmes d’information des organismes d’assurance maladie, dans des conditions garantissant le respect de l’anonymat des bénéficiaires.

Ces droits ont été précisés par l’arrêté du 1er décembre 2011 relatif au SNIIRAM qui a limité l’accès du personnel administratif et médical des agences régionales de santé aux magasins de données agrégées et à l’EGB, sur leur champ de compétence régionale. Ils étaient identiques à ceux des agences sanitaires mais très limités au regard des droits des anciens agents des unions régionales des caisses d’assurance qui exerçaient, avant la création des ARS, des missions comparables. Seuls les médecins des ARS ont été autorisés à accéder au DCIR et aux adresses des professionnels de santé « dans la mesure strictement nécessaire à l’accomplissement de leurs missions », comme l’InVS, par l’arrêté du 11 juillet 2012 dans le cadre de la charte d’engagement signée entre le ministère, les membres de l’UNCAM et l’UNPS. Cette restriction aux seuls médecins a été imposée par la CNIL qui a toutefois reconnu la légitimité de la demande d’accès au DCIR pour les réflexions menées sur les parcours de soins des patients atteints en particulier de maladies chroniques. La CNIL a demandé un bilan qui n’a pas encore été réalisé.

Enfin, l’article 48-VI de la loi de financement de la sécurité sociale pour 2013 a autorisé les médecins et les personnels habilités sous leur autorité, à accéder aux données individuelles nécessaires pour la durée des expérimentations relatives aux personnes âgées en risque de perte d’autonomie dites « Paerpa » dans la mesure où elles sont strictement nécessaires à la préparation, à la mise en œuvre et à l’évaluation des expérimentations. Cette dérogation ne concerne que neuf ARS.

Ces restrictions ont été entérinées par le ministère, sous la pression de l’union nationale des professionnels de santé qui s’est montrée opposée à l’accès des ARS aux données d’identification des professionnels de santé. Ces derniers devaient, selon elle, être protégés au même titre que les assurés83. Malgré les demandes récurrentes des ARS, les alertes de l’IDS et les recommandations de la Cour, les droits d’accès définis par l’arrêté relatif au SNIIRAM sont restés anormalement étroits pour les ARS et n’ont pas été substantiellement modifiés jusqu’à l’article 193 de la loi de modernisation de notre système de santé.

Des utilisations ponctuelles intéressantes

Dans le cadre des travaux préparatoires de la charte d’engagement pour la mise à disposition et les principes d’utilisation des données du SNIIRAM dans les ARS, plusieurs finalités d’utilisation ont été identifiées.

La première concerne la conduite régionale de la politique de santé qui suppose une connaissance fine et actualisée de l’offre de soins régionale et de son activité à des fins de planification et de réduction des inégalités territoriales. L’exploitation directe par les ARS des données du SNIIRAM permettrait de mieux documenter les états des lieux initiaux des projets régionaux de santé et d’adopter des schémas régionaux d’organisation des soins plus cohérents. De telles utilisations supposent néanmoins un accès aux données individuelles des professionnels de santé avec un géoréférencement parfois infra-communal.

Les ARS peuvent aussi exploiter les données du SNIIRAM pour mener des études épidémiologiques et d’impact sur des événements sanitaires, par exemple en lien avec les problématiques de santé environnementale et de prévention.

Enfin, la mise en œuvre opérationnelle de certains dispositifs suppose l’utilisation des données du SNIIRAM, par exemple pour organiser la permanence des soins ambulatoires. Les ARS sont chargées de définir le découpage territorial de la permanence des soins ambulatoires et le nombre de professionnels de santé concernés à partir des besoins de la population, et ensuite de suivre la consommation de l’enveloppe budgétaire idoine. Or, le paiement des forfaits pour régulation et astreinte est assuré par la CPAM pour chaque médecin ou structure. Depuis mars 2015, la CNAMTS met à disposition des ARS en routine chaque mois les données détaillées relatives aux astreintes et actes réalisés.

Une exploitation encore marginale en santé publique

En dehors de l’État et des régimes d’assurance maladie, un nombre croissant d’utilisateurs - agences et autorités sanitaires, équipes de recherche publique, associations - recourent désormais au SNIIRAM, que ce soit grâce aux élargissements progressifs des droits d’accès permanents ou dans le cadre des demandes ponctuelles d’extractions.

Toutefois, ces utilisations restent marginales : dans son rapport annuel de 2015, l’IDS a recensé, depuis 2009, 149 demandes d’extractions spécifiques du DCIR qui concernent majoritairement des CHU (38 %), des équipes de l’INSERM (17 %) ou des observatoires régionaux de santé (11 %).

La surveillance en santé publique : le suivi des populations et des pathologies

Le SNIIRAM ne contient par construction que les informations relatives aux soins remboursés. Malgré ses limites inhérentes, il en dispose pour la quasi-totalité de la population résidant en France, avec l’historique des données individuelles structurées, médicalisées et, chaînées pour les soins ambulatoires remboursés et les soins hospitaliers. Le processus d’amélioration continue du SNIIRAM en termes de contenu avec l’ajout de nouvelles variables, sa médicalisation grâce au chaînage avec le PMSI et les progrès réalisés en matière de codage et en termes de couverture populationnelle rendent les données du SNIIRAM utilisables à des fins de surveillance en santé publique et d’épidémiologie. L’ouverture de l’accès aux données par les évolutions législatives et réglementaires récentes permettra de développer ces utilisations.

Un champ d’investigation en plein essor

L’exploitation des données relatives à la date des soins et l’historique des consommations de soins permettent de repérer et de caractériser des événements de santé et des pathologies. Le département de la santé au travail de l’InVS a par exemple développé un programme de surveillance des maladies neurodégénératives reposant sur une étude des cas de maladie de Parkinson, de sclérose latérale amyotrophique et de maladie d’Alzheimer et autres démences. Sans le SNIIRAM, il serait impossible d’apprécier le poids de ces pathologies au niveau national. Les premiers résultats sur la fréquence de la maladie de Parkinson ont servi d’indicateurs pour le plan « maladies neurodégénératives ». Néanmoins, le repérage des patients peut s’avérer difficile, voire impossible, en particulier pour les pathologies peu ou pas hospitalisées ou qui ne font pas l’objet d’une prise en charge au titre d’une ALD. C’est pourquoi des algorithmes sont développés avec les cliniciens et les producteurs de données, combinant médicaments, actes médicaux et hospitalisations pour identifier les patients.

La mobilisation du SNIIRAM chaîné au PMSI conduit aussi à repenser la stratégie de surveillance épidémiologique des maladies chroniques, confiée à l’InVS, qui s’appuyait jusqu’à la fin des années 1990 sur des enquêtes en population générale, des registres et les données de mortalité. Le dispositif des registres se caractérise par l’excellente qualité de ses données compte tenu de la recherche active des cas et d’un codage standardisé et fiable. Mais sa couverture géographique est relativement faible, moins de 20 % de la population selon le cancer considéré, et leur délais de production long (trois ans minimum). En complément, le SNIIRAM fournit les tendances récentes de l’incidence nationale et des estimations de l’incidence de cancers au niveau régional et départemental dans les zones non couvertes par les registres. De même, l’Institut national du cancer publie un tableau de bord annuel sur la radiothérapie libérale84 en partenariat avec l’IDS et constitue une cohorte cancer comprenant les personnes diagnostiquées, traitées et suivies pour un cancer, quel que soit le mode de prise en charge, grâce à une convention de cession des données, signée en octobre 2014 avec la CNAMTS.

L’Institut de veille sanitaire (InVS), principal utilisateur de la sphère santé

Avec 48 comptes SNIIRAM85 ouverts au 1er septembre 2015, l’InVS était le premier utilisateur de la sphère santé (agences sanitaires, ATIH, HCAAM, Fonds CMU, OFDT). Le nombre de ses agents habilités a quadruplé en cinq ans, passant à 40, soit 10 % de l’effectif de l’agence, après un lent et progressif élargissement de ses droits d’accès. S’y ajoutent les agents travaillant sur les cohortes qui ne sont pas tous comptabilisés dans les agents habilités.

Une équipe transversale assure l’interface avec la CNAMTS, avec des rencontres mensuelles pour améliorer la mise à disposition d’extractions demandées hors accès permanent. Aux problèmes initiaux de délais d’obtention et de structuration des données ont succédé des difficultés découlant de l’hétérogénéité de l’alimentation du SNIIRAM par une partie des régimes (date de décès, ALD, numéro unique du bénéficiaire), de l’absence d’informations médicalisées sur des secteurs comme les EHPAD ou les urgences, et de l’historique insuffisant du DCIR, au demeurant mieux approprié que l’EGB à l’épidémiologie.

La compétence sur le SNIIRAM est répartie dans chacun des départements, mais l’InVS pourrait utilement examiner la faisabilité de réunir ses spécialistes dans un pôle dédié au SNIIRAM, pour entretenir leur technicité. Il leur faut entre six mois et un an pour être pleinement opérationnel sur le SNIIRAM et l’exploiter régulièrement.

Des axes d’analyse à consolider ou développer

L’utilisation des données du SNIIRAM dans le cadre de cohortes permet d’une part d’enrichir les données disponibles pour les bénéficiaires sélectionnés et d’autre part d’améliorer l’échantillon constitutif en limitant les effets de sélection au moment de l’inclusion active. La cohorte Constances constitue ainsi un échantillon représentatif composé de 200 000 personnes à terme, pour lesquelles seront recueillies toutes les données pertinentes sur le statut socio-économique et professionnel, l’environnement familial et social ainsi que sur les facteurs de risques personnels et environnementaux pour décrire et suivre dans le temps l’état de santé des personnes incluses dans la cohorte.

Toutefois, la constitution de cohortes se heurte aux écueils liés au cadre juridique très contraignant qui impose un décret en Conseil d’État pour utiliser le NIR et l’information de chaque bénéficiaire de son droit d’opposition. Ensuite, le circuit très compliqué et chronophage pour recueillir effectivement les données individuelles passe par un tiers de confiance qui détient le NIR des personnes et la table de concordance, pour préserver la confidentialité des données. Le suivi populationnel longitudinal à l’aide de cohortes serait, comme d’autres études, facilité et assuré de manière moins onéreuse si ce cheminement était simplifié.

L’InVS a mesuré l’impact sanitaire et psychologique de la tempête Xynthia de 2010, au-delà de la mobilisation des cellules d’urgence médico-psychologiques et de la mise en place, par certaines ARS, de dispositifs spécifiques de prise en charge. À partir d’une extraction du DCIR, il a examiné les prescriptions de psychotropes pendant les trois semaines suivant la tempête. Le risque de débuter un traitement psychotrope était augmenté de plus de 50 %, et plus élevé chez les femmes. De telles utilisations se heurtent toutefois à la difficulté d’accéder rapidement aux données et aux variables sensibles, ce qui a conduit l’InVS à abandonner un projet similaire sur les inondations dans le Var en 2010. Ces limites sont dépassées pour l’InVS par l’élargissement de ses droits d’accès permanents86, mais restent valables pour la plupart des équipes de recherche.

La surveillance des produits de santé : des acteurs inégalement impliqués 

Des crises majeures telles que celles, récentes, de pharmacovigilance (Mediator®) et de matériovigilance (prothèse PIP®) ont mis en lumière les limites des méthodes de vigilance passive, fondées sur des signalements et non pas sur l’exploitation de « mégadonnées ». Un des principaux reproches alors adressés à l’AFSSAPS concernait un recours considéré comme excessif ou trop exclusif à l’imputabilité clinique en cas de pathologies lourdes ou complexes, ou de polypathologies.

La pharmacovigilance : un système déclaratif de détection des signaux que pourrait compléter le SNIIRAM

Outil primordial, la base nationale de pharmacovigilance est indépendante du SNIIRAM avec lequel ses quelques 600 000 observations87 ne peuvent être croisées puisqu’elles ne comportent aucun numéro d’identification. Or, la sous-déclaration des incidents pourrait être en partie palliée par une exploitation plus intensive du SNIIRAM, avec la possibilité, pour les centres régionaux de pharmacovigilance et les experts, de conforter ou d’infirmer plus rapidement par des requêtes appropriées les signaux détectés par le système de pharmacovigilance, ce qui permettrait d’écarter les faux signaux.

L’absence d’utilisation du SNIIRAM pour analyser des présomptions de risques

Le SNIIRAM n’a qu’épisodiquement été utilisé pour écarter des présomptions de risque à partir d’autres signaux mal interprétés. Ainsi, il aurait pu l’être dès sa mise en service pour apaiser les craintes récurrentes mais infondée d’un lien éventuel entre les vaccins contre l’hépatite B et la survenue de maladies du système nerveux central, dont la sclérose en plaques. Les études pharmaco-épidémiologiques y ont pourvu, mais beaucoup plus lentement que ne l’aurait permis une requête du SNIIRAM. Il en va de même pour la varénicline (Champix®) prescrite pour le sevrage du tabac jusqu’à son déremboursement en 2011 à la suite de des signaux incertains de risque de survenue d’humeur dépressive, idées suicidaires ou modifications du comportement pouvant parfois conduire à des actes relevant de la justice ; une étude décidée à l’issue d’un débat à la commission nationale de pharmacovigilance le 19 septembre 2012 semble n’avoir jamais été réalisée, alors qu’elle l’a été en Suède, en croisant données de santé et données judiciaires comme résumé en annexe n° 11.

De plus, les centres régionaux de pharmacovigilance ne peuvent pas accéder aux données du SNIIRAM. La DGS devrait prendre les initiatives nécessaires pour qu’un accès leur soit ouvert, en veillant à mutualiser les rares compétences pointues dont ils peuvent disposer et à former les agents concernés. Cela permettrait de mieux mesurer, quand le niveau régional ou interrégional est mieux approprié que le niveau national, l’exposition de la population à un médicament donné, la durée des traitements, la population exposée (âge, sexe), rechercher les médicaments co-prescrits (interactions médicamenteuses), et les conséquences d’une décision de santé publique (ou d’une affaire médiatique) sur les consommations de médicaments (diminution, report sur d’autres molécules, etc.). Il est paradoxal qu’il soit le plus souvent recouru pour cela aux chiffres de vente ou aux données agrégées du dossier pharmaceutique (qui, certes, incluent les médicaments non remboursés) et non au SNIIRAM, mais il est vrai que ces données ont l’avantage d’être actualisées quotidiennement. Une évaluation des avantages d’un accès plus rapide pour la pharmacovigilance est souhaitable88.

L’impact de la pharmacovigilance sur la santé est connu, mais son impact financier pour la branche maladie n’est guère documenté. Le tableau ci-dessous décrit la régression des ventes consécutives aux alertes puis au retrait des glitazones qu’a facilité le recours au SNIIRAM (pour la pioglitazone) pour en examiner les effets indésirables. Il compare les montants remboursés entre 2008 et 2013, hors insuline.

évolution des dépenses en antidiabétiques, hors insuline

annéepioglitazonerosiglitazoneAutres antidiabétiques
200851 792 57443 706 539285 964 216
200942 546 74425 749 096339 139 108
201043 934 07516 567 657442 294 925
201119 465 94016 390530 713 550
20125 378487594 170 419
20131 1590631 515 164

Source : CNAMTS, base publique Medicam

La pioglitazone a été retirée du marché en juillet 2011 : l’impact fut immédiat, comme dans le cas de la rosiglitazone, retirée du marché par l’agence européenne du médicament l’année précédente. La cessation rapide de ces dépenses a vraisemblablement été accompagnée d’une réduction des soins qui visaient à traiter les effets indésirables.

Ce seul exemple, qui devrait être complété par une analyse du coût des reports vers d’autres médicaments ou thérapies, ne saurait rendre compte de l’impact financier potentiel de travaux utilisant le SNIIRAM. Il illustre néanmoins la nécessité d’une stratégie beaucoup plus affirmée d’analyse des données en relation avec tous les autres outils de recherche, et d’une réduction des délais à tous les niveaux du processus susceptible de conduire à une modification ou une annulation du remboursement par la branche maladie.

La problématique de la conciliation médicamenteuse

La « conciliation médicamenteuse » est une des voies récemment promues pour améliorer la continuité du parcours de soins et diminuer le risque iatrogénique. Elle consiste à tenir à jour un tableau exhaustif des médicaments pris par un patient, pour consultation instantanée par tous professionnels de santé, notamment avant une nouvelle prescription. Le SNIIRAM ne peut y contribuer de manière opérationnelle, étant inaccessible en temps réel et dénué du détail individuel des médicaments pris lors de soins hospitaliers ; les autres systèmes ne peuvent l’assurer qu’au prix de lourds rapprochements pluriprofessionnels, même si le « dossier pharmaceutique» promus par les officines de ville commence à être alimenté par des établissements hospitaliers. Une évolution du SNDS dans cette voie exigerait un changement radical de conception, de gestion et d’accessibilité. Le développement d’une nouvelle génération de dossiers médicaux personnels, devenus « partagés », à partir de 2016 sera sans doute mieux approprié.

Des freins importants au développement de la pharmaco-épidémiologie

Les études de pharmaco-épidémiologie reposent sur une analyse des signaux issus de la pharmacovigilance pour voir s’ils étaient attendus ou non, accompagnée d’une revue de la littérature internationale. Le développement de ces études, en complément des systèmes de vigilance existants et de la recherche active de signaux, permet de disposer d’une vision globale du profil de sécurité des produits en vie réelle.

Le renforcement des conditions de prescription et de vigilance : l’exemple de l’isotrétinoïne®

Ce médicament est indiqué dans le traitement des acnés sévères résistantes à des traitements classiques. Sa réévaluation par l’ANSM a notamment reposé sur une étude des prescriptions figurant dans le SNIIRAM, pour évaluer le respect de la seconde ligne de traitement (prescription après échec d’une cure d’antibiotiques d’une durée minimale de trois mois), et une étude du respect des recommandations du programme de prévention des grossesses. Elles ont mis en évidence un respect insuffisant des conditions de prescription, dans plus d’un cas sur deux, proportion légèrement plus élevée chez les dermatologues. Au vu de ces résultats et du nombre de grossesses exposées à l’isotrétinoïne orale (136 cas entre 2007 et 2011), l’ANSM a restreint en 2015 la prescription initiale aux seuls dermatologues puis mis à jour les guides pour les médecins, pharmaciens et les patients). Sans le SNIIRAM, ces mesures eussent été beaucoup plus difficiles à élaborer.

Dans le prolongement de la loi du 29 décembre 2011 relative au renforcement de la sécurité sanitaire du médicament et des produits de santé, l’ANSM s’est dotée d’un pôle transversal d’épidémiologie des produits de santé fin 2012 au sein de la direction scientifique et de la stratégie européenne, et directement rattaché au directeur général. Il compte en octobre 2015 17 personnes dont 14 personnes habilitées à interroger le DCIR (et parmi elles 11 à pouvoir accéder aussi à l’EGB). Le nombre de personnes habilitées est en forte augmentation puisqu’il n’était que de 8 en mars 2013, ce qui montre l’investissement consenti par l’ANSM mais reste faible. Deux personnes de la direction de la surveillance disposent d’un accès à l’EGB. Avec 18 comptes ouverts au 1er septembre 2015, l’ANSM représente toutefois le deuxième organisme de la sphère santé avec 16 % des comptes. Depuis août 2014, les statistiques d’utilisation des données du DCIR et du PMSI89 montrent une très nette augmentation, en passant de 113 à 5 855 en août 2015 avec un pic à 9 490 en mars 2015, avec une moyenne mensuelle de 4 332 utilisations.

L’ANSM a conclu une convention de partenariat avec la CNAMTS pour accompagner sa montée en compétence sur le SNIIRAM et établir des collaborations scientifiques, notamment en matière d’études de santé publique et d’épidémiologie en décembre 2012. Cette collaboration permet aussi à l’agence de contourner l’interdiction d’utiliser des variables sensibles dont la date de décès qu’il peut être intéressant de croiser avec la date de prise d’un médicament.

L’ANSM soutient, par ailleurs, à hauteur de 900 000 € par an, deux plateformes en épidémiologie des produits de santé90, indépendantes de l’industrie, qui s’engagent à réaliser des études sur les médicaments s’inscrivant dans les priorités de l’agence. Mais, en l’état actuel de l’arrêté relatif au SNIIRAM, les chercheurs des deux plateformes ne peuvent pas bénéficier du droit d’accès permanent au DCIR ouvert aux agents habilités de l’ANSM. Ils doivent donc pour exploiter le SNIIRAM demander une autorisation à la CNIL selon la lourde procédure du chapitre X de la loi « informatique et libertés ».

Le retard en matériovigilance

Un magasin de données agrégées sur les dispositifs médicaux a certes été construit par la CNAMTS en 2014 et contient des indicateurs sur le montant remboursé, sur le montant remboursable et la dépense présentée au remboursement des dispositifs médicaux. Mais ces indicateurs ne sont disponibles que pour 70 % des produits figurant sur la liste des produits et prestations.

De plus, le codage et la nomenclature « dispositifs médicaux » ne sont pas assez précis en ce qui concerne le matériel sanitaire utilisé - marque, localisation - et l’acte pratiqué - première pose ou changement. La transmission des factures détaillées n’est pas encore généralisée.

Un codage plus précis dans le SNIIRAM des dispositifs médicaux remboursés devrait être une priorité pour mieux en maîtriser le coût et les bénéfices.

L’inutilisation pour la réévaluation des médicaments en « vie réelle »

Les études fournies par les industriels dans le cadre des procédures de réévaluation du service médical rendu ou d’amélioration du service médical rendu ne font pas l’objet d’une contre-expertise à partir des données du SNIIRAM par la Haute Autorité de santé (HAS). Elle reconnaît pourtant dans une note du 30 mai 2013 que les données de remboursement issues des bases médico-administratives « constituent un élément important des réévaluations et permettront, in fine, de documenter, en situation réelle, efficacité et tolérance en pratique médicale courante, conditions de mises sous traitement, populations réellement traitées, durées de traitement, observance, impact du traitement sur les stratégies thérapeutiques ». Son accès au SNIIRAM lui permettrait de réaliser des études « post-inscription en vie réelle » rapidement et au moindre coût, sans recourir à des registres ou des enquêtes ad hoc, ainsi que d’en améliorer la qualité au lieu de devoir se reposer sur des études conduites par des industriels à la solidité scientifique souvent mise en doute. Elle a certes demandé, lors des débats sur l’ouverture des données de santé, un droit d’accès indirect au SNIIRAM pour les entreprises telles que les laboratoires pharmaceutiques, en en conditionnant l’usage à une demande officielle de sa part ou de l’ANSM. Elle pourrait plus directement, en utilisant le SNIIRAM, contre-expertiser de façon complémentaire et plus facilement qu’avec une revue de la littérature internationale les études produites ou financées par les industriels.

Il en résulte qu’à la HAS qui est le troisième organisme de la sphère santé en nombre de comptes SNIIRAM ouverts au 1er septembre 201591, les treize personnes habilitées à accéder au SNIIRAM (dont 4 au DCIR et 9 aux magasins de données et à l’EGB) n’y sont employées qu’à hauteur d’un peu plus d’1,3 équivalent-temps-plein. Certaines ne consacrent qu’une part infime de leur temps de travail à extraire et exploiter des données du SNIIRAM92. Ces agents sont actuellement répartis dans les différents services sans mutualisation d’expertise. L’organisation actuelle de la HAS et sa faible utilisation du SNIIRAM sont ainsi préjudiciables à la conduite de ses missions.

Une utilisation en santé publique freinée

L’exploitation des données du SNIIRAM à des fins de recherche en santé publique nécessite des précautions méthodologiques et une grande expertise. Comme exposé dans le bulletin épidémiologique hebdomadaire du 19 décembre 201393, « les données que recèlent les bases médico-administratives sont certes exhaustives et riches, mais d’une grande complexité, et surtout ne se prêtent pas à l’usage épidémiologique sans de nombreux traitements et recodages. Elles ne sont pas collectées dans une finalité épidémiologique et sont tributaires, au-delà des phénomènes de santé qu’elles sont censées refléter, de nombreuses conditions liées, notamment, à la production et la gestion des soins. »

La validation des indicateurs épidémiologiques qui sont produits à partir du SNIIRAM et/ou du PMSI est donc essentielle. Les qualités métrologiques des bases de données médico-administratives doivent être évaluées par des études d’une part de comparaison au cas par cas pour estimer la sensibilité et la valeur prédictive, soit par retour au dossier médical au niveau local et sur des effectifs restreints, soit par croisement avec des données d’enquêtes et de cohortes, et d’autre part par comparaison avec des données agrégées mais dont la qualité soit éprouvée. Une fois cette qualité métrologique connue, les indicateurs produits peuvent être interprétés et utilisés à des fins de surveillance épidémiologique. Leur utilisation en santé publique implique donc d’organiser un partage d’expérience entre les utilisateurs comme entre les utilisateurs et les producteurs de données, et une implication conjointe des organismes de surveillance et de recherche en santé publique. À cet égard, certaines initiatives méritent d’être soulignées et devraient être pérennisées et généralisées pour accompagner le futur système national des données de santé. Ainsi, le portail « Épidémiologie – France » propose, depuis 2011, un catalogue en ligne des principales bases françaises de données individuelles en santé françaises qui inclut les bases médico-administratives et permet aux chercheurs de repérer les informations disponibles et d’en tirer le meilleur parti. Ce portail fait écho à la cartographie des données proposée par l’IDS.

La nécessaire médicalisation du SNIIRAM

La plus grande médicalisation du SNIIRAM grâce au chaînage avec le PMSI et au codage des ALD a permis d’exploiter davantage ces données en épidémiologie ; mais elle doit encore progresser, en particulier par le codage médical des soins de ville.

Si l’article L. 161-29 du code de la sécurité sociale, issu de la loi Teulade du 4 janvier 1993, a prévu le codage simultané des actes et des pathologies, cette obligation pose pour les soins de ville la délicate question de la caractérisation de la pathologie. De fait, le codage des actes pratiqués par les spécialistes, s’il est perfectible, permet déjà d’identifier la plupart des pathologies prises en charge par l’assurance maladie.

L’effort devrait se concentrer sur les médecins généralistes et les soins de premier niveau en portant une attention particulière aux conditions de faisabilité, y compris techniques par l’évolution des outils numériques et des logiciels métiers. Seules des initiatives limitées et sans lendemain sont intervenues. À cet égard, l’utilisation de la classification internationale des actes médicaux – CIM 10 – devrait faire l’objet d’une expérimentation. Un déploiement progressif devrait être envisagé soit par catégories de professionnels de santé en fonction des enjeux sanitaires et de leurs poids relatifs dans les dépenses de santé, soit par région.

Une contribution encore très limitée à l’amélioration de la qualité des soins

Les pratiques professionnelles, un champ d’études largement ignoré

Au niveau des pratiques individuelles des professionnels de santé

La HAS utilise rarement le SNIIRAM pour élaborer ses recommandations de bonnes pratiques et en suivre l’application, et lui préfère le PMSI. Or, il est de sa responsabilité de s’organiser pour en tirer profit et nourrir les états des lieux des pratiques professionnelles, ce que fait par exemple la CNAMTS.

De même, l’Union nationale des professionnels de santé qui n’a pas les moyens d’exploiter directement les données du SNIIRAM n’a pas conduit d’études sur les pratiques professionnelles des prestataires de soins sous l’angle de l’amélioration de la qualité des soins. Si de rares sociétés savantes ont exploité les données du SNIIRAM soit directement comme la société française d’urologie qui bénéficie d’une extraction, soit en partenariat avec la CNAMTS telle la société française d’anesthésie-réanimation, les ordres professionnels n’ont manifesté aucun intérêt pour y accéder.

Au niveau des établissements de santé

Le ministère chargé de la santé (DGOS) et la HAS se sont engagés depuis 2006 dans la construction d’indicateurs de qualité et de sécurité des soins en établissement de santé. La HAS a ainsi généralisé plus d’une cinquantaine d’indicateurs, qui sont essentiellement des indicateurs de processus de soins recueillis à partir des dossiers des patients. Dans le cadre du projet AMPHI94, des indicateurs de mortalité post-hospitalière à 30 jours, représentatifs de la qualité des soins, ont été recherchés.

Les limites du SNIIRAM pour évaluer l’accès aux soins et les restes à charge

Pour évaluer les inégalités sociales et géographiques d’accès aux soins, l’IRDES, qui disposait au 1er septembre 2015 de 15 comptes d’accès au SNIIRAM, regrette l’absence de données socio-économiques dans le SNIIRAM et d’informations géographiques fines sur les bénéficiaires et les professionnels de santé. Si les données du SNIIRAM permettent de gagner en profondeur historique et en exhaustivité sur la consommation de soins individuelles, elles doivent être complétées et enrichies par le croisement plus fréquent avec d’autres bases de données, en particulier socio-économiques, ou avec d’autres méthodes de recueil d’informations comme les enquêtes de terrain, lourdes et coûteuses.

Le recours au SNIIRAM pour apprécier les restes à charge est aussi un champ d’analyse qui se développe malgré les limites inhérentes à cette base de données qui contient, par définition, des données de remboursement de l’assurance maladie obligatoire et des éléments sur le coût total des soins présentés au remboursement, ce qui permet d’évaluer des restes à charge après assurance maladie obligatoire, mais avant prise en charge par l’assurance maladie complémentaire95.

Un observatoire citoyen des restes à charges a été créé par le CISS, Santéclair et la revue « 60 millions de consommateurs » pour disposer de données objectivées, permettant d’assurer un suivi documenté de l’évolution des restes à charge. L’IDS a réalisé plusieurs tableaux de bord pour le compte du CISS, ensuite mis à disposition de l’ensemble de ses membres, notamment sur les dépassements d’honoraires médicaux et paramédicaux et les soins bucco-dentaires. La Fédération des établissements hospitaliers et d'aide à la personne privés non lucratifs (FEHAP) a utilisé l’EGB en 2012 pour une étude des restes à charge, avec une aide appréciée de la CNAMTS et de l’IDS mais sans obtenir un profil lui permettant de localiser les données plus finement qu’au niveau départemental, ni disposer de celles relatives aux frais de transport, aux médicaments et aux autres produits et prestations.

Plusieurs difficultés persistent pour développer cette utilisation du SNIIRAM, et en particulier l’absence de données des organismes complémentaires dans la base et l’impossibilité de les apparier. Le projet Monaco (Méthodes, outils et normes pour la mise en commun des données des assurances complémentaire et obligatoire)96 représente une première étape pour pallier cette absence de connaissances sur le partage entre assurance obligatoire et complémentaire et sur le reste à charge réellement supporté par les ménages. Le pilotage de ce projet a été confié à l’IDS et la maîtrise d’œuvre à l’IRDES. La faisabilité technique de l’appariement des données individuelles issues de l’assurance maladie obligatoire et des organismes de couverture complémentaire à partir de l’enquête ESPS a été démontrée même si des marges de progrès existent97. En particulier, l’échantillon reste de taille modeste (2 440 bénéficiaires) et peu représentatif puisque les mutuelles sont sous-représentées.

L’évaluation des politiques de santé publique : une utilisation à développer

Le SNIIRAM aide au pilotage des politiques de santé publique, sans être encore suffisamment sollicité pour en évaluer les impacts comme le regrette régulièrement le président du comité d’experts de l’IDS.

Le département des maladies infectieuses de l’InVS mobilise par exemple depuis 2008 les données du SNIIRAM pour suivre et évaluer la couverture vaccinale chez l’enfant. Des estimations de taux de couverture pour les cinq principaux vaccins98 sont désormais réalisées en routine, et communiquées à la DGS dans des délais très rapides. Depuis 2013, des estimations infranationales permettent aux pouvoirs publics de cibler des territoires au taux de vaccination faible nécessitant des actions correctrices. Dans tous les cas, ces études n’intègrent pas, pour le moment, d’évaluation de l’impact des vaccinations sur la survenue des maladies chez les bénéficiaires vaccinés ou les complications associées.

CONCLUSION ET RECOMMANDATIONS

Le cadre juridique croisant dispositions de la loi « informatique et libertés » et dérogations législatives et réglementaires manque de lisibilité pour les utilisateurs et nuit à la cohérence des droits d’accès. Ceux-ci sont accordés au cas par cas. Leur définition s’est accompagnée d’une dilution des responsabilités, entre l’IDS, le COPIIR, la CNAMTS et la CNIL - se traduisant par une paralysie des accès permanents et une asphyxie des instances chargées des demandes d’accès ponctuel au premier rang desquelles la CNIL. La gestion des accès et de l’utilisation des données apparaît passablement malthusienne et freine nombre d’utilisateurs potentiels, notamment dans le domaine de la recherche.

Alors que la France a constitué une base exceptionnelle aux potentialités, certes perfectibles, mais déjà considérables, elle s’interdit de l’exploiter pleinement alors que les enjeux sont cruciaux, notamment en matière de santé publique, de veille sanitaire et également de maîtrise des dépenses de l’assurance maladie. La garantie de la préservation de la vie privée des personnes concernées constitue un enjeu certes absolument majeur, mais il est souhaitable que les acteurs concernés, notamment la CNIL, fassent évoluer leurs pratiques dans un sens moins restrictif pour répondre aux enjeux tout aussi vitaux touchant la santé des Français, dans un cadre juridique européen et français rénové.

Initialement conçu comme un outil de pilotage et de gestion de l’assurance maladie, le SNIIRAM a progressivement, mais de manière encore très limitée, été utilisé à d’autres fins, notamment de santé publique, d’amélioration de la qualité des soins et de connaissance du système de santé.

La CNAMTS sous-exploite encore le SNIIRAM, en particulier pour la maîtrise médicalisée et la lutte contre les abus et la fraude des professionnels de santé, se privant ainsi d’un outil puissant à mettre au service d’une stratégie d’ensemble de réduction accrue des dépenses.

Par leur manque d’implication et d’expertise, renforcé par des droits d’accès parfois trop étroits pour eux-mêmes comme pour d’autres utilisateurs, les pouvoirs publics se sont privés d’un instrument précieux pour le pilotage du système de santé, au niveau national comme régional, et la recherche d’efficience des dépenses d’assurance maladie. Si l’utilisation du SNIIRAM à des fins de veille sanitaire est en expansion grâce au chaînage avec le PMSI, les agences et autorités sanitaires sont inégalement impliquées, et la contribution du SNIIRAM pour alimenter, sur des bases documentées, les réflexions sur l’amélioration de la qualité des soins est insuffisante.

Des procédures allégées et plus rapides, mieux proportionnées aux enjeux de santé publique, doivent être mises en œuvre, comme la loi de modernisation de notre système de santé le prévoit désormais (cf. infra). En outre, pour permettre le développement du plein potentiel de la base, des efforts rapides, et priorisés doivent être consentis pour améliorer encore le contenu du SNIIRAM. L’enrichissement des données, qui peut aussi passer par des appariements facilités, doit se faire prioritairement dans deux directions : la médicalisation et l’inclusion de données socio-économiques et d’éléments sur les habitudes de vie.

En conséquence, la Cour formule les recommandations suivantes :

exploiter, au sein des régimes d’assurance maladie obligatoire, les potentialités du SNIIRAM à des fins de gestion du risque, notamment pour sanctionner plus systématiquement les comportements abusifs, fautifs et frauduleux ;
développer l’exploitation du SNIIRAM par les pouvoirs publics en définissant les besoins de chaque direction d’administration centrale et en mutualisant les compétences au sein de la DREES, selon des priorités concertées ;
intensifier l’utilisation des bases médico-administratives par l’introduction systématique d’objectifs ambitieux et d’indicateurs de performance dans les conventions passées entre le ministère et les opérateurs ;
enrichir le SNIIRAM en améliorant la qualité des informations médicales contenues, notamment par le codage médical des soins de ville et en facilitant son rapprochement avec les données socio-économiques ou d’habitude de vie.

Une ouverture maîtrisée à réussir dans le cadre du système national des données de santé

Conscients de la nécessité d’ouvrir beaucoup plus l’accès aux données de santé et de faciliter leurs utilisations99 dans le respect de la protection des données à caractère personnel, les pouvoirs publics ont entendu rénover très largement par l’article 193 de la loi de modernisation de notre système de santé du 26 janvier 2016 le cadre juridique présidant à leur mise à disposition. Ce projet s’inscrit dans un contexte marqué, d’une part, par une stratégie gouvernementale en faveur de l’ouverture, du partage et de la réutilisation des données publiques en général et, d’autre part, par une réflexion approfondie spécifique sur les enjeux spécifiques des données de santé100.

Un système national des données de santé est ainsi créé, qui rassemble les données du SNIIRAM et celles d’autres bases existantes (PMSI et statistique nationale sur les causes de décès de la base CépiDC) ou à construire comme pour les données transmises par les maisons départementales des personnes handicapées et pour l’échantillon représentatif des données de remboursement des organismes d’assurance maladie complémentaire.

La gouvernance du système comme les règles relatives aux accès, sont profondément repensées ; un Institut national des données de santé (INDS) aux missions élargies vient remplacer l’actuel IDS. Le choix du code de la santé publique101 (et non du code de la sécurité sociale comme pour le SNIIRAM) pour accueillir ces dispositions est un symbole non négligeable du changement de perspective opéré.

Les dispositions de l’article 193 visent à répondre à certaines critiques adressées au SNIIRAM tant en termes de contenu que de gouvernance de la base et d’accès. L’utilisation des données du SNDS, à d’autres fins que la gestion de l’assurance maladie, devrait en être facilitée. Néanmoins, des marges de progrès et des points de vigilance sont à souligner. Les textes d’application en cours d’élaboration seront essentiels pour concrétiser les avancées de la loi en termes d’ouverture plus large et d’utilisation plus active des données personnelles gérées par l’assurance maladie.

Une nouvelle gouvernance des données de santé à clarifier

Un dispositif encore fragmenté

Partant des difficultés constatées de la gouvernance actuelle du SNIIRAM, éclatée entre le COPIIR, en sommeil depuis 2013, l’IDS et la CNAMTS, le législateur a clarifié la gouvernance du système national des données de santé (SNDS) en distinguant la gestion technique du système, la gouvernance stratégique de ses orientations et la gouvernance des accès. Une ambiguïté fondamentale fait cependant peser un risque d’échec sur le SNDS : le maintien de la gouvernance des bases existantes, qui alimentent le SNDS, en particulier celle du SNIIRAM.

Une volonté affichée par l’État de s’impliquer dans la gouvernance stratégique

Avant même le vote de la loi, un décret du 19 octobre 2015 a confié à la DREES « la gouvernance des données de santé et de la définition des règles de leur mise à disposition à des fins de connaissance, d'étude, de recherche et d'évaluation, en liaison avec les producteurs de ces données ». C’est donc elle qui assumera la tutelle sur le SNDS, et qui coordonne déjà la préparation des décrets d’application de la loi. Ce changement devrait modifier la portée de la tutelle exercée par le ministère chargé des affaires sociales sur les données de santé, en assumant une tutelle stratégique et non plus simplement sectorielle et technique - la DGOS sur les données hospitalières via l’ATIH et le PMSI, la DSS sur les données de l’assurance maladie et la DGCS via la CNSA sur les données médico-sociales. La question de la coordination des administrations centrales, sectoriellement compétentes, au sein du ministère reste entière.

Tirant les conséquences de sa tutelle distante sur le SNIIRAM, le ministère chargé des affaires sociales entend participer pleinement à la gouvernance stratégique du SNDS, qui devrait reposer sur une doctrine claire d’utilisation des données de santé publique. L’État a ainsi vocation à jouer le rôle d’arbitre dans le processus de décision, pour garantir la réutilisation des données dans l’intérêt public et le respect de la vie privée.

Un comité stratégique, non prévu par la loi mais qui devrait figurer dans les textes d’application, sera ainsi chargé d’assurer la gouvernance stratégique du SNDS. Il devrait se composer de représentants de l’État – a minima des directions concernées du ministère chargé des affaires sociales au titre de leur tutelle sur des bases médico-administratives et d’autres départements ministériels comme celui de la recherche ou de l’agriculture-, de représentants des producteurs de données (ce qui pose une question de représentation des organismes d’assurance maladie complémentaire et obligatoire), de la CNAMTS et de représentants des utilisateurs, qui devraient être issus de l’institut national des données de santé (INDS). Pour autant, son positionnement, assis sur un fondement de nature règlementaire, devra tenir compte du rôle confié expressément par la loi à l’INDS.

Une instance centrale, l’Institut national des données de santé

Un Institut national des données de santé (INDS), sous forme de groupement d’intérêt public, est par ailleurs constitué entre l’État, des organismes assurant une représentation des malades et des usagers du système de santé, des producteurs de données de santé et des utilisateurs privés et publics des données de santé parmi lesquels figurent les organismes de recherche. Un soin particulier devra être apporté à la composition de ce GIP pour trouver un équilibre entre une instance trop pléthorique pour fonctionner efficacement et la représentation de chacun des acteurs, notamment des producteurs de données. Il ne va ainsi pas de soi que la CNAMTS puisse, à elle seule, représenter l’ensemble des producteurs de données de l’assurance maladie obligatoire pour emporter leur adhésion et garantir le caractère pleinement interrégimes du SNDS.

L’INDS sera notamment chargé de « veiller à la qualité des données de santé et aux conditions générales de leur mise à disposition », et de « faciliter la mise à disposition d’échantillons ou de jeux de données agrégées ». La diversité des organismes qui le composent en fait théoriquement l’instance privilégiée d’expression des besoins des utilisateurs et de confrontation de ces besoins aux contraintes des producteurs de données. Ces missions reprennent dans une large mesure celles confiées aujourd’hui à l’IDS auquel il se substituera dans l’ensemble des droits et obligations quand sa convention constitutive aura été rédigée puis approuvée.

Comme pour l’IDS et le COPIIR, la frontière entre les missions confiées à cet institut et celles du comité stratégique du SNDS est ténue. Le décret précisant les missions du comité stratégique et la convention constitutive ainsi que les autres textes statutaires du GIP revêtent une importance capitale pour clarifier l’articulation entre ces deux instances et leurs missions respectives.

Une gestion technique confiée à la CNAMTS

La gestion technique du SNDS est confiée, par la loi, à la CNAMTS, prenant acte de son expertise, des investissements humains et matériels réalisés et des résultats obtenus dans le SNIIRAM. Elle aura la responsabilité de la mise en place du SNDS, en rassemblant les données des bases préexistantes et en les mettant à disposition. Elle assurera le fonctionnement courant du système et ses évolutions, dans le respect des orientations arrêtées par le comité stratégique sur le fondement de l’expression des besoins formulée au sein de l’INDS. Pour réaliser ces missions, la CNAMTS organisera la coordination des producteurs de données dans le prolongement de ce qu’elle faisait pour le SNIIRAM.

La CNAMTS est désignée comme « responsable du traitement » sans que soit précisé le champ du traitement envisagé. S’agit-il uniquement des traitements des données venant alimenter le SNDS afin de les mettre à disposition dans de bonnes conditions ou bien du traitement des données du SNDS à des fins d’extraction ponctuelle ? Si la deuxième hypothèse est envisagée, des moyens humains et techniques à la hauteur des enjeux et de la croissance prévisible des demandes d’accès seront nécessaires.

La possibilité pour des organismes, désignés par décret en Conseil d’État, de gérer eux-mêmes la mise à disposition effective des données du SNDS, introduite par l’article L. 1461-7 du code de la santé publique, complexifie la définition des responsabilités et des compétences du gestionnaire technique qu’est la CNAMTS.

Un risque de redondance et de concurrence entre les instances

Dans le nouveau dispositif, la gouvernance reste ainsi partagée entre plusieurs instances aux missions relativement proches et au positionnement complexe. La marge est étroite pour ne pas reproduire les erreurs du système actuel et conduire aux mêmes blocages. Pour être efficace, le pilotage du SNDS devra reposer sur une coordination fluide et transparente entre les différents niveaux de gouvernance d’une part, et entre l’État, les producteurs et les utilisateurs de données d’autre part.

De plus, la gouvernance bicéphale du SNDS vient s’ajouter à celle, toujours complexe de chacune des bases existantes qui l’alimentent, sans qu’il soit prévu explicitement de les faire évoluer et de les harmoniser. Les premières réflexions, menées par le secrétariat général pour la modernisation de l’action publique sur la gouvernance du SNDS, font à cet égard l’impasse sur les modalités de fonctionnement actuelles des bases existantes. Ces questions d’articulation devront être explicitement et très précisément tranchées par les textes d’application, de même que l’avenir du protocole interrégimes et du COPIIR pour le SNIIRAM.

Enfin, la question des moyens humains et financiers nécessaires à la création et à la gestion du SNDS et de l’INDS est pour l’instant absente des échanges entre les principaux protagonistes. Les directions du ministère chargé des affaires sociales ont été interrogées à plusieurs reprises par la Cour sans pouvoir produire de documents prévisionnels sur les coûts potentiels du SNDS, ne pouvant pallier l’absence de contenu sur ce point de l’étude d’impact de l’article relatif au SNDS dans le projet de loi. La CNAMTS a fait valoir qu’elle avait réalisé au premier semestre 2014 une évaluation du coût de la mise en œuvre et de la gestion du SNDS sur la période 2014-2017, durée d’application de la COG. L’évaluation se montait pour les actions à conduire pendant cette période à 16,4 M€ et 40,6 ETP. Après négociation, l’accord de l’État a porté sur 9 M€ et 30 ETP. Or, l’une des conditions essentielles de la réussite du nouveau projet est d’être en mesure de proportionner de manière adaptée les moyens à dégager au regard des objectifs ambitieux fixés par la loi.

Une fluidité des accès à réussir

Une ouverture affichée de l’accès aux données du SNDS

Loin du jeu actuel complexe de dérogations à un principe général d’interdiction de traitement des données du SNIIRAM, le principe qui prévaut pour le SNDS est celui d’une mise à disposition des données.

Une mise à disposition du public des données de santé agrégées

Le nouvel article L. 1461-2 du code de la santé publique prévoit la mise à disposition gratuite pour le public de jeux de données du SNDS établis sous la forme de statistiques agrégées ou de données individuelles de sorte qu’ils ne présentent aucun risque d’identification directe ou indirecte des individus. Ces échantillons et jeux de données seront établis dans des conditions préalablement homologuées par la CNIL, à partir notamment d’une expression des besoins formalisée par l’INDS.

À ce stade néanmoins, les débats s’étant concentrés sur les autres données contenues dans le SNDS, il est difficile de déterminer quels types de jeux de données seront disponibles, mais il conviendra de s’assurer que l’homologation préalable par la CNIL s’applique à l’ensemble des jeux de données et non à chaque nouveau jeu de données sous peine de verrouiller, à nouveau, excessivement le dispositif et de le rendre inopérant. Il est donc essentiel que la notion de « jeux de données à faible risque de réidentification » soit préalablement clarifiée sur le fondement d’une expertise scientifique partagée.

Le législateur a également cherché à faciliter la réutilisation des données relatives à l’activité des professionnels de santé afin d’améliorer la transparence sur l’offre de santé et de responsabiliser les patients. Il a ainsi supprimé l’obligation de consentement des professionnels de santé préalable à la mise à disposition du public par la CNAMTS des informations sur les tarifs individuels applicables et pratiqués. Ces données pourront donc être réutilisées y compris par des opérateurs privés à des fins de comparaison des tarifs et de géoréférencement des professionnels de santé. Ce sera une contribution bienvenue à l’information des citoyens et à la maîtrise des dépenses.

Une ouverture au secteur privé sous conditions

Contrairement à l’arrêté relatif au SNIIRAM qui en interdisait explicitement l’accès aux organismes privés à but lucratif, l’article 193 de la loi de modernisation de notre système de santé autorise l’accès du secteur privé aux données du SNDS, sous certaines conditions.

En faisant prévaloir la finalité de l’exploitation sur le statut juridique de l’utilisateur, ces nouvelles dispositions ouvrent un cadre d’accès aux données de santé au secteur privé, faisant notamment écho aux attentes des laboratoires pharmaceutiques et des organismes d’assurance maladie complémentaire (AMC). Les organismes complémentaires, par exemple, faisaient de cette réciprocité dans l’ouverture des accès une contrepartie à leur implication dans la constitution d’un échantillon de données de remboursement de leurs assurés pour alimenter le SNDS. Si les fédérations constitutives de l’UNOCAM et les organismes participant à l’expérimentation Monaco bénéficiaient d’un accès aux magasins de données agrégées du SNIIRAM, seule l’UNOCAM avait accès à l’EGB102.

Néanmoins, cette ouverture est encadrée. La loi liste de manière exclusive des finalités de traitement qui doivent répondre soit à un « motif d’intérêt public » soit à une mission de service public. Elle en interdit explicitement certaines finalités, à savoir d’une part la promotion des produits de santé en direction des professionnels de santé ou d’établissements de santé, et d’autre part l’exclusion de garanties des contrats d’assurance et la modification de cotisations ou primes d’assurance.

Des garanties supplémentaires sont, par ailleurs, demandées aux laboratoires pharmaceutiques et aux organismes complémentaires pour les autoriser à traiter les données du SNDS. Ils devront ainsi soit démontrer que les modalités de mise en œuvre du traitement rendent impossible toute utilisation des données pour une finalité interdite, soit recourir à un laboratoire de recherche ou à un bureau d’études, public ou privé, pour réaliser le traitement. Ces tiers s’engageront auprès de la CNIL à réaliser leurs études dans le cadre d’un référentiel, défini par arrêté pris après avis de la CNIL, et incluant des critères de confidentialité, d’expertise et d’indépendance.

La doctrine de l’État en matière d’ouverture au secteur privé à but lucratif et non lucratif aurait cependant mérité d’être exprimée plus clairement au regard des attentes des acteurs et des enjeux. Il n’est pas certain que la justification d’un intérêt public, aux contours non définis par le législateur, et appréciée par un collège de l’INDS dans lequel pourraient siéger des acteurs privés, soit de nature à lever les ambiguïtés et les craintes par rapport à des risques de mésusage.

La question de l’accès à d’autres types d’entreprises privées est partiellement résolue, à condition qu’elles s’inscrivent dans l’une des finalités assignées au SNDS. À cet égard, la mention dans les finalités autorisées de l’innovation dans les domaines de la santé et de la prise en charge médico-sociale au 6° du III de l’article L. 1461-1 ouvre des perspectives intéressantes dans le contexte du big data. Lors des débats au Parlement, le gouvernement a, en effet, indiqué que ces dispositions législatives visaient notamment à autoriser, dans le strict respect de la vie privée, la transmission des données de santé de l’assurance maladie aux start-ups. Enfin, si l’association Prescrire exploite déjà depuis 2011 des données agrégées relatives aux effets indésirables de certains médicaments auxquelles elle a accès par l’IDS, la question de l’accès aux données de santé des lanceurs d’alerte n’a pas été clarifiée par la loi de modernisation de notre système de santé.

Des possibilités d’appariement facilitées

Les appariements de données seront d’abord facilités par l’utilisation du numéro d’inscription au répertoire national d’identification des personnes physiques (ou NIR) comme identifiant de santé unique des personnes dans leur prise en charge à des fins sanitaires et médico-sociales. Les données relatives à un individu seront plus facilement retrouvées dans différentes bases et chaînées. Cette nouvelle rédaction de l’article L. 1111-8-1 du code de la santé publique devrait résoudre par exemple les difficultés rencontrées par les MDPH pour utiliser le NIR et ainsi faciliter la mise en place d’un système d’information harmonisé et la remontée d’informations de meilleure qualité.

Désormais, le traitement de l’identifiant de santé pourra être autorisé par la CNIL sans recourir à un décret en Conseil d’État, ce qui allège la procédure. Le législateur a maintenu la possibilité pour la CNIL, dans le cadre de son pouvoir de régulation, « d’imposer que le numéro d’inscription au répertoire national d’identification des personnes physiques soit alors confié à un organisme tiers, distinct du responsable de traitement». Cette mesure technique de sécurité et de confidentialité nécessaire alors que le NIR est désormais utilisé comme identifiant national de santé dans la sphère médico-sociale ne doit pas devenir systématique sous peine de vider complètement de son sens et de sa portée cette disposition législative. En effet, l’exemple de la cohorte Coset103 montre à quel point le recours à un tiers de confiance alourdit la procédure, y compris lorsqu’il s’agit simplement de chaîner des données individuelles de bases différentes sans révéler l’identité de la personne.

Une vigilance particulière devra être portée à l’élaboration d’autorisation unique pour utiliser le NIR à des fins de chaînage et de constitution de cohortes. Les agences sanitaires au premier rang desquelles l’InVS et l’ANSM ainsi que les principaux organismes de recherche, d’études et d’évaluation en santé dont l’INSERM sont principalement concernés.

Une simplification dans les textes des demandes d’accès mais dépendante des modalités effectives d’examen

L’article 193 modifie certaines dispositions problématiques encadrant l’accès aux données de santé. Ainsi l’article L. 161-28-1 du code de la sécurité sociale relatif au SNIIRAM ne mentionne plus le respect de l’anonymat des personnes mais désormais celui de leur vie privée, ce qui devrait contribuer à mettre en cohérence le cadre juridique et les pratiques et lever l’un des obstacles avancés par la CNIL pour ouvrir plus largement l’accès aux données du SNIIRAM comme analysé précédemment104.

Le principe général qui prévaut pour le SNDS est celui d’une mise à disposition sous réserve de respecter certains principes d’utilisation définis aux IV et V du nouvel article L. 1461-1 du code de la santé publique. Néanmoins, l’accès aux données à caractère personnel (les données individuelles considérées comme potentiellement réidentifiables) du SNDS reste fortement encadré et accordé en fonction des finalités du traitement, selon un principe de stricte proportionnalité par rapport aux finalités de la recherche et aux missions de l’organisme ou de l’entité considérée. Les dispositions relatives aux accès valent non seulement pour le SNDS mais aussi pour les bases l’alimentant, pour les finalités de recherche, d’étude ou d’évaluation105. Cette harmonisation qui exclut certaines utilisations, facilitera l’accès aux données du SNIIRAM mais restreindra et complexifiera le cadre des demandes portant sur le PMSI.

Un cadre simplifié pour les administrations et organismes publics

Les accès permanents aux données à caractère personnel du SNDS seront désormais définis dans un décret en Conseil d’État pris par le ministre chargé de la santé après avis de la CNIL, et non plus dans simple arrêté d’approbation. Dès lors qu’un organisme bénéficiera d’un accès permanent aux données du SNDS, il n’aura plus à demander une autorisation de traitement à la CNIL.

Aux termes du nouvel article L. 1461-3, seuls les services de l’État, des établissements publics ou des organismes chargés d’une mission de service public peuvent se voir reconnaitre un accès permanent. Ceci constitue une restriction importante par rapport aux droits reconnus dans l’arrêté relatif au SNIIRAM pour les membres et composantes des membres de l’IDS et pour les représentants des professionnels de santé comme l’UNPS qui ne sont pas chargés d’une mission de service public. Néanmoins, une mesure transitoire106 prévoit le maintien des droits accordés dans l’arrêté relatif au SNIIRAM pendant trois ans, sans cependant que soit indiqué comment seront sécurisés pendant cette période les accès existants.

Pour améliorer la lisibilité du système et ainsi répondre aux critiques formulées à l’encontre de l’arrêté relatif au SNIIRAM, ce décret devrait témoigner d’une doctrine claire en matière d’accès permanent aux données du SNDS. Celle-ci gagnerait à être fondée sur une approche matricielle des finalités et des grandes catégories d’organismes ou d’entités. Par exemple, il serait opportun que les institutions, agences et autorités sanitaires contribuant à l’évaluation des politiques de santé publique disposent des mêmes droits d’accès permanents avec ensuite des différences dans les profils d’habilitation individuelle. Ce texte doit reposer sur un équilibre entre ouverture des accès permanents pour répondre aux besoins des utilisateurs et éviter un engorgement du circuit complexe des demandes d’accès ponctuels, et rigueur pour préserver la vie privée et la sécurité des données à caractère personnel. À défaut, le risque est fort que prévale une conception restrictive, et paradoxalement potentiellement plus limitée que dans le dispositif antérieur, des possibilités d’accès permanent au SNIIRAM, et tout particulièrement en son sein au DCIR. Elargir et donner plus de souplesse à la liste des organismes ayant un accès permanent pourraient ainsi s’avérer souhaitables.

Au-delà de l’avis de la CNIL et du Conseil d’État, aucune autre consultation obligatoire sur ce décret relatif aux droits d’accès permanent n’est prévue par la loi. Or on l’a vu, l’absence de clarté de la procédure d’instruction de l’arrêté SNIIRAM a été à l’origine de nombreux dysfonctionnements et de la paralysie du système depuis 2013. C’est pourquoi il est essentiel que le circuit d’instruction des demandes d’accès permanents soit précisé dans les textes d’application pour bien articuler les différentes responsabilités entre l’instance de gouvernance stratégique, et l’INDS en tant que représentation des parties prenantes.

Par ailleurs, un régime d’accès dérogatoire est prévu en cas d’urgence ou d’alerte sanitaire afin de répondre aux difficultés et lenteurs constatées dans l’accès aux données du SNIIRAM ou du PMSI en instaurant un régime de déclaration préalable auprès de la CNIL pour une liste d’organismes ou de services chargés d’une mission de service public.

Une procédure en apparence allégée pour les accès ponctuels

Une simplification du cadre juridique

Au-delà des dispositions relatives au SNDS, l’article 193 prévoit également la fusion des chapitres IX et X de la loi « informatique et libertés »107. En cela, elle unifie la procédure de demande d’accès aux données de santé à caractère personnel. Elle élargit les démarches de simplification (autorisations uniques ou méthodologies de référence) aux traitements de données à santé à caractère personnel à des fins d’évaluation ou d’analyse des pratiques ou des activités de soins et de prévention. Elle cherche ainsi à raccourcir les délais et à désengorger les instances compétentes dont la CNIL en conditionnant les autorisations soit à une procédure allégée soit à un simple engagement de conformité du demandeur. Néanmoins, pour que cette disposition soit effective, une attention particulière devra être apportée aux calendriers et priorités d’élaboration des méthodologies de référence qui seront développées. Elles pourraient en priorité concerner les équipes de recherche publique des centres hospitaliers universitaires, qui sont freinées dans leurs travaux par la lourdeur actuelle des procédures d’accès.

La mission confiée à l’Institut national des données de santé d’assurer le secrétariat unique en charge de l’orientation des demandes d’accès ponctuels témoigne aussi de la volonté du législateur de simplifier l’actuel « parcours du combattant » administratif. Pour rendre effective la simplification des procédures, il devra veiller à l’articulation des calendriers entre les différentes instances consultatives et disposer de moyens humains lui permettant d’accompagner les demandeurs voire de se substituer à eux dans les démarches auprès des instances consultatives. Néanmoins, la convention constitutive du GIP INDS ne doit pas modifier cette mission en lui confiant un rôle de pré-instruction des dossiers. Une telle évolution, qui serait lourde et chronophage et nécessiterait des compétences juridiques et techniques particulières, rentrerait en effet en contradiction avec l’objectif de clarification des procédures et des responsabilités respectives de chaque instance.

Des procédures d’instruction des demandes qui demeurent complexes

Les demandes seront examinées par la CNIL en fonction de l’intérêt public que la recherche, l’étude ou l’évaluation présente. La CNIL prendra sa décision après avis du comité compétent, soit le comité de protection des personnes pour les demandes relatives aux recherches impliquant la personne humaine, soit le comité d’expertise pour les recherches, les études et les évaluations dans le domaine de la santé (CEREES). C’est cette nouvelle instance créée à cet effet par la loi qui assurera l’essentiel de l’instruction scientifique des demandes d’accès aux données de santé, hors recherches médicales sur la personne humaine. Elle rendra son avis dans un délai d’un mois sur la méthodologie retenue, sur la nécessité du recours à des données à caractère personnel et leur pertinence et le cas échéant sur la qualité scientifique du projet. Afin de ne pas nuire à la légitimité de ce comité d’experts, une attention particulière devra être portée à sa composition108, aux équilibres entre les disciplines scientifiques et aux modalités de désignation des membres.

Toutefois, en parallèle, l’INDS pourra être saisi par la CNIL, le ministre chargé de la santé ou s’autosaisir pour examiner le caractère d’intérêt public de la recherche, sans que cette notion soit davantage précisée par le législateur.

Le circuit d’instruction des demandes reste ainsi d’une réelle complexité compte tenu de la pluralité des instances et de leurs compétences respectives. Si leurs avis semblent mieux différenciés - l’un étant technique et scientifique, l’autre plus éthique -, les frontières sont ténues. Des calendriers et des instructions mal articulés pourraient indûment ralentir les demandes.

Quelles que soient les précautions prises, le risque est cependant non négligeable que la dualité des institutions et des instances n’entraîne des formes de conflits de légitimité et fasse perdre en cohérence et en fluidité des procédures que la loi de modernisation de notre système de santé entendait simplifier et alléger. Une autre solution aurait pu être de placer le CEREES auprès de l’INDS en garantissant son indépendance.

La mise en place d’un circuit dématérialisé des demandes, envisagée par le ministère de la santé, contribuera certainement à simplifier la procédure pour les demandeurs sans résoudre le problème de fond.

Certes les demandes ponctuelles de traitement seront certes amenées à diminuer sous l’effet des démarches simplifiées. Mais la portée des allègements de procédure prévus par la loi de modernisation de notre système de santé serait amoindrie si la faiblesse des moyens humains du service santé de la CNIL se conjuguait avec une minutie d’approche qui ferait perdurer les difficultés constatées pour le SNIIRAM.

Les incertitudes liées au cadre juridique européen

Depuis 2012, deux textes sont en préparation au niveau européen afin de renforcer le contrôle des citoyens sur leurs données personnelles, d’augmenter la confiance dans les médias sociaux et d’accroître la protection des données traitées par les autorités policières et judiciaires :

- un règlement relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, dont l’adoption est imminente ;

- une directive relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel par les autorités compétentes à des fins de prévention et de détection des infractions pénales, d’enquêtes et de poursuites en la matière ou d'exécution de sanctions pénales, et à la libre circulation de ces données.

Le projet de règlement repose sur l’intégration de la sécurité au cœur du traitement des données par le responsable de traitement qu’il collecte ou utilise des données. Il fait prévaloir une logique de contrôle a posteriori des utilisations, donc une responsabilisation accrue des utilisateurs (par des engagements de conformité et des audits réguliers), un renforcement du pouvoir des autorités administratives indépendantes nationales et des sanctions financières en cas d’infraction. Celles-ci pourront s’élever jusqu’à 4 % du chiffre d’affaire annuel mondial ou 20 millions d’euros sachant que le plafond est actuellement de 150 000 € en France. Les autorités publiques peuvent être exonérées de sanctions pécuniaires. Ceci accompagnerait l’ouverture des accès aux données du SNIIRAM et du SNDS et le développement de leur utilisation.

Si les orientations de ce projet sont cohérentes avec les réformes législatives françaises récentes en matière d’accès aux données, y compris de santé, il pourrait aussi contribuer à verrouiller et complexifier les accès aux données du SNDS et du SNIIRAM. À la demande des autorités françaises, les personnes concernées peuvent s’opposer a posteriori au traitement de leurs données qui ne serait pas d’intérêt public. Autrement dit, un droit d’opposition est reconnu pour le traitement, y compris à des fins statistiques, scientifiques ou historiques, privées.

L’adoption formelle de ce projet de règlement européen devrait avoir lieu en avril 2016. Une fois adopté, il entrera en vigueur dans un délai de deux ans, et sera directement applicable en droit français.

Un contrôle a posteriori des utilisations à mettre en œuvre

Une absence de contrôle a posteriori qui contraste avec la rigidité des autorisations a priori

Les risques de mésusage et de réidentification ont justifié, à l’excès, la mise en place de droits d’accès complexes et restrictifs, d’autorisations de traitement accordées avec minutie et parcimonie, de délivrance d’habilitations individuelles, ou de durée différente de conservation des données. Comme l’a constaté la Cour, ni les organismes utilisateurs, ni la CNAMTS, gestionnaire technique de la base, ni la CNIL n’ont pourtant jamais procédé à des contrôles des utilisations effectivement faites des données du SNIIRAM au regard des autorisations a priori accordées.

Une responsabilité partagée entre utilisateurs et producteurs de données

La charte d’utilisation des données du SNIIRAM, annexée au protocole interrégimes depuis 2001, précise les niveaux de responsabilité en cas de manquements aux principes et aux règles d’habilitation et d’utilisation. Jusqu’en 2008, le contrôle de premier niveau incombait aux régimes d’assurance maladie obligatoire ou à la commission d’habilitation ; ils avaient la faculté à tout moment de suspendre l’accès au SNIIRAM, de modifier le champ d’habilitation d’un utilisateur ou encore d’interdire une exploitation ou d’en suspendre la réalisation. À partir de 2008, avec la suppression du rôle de la commission d’habilitation en matière d’accès pour les utilisateurs externes, et la décentralisation de la procédure d’habilitation aux organismes définis par l’arrêté relatif au SNIIRAM, la responsabilité a été transférée aux organismes en tant qu’autorités compétentes d’enregistrement.

Mais, au-delà des revues d’habilitations effectuées plus ou moins régulièrement par les organismes, aucune procédure de contrôle des exploitations des données du SNIIRAM et du respect des autorisations de la CNIL, notamment en matière de durée de conservation des données, n’a été formalisée. Par exemple, la CNAMTS, principal utilisateur du SNIIRAM, reconnaît n’avoir jamais procédé à un contrôle effectif des traitements réalisés sur les données de la base, ni disposer d’une doctrine ou d’un plan de contrôle.

D’autre part, en tant que gestionnaire technique de la base, la CNAMTS a une responsabilité particulière en matière de contrôle des utilisations du SNIIRAM qui dépasse la vérification des conditions préalables nécessaires à la délivrance d’une habilitation ou d’une extraction. À l’occasion de demandes d’assistance, elle s’assure que le nom du demandeur correspond bien à une personne autorisée à utiliser le SNIIRAM. Mais, plus fondamentalement, la Caisse qui dispose pourtant des informations relatives aux connexions sur le portail et aux traitements réalisés pour chaque compte SNIIRAM, ne les exploite qu’à des fins statistiques et très rarement pour détecter des comportements atypiques. En juin 2015, ont été enregistrées plus de 330 000 connexions au portail en un seul mois - chiffre manifestement disproportionné - sans réaction de la CNAMTS. Au même moment, l’InVS avait sollicité la caisse sur sa consultation mensuelle moyenne du DCIR d’environ 2 000 à 5 000 occurrences, très éloignée des statistiques habituelles. La CNAMTS n’a pas donné suite aux interrogations de l’InVS109, ni aux sollicitations de la Cour pour éclaircir ce point. Il lui incombe pourtant de mettre en place un dispositif d’alerte (qui pourrait être parfaitement automatisé) en cas d’utilisation manifestement disproportionnée du SNIIRAM et d’avertir l’organisme concerné, voire de l’accompagner dans son analyse des atypies. Une fois les codes d’accès fournis aux utilisateurs, la CNAMTS se comporte comme si elle n’était plus responsable des utilisations faites, y compris pour ses propres agents. Même si ni l’État ni la CNIL n’ont demandé la mise en place de tels contrôles, la passivité de la CNAMTS, alors qu’elle dispose des informations et des outils, est anormale.

Dès 2001, le COPIIR SNIIRAM avait la possibilité, en cas de manquements avérés de suspendre l’accès au SNIIRAM, ce qui ne s’est jamais produit.

Une absence de contrôle par la CNIL

Pour sa part, la CNIL n’a jamais procédé à un contrôle a posteriori du SNIIRAM et du respect des autorisations de traitement délivrées, tant en matière d’utilisation que de destruction des données transmises. La procédure a priori minutieuse de délivrance des autorisations de traitement des données du SNIIRAM et la parcimonie des accès permanents ont fonctionné comme des garde-fous efficaces puisqu’il n’y a eu aucun mésusage manifeste des données du SNIIRAM. N’ayant pas été saisie de plaintes sur le SNIIRAM et compte tenu de la faiblesse de ses moyens humains110, elle a conduit prioritairement d’autres contrôles dans le domaine de la santé111. Néanmoins, dans la perspective d’une ouverture plus large des accès au SNDS et de l’enrichissement permanent des données de santé, des instructions préalables au cas par cas aussi rigoureuses ne permettront pas de répondre aux demandes croissantes.

Les procédures de contrôle a posteriori de la CNIL sont strictement encadrées par la loi « informatique et libertés » et requièrent, dans le domaine de la santé, la présence d’un médecin, dès lors que le contrôle doit se faire sur des données individuelles. Cette présence obligatoire complique certes la réalisation des contrôles, en particulier s’ils sont inopinés ou urgents, mais n’exonère en rien la CNIL d’un attentisme préjudiciable. Elle aurait notamment dû demander aux ARS de désigner un médecin a priori pour accélérer les procédures. Enfin, la vérification de certaines mesures, par exemple le contrôle de l’entrepôt SNIIRAM, ne nécessite aucunement la présence d’un médecin. L’article 166 de la loi de modernisation de notre système de santé, qui ouvre la possibilité de procéder à des contrôles à des agents des agences sanitaires n’ayant pas la qualité de médecin, pourrait être utilement étendu aux agents habilités de la CNIL.

Cette absence de contrôle a posteriori apparaît comme une faille majeure, qui entache fortement la pertinence des procédures.

Une politique de contrôle et de sanction à élaborer d’urgence

Mettre en place des contrôles

Pour accompagner l’ouverture des données de santé tout en assurant le respect de la vie privée, une politique cohérente de contrôle de leurs traitements doit être élaborée d’urgence par les pouvoirs publics. Elle nécessite une collaboration des principales parties prenantes - État, CNAMTS comme gestionnaire technique, CNIL et utilisateurs -, ainsi qu’une définition claire des responsabilités respectives.

Le premier niveau de vigilance, au-delà du suivi des habilitations, concerne la surveillance du nombre et de la nature des requêtes réalisées. La traçabilité des requêtes est à cet égard primordiale pour déceler des anomalies, les signaler au responsable de traitement concerné et les corriger le cas échéant. Le gestionnaire technique de la base a, en la matière, un rôle particulier à jouer en communiquant régulièrement les statistiques d’utilisations du SNDS aux principaux organismes et en mettant en place un système automatisé d’alerte. Il relève de la responsabilité des organismes utilisateurs de systématiser les revues d’habilitation et d’en tirer toutes les conséquences.

Des contrôles des utilisateurs doivent par ailleurs être menés. S’il est bien évident que ces contrôles ne pourront jamais être exhaustifs, compte tenu du nombre d’utilisations et de la pluralité des utilisateurs, l’existence de contrôles inopinés est une garantie nécessaire (mais non suffisante) pour s’assurer du respect des règles édictées. La responsabilité revient d’abord aux organismes et institutions pour leurs utilisations internes, selon des procédures préalablement définies. Afin de sensibiliser les utilisateurs, le comité stratégique pourrait définir des priorités pluriannuelles de contrôle a posteriori, et examiner leurs résultats afin de proposer, le cas échéant, des modifications de procédure et de doctrine.

Enfin, la CNIL en tant qu’autorité de régulation des données à caractère personnel, a un rôle déterminant dans cette politique de contrôle a posteriori. L’inscription du SNIIRAM et du SNDS au programme annuel de contrôle pour 2017 et 2018 est une première étape.

La mise en place du SNDS doit s’accompagner d’une impulsion, par l’État, d’une stratégie de contrôles a posteriori, combinant des actions menées par les utilisateurs, à partir des revues d’habilitation, un suivi par les instances de gouvernance du SNDS et l’engagement de la CNIL à faire des contrôles du SNIIRAM et du SNDS un de ses axes prioritaires et permanents de contrôle dans le champ de la santé, dont elle devrait rendre compte au Parlement annuellement.

Renforcer les sanctions

Pour garantir l’efficacité de la protection de la vie privée et des données personnelles, la politique de régulation doit pouvoir s’appuyer sur des sanctions dissuasives en cas d’infractions à la législation à la hauteur des enjeux collectifs et individuels. En anticipant sur le projet de règlement européen, l’Assemblée nationale a adopté en première lecture du projet de loi « Pour une République numérique » des dispositions permettant à la CNIL de mettre en place plus facilement des mesures conservatoires protectrices – réduction du délai de mise en demeure à 24h, élargissement des cas de recours au référé suspension- et de prononcer des sanctions sans mise en demeure préalable. Le montant de la sanction pécuniaire est proportionné à la gravité du manquement commis et aux avantages tirés de ce manquement, dans la limite de 20 millions d’euros ou de 4 % du chiffre d’affaires annuel mondial112.

Ce dispositif de sanctions et son effectivité en termes d’amendes fixées à un niveau véritablement dissuasif en cas de manquements est un complément absolument indispensable au mouvement d’ouverture des accès aux données de santé et de diversification de leur utilisation dans le cadre du SNDS, qui repose sur des formalités administratives préalables simplifiées et sur une responsabilisation accrue des responsables de traitement.

Une ambition à soutenir

Un nouveau système à construire de manière solide et sécurisée

Un élargissement du périmètre du SNDS qui nécessitera du temps et des investissements

Aux termes du nouvel article L. 1461-1 du code de la santé publique, le SNDS a vocation à rassembler et à mettre à disposition les données des bases existantes en matière sanitaire et médico-sociales, à savoir les données du PMSI, celles du SNIIRAM, celles de la statistique nationale sur les causes de décès (regroupées au sein de la base CépiDC), celles transmises par les maisons départementales des personnes handicapées à la CNSA aux termes du décret du 22 août 2008 ainsi qu’un échantillon représentatif des données de remboursement par bénéficiaire transmises par des organismes d’assurance maladie complémentaire.

Le SNDS ne se substitue néanmoins pas à ces bases, qui continueront à exister et à fonctionner selon leurs propres modalités, mais il les coiffe. Un décret en Conseil d’État, pris après avis de la CNIL, fixera la liste des catégories de données réunies au sein du SNDS et ses modalités d’alimentation, y compris par les organismes complémentaires en les associant. Comme le SNIIRAM, le SNDS ne contient pas d’informations nominatives personnelles (nom, prénoms, NIR, adresse) qui sont confiées à un organisme distinct du responsable du SNDS et des responsables de traitement, chargé de conserver la clé de correspondance et de garantir la sécurité du système. Les numéros d’identification des professionnels de santé sont conservés et gérés séparément des autres données, ce qui s’inscrit dans la continuité du SNIIRAM.

Dans les faits néanmoins, l’apport du SNDS par rapport au SNIIRAM risque d’être, dans un premier temps, limité puisque seule la base CépiDC existe déjà. L’appariement entre les données des assurances complémentaires et de l’assurance maladie obligatoire a certes fait l’objet d’une expérimentation à travers le projet Monaco qui a démontré sa faisabilité technique, mais il se heurte à des difficultés, compte tenu de la diversité des systèmes d’information des organismes complémentaires et de la réorganisation profonde à l’œuvre dans ce secteur. Avant de mettre un terme, comme il est actuellement prévu, au projet Monaco, qui a le mérite d’exister, les conséquences en termes d’acceptabilité, de coût et de délai de constitution d’un nouvel échantillon doivent être analysées au regard des avantages espérés et des efforts importants déjà consentis.

Quant aux données médico-sociales, le SNDS devrait être alimenté par le système d’information des maisons départementales des personnes handicapées (MDPH) qui n’existe pas encore. La CNSA a missionné l’agence de systèmes d’information partagés de santé (ASIP) pour conduire une étude de faisabilité en 2015 précisant les conditions de réalisation pour un arbitrage et un lancement des travaux fin 2015. Compte tenu de la complexité de l’écosystème, il a ainsi été décidé de construire un système d’information harmonisé par étapes, garantissant de premiers résultats plus rapides et généralisables. Il conviendrait, en attendant, de capitaliser sur l’outil Resid’EHPAD113, de transmission et de traitement automatisés des listes de résidents et de la consommation de soins dans les EHAPD, développé par la CNAMTS depuis 2010 et de l’élargir à d’autres établissements du secteur médico-social.

C’est pourquoi, en dépit de l’intérêt réel que devrait représenter, à terme, le SNDS, son plein déploiement nécessitera un temps certain, difficilement prévisible aujourd’hui et des investissements financiers importants, mais non documentés à ce stade (cf. supra). Dans l’intervalle, l’enrichissement, la qualité et la sécurité du SNIIRAM sont des objectifs à poursuivre de manière résolue et prioritaire. Le SNIIRAM ne saurait en effet être délaissé au motif qu’il sera inclus dans un dispositif plus vaste à moyen terme.

Relever le défi des données massives non structurées et de l’intelligence artificielle

Le SNIIRAM n’a été pas configuré pour traiter des données massives dites non structurées telles que des comptes rendus de soins, des résultats d’analyses biologiques, des documents d’imagerie médicale…  : l’ordinateur à très grande capacité acquis en 2013 a une puissance de calcul moindre que celle de son prédécesseur. Il ne contient que des données structurées en rubriques « fermées », préformatées114. Un inconvénient mineur est qu’il rejette des séries de données marginalement incomplètes ou non conformes au format prescrit, ce que le mode « données non structurées » tolérerait. Sa capacité de stockage permettrait de traiter ces dernières, à condition que sa puissance de calcul soit accrue.

L’Assistance publique-Hôpitaux de Paris (AP-HP) s’est dotée en 2015 d’un entrepôt de données de santé (EDS), permettant d’inclure de telles données non structurées, anonymisées ou non, issues par exemple de comptes rendus médicaux, grâce au traitement automatique de textes et à l’insertion d’informations complémentaires dans un document pour en faciliter le croisement avec d’autres données. L’objectif est de mettre en place des études de suivi plus complètes qu’à ce jour, en chaînant leurs données, par exemple pour le suivi des patients chroniques. En l’absence de tels croisements, un inconvénient majeur est l’impossibilité de croiser des données parfois cruciales, comme dans l’affaire du Mediator®. L’un des outils mis en œuvre de manière déterminante au CHU de Brest dans ce dossier a été un programme recherchant des mots-clés (nom du médicament, d’un effet indésirable, etc.) dans les comptes rendus médicaux de patients. Le fichier des diagnostics détectés au travers de ces données non structurées a été croisé avec les données structurées locales du PMSI ; ce croisement a contribué à documenter le dossier. Ce programme, de technologie ancienne, continue à être utilisé après avoir été adapté à la nouvelle base de données du CHU.

La mise en place du SNDS appelle à cet égard une réflexion stratégique, pour trois motifs principaux, car il n’a pas été prévu qu’il soit étendu à des données non structurées : un tel investissement - dont le coût peut certes être important si sa complémentarité n’est pas assurée avec les systèmes disposant de telles données - pourrait notamment être vite rentabilisé en matière de recherche de données, y compris « prédictives »115, de lutte contre les abus et la fraude si les croisements appropriés de données étaient autorisés (cf. infra).

L’État a lancé dans le cadre des « Investissements d’avenir » un programme « Territoire de soins numérique », doté de 80 M€, qui vise à moderniser le système de soins en expérimentant, dans cinq zones pilotes, les services et technologies les plus innovants en matière de santé. Cette diversité peut exposer aux surcoûts constatés lors de la phase de développement du dossier médical personnel (DMP), qui vit surgir des DMP régionaux inégalement compatibles et d’une incertaine longévité. Les performances et l’efficience du futur SNDS seront dans ce contexte très vite comparées aux prestations du secteur privé d’emblée assurées en mode « données non structurées ».

Les ministères de tutelle, à qui incombera la supervision du pilotage stratégique du SNDS, n’y ont incité la CNAMTS qu’à partir de la signature de la COG 2014-2017. Une solution internationalement reconnue est en cours d’expérimentation, sans qu’un plan et un calendrier existent encore. Le SNDS ne saurait certes devenir un immense réservoir national de toutes les données non structurées de la population résidant en France, mais l’expérience d’opérateurs tels que l’AP-HP et le récent partenariat de la CNAMTS avec l’École polytechnique peuvent toutefois être mis à profit pour élaborer une stratégie d’appariements et chaînages de données non structurées, afin d’accroître les détections de risques comme celles d’économies pour mieux financer les soins. Cet enjeu doit être intégré dans la mise en place du nouveau « dossier médical partagé » dont la maîtrise d’ouvrage a été confiée à la CNAMTS.

Une exigence de sécurité renforcée indispensable et coûteuse

Le code de la santé publique dispose que le SNDS sera doté, par arrêté ministériel pris après avis de la CNIL, d’un référentiel de sécurité indépendant de celui du SNIIRAM. Comme le souligne la CNAMTS, « le SNDS bénéficie d’emblée de la prise en compte de la sécurité, et ne présentera donc plus les risques présents dans le SNIIRAM » ; il utilisera notamment un algorithme cryptographique autre que SHA-1.

Le SNDS sera composé de trois éléments fonctionnels :

la base centrale du SNDS, gérée par la CNAMTS ;

des systèmes « sources » en amont, l’alimentant en données médico-administratives (SNIIRAM, PMSI, base CépiDC aujourd’hui) ;

des systèmes « fils », en aval, des organismes destinataires de données extraites du SNDS.

Un groupe de travail piloté par la DREES auquel participent la CNAMTS, l’ATIH, le Haut fonctionnaire de défense et de sécurité du ministère chargé de la santé, la Délégation à la stratégie des systèmes d’information du ministère et l’Inserm, élabore le référentiel de sécurité du SNDS, depuis décembre 2015. L’analyse des risques était alors poursuivie, en considérant notamment que les données composant le SNDS relèveront de dispositifs hétérogènes de « pseudonymisation », ceux des systèmes « sources ». La gouvernance de cette sécurité est en voie d’élaboration. Les bonnes pratiques paraissaient à ce stade être appliquées pour ce faire. On ne peut qu’approuver la stratégie de la CNAMTS quand elle assure que pour le SNDS, « les exigences de sécurité sont prises en compte d’emblée et ne présenteront de fait plus les mêmes risques que ceux identifiés et prévenus aujourd’hui sur le SNIIRAM ».

Pour répondre aux exigences de sécurité identifiées pour le SNDS - des bases mères aux bases filles -, la solution retenue comme pour le SNIIRAM ou les données sensibles de l’INSEE, est un accès à distance à des données déposées sur des serveurs dédiés. L’accès à distance sécurisé avec un niveau d’authentification élevé et un contrôle des sorties évitent l’éparpillement incontrôlable des données. Les utilisateurs travaillent sur une « bulle » sécurisée, sans possibilité de téléchargement des données.

Les coûts d’une sécurisation encore accrue des données devront être chiffrés puis financés, et pourraient être, pour une partie individualisés, sur le modèle du CASD, pris en charge par chaque utilisateur en fonction de ses besoins. Des audits réguliers de sécurité pour vérifier que le référentiel est appliqué dans toutes les bases, y compris les bases filles dès lors qu’elles contiendront des données extraites du SNDS, devront aussi être diligentés par le gestionnaire technique ou par le comité stratégique ce qui représente un coût important.

Le centre d’accès sécurisé aux données à distance (CASD), un exemple intéressant de solution technique de sécurité

Créé en 2010, pour fournir un accès sécurisé aux données individuelles très détaillées de l’INSEE, le CASD a pour mission de donner, par l’intermédiaire de son infrastructure informatique et de boitiers à empreintes digitales mis à disposition des personnes autorisées, l’accès à des données sensibles sans se déplacer. Depuis, d’autres organismes publics ou privés utilisent le CASD comme le ministère des finances pour les données fiscales ou la Banque Postale.

Les données sont confinées dans une bulle où chaque projet – données, finalités, utilisateurs- dispose d’un espace de travail offrant divers outils logiciels et pouvant accueillir, après vérification, d’autres référentiels et jeux de données. Les utilisateurs peuvent disposer des tableaux statistiques produits à partir des données, qu’il s’agisse de résultats intermédiaires ou finaux. Ils peuvent rédiger directement dans cet espace de travail leur article scientifique. Ces « sorties » autorisées sont transmises par courrier électronique.

Les services du CASD sont payants avec un forfait mensuel et une part variable en fonction du nombre d’utilisateurs et du nombre de tableaux statistiques produits. Les utilisateurs paient donc selon leurs besoins. Selon une estimation des coûts réalisés par le CASD pour le SNDS, le coût moyen par utilisateur serait de plus de 1 500 € par utilisateur actif si le CASD héberge aussi le SNDS.

Le principal avantage du CASD réside dans la mutualisation des coûts des infrastructures et des logiciels, seule solution viable financièrement. Car les institutions ne peuvent pas supporter individuellement le coût de la sécurité, qui est en grande partie un coût fixe, peu dépendant de la taille de la plateforme. Les utilisateurs citent en général deux inconvénients majeurs : le coût et la lourdeur des procédures d’export et d’import compte tenu du contrôle humain systématique de toutes les sorties et de l’impossibilité de travailler avec des ressources extérieures. Enfin, le CASD ne conserve pas les traces des traitements.

Définir un modèle économique afin de financer les coûts du nouveau système

La question de la soutenabilité financière des investissements qu’implique le développement du SNDS et de ses exploitations se pose ainsi de manière forte. Si le SNIIRAM s’est construit, on l’a vu, sur le budget de la CNAMTS sans faire l’objet d’un suivi particulier, il conviendrait de ne pas répéter cette erreur et de penser, dès la création du nouveau système, un modèle économique qui permette de trouver les ressources nécessaire à son développement.

Le choix du législateur d’inscrire le SNDS dans une politique plus large d’ouverture et de gratuité de l’accès aux données restreint de facto ces possibilités, sans les interdire pour autant. Un équilibre entre accès gratuit aux données brutes du SNDS pour le plus grand nombre et possibilités de tarification de certains services existe néanmoins et devrait être encouragé.

Une mise à disposition gratuite pour toutes les données anonymes et pour les données à caractère personnel dans certains cas

L’article 193 de la loi de modernisation de notre système de santé opère une distinction dans le SNDS entre d’une part les données agrégées et individuelles qui seraient constituées de telle sorte que l’identification directe ou indirecte de la personne soit impossible (article L. 1461-2 du code de la santé publique) et d’autre part les données à caractère personnel (article L. 1461-3 du même code).

Pour les données mentionnées à l’article L. 1461-2 du code de la santé publique, la loi de modernisation réaffirme le principe de gratuité et de libre diffusion des données extraites du SNDS entièrement anonymes et ne présentant aucun risque de réidentification. En l’état, la notion de donnée ne « présentant aucun risque de réidentification » a pour conséquence que, compte tenu des travaux de la DREES et de la doctrine de la CNIL, ni l’accès à l’EGB, ni l’accès au DCIR, ne seront concernés par cette disposition. Seraient par contre concernées l’ensemble des données agrégées présentes dans les datamarts, pour certains desquels la CNAMTS s’est par ailleurs d’ores et déjà engagée dans une politique de mise à disposition du grand public. Toutefois, le périmètre exact de ces données mériterait d’être précisé, car certaines extractions des bases individuelles pourraient probablement rentrer dans ce champ, en fonction des variables choisies.

Les nouvelles dispositions prévoient que la mise à disposition gratuite des données s’impose également pour les données non anonymes ou potentiellement réidentifiables sous certaines circonstances. Le législateur a ainsi expressément prévu, dans la loi de modernisation de notre système de santé, la gratuité des accès aux données à caractère personnel du SNDS pour d’une part les études, recherches ou évaluations demandées par l’autorité publique, ce qui inclut les études en vie réelle des médicaments ou produits de santé, réalisées par les laboratoires pharmaceutiques à la demande de la HAS ou de l’ANSM, et d’autre part les recherches réalisées exclusivement pour les besoins de services publics administratifs.

En matière de gratuité, les nouvelles dispositions de la loi du 28 décembre 2015 se superposent au cadre défini pour les données de santé réidentifiables

La loi du 28 décembre 2015 relative à la gratuité et aux modalités de réutilisation des informations du secteur public, qui transpose la directive 2013/37 de l’Union européenne, opère un changement de paradigme : la réutilisation des informations publiques est désormais libre et gratuite, sauf exceptions encadrées par un double filtre. Ne peuvent mettre en place des redevances que les administrations au sens de la loi du 17 juillet 1978 relative à la liberté d’accès des documents administratifs et à la réutilisation des informations publiques (« loi CADA ») tenues de couvrir par des recettes propres une part substantielle des coûts liés à l’accomplissement de leurs missions de service public. De plus, le produit total du montant de cette redevance ne peut dépasser le montant total des coûts liés à la collecte, à la production, à la mise à disposition ou à la diffusion des informations publiques. Un décret en Conseil d’État fixera la liste des catégories d’administrations autorisées à établir des redevances. Mais, il apparaît d’ores et déjà que la CNAMTS pour la gestion technique du SNIIRAM et du SNDS ni la DREES n’y seront pas autorisées.

La loi du 28 décembre 2015 relative à la gratuité et aux modalités de réutilisation des informations du secteur public ne s’applique pas aux données à caractère personnel du SNDS, dans la mesure où elles ne peuvent pas être considérées comme des informations publiques au sens de la « loi CADA ». Elles sont, en effet, de nature à porter atteinte à la vie privée ou au secret médical ce qui justifie des procédures d’accès particulièrement contraignantes et leur communication ne constitue donc pas un droit. Il serait donc possible de tarifer leur mise à disposition ou leur réutilisation.

Des possibilités de tarification limitées pour les données à caractère personnel

Les possibilités de tarification de la mise à disposition des données brutes à caractère personnel du SNDS sont doublement restreintes : d’une part parce qu’elles ne peuvent intervenir que dans un nombre limité de cas, et d’autre part parce que le montant de la redevance qui pourrait être instaurée est encadré.

Compte tenu des cas de gratuité instaurés par la loi, la mise à disposition et la réutilisation des données à caractère personnel du SNDS ne pourraient donner lieu à tarification que dans un nombre limité de situations. Si l’accès du secteur privé lucratif aux données du SNDS est désormais possible, il reste conditionné par la finalité des exploitations des données et leur inscription au service de l’intérêt public.

De plus dans un contexte marqué par une volonté constante des pouvoirs publics d’encourager la mise à disposition et la réutilisation gratuite des données, les possibilités de mettre en place une valorisation des données du SNDS doivent tenir compte d’un principe général de non enrichissement des administrations et des établissements publics qui limiterait le produit total des tarifications à la couverture des coûts. C’est ce qui a été introduit pour les données du secteur des transports nécessaires à l’information du voyageur, par la loi pour la croissance, l’activité et l’égalité des chances économiques du 6 août 2015116.

Un dispositif de tarification sous une forme appropriée permettrait pourtant de faire contribuer les utilisateurs du SNDS à sa maintenance et, surtout, aux investissements continus liés à sa sécurisation et à son développement. Les modèles pratiqués à l’étranger et l’appétence d’un secteur privé disposé à payer des montants élevés pour accéder aux données démontrent un potentiel de recettes considérables pour l’assurance maladie.

À l’étranger117, la plupart des systèmes de santé proposent une tarification associée à leurs services de sorte que l’accès aux données n’est jamais totalement gratuit. Une offre de base de données statistiques agrégées est en accès libre et gratuit, des données statistiques agrégées spécifiques donner lieu à une redevance forfaitaire, les données individuelles en accès restreint sont payantes, de nombreux services complémentaires sont facturés en supplément. Plusieurs modèles de tarification existent, sans être exclusifs les uns des autres.

Redevances ou données mises à disposition gratuitement selon les pays118

En Angleterre, le Clinical Practice Research Datalink (CPRD) est autorisé à vendre ses données à des organismes de recherche publics et privés, soit environ 4 millions de dossiers patients (8 % de la population de l’Angleterre), alimentés par quelque 7 000 médecins volontaires et rémunérés environ £800 par an. Il vise, à terme, la complète autonomie financière. En 2015, l’accès complet à la base coûtait jusqu’à 250 000 £.

En Allemagne, des clients « premium » souscrivent à un contrat payant pour accéder à davantage de données.

En Catalogne (Espagne), l'Agence de qualité des services sanitaires du système de santé a annoncé en 2015 qu’elle mettrait ses données, anonymisées, à la disposition des centres publics de recherche catalans. Ce service serait financé par le gouvernement puis géré, après appel d’offres par une entreprise privée qui verserait une redevance de 25 M€ en huit ans, et vendrait les données à des utilisateurs publics ou privés, qui les utiliseraient à des fins scientifiques. L’annonce a déclenché un débat non seulement sur les risques de réidentification mais aussi sur les risques éthiques.

Aux États-Unis, la sécurité sociale fédérale (CMS) commercialise des séries limitées, accessibles à tous (gratuites, pour les agrégats simples, ou payantes) et des données plus détaillées, accessibles seulement aux chercheurs, à l’exclusion de toute utilisation commerciale directe. Pour les autres séries limitées et standardisées, les redevances varient selon la complexité et la taille des fichiers. Une année de données coûte de 300 dollars (soins infirmiers, au vingtième) à plus de 100 000 $ (ambulatoire et établissements, etc.). L’administration Obama a également rendue gratuite une base de données très détaillée (21 millions de données, fichiers Excel en ligne) sur les prescripteurs et les prescriptions pharmaceutiques – dans l’espoir de contenir le coût et les impacts iatrogéniques de ces dernières. Elle n’inclut que les deux-tiers environ des 52 millions de bénéficiaires de Medicare.

Au Québec (Canada), la redevance varie de 500 à 5 000 dollars canadiens selon l’ampleur des données fournies, la moitié représentant les frais de personnel et l’autre moitié les frais informatiques

Construire un modèle de financement à la hauteur des enjeux de soutenabilité du SNDS

En raison de sa nature de dispositif dérivé des systèmes de liquidation de l’assurance maladie, les coûts de développement et de sécurisation du SNIIRAM ont jusqu’à présent intégralement été couverts par la CNAMTS. Toutefois, des investissements considérables doivent être anticipés pour sa sécurisation, le développement du nouveau SNDS, le développement et sa maintenance.

Ces coûts seront nécessairement élevés, en raison, on l’a vu, des enjeux de sécurité inhérents aux très grandes bases de données à caractère personnel, aux besoins très lourds de mise à niveau à moyen terme de la sécurité du SNIIRAM, ou encore aux investissements matériels et humains nécessaires à la construction des bases de données du secteur médico-social et des organismes d’assurance maladie complémentaire. À cela s’ajoutent les coûts récurrents engendrés par la mise à disposition avec une fréquence en forte hausse des données et l’accompagnement des utilisateurs.

Cet ensemble d’enjeux pose la question de la soutenabilité financière pour les acteurs publics de la mise en place du système national des données de santé. Le modèle économique du SNDS à construire doit ainsi chercher à couvrir les coûts associés à la mise à disposition sécurisée des données et aux contraintes spécifiques du SNDS, tout en proposant un système qui répond en termes de qualité et d’efficacité aux attentes des utilisateurs. Il doit être pensé dans une logique d’amélioration continue des données et de leur structuration et de prise en charge des coûts de la sécurité. Ceci suppose naturellement que les gestionnaires et les administrations de tutelle identifient les principaux postes de dépenses liés tant au SNIIRAM et aux autres bases de donnée qui vont s’intégrer au SNDS qu’à la création, au développement, à la sécurité puis à la gestion de ce dernier, ce qui implique de la part des opérateurs concernés, notamment de la CNAMTS, des efforts de suivi analytique fin des coûts associés.

Une offre de base, de qualité, doit certes être accessible gratuitement, pour ne pas décourager les utilisations du SNDS. Mais cet objectif devrait s’accompagner d’une réflexion plus large qui permettrait, dans le cadre du champ autorisé de tarification, de faire financer le système et son développement, par les acteurs qui en bénéficient et pourraient, à terme, en tirer profit. Ainsi, au-delà de la question cruciale de la couverture des investissements de sécurisation et de développement du SNDS, des modalités de financements complémentaires sont à articuler : d’une part, une tarification des travaux de mise à disposition des données couvrant leurs coûts spécifiques et d’autre part, le financement de l’accompagnement des utilisateurs. Ces actions pourront être réalisées soit par la CNAMTS, soit par d’autres organismes ou encore par des structures ad hoc.

Faire financer les travaux de mise à disposition des données par les utilisateurs (réalisation d’extraction spécifiques, construction de requêtes presse-boutons…) pourrait reposer sur des facturations juridiquement différenciées en fonction de la nature du demandeur, de la demande formulée (quantité de données, type de données, fréquence de mise à disposition) ou de l’usage fait des données. Ces financements viendraient alimenter les budgets des organismes en charge de la mise à disposition des données.

À titre d’exemple, le PMSI est accessible depuis le début des années 2000, gratuitement pour les demandes des ministères chargés de la santé et de la sécurité sociale, des organismes d’assurance maladie, des ARS, des organismes représentant les établissements de santé, et ceux du secteur de la recherche à finalité non marchande. Les autres utilisateurs s’acquittent d’une redevance, forfaitaire – et minime - jusqu’à quatre heures de travail effectuées pour répondre à leur commande (250 € en 2015) ; s’y ajoute 0,34 centime par tranche de 999 cellules.

D’autre part, au-delà du financement des frais techniques de mise à disposition, l’accompagnement des utilisateurs devrait également faire l’objet d’une tarification spéciale. La création, souhaitable de plateformes ou de structures chargées d’accompagner les utilisateurs dans la procédure de demandes d’accès aux SNDS, de les aider à définir des algorithmes, de les former aux traitements de ces données complexes ou de leur apporter une assistance technique, doit s’accompagner de règles claires de financement de leurs travaux. Ces plateformes, structures publiques comme privées, pourraient également, dans un cadre à définir avec la CNAMTS et la DREES, réaliser tout ou partie des extractions demandées. Cette perspective rejoint le projet d’infrastructure de recherche, CépiDS, porté par l’INSERM119.

CONCLUSION ET RECOMMANDATIONS

La loi de modernisation de notre système de santé, en son article 193, crée le système national des données de santé au périmètre élargi par rapport au SNIIRAM. Il entend réformer la gouvernance des données de santé et encourager leur utilisation à des fins d’intérêt général.

La nouvelle gouvernance devra résoudre l’éclatement du pilotage du SNIIRAM qui a conduit à une dilution des responsabilités, en distinguant clairement entre gestion technique du SNDS, gestion des droits d’accès et définition des orientations stratégiques. Ceci pourrait contribuer à résoudre partiellement les difficultés constatées dans l’analyse du pilotage et de l’accès au SNIIRAM, à condition que les textes d’application soient suffisamment ambitieux et précis, ce qui suppose une implication forte et convergente du ministère de la santé, de l’assurance maladie et de la CNIL. Dans un cadre juridique européen et français rénové, cette dernière devra faire évoluer sa doctrine et ses méthodes de travail afin de répondre aux enjeux posés par ces nouveaux usages et par l’augmentation prévisible des demandes d’accès.

Dans un contexte d’ouverture raisonnée de l’accès aux données de santé, et en contrepartie de procédures d’accès allégées et plus rapides, une véritable politique de contrôle a posteriori doit être mise en œuvre, reposant d’abord sur la responsabilisation des utilisateurs par leur sensibilisation accrue aux enjeux de sécurité et d’intégrité des données ainsi que de respect de la vie privée, et ensuite sur une surveillance régulière des traitements réalisés à partir des revues d’habilitation transmises par la CNAMTS. Enfin, la CNIL, autorité indépendante de régulation, doit faire du SNDS un de ses axes prioritaires de contrôle dans le champ de la santé.

Le système national des données de santé, par son périmètre élargi, nécessite des efforts particuliers. Il importe de faire preuve de pragmatisme et de réalisme comme les promoteurs du SNIIRAM ont su le faire, en construisant, en marchant, ce système reconnu, et de ne pas succomber à la tentation d’une construction ex nihilo alors que les appariements entre bases de données sont désormais facilités. En tout état de cause, le SNIIRAM chaîné au PMSI et à la base CépiDC constituera, pour longtemps encore, l’essentiel du SNDS. Il convient alors de continuer sans relâche à enrichir et sécuriser son contenu, et améliorer sa structuration pour faciliter son appropriation par le plus grand nombre.

Enfin, la question du modèle économique du SNDS se pose. Ce modèle doit être pensé afin de permettre au système dont les coûts de développement et plus encore de sécurisation seront élevés, d’assurer sa soutenabilité financière en s’appuyant sur une valorisation en fonction des capacité des utilisateurs et de leurs exigences spécifiques, tout en garantissant néanmoins un accès gratuit à des services de base de qualité.

En conséquence, la Cour formule les recommandations suivantes :

hiérarchiser, dans le prolongement de la loi de modernisation de notre système de santé, les finalités poursuivies par le SNDS, afin de définir les investissements à consentir et les accès permanents et ponctuels à autoriser ;
simplifier les procédures relevant de la CNIL pour l’accès ponctuel aux données du SNDS par l’élaboration, dans les meilleurs délais, de méthodologies de référence et d’autorisations cadres selon des priorités concertées avec l’État et l’INDS ;
articuler précisément et explicitement le rôle des différents acteurs dans la gestion du pilotage et des accès au SNDS ;
mettre en œuvre une politique systématique et rigoureuse de contrôle a posteriori des règles relatives à l’utilisation du SNIIRAM et du SNDS, s’appuyant sur des sanctions renforcées et faisant notamment l’objet d’un rapport annuel au Parlement de la CNIL ;
assurer la soutenabilité financière du SNDS, en articulant gratuité d’une offre de base et tarification adaptée des services spécifiques apportés de manière à contribuer au financement des dépenses de développement, de sécurisation, de mise à disposition des données et d’accompagnement.

Conclusion

Parmi les acteurs, publics comme privés, du monde de la santé, le SNIIRAM est, depuis dix ans maintenant, l’objet d’un intérêt marqué et croissant. Cela s’explique par les progrès importants en matière de contenu, de qualité et de structuration des données, qui ont progressivement transformé un outil de gestion de l’assurance maladie en une base au potentiel exceptionnel.

Cette évolution de la base et la prise de conscience progressive de sa richesse par des acteurs extérieurs aux régimes d’assurance maladie obligatoire ont entraîné une augmentation des demandes d’accès ponctuels et une évolution timide des droits d’accès permanents. Les premiers sont d’abord le fait d’équipes de recherche, les seconds ont surtout bénéficié aux agences et autorités sanitaires. Pour autant, cette ouverture a été limitée et largement insuffisante, notamment au regard des enjeux de santé publique ou de gestion du risque que les données du SNIIRAM permettent d’éclairer.

Les modalités juridiques d’accès à la base, particulièrement contraignantes et peu opérationnelles, tout comme sa gouvernance complexe, ont freiné une dynamique d’ouverture qui aurait pourtant dû être une priorité pour la CNAMTS comme pour l’État. En n’exerçant pas sa responsabilité dans la gouvernance du SNIIRAM et en ne clarifiant pas les règles et procédures d’accès à la base, ce dernier a laissé la maîtrise de l’évolution du SNIIRAM à son seul gestionnaire technique, la CNAMTS, et de ses conditions d’accès à des acteurs plus souvent rivaux que complémentaires, IDS et CNIL, l’un plutôt libéral au regard des possibilités d’ouverture, l’autre au contraire d’approche très restrictive. Il en est résulté une sous-utilisation très préjudiciable de la base, et un suivi des risques de sécurité informatique d’une faiblesse très anormale. Les acteurs de santé publique se sont épuisés à obtenir des droits d’accès plutôt qu’à mobiliser leur expertise pour traiter les données.

Au total, un retard considérable a été pris dans l’exploitation du SNIIRAM au bénéfice de la santé publique, de la recherche, d’une meilleure efficience de notre système de soins et de la maîtrise des dépenses d’assurance maladie, tous enjeux vitaux pour notre pays.

Alors que la question de l’ouverture des accès aux données de santé est un sujet éminemment stratégique, d’un point de vue économique comme sanitaire, il n’avait pour ainsi dire été abordé, depuis la création du SNIIRAM, que sous un angle essentiellement institutionnel et administratif.

La loi de modernisation de notre système de santé, qui crée le système national des données de santé, dont le SNIIRAM sera la composante principale, tente de renverser cette approche en faisant de l’objectif d’ouverture de l’accès aux données un moteur du nouveau système et de sa gouvernance.

Néanmoins, si les constats des insuffisances et des difficultés du SNIIRAM, mis en évidence par la Cour, ne sont pas pris en compte dans l’élaboration des textes d’application de la loi d’abord puis dans leur mise en œuvre opérationnelle, il y a fort à craindre que cette évolution pourtant fondamentale n’apporte pas les bénéfices escomptés. Ils devront notamment clarifier les responsabilités des acteurs (DREES, CNAMTS, institut national des données de santé, et CNIL) et les circuits d’instruction des demandes d’accès. Sans convergence des différents acteurs dans une même volonté d’ouverture raisonnée des données de santé, le changement de paradigme voulu par le législateur sera vidé de sa portée.

C’est pourquoi il est essentiel que les pouvoirs publics s’impliquent pleinement dans la définition des orientations stratégiques et exercent complètement leurs responsabilités, notamment dans leur fonction de garant en dernier ressort de la sécurité des données de santé, qu’il s’agisse de la fiabilité des dispositifs de cryptage, de la solidité des systèmes informatiques en cas de risque d’effraction, ou du contrôle a posteriori des usages autorisés.

Une nouvelle étape dans le renforcement de la sécurité du SNIIRAM doit être anticipée. Elle sera d’autant plus indispensable à moyen terme que l’ouverture croissante des données implique des risques accrus sur la protection de données extrêmement sensibles. Elle exigera dans les années à venir des investissements très lourds. Ce chantier, qui dépassera les seuls systèmes d’information de la CNAMTS, mais concernera aussi ceux des autres régimes d’assurance maladie et des établissements de santé, sera d’une complexité et d’une ampleur majeure. Il est temps d’en définir les grandes étapes, le séquencement et les coûts futurs.

Il importe à cet égard que le modèle économique du SNDS contribue à garantir la soutenabilité financière et la sécurité du système, par la mise à contribution des utilisateurs, à raison de leur demandes particulières dans l’exploitation des données, tout en garantissant une offre de service gratuite et de qualité pour le plus grand nombre.

L’accès beaucoup plus large à des données, qui par leur exhaustivité et leur qualité constituent aujourd’hui un bien collectif particulièrement précieux, est riche de promesses et de progrès majeurs en termes de sécurité sanitaire et de qualité des soins. Elle ne saurait s’accompagner d’aucun risque d’atteinte à la protection de la vie privée et au secret médical.

Conjuguer ouverture plus grande et sécurité renforcée constitue ainsi un double impératif qui doit guider l’action des pouvoirs publics dans la durée.

Annexes

échange de correspondances entre l’Assemblée nationale et la Cour des comptes

glossaire sommaire

Sources :

* : commissions successives de terminologie et de néologie au Journal officiel ; ** : glossaire de l’Agence nationale de la sécurité des systèmes d’information ; *** : Dictionnaire de l’organisation sanitaire et médico-sociale (F. TRUFFEAU & A. LE GUÉVEL, éditions de l’École nationale de la santé publique, 2007) ;

Autres : Cour des comptes.

Apprentissage supervisé (exploration de données) : technique d'apprentissage automatique pour produire des règles ou déceler des situations inconnues et à identifier des liens de causalité, à partir d'une base de données.

Authentification** (ou identification) : l’authentification a pour but de vérifier l’identité dont une entité se réclame, précédée d’une identification.

Chiffrement** : transformation cryptographique de données produisant un cryptogramme. La cryptanalyse** est le processus de déchiffrement de données protégées au moyen de cryptographie sans être en possession des clés de chiffrement.

Cryptographie** : principes, moyens et méthodes de transformation des données, dans le but de cacher leur contenu, d’empêcher que leur modification ne passe inaperçue et/ou d’empêcher leur utilisation non autorisée (ISO 7498-2).

Cybersécurité** : état recherché pour un système d’information lui permettant de résister à des événements issus du cyberespace susceptibles de compromettre la disponibilité, l’intégrité ou la confidentialité de ses données.

Données ouvertes* : données, généralement sans caractère personnel, qu'un organisme met à la disposition de tous sous forme de fichiers numériques afin de permettre leur réutilisation, sous certaines conditions.

Enquêteurs : chargés de réaliser des enquêtes statistiques sur des données anonymes ou, quand cela s’avère nécessaire d’obtenir les identités de personnes identifiées par des parcours de soin spécifique (levée d’anonymat).

Entrepôt de données : base de stockage centralisé.

ERASME : cette base (« extraction recherches analyses pour un suivi médico-économique ») aide à cibler la GDR, à partir des consommations de soins, médicaments et actes de biologie du régime général. Elle identifie les professionnels (prescripteurs et exécutants) et les établissements sanitaires et sociaux prestataires de soins. Les bénéficiaires sont identifiés par le NIR de l’assuré, leur nom, prénom, sexe, adresse, date et rang de naissance, et qualité (assuré, ayant droit conjoint ou enfant).

Espace de confiance* : service informatique qui permet des échanges dans des conditions de sécurité suffisantes et cohérentes (par exemple, les espaces informatiques de travail confiné).

Exploration de données « raisonnée » : des indicateurs de ciblage sont construits en fonction de l’expérience (nombre et évolution des actes facturés, des chiffres d’affaires, patientèle importante en dehors de la zone de proximité du prestataire, structure de facturation atypique par rapport à moyenne).

Faille** : vulnérabilité dans un système informatique permettant à un attaquant de porter atteinte à son fonctionnement, à la confidentialité ou à l’intégrité des données qu’il contient.

Fonction de hachage** : fonction cryptographique qui transforme une chaîne de caractères de taille quelconque en une chaîne de caractères de taille fixe et généralement inférieure. La fonction est « à sens unique » et « sans collision ».

Fournisseurs de données : professionnels et établissements de santé impliqués dans les soins. Les réseaux de la branche maladie centralisent les données "de ville" et l'ATIH, les données des établissements de soins.

Géolocalisation : terme utilisé improprement à propos du SNIIRAM, à remplacer par « adresse postale » (la géolocalisation ou géoréférencement est un procédé permettant de positionner un objet ou une personne sur une carte à l'aide de ses coordonnées géographiques, avec un terminal localisable par satellite et de publier (en temps réel ou et . Utile pour contrôler les véhicules de transport sanitaire).

Groupe homogène de malades – GHM) *** : système de classification médico-économique des hospitalisations en secteur de soins de courte durée, à la base de la tarification à l’activité dans les établissements de santé. À partir d’un algorithme, chaque résumé de sortie standardisé est affecté dans un GHM unique.

Groupe homogène de séjours*** : dans le cadre de la T2A, les séjours dans les établissements de santé sont remboursés par l’assurance maladie sur la base d’un tarif forfaitaire par séjour, différent pour les établissements publics et privés.

Habilitation* (ou accréditation) : procédure permettant d'attribuer à une personne ou à une entité des droits d'accès à des ressources ou à des services électroniques ; par extension, ensemble des informations caractérisant ces droits.

Hébergeur*** : les professionnels de santé et les établissements de santé peuvent « déposer » leurs dossiers auprès de sous-traitants, qui doivent faire l’objet d’un agrément ministériel, délivré après avis de la CNIL et d’un comité ad hoc.

HIPPOCRATE : cette base, administrée par les CTI, fournit les diagnostics codés en CIM-10 des patients en ALD, AT et MP ; les médecins régionaux du SM accèdent à une version anonymisée, ceux des EL à l’identité des bénéficiaires.

Intrusion** : fait, pour une personne ou un objet, de pénétrer dans un espace (physique, logique, relationnel) défini où sa présence n’est pas souhaitée.

Mégadonnées* (ou données massives) : données structurées ou non dont le très grand volume requiert des outils d'analyse adaptés.

Opérateur d’importance vitale** : entité qui gère des activités et des installations dont l’indisponibilité ou la destruction par un acte de malveillance, de sabotage ou de terrorisme risquerait d’obérer gravement le potentiel de guerre ou économique et la sécurité de la Nation et de la population.120

Organisme tiers : dans le cas de projets pour lesquels cela s’avère nécessaire, des organismes tiers sont en charge de conserver une trace technique permettant de retrouver l’identité à partir des données anonymes.

Ouverture des données* : politique par laquelle un organisme met à la disposition de tous des données numériques, dans un objectif de transparence ou afin de permettre leur réutilisation, notamment à des fins économique.

Pharmacovigilance*** : réseau de signalement des effets indésirables et d’exploitation de ces données tirées concernant la sécurité d’emploi des médicaments, que les essais cliniques ne permettant pas toujours d’évaluer avant commercialisation.

PROFILEUR : l'application rapproche l'activité des PS (SNIIRAM) des données de SIAM-ÉRASME (critères de consultation, variables sur l’évolution de certaines dépenses, anomalies statistiques) pour présenter des données anonymisées aux partenaires conventionnels et institutionnels.

Référentiel général de sécurité** : règles établies par l’ANSSI que doivent respecter certaines fonctions contribuant à la sécurité des informations, dont la signature électronique, l’authentification, la confidentialité ou encore l’horodatage. 121

Requête : sélection ordonnée de données en fonction de critères présélectionnés en fonction du programme de chaque recherche. La CNAMTS utilise le logiciel d’analyse statistique SAS®.

Test d’intrusion** : action qui consiste à essayer plusieurs codes d’exploitation sur un système d’information, afin de déterminer ceux qui donnent des résultats positifs (c’est donc à la fois une action offensive et défensive à la fois).

Tiers de confiance: les clés dites « privées » d'anonymisation des données sont transmises à un organisme tiers ayant une table de correspondance entre les noms et les clés, utilisables pour lever l’anonymat ou déchiffrer l’ensemble des données.

Veille sanitaire*** : ensemble des actions visant à reconnaître la surveillance d’un événement habituel ou anormal pouvant représenter un risque pour la santé humaine.

Vulnérabilité** : faute, par malveillance ou maladresse, dans la configuration d’un système ou dans la façon de l’utiliser. Une vulnérabilité peut être utilisée par un code d’exploitation et conduire à une intrusion dans le système.

table des principaux acronymes

AMC : Assurance maladie complémentaire

AMO : Assurance maladie obligatoire

ANSM : Agence nationale de sécurité du médicament et produits de santé

ANSSI : Agence nationale de la sécurité des systèmes d’information

ARS : Agence régionale de santé

ATIH : Agence technique de l’information sur l’hospitalisation

AT-MP : Accidents du travail et maladies professionnelles

BNPV : Base nationale de pharmacovigilance

CADA : Commission d’accès aux documents administratifs

CCAM : Classification commune des actes médicaux (à partir de 2006)

CCMSA : Caisse centrale de la mutualité sociale agricole

CCTIRS : Comité consultatif sur le traitement de l’information en matière de recherche dans le domaine de la santé

CEPS : Comité économique des produits de santé

CépiDC : Centre d’épidémiologie sur les causes médicales de décès

CETAF : Centre technique d’appui et de formation des centres d’examens de santé

CIL : Correspondant informatique et libertés

CIM : Classification internationale des maladies et des problèmes de santé connexes (OMS)

CISS : Collectif interassociatif sur la santé

COG : Convention d’objectifs et de gestion

CMU : Couverture maladie universelle

CMU-C : Couverture maladie universelle complémentaire

CNAMTS : Caisse nationale d'assurance maladie des travailleurs salariés

CNIL : Commission nationale informatique et libertés

CNPIM : Comité national paritaire de l’information médicale

CNRS : Centre national de la recherche scientifique

COPIIR : Comité d'orientation et de pilotage de l'information inter-régimes

CPAM : Caisse primaire d'assurance maladie

CPG : Contrat pluriannuel de gestion (conclu entre la CNAMTS et chaque CPAM et DRSM)

CRPV : Centre régional de pharmacovigilance

CSIS : Conseil stratégique des industries de santé

CSP : Code de la santé publique

CSS : Code de la sécurité sociale

CSSIS : Conseil supérieur des systèmes d’information de santé

CTI : Centre de traitement informatique (CNAMTS)

DACCRF : Direction de l’audit, du contrôle contentieux et de la répression des fraudes (CNAMTS)

DAM : Délégués de l'assurance maladie

DCIR : Datamart de consommation inter-régimes

DIAP : Direction de l’informationnel et de l’aide au pilotage (CNAMTS)

DIM : Département de l’information médicale hôpital (par extension, médecin qui en est responsable)

DDGOS : Direction déléguée à la gestion et à l’organisation des soins (CNAMTS)

DGCS : Direction générale de la cohésion sociale (ministère)

DGOS : Direction générale de l'offre de soins (ministère de la santé)

DGS : Direction générale de la santé (ministère de la santé)

DDSI : Direction déléguée des systèmes d’information (CNAMTS)

DMP : Dossier médical partagé (jusqu’en 2015 : « personnel »)

DNLF : Délégation nationale à la lutte contre la fraude

DREES : Direction de la recherche, des études, de l'évaluation et des statistiques (ministère de la santé)

DRSM : Direction régionale du service médical

DSES : Direction de la stratégie, des études et des statistiques (CNAMTS)

DSS : Direction de la sécurité sociale (ministère de la santé)

EGB : Échantillon généraliste de bénéficiaires

ELSM : Échelon local du service médical (assurance maladie)

FEHAP : Fédération des établissements hospitaliers et d’aide à la pers.

FHF : Fédération hospitalière de France

FHP : Fédération des cliniques et hôpitaux privés de France

FINESS : Fichier national des établissements sanitaires et sociaux

GDR : Gestion du risque

HAS : Haute autorité de santé

HCSP : Haut conseil de la santé publique

HDS : Hébergeur de données de santé

IDS : Institut des données de santé

IGAS : Inspection générale des affaires sociales

IJ : Indemnités journalières

INCa : Institut national du cancer

INSERM : Institut national de la santé et de la recherche médicale

InVS : Institut de veille sanitaire

Irdes : Institut de recherche et documentation en économie de la santé

LFSS : Loi de financement de la sécurité sociale

LPP : Liste des produits et prestations

MCO : Médecine, chirurgie et gynécologie-obstétrique

MONACO : Méthodes, outils et normes pour la mise en commun de données de l’assurance maladie complémentaire et obligatoire

MSA : Mutualité sociale agricole

NGAP : Nomenclature générale des actes professionnels (voir : CCAM)

NIR : Numéro d’inscription au répertoire national d’identification des personnes physiques (numéro de sécurité sociale)

ONDAM : Objectif national des dépenses d’assurance maladie

PAERPA : Personnes âgées en risque de perte d’autonomie

PMSI : Programme médicalisé des systèmes d’information

PRADO : Programme d’accompagnement au retour à domicile

PS : Professionnel de santé

PSSI : Politique de sécurité des systèmes d’information

PSSI-E : PSSI de l’État

PUI : Pharmacie à usage intérieur

RALFSS : Rapport sur l’application des lois de financement de la sécurité sociale (Cour des comptes)

RGS : Règlement général de sécurité (informatique) de l’État

RNIAM : Répertoire national inter-régimes des bénéficiaires de l’assurance maladie

RSI : Régime social des indépendants

SDSI : Schéma directeur des systèmes d’information

SHA-1 ou 2 : Fonction de hachage cryptographique

SNDS : Système national des données de santé

SNIIRAM : Système national d’information inter-régimes de l’assurance maladie

SNIR : Système national inter-régimes

SNIREP : Système national inter-régimes des établissements privés

T2A : Tarification à l’activité

UNOCAM : Union nationale des organismes d’assurance maladie complémentaire

UNPS : Union nationale des professionnels de santé, URPS : unions régionales

UNRS : Union nationale des régimes spéciaux

URML : Union régionale des médecins libéraux

URCAM : Union régionale des caisses d’assurance maladie

avancement de la COG 2014-2017 – SNIIRAM (« fiche 14 »)

Promouvoir une meilleure connaissance des parcours et du système de soins et réaliser des études de santé publiquePromouvoir une meilleure connaissance des parcours et du système de soins et réaliser des études de santé publiquePromouvoir une meilleure connaissance des parcours et du système de soins et réaliser des études de santé publiquePromouvoir une meilleure connaissance des parcours et du système de soins et réaliser des études de santé publique
14.1Publier le rapport de propositions de l’assurance-maladie pour en juillet de l’année NPublier le rapport de propositions de l’assurance-maladie pour en juillet de l’année NRéalisé pour 2015
14.2Assurer la réponse aux demandes d’études sur le SNIIRAM nécessaires à la gestion et la surveillance des médicaments et produits de santéAssurer la réponse aux demandes d’études sur le SNIIRAM nécessaires à la gestion et la surveillance des médicaments et produits de santéDépartement dédié à la DSES (DESP), programme d'études discuté et fixé avec l'ANSM
Poursuivre l’enrichissement des données du SNIIRAM et mettre en œuvre les décisions des pouvoirs publics relatives à l’ouverture des données de santéPoursuivre l’enrichissement des données du SNIIRAM et mettre en œuvre les décisions des pouvoirs publics relatives à l’ouverture des données de santéPoursuivre l’enrichissement des données du SNIIRAM et mettre en œuvre les décisions des pouvoirs publics relatives à l’ouverture des données de santéPoursuivre l’enrichissement des données du SNIIRAM et mettre en œuvre les décisions des pouvoirs publics relatives à l’ouverture des données de santé
14.3Mettre un premier jeu de données sources en open data à disposition du grand public et pour leur réutilisationRéalisé : hackathon et base OPEN DAMIR mise en ligne en février 2015Réalisé : hackathon et base OPEN DAMIR mise en ligne en février 2015
14.4Enrichir l’offre de données agrégées bénéficiaires et professionnels de santéRéaliser différentes études :- usage EGBS ;- grand EGB (étude d’opportunité) ;- mise à disposition sécurisée de données confinées;- mise en œuvre agile de datamarts ;- définition de nouveaux jeux de données en open data ;- définition d’un portail public de communication ;- améliorer l’intégration PMSI aux servicesPlusieurs projets en cours : intégration de la cartographie des pathologies et des dépenses (décembre 2015), univers centres de santé (mars 2016), tableau de bord sur les résidents en EHPAD (1er semestre 2016)- En cours, finalisation fin nov. 2015- En cours, finalisation fin nov. 2015- En attente du référentiel prévu dans l'article 193 DDE la loi du 17 décembre 2015- Déploiement cubes SAS avec accès web en cours (1er trimestre 2016)- En cours sur le médicament, publication décembre 2015- Non démarré- Phase 1 réalisée en juin 2015Plusieurs projets en cours : intégration de la cartographie des pathologies et des dépenses (décembre 2015), univers centres de santé (mars 2016), tableau de bord sur les résidents en EHPAD (1er semestre 2016)- En cours, finalisation fin nov. 2015- En cours, finalisation fin nov. 2015- En attente du référentiel prévu dans l'article 193 DDE la loi du 17 décembre 2015- Déploiement cubes SAS avec accès web en cours (1er trimestre 2016)- En cours sur le médicament, publication décembre 2015- Non démarré- Phase 1 réalisée en juin 2015
14.5Développer les services utilisateurs :- outils agiles d’exploration de données ;- renforcement des réponses aux demandes externes (appariements) ;- portail communication SNDMA et open dataNon programmé, dépend des études menées en 14.4-Expérimentation de l'outil visual analytics de SAS en cours en octobre 2015- Groupe de travail en cours avec l'INSERM (plusieurs équipes) et l'InVS et renforcement des moyens (1 ETP supplémentaire)- Offre d'hébergement interne en cours de déploiement (nov. 2015)Non programmé, dépend des études menées en 14.4-Expérimentation de l'outil visual analytics de SAS en cours en octobre 2015- Groupe de travail en cours avec l'INSERM (plusieurs équipes) et l'InVS et renforcement des moyens (1 ETP supplémentaire)- Offre d'hébergement interne en cours de déploiement (nov. 2015)
14.6Développer les services contenus :- datamart AMOS ;- DCIRS ;- requêtes standard ;- grand EGB (en fonction étude d’opportunité)-En cours de recette, finalisation déc. 2015- En cours de développement. Mise à disposition juin 2016- Réalisé dans le cadre du SNIIRAM, attente mise en place INDS- Selon étude en cours-En cours de recette, finalisation déc. 2015- En cours de développement. Mise à disposition juin 2016- Réalisé dans le cadre du SNIIRAM, attente mise en place INDS- Selon étude en cours
14.7Mettre en place les services producteurs :- pilotage catalogue de services ;- pôle open data ;- portail sécurisé confinement-En cours de constitution, finalisation fin 2015-Attente étude sécurité-En cours de constitution, finalisation fin 2015-Attente étude sécurité

principales variables présentes dans le SNIIRAM

Ce tableau est composé d’extraits de la liste des données disponibles dans le SNIIRAM, hors chaînage avec les données hospitalières du PMSI résumées dans l’annexe suivante. Il illustre la richesse des données comprises dans le SNIIRAM, et permet en creux d’en constater la nature et les limites, avec notamment l’absence de données cliniques ou encore de données en psychiatrie et santé mentale. D’autres éléments administratifs, notamment comptables, ne sont pas reproduits ici.

BénéficiaireNIR du bénéficiaire/de l’assuré rendu anonyme Rang gémellaire, Qualité de bénéficiaire (assuré, conjoint, enfant, autre ayant droit), Catégorie de bénéficiaires (invalidité, AT), Sexe Date de naissance rendue anonyme/Année/mois de naissance, Date de décès Département/commune de résidenceBureau distributeur (code postal). Adhérent à un contrat de référent. Numéro du médecin traitant. Informations réseaux et filières ou EHPAD. Numéro d’entrée du malade rendu anonyme. Bénéficiaire de la CMU complémentaire Identifiant de la pension d'invalidité rendu anonyme Identifiant de la rente AT/MP rendu anonyme Qualité de bénéficiaire de la pension d'invalidité Salaire de référence. Montant des gains salariés/non-salariés
PrestationNature de prestation122. Nature de prestation de référence 123 Complément d'acte. Code participation forfaitaire Type de prise en charge du forfait journalier Forfait journalier non pris en charge par le régime obl. Prestation affinée exécutée ou délivrée Prestation affinée prescrite124. Motif de substitution Type de prestation fournie. Type de renouvellement Motif du transport Indication de prestation exécutée/prescrite dans le cadre du contrat de référent Option de coordination Qualificatif du parcours du patient Informations réseaux et filièresTiers responsable en cas d'accident. Prestation consécutive d'un accident125. Numéro de l'employeur Nature de la revalorisation. Mode de traitement/de fixation des tarifs Numéro de facture. Discipline de prestation ou DMT Code tarif. Numéro de GH Top supplément de charge en cabinet Nature d'exercice126 pour la prestation exécutée Nature d'exercice pour la prestation prescrite Nom du vaccin127 Numéro de lot antigène adjuvant Département d'exécution/ de prescription de la prestation Commune d'exécution/ de prescription de la prestation
Période Date de début des soins, de délivrance, de paiement (rente ou pension ou IJ), de location (LPP) ou d'entrée (budget global) Date de fin des soins, de paiement (IJ), de location (LPP) Date de début d’hospitalisation Date de début d’accordExercice de rattachement budget global Période comptable Date de l’accident (hors AT) Date de prescription Date d’entrée dans le système de production Date de remboursement Date d’invitation/de vaccination H1N1
Date d’effet des prestations permanentesDate d'attribution de la pension d'invalidité ou de la rente ATDate d'effet du code état de la pension Date d'effet du taux IPP Date de suppression/de rachat de la rente AT
Mode de prise en charge lié au bénéficiaireRégime Exonération du ticket modérateur Modulation du ticket modérateur (Alsace-Moselle, FSV, FSI)Catégorie de pension d’invalidité État de la pension d’invalidité Motif de la suppression de la rente AT Taux IPP
Informations médicalisées – bénéficiaireNuméro d’ALD Numéro de maladie professionnelle tableau/CIM 10 Code pathologie Date de début de prestation en rapport avec une affection identifiée par le Service médicalDate de fin de prestation en rapport avec une affection identifiée par le Service médical Date présumée de début de grossesse Numéro de dent
Mode de prise en charge lié à la prestationNature de l’assurance Nature de l’accident du travail Motif d'exonération du ticket modérateur Code observation Taux de prise en chargeQualificatif de la dépense128 Type d’enveloppe Grand régime de liquidation129 Organisme de liquidation dans le cas de subsistance Nature du destinataire du règlement Mode de règlement
Professionnel de santé exécutant/prescripteurNuméro du professionnel/clé du numéro Numéro d’établissement ou de structure de rattachement130 Numéro SIRET du fabriquant ou de l’importateur LPP Nom du conducteur diplômé du véhicule et de l’accompagnateur Sexe/année de naissance Spécialité médicale Nature d’activité pour les non médecins ou MEP pour les omnipraticiens Catégorie d’activitéAdhérent à l’option référent Informations réseaux et filières Mode d’exercice (salarié, libéral, mixte…) Convention Caisse de rattachement conventionnel Département d’implantation du cabinet principal Commune d’implantation du cabinet principal Données infra communales d’implantation du cabinet principal Bureau distributeur du cabinet principal Membre d’un groupement ou d’une association131
Établissement de rattachement de l’exécutant/du prescripteur ou lieu des soinsNuméro de l’établissement (FINESS géographique) Clé du numéro de l’établissement Entité juridique de rattachement (FINESS juridique)Catégorie/type d'établissement/statut juridique Coefficient MCO Caisse pivot Département/commune d’implantation
Informations médicalisées – hôpital, RSANuméro de version de GENRSA Numéro de version du format du RSA/du RSS Nombre de RUM composant le RSS d’origine Mode d'entrée dans le champ du PMSI Provenance (si mutation ou transfert) Mois/année de sortie du champ du PMSI Mode de sortie du champ du PMSI Destination (si mutation ou transfert) Type de séjour (prestations inter-établissements) Séjour/séjour total de moins de 24 heures Durée totale de séjour dans le champ du PMSI Poids à la naissance Séance et/ou hospitalisation de moins de 24 h Nombre de séances Diagnostic principal Nombre de diagnostics associés dans ce RSA Diagnostics associés Nombre d’actes dans ce RSA Groupe homogène de malades/numéro de GHS Actes Indice de gravité IGS2 Catégorie majeure de diagnostic PMSI privé (OQN)/public (dotation globale) Version du logiciel de groupage du GENRSA
Informations séjour budget globalDate d’entrée/de sortie du malade Discipline d’entrée dans l’établissement *Type d’activité discipline d’entrée Mode d’entrée/établissement antérieur si transfert Nombre de journées d’hospitalisations Code décès/transfert ; code sortie/présence
Montant ou volume de la prestationMontant de la dépense132 Base de remboursement (montant + ticket modérateur) Montant versé ou remboursé au titre du régime obligatoire Montant du dépassement Montant valorisé (Budget global) Montant du ticket modérateur versé par le régime obligatoire au titre de la CMU complémentaire Montant du forfait versé par le régime obligatoire au titre de la CMU complémentaireCoefficient des actes Quantité d'actes Coefficient global des actes Coefficient tarifé des actes133 Délai de carence Prix unitaire des actes Prix unitaire public LPP Quantité d’actes affinés (unités LPP ; boites) Prix unitaire de l'acte affiné

sélection de variables du PMSI

Quatre listes décrivant les fichiers d’alimentation du Programme médicalisé des systèmes d’information (PMSI) sont mises à la disposition des utilisateurs par l’Agence technique de l’information sur l’hospitalisation (ATIH). Elles concernent les champs, en hospitalisation publique, suivants : médecine, chirurgie et gynécologie-obstétrique (MCO), soins de suite et de réadaptation (SSR), hospitalisation à domicile (HAD) et psychiatrie (PSY). Une notice précise notamment que :

les variables MCO sont issues des résumés de sortie anonymes (126 variables principales) et d’informations complémentaires (médicaments, dispositifs médicaux implantables, prélèvements d’organes, prestations inter-établissements, forfaits de dialyses péritonéales, médicaments avec autorisation temporaire d’utilisation, anti-thrombotiques, prothèses PIP, maladies rares) ;

celles du champ SSR proviennent des résumés hebdomadaires anonymisés (75 variables princ.) ;

celles de la HAD reprennent les résumés anonymes par sous-séquence (80 variables princ.) et des informations complémentaires (médicaments avec ou sans autorisation temporaire d’utilisation) ;

celles du champ PSY codent les résumés par séquence anonymisés (40 variables principales) et les résumés par acte ambulatoire anonymisés (25 variables principales).

Le tableau ci-dessous présente une sélection de ces variables, largement communes aux différents champs, réparties en catégories définies par la Cour, en complément de l’annexe précédente donnant des exemples de données du SNIIRAM (ville et établissements privés).

Exemples de données du PMSIExemples de données du PMSI
Facturation ou tarificationNuméros FINESS e-PMSI, FINESS géographique ; numéros séquentiels de tarifs, de facturesGHM ou GENRSA, numéro de GHSMotif de non-facturation à l’assurance maladieNombre de zones tarifaires établissementFacturation ou tarificationNuméros FINESS e-PMSI, FINESS géographique ; numéros séquentiels de tarifs, de facturesGHM ou GENRSA, numéro de GHSMotif de non-facturation à l’assurance maladieNombre de zones tarifaires établissement
Gestion du séjourMode d’entrée dans le champ, provenanceMode légal de soinsAnnée de sortie, mois de sortieMode de sortie dans le champ, destinationType de séjour, durée totale du séjour Nombre de séancesJournées au-delà de la borne extrême hauteType de séjour inférieur à la borne extrême basseNombre de suppléments en et hors séances Passage dans un lit dédié de soins palliatifsType de machinePremière et dernière séquences du séjourNombre de jours d’isolement thérapeutiqueNuméro et dates des sous-séquencesAntériorité du résumé par rapport à l’entréeType d’hospitalisation de l’unité médicaleType d’autorisation de l’unité médicaleMode d’entrée dans l’unité médicaleJournées en et hors week-endAncienneté de l’intervention chirurgicaleIndicateur d’activité libéralePatientCryptage de l’identifiant permanent du patient (IPP)Âge en années, âge en jour, sexeCode géographique de résidencePoids d’entrée en grammes, gestation, règlesType de lieu de domicile du patient
Gestion du séjourMode d’entrée dans le champ, provenanceMode légal de soinsAnnée de sortie, mois de sortieMode de sortie dans le champ, destinationType de séjour, durée totale du séjour Nombre de séancesJournées au-delà de la borne extrême hauteType de séjour inférieur à la borne extrême basseNombre de suppléments en et hors séances Passage dans un lit dédié de soins palliatifsType de machinePremière et dernière séquences du séjourNombre de jours d’isolement thérapeutiqueNuméro et dates des sous-séquencesAntériorité du résumé par rapport à l’entréeType d’hospitalisation de l’unité médicaleType d’autorisation de l’unité médicaleMode d’entrée dans l’unité médicaleJournées en et hors week-endAncienneté de l’intervention chirurgicaleIndicateur d’activité libéraleInformations médicalesDiagnostic principal, diagnostic reliéNombre de diagnostics associésAssociation non prévue, facteurs associésCode CCAM, nombre de réalisations de l’acteAnnée et mois de la réalisation de l’acteNature de l’acte, lieu de l’acteRemboursement exceptionnelCatégorie professionnelle et des intervenantsDépendance (habillage, déplacement, alimentation, incontinence, comportement, communication)Finalité principale de prise en chargeManifestation morbide principaleAffection étiologiqueAppareillage

exemples de retards d’actualisation inter-régimes

Les normes de format des données déversées dans le SNIIRAM diffèrent d’un système à l’autre. Les données des décomptes issus de la chaîne de production des CPAM sont contrôlées après paiement et transcodées de DEC-ENR en norme NEC. Les données des autres régimes sont reçues des versions diverses de la norme NTEIR, qui ne sont équivalentes à la NEC que pour autant qu’elles soient la plus récente. C’est loin d’être le cas. Le tableau ci-dessous indique les données qui font défaut pour un régime aussi longtemps que ce dernier ne l’a pas mis en œuvre.

Une case non remplie signifie que le régime (colonnes) n’appliquait pas encore la norme fin septembre 2015. Les nouvelles versions s’ajoutent aux précédentes, sans les remplacer, en élargissant le champ couvert. Exemple en grisé : la MSA fournit au SNIIRAM depuis mars 2010 le numéro d’employeur de chaque bénéficiaire pris en charge.

MSARSISNCFRATPCANSSMASS NATSÉNATP.A.B.
NTEIR V3 NTEIR V3 NTEIR V3 NTEIR V3 NTEIR V3 NTEIR V3 NTEIR V3 NTEIR V3 NTEIR V3 
Participation forfaitaireavt 2009avt 2009avt 2009avt 2009nov-12avt 2009avt 2009avt 2009
Médecin traitant, parcours de soinsavt 2009avt 2009avt 2009avt 2009nov-12avt 2009avt 2009avt 2009
Indicateur de tarif opposableavt 2009avt 2009avt 2009avt 2009nov-12avt 2009avt 2009avt 2009
Option de coordinationavt 2009avt 2009avt 2009avt 2009nov-12avt 2009avt 2009avt 2009
Origine de la prescriptionavt 2009avt 2009avt 2009avt 2009nov-12avt 2009avt 2009avt 2009
NTEIR V4NTEIR V4NTEIR V4NTEIR V4NTEIR V4NTEIR V4NTEIR V4NTEIR V4NTEIR V4
Codage UCDavr-14avt 2009prévujanv-11janv-11janv-11
Date de décèsmars-10avt 2009avr-10sept-09janv-11janv-11janv-11
Lieu d'exécutionmars-10avt 2009avr-10sept-09janv-11janv-11janv-11
Type de renouvellementmars-10avt 2009avr-10sept-09janv-11janv-11janv-11
Montant de l'écart indemnisablemars-10avt 2009avr-10sept-09janv-11janv-11janv-11
NTEIR V5NTEIR V5NTEIR V5NTEIR V5NTEIR V5NTEIR V5NTEIR V5NTEIR V5NTEIR V5
Indicateur T2Amars-10juil-15avr-10janv-11
Numéro RPPS ; indicateur de suivimars-10juil-15avr-10janv-11
Numéro d'employeurmars-10juil-15avr-10janv-11
Détail des transports de maladesmars-10juil-15avr-10janv-11
NTEIR V6NTEIR V6NTEIR V6NTEIR V6NTEIR V6NTEIR V6NTEIR V6NTEIR V6NTEIR V6
Indicateur de prescription en lignejuil-15
Date de début et de fin de transportjuil-15
CIP 13juil-15
Déconditionnementjuil-15
NTEIR V7Encore aucune prise en compte à fin septembre 2015Encore aucune prise en compte à fin septembre 2015Encore aucune prise en compte à fin septembre 2015Encore aucune prise en compte à fin septembre 2015Encore aucune prise en compte à fin septembre 2015Encore aucune prise en compte à fin septembre 2015Encore aucune prise en compte à fin septembre 2015Encore aucune prise en compte à fin septembre 2015
Date réelle d'accouchementEncore aucune prise en compte à fin septembre 2015Encore aucune prise en compte à fin septembre 2015Encore aucune prise en compte à fin septembre 2015Encore aucune prise en compte à fin septembre 2015Encore aucune prise en compte à fin septembre 2015Encore aucune prise en compte à fin septembre 2015Encore aucune prise en compte à fin septembre 2015Encore aucune prise en compte à fin septembre 2015
Type de contrat complémentaireEncore aucune prise en compte à fin septembre 2015Encore aucune prise en compte à fin septembre 2015Encore aucune prise en compte à fin septembre 2015Encore aucune prise en compte à fin septembre 2015Encore aucune prise en compte à fin septembre 2015Encore aucune prise en compte à fin septembre 2015Encore aucune prise en compte à fin septembre 2015Encore aucune prise en compte à fin septembre 2015
Dispositif de préventionEncore aucune prise en compte à fin septembre 2015Encore aucune prise en compte à fin septembre 2015Encore aucune prise en compte à fin septembre 2015Encore aucune prise en compte à fin septembre 2015Encore aucune prise en compte à fin septembre 2015Encore aucune prise en compte à fin septembre 2015Encore aucune prise en compte à fin septembre 2015Encore aucune prise en compte à fin septembre 2015
Contextes professionn. et bénéficiaireEncore aucune prise en compte à fin septembre 2015Encore aucune prise en compte à fin septembre 2015Encore aucune prise en compte à fin septembre 2015Encore aucune prise en compte à fin septembre 2015Encore aucune prise en compte à fin septembre 2015Encore aucune prise en compte à fin septembre 2015Encore aucune prise en compte à fin septembre 2015Encore aucune prise en compte à fin septembre 2015

Source : CNAMTS, septembre 2015. PAB : Port autonome de Bordeaux.

Les données de la plupart des sections locales mutualistes étaient encore reçues en 2015 en norme NOEMIE 301, avec moins d’informations que la norme NEC. Leur réception en NOEMIE 303, équivalente à la NEC, est était cours de généralisation, ce qui rend notamment disponibles les données de codage affiné comme CCAM, numéro de GHS, etc.

évolution des droits d’accès permanents au SNIIRAM

Depuis le premier protocole du 15 octobre 2001, approuvé par arrêté du 11 avril 2002, le SNIIRAM a connu une ouverture raisonnée des accès permanents, très encadrée par la CNIL pour prévenir tout risque pour l’anonymat des bénéficiaires dans un contexte d’enrichissement progressif des données.

L’accès à l’ensemble des informations contenues dans le SNIIRAM

À l’origine, seules les caisses d’assurance maladie (au niveau national et local) peuvent accéder aux informations individuelles mais anonymisées relatives aux bénéficiaires ainsi qu’aux données individuelles identifiantes des professionnels de santé. Cet accès aux données individuelles des professionnels de santé est justifié par le fait qu’elles doivent leur transmettre des informations relatives à leur activité, à leurs recettes et s’il y a lieu à leurs prescriptions et qu’elles disposent déjà de ces informations dans leurs autres bases de production, en particulier au niveau régional. L’accès par le SNIIRAM leur permet de disposer d’une vision plus complète et plus fiable puisqu’inter-régimes.

Par arrêté du 20 juin 2005, la CNSA bénéficie des mêmes droits d’accès que les caisses d’assurance maladie afin de remplir sa mission qui est de contribuer au financement de la prise en charge de la perte d’autonomie des personnes âgées et des personnes handicapées. Cette ouverture correspond aussi l’élargissement des

Dans la mesure strictement nécessaire à l’accomplissement de leurs missions, selon une précision constante exigée par la CNIL, l’InVS (depuis l’arrêté du 1er décembre 2011), la HAS et l’ANSM (depuis 2013) ont accès à l’ensemble des informations contenues dans le SNIIRAM, à l’exclusion des données d’identification des professionnels de santé.

L’accès aux informations sous forme de statistiques agrégées ou sous forme individualisée sur l’échantillon généraliste

Initialement, seuls les ministères chargés de la santé, de la sécurité sociale, de l’économie et de l’agriculture avaient un accès aux données agrégées, à l’exclusion de toute donnée d’identification des professionnels de santé. Les agences régionales d’hospitalisation et les unions régionales de médecins libéraux bénéficiaient de droits identiques mais uniquement sur leur champ de compétence régionale.

Pour répondre aux nouvelles finalités assignées au SNIIRAM par la loi n°806-2004 du 9 août 2004 relative à la politique de santé publique, les accès ont été substantiellement élargis par l’arrêté du 20 juin 2005 qui marque un tournant et qui introduit une nouvelle catégorie de droits prenant acte de la création de l’EGB. Sont inclus les agences sanitaires sous tutelle de l’État, en particulier l’InVS et l’AFFSAPS, et des organismes ayant pour mission d’évaluer et d’analyser le système de santé sont autorisés à accéder aux datamarts et à l’EGB : le Haut conseil pour l’avenir de l’assurance maladie qui a notamment pour mission d’évaluer le système d’assurance maladie, d’en décrire la situation financière et les perspectives pour assurer à terme sa viabilité, l’IRDES, l’INSERM ou le CNRS.

Le Centre technique d’appui et de formation des centres de santé, créé en 1994 par la CNAMTS pour accompagner les centres d’examen de santé dans leurs missions d’éducation pour la santé et de recherche épidémiologie peut accéder à ces données pour effectuer des recherches et études sur la prévention et la politique de santé. Tirant les conséquences de la loi n°2004-810 du 13 août 2004 relative à l’assurance maladie, l’arrêté du 20 juin 2005 prévoit aussi un accès aux données agrégées pour l’Institut des données de santé et ses membres dont le CISS, l’UNOCAM et l’Union des professionnels de santé qui a notamment pour vocation d’émettre des avis sur les propositions de décisions de l’Union nationale des caisses d’assurance maladie.

En 2006, la HAS et l’INCA obtiennent un accès aux datamarts et à l’EGB afin de remplir leurs missions. En 2008, les agents de l’ATIH qui transmettent au SNIIRAM les données issues du PMSI sont ajoutés comme destinataires des produits statistiques, agrégés ou individualisés sur les professionnels de santé ainsi que de l’EGB, à l’exclusion des données d’identification des professionnels de santé.

L’arrêté du 1er décembre 2011 acte l’ouverture à l’Agence de la biomédecine, à l’Observatoire français des drogues et de la toxicomanie ainsi qu’au Fonds CMU ainsi qu’aux fédérations de l’UNOCAM signataires de la charte d’engagement pour l’expérimentation MONACO.

L’accès aux informations sous forme de statistiques agrégées

Depuis la création de l’EGB en 2005, les unions régionales de médecins libéraux n’ont qu’un accès aux datamarts comportant des données sur les bénéficiaires et les professionnels de santé, de leur région. Ce droit a été transféré aux URPS de médecins, qui seules existaient depuis leur création par l’article 123 de la loi HPST, par l’arrêté du 1er décembre 2011 avant d’être étendu à toutes les URPS en 2013. Ces dernières relèvent, en effet, du même cadre juridique et exercent les mêmes missions que les URPS de médecins.

Bénéficient également de cet accès aux informations contenues dans le SNIIRAM sous forme de statistiques agrégées ou individualisés sur les professionnels de santé, sans restriction géographique, les « membres des membres » de l’IDS depuis l’arrêté du 16 octobre 2008 afin de pallier le manque de moyen des membres pour exploiter les données. Il s’agit des fédérations d’organismes complémentaires représentés par l’UNOCAM (et non les entreprises elles-mêmes ce que souligne la CNIL), des syndicats des professionnels de santé constitutifs de l’UNPS et des associations de patients appartenant au CISS.

Compte tenu de leur engagement dans l’expérimentation MONACO pour le partage de données entre l’assurance maladie obligatoire et complémentaire, les organismes complémentaires contributeurs de données, membres des fédérations constitutives de l’UNOCAM et signataires de la charte, peuvent accéder aux datamarts.

L’accès des professionnels de santé

Les professionnels de santé ont accès aux données relatives à leur activité, à leurs recettes ou à leurs prescription le cas échéant, et donc aux données individuelles anonymisées concernant leurs patients. Une restriction s’impose néanmoins aux auxiliaires médicaux qui ne peuvent pas accéder aux données concernant les pathologies, à la différence des médecins et des pharmaciens. Comme le soulignait déjà la CNIL en 2001, cette exclusion fait problème.

Évolution des protocoles et des arrêtés relatifs au SNIIRAM sur les droits d’accès

PROTOCOLEARRETEOBSERVATIONS
15/10/200111/04/2002OBSERVATIONS
16/05/200520/06/2005Elargissement des finalités du SNIIRAM et création de l’EGBDe nouveaux accès pour :CNSA (DCIR)Agences sanitaires : InVS, AFFSAPS (EGB)HCAAM, membres IDS, UNPS (EGB)IRDES, CETAF, INSERM, CNRS (EGB)
Modifié le 26/09/2006De nouveaux accès pour : HAS, INCa (EGB)
06/06/200816/10/2008 rectifiéAjout d’une 4ème variable sensible : date de décèsDe nouveaux accès pour : ATIH (EGB)Membres des membres de l’IDS (datamarts)
02/02/2011 (daté de mai 2011)01/12/2011 rectifiéRefonte globale de l’arrêté pour consolider et clarifier les droits d’accèsDe nouveaux accès pour :ABM, ARS, Fonds CMU, OFDT, membres de l’UNOCAM signataires du projet Monaco (EGB)Organismes de recherche non mentionnés, universités, etc. à but non lucratif (EGB via CNIL après avis IDS)URPS (datamart)
05/01/201211/07/2012Modifié le 07/09/2012De nouveaux accès pour :Médecins des ARS : DCIR avec possibilité de recherches localisées (charte d’engagement)InVS (DCIR)
08/06/201219/07/2013De nouveaux accès pour :InVS à titre expérimental pour 3 ans : croisement des variables sensibles
18/04/201314/02/2014De nouveaux accès pour :ARS dans le cadre de l’expérimentation Paerpa (DCIR)

exemples de séries du SNIIRAM publiées par la CNAMTS

Parmi les 121 séries disponibles, fin 2014134 :

Actes de biologie médicale remboursés par l’assurance maladie ; Données BIOLAM 2010-2012 ; code de l'acte, selon la nomenclature des actes de biologie médicale, et son libellé court, et pourcentages d'évolution.

Activité des médecins libéraux en 2010 (par région, département et spécialité) : nombre de consultations, de visites, d'actes chirurgicaux, d'actes de radiologie, etc.

Couverture maladie universelle (CMU)), environ 4,1 millions d'affiliés

Démographie des professionnels de santé 2012, 2013 (par région et par département, mode d'exercice, âge, sexe, en 6 jeux de données)

Démographie des professionnels de santé libéraux (2010) (par région et par département, pour l'année 2010) ;

Démographie et conventionnement des professionnels de santé libéraux par région & département (version 6 janvier 2014): effectifs, densité et mode de conventionnement.

Dépenses annuelles d'assurance maladie (par catégorie de professionnels de santé et pour chaque catégorie par acte ou par groupe d'actes

Dépenses d’hospitalisation incluant les honoraires en cliniques privées - Version avril 2013, avec évolution par rapport à la période comparable de l’année précédente

Dépenses d'assurance maladie hors prestations hospitalières : par type de prestations (soins et prestations en espèces), type de prescripteurs et d'exécutants (par spécialité, chirurgiens-dentistes, auxiliaires, laboratoires d'analyse, pharmaciens…).

Honoraires des professionnels de santé par région & département - 2010 (actifs à part entière = hors installés en cours d’année, ou de plus de 65 ans, ou non conventionnés, ou en temps-plein hospitalier).

Médicaments remboursés par l'assurance maladie : Medic'AM, 2008-2013, avec base de remboursement ; montant remboursé ; nombre de boites remboursées.

Modes d'exercice des professionnels de santé libéraux par région &département en 2010 (version 8 juillet 2013) : département, selon le mode d'exercice (libéral, libéral et salarié, libéral et hôpital, secteur privé à l'hôpital

Produits de santé remboursés par l'assurance maladie : inscrits à la liste des produits et prestations (LPP) remboursés en 2006-2012 (régime général - hors sections locales mutualistes - métropole) ;

Répartition et taux de personnes en affection de longue durée (ALD) au 31 décembre 2011 pour le régime général, selon l’âge et le sexe.

Soins de ville par catégories d’exécutants et lieu d’exécution - avril 2013.

DRSM, utilisation comparative, SNIIRAM-ERASME, 2009135

La base « ERASME régional » est interne à la CNAMTS. Elle contient les mêmes données que le SNIIRAM, mais actualisées plus fréquemment. Les personnes habilitées y accèdent directement à l’identité des bénéficiaires et des professionnels concernés par leurs requêtes. Ces deux particularités principales conduisent les agents des directions régionales du service médical à le juger mieux adapté à leurs besoins que le SNIIRAM, néanmoins utilisé fréquemment (voir ligne « finalités des résultats), selon une enquête interne résumée ci-dessous.

Réponses sur :SNIIRAMERASME régional
Personnes habilitées 12,5 personnes en moyenne 33 personnes en moyenne
Pratique régulière des personnes habilitées Moins de 50 % ont une pratique de requêtes régulière (82 % des DRSM) Plus de 50 % s ont une pratique de requêtes régulière, (88 % des DRSM)
Nombre de requêtes mensuelles Moins de 10 par mois : 88 % Plus de 50 par mois : 69 % des DRSM. Plus de 200 : 19 %.
Nombre de thèmes ou projets concernés par mois 3 thèmes ou projets par DRSM en moyenne 18 thèmes ou projets en moyenne par DRSM (de 1 à 10 pour 59 %)
Services destinataires des résultats136Pôle CCX : 50 % Pôle OSS : 23 % ; Pôle RPS : 17 % Pôle CCX : 45 % Pôle RPS : 30 % ; Pôle CPR2A :18 %
Finalités des résultats Ciblage de contrôles : 47 % Études statistiques et réalisation de profils : 44 % Détection de fraudes et ciblage de contrôles : 64 % Études statistiques et réalisation de profils : 33 %
« L’outil est adapté aux besoins de l’organisme » 24 % des DRSM 100 % des DRSM

Motifs de recours à ERASME régional plutôt qu’au SNIIRAM, 2009137

Source : CNAMTS

comparaisons internationales

La Cour a rencontré aux États-Unis, en Grande-Bretagne et en Italie des organismes gérant des bases similaires au SNIIRAM ainsi que divers spécialistes Elle a aussi exploité des renseignements obtenus en Allemagne, au Québec, ainsi qu’auprès des conseillers sociaux en poste auprès d’ambassades de France dans d’autres pays.

CONTEXTE

Pour situer ces études de cas, les deux tableaux ci-après fournissent des indications utiles en dépit de l’hétérogénéité des flux financiers et de l’ancienneté des données.

Dépenses nationales de santé, pays évoqués ci-après, 1960-2013138

% du produit national brut19601990201020122012 $ par habitant
Allemagne..8,311,611,34 811
Canada5,48,711,110,94 602
États-Unis5,111,917,016,98 745
France3,88,411,611,64 288
Italie..7,79,49,13 209
Royaume-Uni3,95,89,49,33 289
Moyenne OCDE : 9,3 Moyenne OCDE : 9,3 Moyenne OCDE : 9,3 Moyenne OCDE : 9,3 Moyenne OCDE : 9,33 484

Source : OCDE, Enquête HCQI (indicateurs de la qualité des soins de santé) par pays, 2012

Les utilisations de mégadonnées étaient alors à des niveaux divers :

Utilisations de mégadonnées de santé, 25 pays de l’OCDE

Source : OCDE, Enquête HCQI (indicateurs de la qualité des soins de santé) par pays, 2012

Cela s’inscrit dans un contexte de développement des dossiers médicaux électroniques (DME) où « tous les pays investissent dans l’infrastructure de données (…) en 2011-12, la plupart des pays avaient un plan ou une politique national(e) de mise en œuvre des DME (22 pays sur 25) et la grande majorité d’entre eux (20 pays) en avaient déjà commencé l’exécution. (…) La contribution majeure de ces systèmes (…) sera de permettre une analyse secondaire des données lors de la conduite et du suivi de travaux de recherche, dans l’optique d’améliorer la santé de la population ainsi que la qualité, la sécurité et l’efficience des soins de santé. Sur les 25 pays étudiés, 18 avaient prévu une forme ou une autre d’analyse secondaire des DME dans leur plan national (…). En outre, 14 pays ont précisé qu’il était envisagé que les médecins puissent lancer des requêtes sur les données pour étayer leurs décisions de traitement. L’utilisation des données la plus rarement prévue (10 pays) était de faciliter les essais cliniques ou d’y contribuer ».139

ALLEMAGNE

Aucune base de données allemande relative au remboursement des soins ambulatoires et hospitaliers n’est comparable au SNIIRAM, tant en termes d’échelle de production que de contenu ou d’usage des informations : cela reflète l’organisation décentralisée du système de santé et de sécurité sociale.

La présente section s’intéresse donc aux données accessibles à certaines administrations fédérales, agences et organismes de recherche. Moins exhaustives qu’en France, celles-ci sont en revanche plus largement accessibles, et s’inscrivent dans une stratégie numérique fédérale « 2014-17 prévoit une coordination plus étroite entre les principaux intéressés et davantage d’interopérabilité entre leurs systèmes informatiques, ainsi que la prise en compte des risques de sécurité dont s’accompagne le virage numérique au sein du système de santé »140.

a) Un système éclaté

Les données ambulatoires relatives aux consultations et aux prescriptions hospitalières de jour sont communiquées par les médecins à leur union conventionnelle locale (kassenärztliche Vereinigung) : la nouvelle carte électronique de santé (elektronische Gesundheitskarte, eKV) simplifie la circulation de ces informations et en améliore la confidentialité. Les unions les transmettent aux caisses d’assurance-maladie à des fins de négociation et de gestion. Ces caisses sont des entités autonomes de droit public, dont la gestion est privée, sous la tutelle du ministère fédéral de la santé (Bundesministerium für Gesundheit). Il n’existe donc pas de système d’information unique pour le régime légal d’assurance-maladie (gesetzliche Krankenversicherung, GKV) – lequel est un ensemble de normes et non un établissement : les bases exhaustives ne sont détenues que par les quelque 120 caisses141. Certaines données sont certes regroupées et anonymisées en agrégats larges par l’Union fédérale des caisses (GKV-Spitzenverband), .Elles n’apportent pas de renseignement quant aux bénéficiaires ou aux professionnels de santé. D’autres agrégats sont réalisés par le DIMDI (voir infra).

Les données hospitalières sont utilisées pour financer les établissements par un codage exhaustif de l’activité, un forfait journalier et des subventions des Länder. Ce codage utilise la CIM-10 et un groupe homogène de patients en fonction des diagnostics d’entrée. De la même manière qu’en France, l’examen d’un échantillon d’établissements détermine les tarifs que couvriront les caisses et les assurances privées. Ces dernières détiennent ainsi des données relatives aux séjours hospitaliers de leurs bénéficiaires.

b) le DIMDI, principal acteur de l’exploitation des données de santé

Créé en 1969, l’Institut allemand de documentation et d’information médicale (deutsches Institut für medizinische Dokumentation und Information, DIMDI) met à disposition des informations sur la médecine : classifications et terminologies, conseils aux consommateurs, registre des pharmacies, travaux sur les pathologies, etc. Pour le compte du gouvernement fédéral, qui en exerce la tutelle, le DIMDI pilote la plupart des projets relatifs au développement et à l’évaluation des technologies de santé. Il a ses propres applications logicielles et un centre de gestion des données. Il applique aux données qu’il reçoit un second niveau de cryptage, pour minimiser le risque d’identification. En complément des agrégats de l’Union fédérale des caisses, il reçoit et publie une sélection de données de l’Office fédéral des assurances (Bundesversicherungsamt, BVA). Le DIMDI, l’Institut fédéral des médicaments et des dispositifs médicaux (Bundesinstitut für Arzneimittel und Medizinprodukte, BfArM) et l’Autorité centrale des Länder pour la protection de la santé (Zentralstelle der Länder für Gesundheitsschutz) gèrent ensemble le système d’information fédéral sur les médicaments (Arzneimittelinformations system, AMIS). Cette base est utilisée pour approuver les médicaments, homologuer des essais cliniques, etc.

c) des usages modestes malgré la transparence des données

L’utilisation des bases est délimitée par le règlement sur la transparence des données dans les soins de santé du 18 septembre 2012 (Verordnung zur Umsetzung der Vorschriften über die Datentransparenz im Gesundheitswesen, ZLG). Sur ce fondement, le DIMDI met à disposition une cinquantaine de produits, pour moitié gratuits142 et accessibles à tous, selon trois niveaux d’habilitation. Certains fichiers sont ouverts au téléchargement, d’autres ne peuvent qu’être consultés. En raison de leur confidentialité et des lois restreignant la publicité pour les médicaments, certaines données sont seulement accessibles à des médecins et pharmaciens ou clients « premium » qui souscrivent à un contrat payant et s’engagent à respecter des standards de sécurité.

18 catégories d’organismes disposent d’un accès privilégié aux données les plus riches143, pour les finalités suivantes : contrôle par les partenaires sociaux des conventions collectives, analyse et amélioration de la qualité des soins, des historiques d'approvisionnement, des ressources disponibles, de l’efficacité des processus de prise de décisions des caisses. Des agences ou des équipes universitaires réalisent des études afin, par exemple, d’identifier la fréquence de diagnostics ou la prescription de médicaments en fonction de paramètres tels que l'âge des patients. Les informations que diffuse le DIMDI sont utilisées par l’Institut pour la garantie de la sécurité et la transparence dans les soins de santé (Institut für Qualitätssicherung und Transparenz im Gesundheitswesen). Elles alimentent le rapport sur la santé de la Fédération (Gesundheitsberichterstattung des Bundes), rédigé par l’Office fédéral des statistiques (deutsches statistiques Bundesamt, Destatis).

BELGIQUE

a) l’INAMI, acteur central de la production des données de santé

Des séries statistiques sont publiées par le Service public fédéral (SPF) de sécurité sociale. Celles-ci, principalement issues de l’Institut national d’assurance maladie-invalidité (INAMI), sont d’ordre macro-économique : bénéficiaires par branche, montant des prestations, financement, handicap, consommation agrégée de médicaments par catégories, comptes fédéraux de la santé (en collaboration avec Eurostat, l’OCDE et l’OMS), etc.

L’INAMI gère également la base de facturation MYCARENET utilisable par tous les prestataires de soins individuels et établissements. Depuis 2014, un chaînage entre la carte SIS et la carte d’identité électronique permet aux bénéficiaires de présenter le document de leur choix en officine, cabinet de ville ou à l’hôpital, ainsi que pour les échanges avec leur mutuelle. Les données ainsi produites alimentent le dossier médical global (opérations, maladies chroniques, traitements en cours, etc.) et le dossier pharmaceutique partagé, lequel fournit aux pharmaciens un aperçu (nom, dosage, date de délivrance, etc.) des médicaments vendus à leurs clients au cours de l’année écoulée, sans que le prescripteur ne soit identifiable.

b) la BCSS, principal organisme pour l’appariement et la circulation des informations

Une loi du 15 janvier 1990 a mis en place la Banque carrefour de la sécurité sociale (BCSS). Cet organisme public fédéral est chargé d’animer un réseau électronique commun entre les différentes institutions du secteur de la santé et des affaires sociales. Chacune de celles-ci reste responsable de l’enregistrement et de l’actualisation de ses informations : si une entité centrale gère l’interopérabilité entre les bases et leurs accès, il n’existe pas en Belgique de système parfaitement comparable au SNIIRAM et au PMSI. À terme, la BCSS devrait animer un portail de sécurité sociale permettant aux bénéficiaires, professionnels de santé et administration de procéder à de larges déclarations en ligne.

Un arrêté royal du 12 août 1993 prévoit la sécurisation et les modalités d’usage des informations. In fine, la décision selon laquelle une institution a effectivement besoin des données qu’elle demande revient au Comité sectoriel de la sécurité sociale et de la santé et à la Commission de la protection de la vie privée. Ainsi, les données personnelles à caractère médical ne peuvent être échangées, traitées et conservées que sous l’autorité d’un médecin spécialement agréé par ce premier comité. Les personnes qu’il désigne nominativement sont tracées dans un registre qui mentionne l’étendue de leurs droits d’accès.

Les bases que coordonne la Banque carrefour sont notamment utilisées par les pouvoirs publics à des fins de modélisation. Le programme de micro-simulation MIMOSIS permet de tester l’incidence réciproque de certaines variables comme les cotisations sociales, l’état du marché du travail ou la fréquence de certains remboursements pour invalidité afin de réfléchir à l’effet des réformes sociales. Par ailleurs, les informations accessibles via la BCSS sont utilisées en vue de la lutte contre la fraude. Depuis 2013, un logiciel de la Direction générale de l’inspection sociale intitulé MININGWATCH repère des anomalies statistiques grâce à la technique de la “fouille de données” et contribue ainsi à cibler plus finement les contrôles sur les éventuels risques d’infraction.

Au cours d’une audition le 17 février 2011, le député Philippe GOSSELIN, membre du collège de la CNIL, déclarait à la Mission d’évaluation et de contrôle des lois de financement de la sécurité sociale (MECSS) de l’Assemblée nationale : “en premier lieu, à l’inverse de ce qui s’est passé en France, la banque de données Carrefour a été créée avant qu’une législation relative aux données personnelles soit adoptée en Belgique, cette législation a donc pris en compte les dispositifs existants. Ensuite, le numéro belge d’identification unique des citoyens et des entreprises recense des données moins fournies que le numéro de sécurité sociale en France – par exemple, ce numéro ne permet pas de déterminer si un individu est né en Belgique ou à l’étranger. Par ailleurs, la CNIL a pour doctrine que l’usage du numéro de sécurité sociale doit être cantonné à la sphère sociale ; si l’on souhaitait en venir à l’équivalent de la banque de données belge, il faudrait élargir cet usage. Enfin, un dispositif de ce genre, avec un identifiant unique, n’est pas sans risques : qui l’alimente en données ? Qui le contrôle ? Comment le sécuriser ?” 144.

c) l’ISP, chef de file de la recherche avec sa base HEALTHDATA.BE

En novembre 2015, l’INAMI et l’Institut scientifique de santé publique (ISP) ont signé un accord relatif à la standardisation de l’enregistrement de certaines données de santé dans le cadre du Plan d’action e-santé pour la période 2013-2018. Une plateforme internet sécurisée baptisée HEALTHDATA.BE a été mise en place avec le soutien du Centre fédéral d’expertise des soins de santé. Des informations, recueillies au sein d’environ 150 bases d’ampleur diverse, pourront exclusivement être communiquées à des chercheurs expressément autorisés pour la surveillance de maladies ou autres phénomènes épidémiologiques.

La force du dispositif est de fournir non seulement des renseignements de facturation, mais aussi des données cliniques. En effet, les prestataires de soin sont invités à communiquer leurs données à la HEALTHDATA.BE au moyen d’une application gratuite, qui assure un premier niveau de cryptage. 42 registres ont été choisis pour la phase expérimentale de trois ans : mucoviscidose, maladies rares, grippe, etc.

Enfin, le Centre de recherche opérationnelle en santé publique (CROSP) de l’ISP gère MORBIDAT, une synthèse de l’ensemble des données concernant la morbidité en Belgique. Cette base est constituée de quatre “inventaires” : liste des bases existant en aval145 et état actuel des connaissances, indicateurs légaux, style de vie146, chaînage avec l’état civil.

CANADA (Québec)

Au Canada, les provinces disposent d’une large autonomie, d’où une gestion hétérogène des données de santé. Ainsi, en Ontario les médecins peuvent demander et obtenir des croisements de données, contrairement à la situation non seulement française mais aussi du Québec voisin, dont la Régie de l’assurance maladie refuse tout accès à ses données. Seule la situation au Québec est examinée ici.

Le ministère québécois de la santé et des services sociaux assure la tutelle de la Régie de l’assurance maladie du Québec (RAMQ) depuis sa création en 1969. En plus de missions similaires à celles de la CNAMTS française, elle administre le régime public d’assurance médicament – une protection de base pour les médicaments destinée à la moitié de la population provinciale n’ayant pas accès à un régime privé moitié de la population provinciale. Ses services dépendent d’une présidence et de quatre vice-présidences, dont l’une est spécialement chargée des technologies de l’information.

a) un cadre normatif protecteur de la confidentialité des données personnelles

Dans le cadre de ses missions, dont les deux premières sont le remboursement des bénéficiaires et la rémunération des professionnels de santé, la RAMQ recueille et traite des données informatiques. Leur collecte a été facilitée par l’ajout d’un code-barres à la « carte soleil » d’assurance maladie147 en 2010. Elle devrait l’être davantage en 2017, lorsque le nouveau système informatique de rémunération à l’acte et à forfait sera mis en place. L’organisme décrit son actif informationnel comme un « ensemble de renseignements sur la prestation et l’évolution des soins et des services de santé ainsi que sur les coûts afférents ».

Le principal fondement relatif à la communication des données publiques québécoises est la loi sur l'accès aux documents des organismes publics et sur la protection des renseignements personnels148 (RLRQ, c. A2.1). Ce texte pose que toute personne assurée a le droit de consulter les renseignements la concernant, ainsi que d’en exiger la rectification lorsqu’ils sont inexacts ou ont été produits sans son accord. Si la Régie est soumise au respect de cette norme, la Loi sur l’assurance maladie149 lui impose un régime plus restrictif. La communication de ses propres informations est limitée : sous leur forme brute, elles mentionnent en effet le nom, le prénom, la date de naissance, le sexe, l’adresse, la date de décès des individus.

D’une part, même une personne assurée ne peut accéder à l’ensemble des renseignements relatifs aux services assurés que lui a fournis un professionnel de santé, d’autre part, les informations les plus sensibles ne peuvent être transmis qu’à 18 types d’organismes particuliers150.

Encore ces derniers ne sont-ils autorisés à adresser une demande de données détenues par la RAMQ que si cette communication est nécessaire à l’exercice de leurs missions ou à l’application d’une loi. Toutes les transmissions doivent être tracées dans un registre, à moins qu’elles ne fassent l’objet d’une autorisation (« entente ») de la part de la Commission d’accès à l’information du Québec. Une fonction supplémentaire de la Régie est de contribuer à la recherche dans le domaine de la santé et des services sociaux. Par conséquent, la loi sur l’assurance maladie lui permet de mettre des données sécurisées à disposition de chercheurs, même sans le consentement des personnes concernées. Les équipes des universités et agences qui les obtiennent doivent respecter des conditions fixées par la Commission d’accès à l’information du Québec.

b) Les redevances pour accéder aux données

Le barème des redevances à acquitter par les utilisateurs sont généralement calculées pour couvrir, pour la moitié, le coût salarial des personnels produisant les données, et pour l’autre moitié, les frais techniques, y compris de stockage des données.

Tarifs 2016 selon le type de fichiers produitsTarifs 2016 selon le type de fichiers produitsTableaux ou données statistiques
500 $ CAN par tableauFichier de micro-données de nature statistique
5 200 à 5 500$ CAN par cohorte d’individusFichier de micro-données
De 1 250 à 2 500 $ CAN par année par cohorte

b) trois banques de données performantes : le DSQ, le SISMACQ et MED-ÉCHO

Le Dossier santé Québec (DSQ) est un enjeu prioritaire par le plan stratégique 2013-2017 de la Régie. Ses banques de données, dont la maîtrise d’ouvrage est exercée par le ministère de la santé et des services sociaux, portent sur les domaines suivants : médicament, laboratoire, imagerie médicale, immunisation, allergie et intolérance, sommaire d’hospitalisation. Elles sont destinées aux professionnels de santé et aux intervenants des services sociaux. La Régie est particulièrement active pour les trois premiers volets du DSQ. Par exemple, 95 % des pharmaciens de la province mettent à jour la base en indiquant les médicaments qu’ils ont délivrés. Ils peuvent également consulter le dossier informatisé pour retrouver les ordonnances électroniques et à alerter sur les risques d’interaction médicamenteuse néfaste. Les efforts de la Régie concernent actuellement le développement ce dispositif dans les hôpitaux et cliniques. Les données issues du DSQ peuvent, sous conditions, être fournies à des chercheurs. Le nombre de demandes est d’environ 1400 par an.

Le Système intégré de surveillance des maladies chroniques du Québec (SISMACQ) est un dispositif de surveillance développé par l’Institut national de santé publique de la province. Cette banque de données est issue du jumelage de cinq anciennes bases médico-administratives151, relatives notamment aux consommations médicamenteuses et aux recours aux prestations de soin : elle contient des informations sur environ huit millions de bénéficiaires québécois.

« Parmi l’ensemble des variables présentes dans ces fichiers, seules celles nécessaires à la surveillance des maladies chroniques sont intégrées au SISMACQ » ; « le numéro d’assurance maladie (NAM) est utilisé comme clé de jumelage des fichiers »152 : le SISMACQ est un outil d’étude pour le diabète, les maladies cardiovasculaires, les maladies respiratoires, l’ostéoporose, les maladies ostéo-articulaires, les troubles mentaux comme celui d’Alzheimer. Ses renseignements contribuent aussi à l’analyse de la « poly-pharmacie » et de la « multi-morbidité ».

Enfin, MED-ÉCHO (maintenance et exploitation des données pour l’étude de la clientèle hospitalière) est un fichier des hospitalisations en partie comparable au PMSI français. La base est gérée par le ministère provincial de la santé et des services sociaux. Ses données sont codées – par des archivistes médicaux – selon la CIM-10, la Classification canadienne des actes diagnostiques, thérapeutiques et chirurgicaux (CCADTC) et la Classification canadienne des interventions en santé (CCI). Elles concernent :

le lieu et la durée du séjour, ainsi que la provenance et la destination du malade ;

les diagnostics d’admission, principal, secondaire et de décès ;

les services fréquentés et la spécialité des médecins rencontrés ;

les interventions éventuelles (soins intensifs, thérapeutiques, chirurgicaux ou obstétricaux) 153.

ESPAGNE (Catalogne)

Le système national de santé espagnol est un service public de couverture universelle, financée au travers d’impôts. Les services et prestations sont gratuits, à l’exception du « copago » (quote-part), ticket modérateur payé par le patient aux prestataires pharmaceutiques, d’orthoprotèses et de diétothérapie. Il n’existe aucune base nationale de données comparable au SNIIRAM.

L'Agence de qualité des services sanitaires système de santé de Catalogne a annoncé en 2015 qu’il mettrait ses données, anonymisées, à la disposition des centres publics de recherche catalans. Ce service serait financé par le gouvernement puis géré, après appel d’offres par une entreprise privée qui verserait une redevance de 25 millions d’euros en huit ans, et vendrait les données à des utilisateurs publics ou privés, qui les utiliseraient à des fins scientifiques. 

L’annonce a déclenché un débat non seulement sur les risques de réidentification mais aussi les risques éthiques. Un représentant de parti politique ainsi affirmé que « ça décapite la santé publique en faveur du privé, et pose un problème éthique. Les entreprises peuvent utiliser cette information pour décider d’investir ou non [dans la recherche sur un traitement], suivant que ce soit rentable ou non. »

ÉTATS-UNIS

L’OCDE a pu souligner que les États-Unis « sont en retard par rapport aux autres pays membres de l’OCDE en terme d’infrastructure de mise en réseau des données de santé », et qu’ils n’auront probablement pas d’ici 2018 de base permettant d’effectuer un contrôle national de la qualité des soins (de même que l’Allemagne, mais à l’inverse notamment de la Grande-Bretagne où l’OCDE juge cela « très probable », et de la France, « probable »). Ils semblent en revanche être le pays dont la plus grande partie de la population a été victime en 2015 de pirates informatiques : plus de 110 millions de dossiers de santé individuels volés, dont 78,8 millions pour le groupe d’assurances ANTHEM, soit vingt fois plus que les années antérieures.

a) Le système sanitaire américain : dispersé et discontinu

Les dépenses de santé américaines dépassent 2 700 Md€ par an. Par habitant, la dépense est, en parité de pouvoir d’achat, double de celle de la France. Il n’y a pas de base nationale de données médico-administratives. D’une part, l’absence d’un identifiant national de santé est un obstacle dirimant. D’autre part, l’assurance-maladie est profondément fragmentée. Les assurances privées prédominent (1 388 Milliards $ en 2011, année la plus récente en chiffres exhaustifs) ; suivent les multiples opérateurs de la fonction publique fédérale (1 255 Mds $), la sécurité sociale (1 093 Mds$, Medicare et Medicaid, gérés par CMS (Centers for Medicare & Medicaid Services), le reste à charge (316 Mds $) et les collectivités territoriales (162 Mds$). La législation fédérale s’applique de manière hétérogène, sans interopérabilité des données de paiement. Les fonds Medicare et Medicaid sont proches de l’assurance maladie française. Ils ouvrent et ferment les dossiers d’une personne au fil des variations de ses ressources, des changements d’employeur ou d’État de résidence, ce qui peut obérer la pertinence des données.

b) La fiabilité et la confidentialité des données

Aucune restriction ni procédure rigoureuse d’agrément ne conditionnent la création d’opérateurs de gestion ou d’analyse de bases de données. De leur multiplicité et de l’absence de normes communes résulte un manque récurrent de fiabilité des données et des statistiques. La législation fédérale impose toutefois et de longue date une stricte protection des données individuelles médicales et de paiement. Le Bureau des droits civiques (Office of Civil Rights) du ministère de la santé dispose de dix bureaux régionaux et 218 emplois. La protection des données constitue autour de la moitié de ses activités, avec plusieurs milliers de plaintes par an relatives à des violations de la confidentialité de données de santé, surtout individuelles.

Des amendes de 1,2 et 1,7 M $ ont été récemment infligées à d’importants hébergeurs de données de paiement. En dépit des précautions, aucune illusion n’est entretenue quant à la vulnérabilité des systèmes. Des dizaines de millions de coordonnées individuelles sont chaque année piratées aux dépens d’assureurs et hébergeurs privés. Le procureur général de Californie a ainsi signalé que les secteurs du commerce de détail et de la santé sont de manière disproportionnée la cible des atteintes déclarées à la sécurité des données.

Équivalent américain de la Cour des comptes, auprès du Congrès, le Government Accountability Office, a une équipe qui accède directement aux données Medicare et Medicaid.

Le croisement de données multiformes est libre et encouragé par l’administration fédérale, avec les habitudes de consommation, la localisation géographique, les objets connectés, etc., de chacun. Il incombe simplement aux acteurs de respecter la législation fédérale, sans contrôle systématique. L’autorisation écrite et obligatoire de chaque personne est souvent acquise automatiquement lors de l’adhésion à une assurance, l’achat d’une prestation quelconque ou l’usage d’un logiciel. L’ambition des grandes firmes informatiques est désormais de gérer elles-mêmes les dossiers médicaux personnels de milliards d’usagers à travers le monde, en se finançant par l’exploitation commerciale de leur contenu.

c) Les équivalents restreints du SNIIRAM et d’ameli.fr

La base de données de paiement de Medicare repose sur les demandes de remboursement (claims) présentés par ou pour quelque 52 millions d’assurés âgés ou handicapés (données 2012, publiées fin 2014), soit le sixième de la population. Considérée comme fiable, elle était encore en 2015 la base unitaire plus importante, et la seule se rapprochant du SNIIRAM. Bien qu’elle couvre un nombre un peu inférieur d’assurés, sa taille (800 téraoctets et 350 milliards de données) lui est très supérieure. Jusqu’en 2015, les utilisateurs accédaient, avec un retard de deux ou trois ans, à une version mise à jour annuellement après de nombreuses rectifications.

La mise à jour est désormais trimestrielle, avec un délai d’un an. Les fonds et la gestion de l’autre base publique, Medicaid, avec un nombre comparable de bénéficiaires, sont délégués par CMS aux États, selon des modes de calcul des paiements, de saisie et de traitement informatique variant d’un État à l’autre. Peu fiable, elle n’est utilisée qu’après de larges redressements et extrapolations.

L’accès aux données publiques est régulé par chaque ministère, en contrôlant par sondage leurs utilisateurs et produisant des rapports annuels sur la sécurité. L’Office of Enterprise Data and Analytics de CMS est spécialisé dans la valorisation des données médico-administratives, y compris par des modélisations prévisionnelles. Il a été créé fin 2014 suite à des critiques visant notamment la faible lisibilité des données accessibles. Dirigé par le « directeur des données » (Chief Data Officer) de CMS, il est constitué d’une robuste équipe de quelque 25 spécialistes. Outre les agrégats annuels, il a introduit en 2015 des fichiers sur tableur (et non plus en Portable Document Format (pdf) non modifiable), ainsi que l’exploitation de données anonymisées. Parallèlement, une loi fédérale de redressement économique a financé plus de 10 000 projets de modernisation, principalement informatique, de la gestion de la santé, soit 6,5 Mds $, aux trois-quarts versés à fin 2013.

Les données sont payantes pour les chercheurs quand elles sont détaillées au-delà de l’information gratuite du grand public. Les redevances vont de quelques centaines d’euros pour un échantillon de 5 % sur un disque compact, à plus de 100 000 euros pour un fichier de plus de 20 millions de données individuelles, sur disque dur, formule en voie d’extinction, ou en espace sécurisé de travail. L’administration Obama a rendue gratuite une base de 21 millions de données (fichiers Excel en ligne) sur les prescripteurs et les prescriptions pharmaceutiques – dans l’espoir d’en contenir le coût et les impacts iatrogéniques. Cette base ne concerne que les prestataires et les assurés du programme « D », soit la consommation des deux-tiers des 52 millions de bénéficiaires de Medicare. Les données d’assurance privée des assurés alternant entre couverture privée et Medicare/Medicaid comme celles des 230 autres millions d’américains sont inaccessibles, sauf à les obtenir, séparément, de chacune des sociétés qui en sont propriétaires et qui les valorisent à leur propre profit.

Des subventions fédérales sont allouées aux chercheurs exploitant ces données (100 millions d’euros en 2014), à des hackatons comme celui initié en France par la CNAMTS, et à un groupement d’intérêt économique dont l’objectif est « d’accélérer l’arrivée des données publiques de santé sur le marché ». CMS a confié à la faculté de santé de l’Université du Minnesota la gestion d’un centre spécifique de ressources, le RESDAC, doté d’une quinzaine de collaborateurs titulaires d’un mastère, et du concours à temps partiel d’autant d’universitaires : initiation collective (séminaires) ou individuelle au maniement des données, identification des cohortes, devis pour l’achat de données, etc.

Deux priorités récentes dans l’exploitation des données sont d’une part l’analyse décisionnelle au bénéfice des quelque deux millions d’américains les plus malades et fragiles (la moitié des dépenses de l’assurance-maladie publique, notamment du fait d’une coordination médico-sociale insuffisante), et d’autre part l’accroissement du temps de professionnel de santé consacré aux patients.

d) Un secteur privé très concurrentiel et dynamique

Des sociétés d’analyse décisionnelle (Data analytics) spécialisées en matière de santé ont été créées ou choisies par des groupements de compagnies d’assurance pour gérer ou exploiter tout ou partie de leurs données. Certains affirment que leurs travaux portent ainsi sur plus d’une centaine de millions d’assurés, mais avec des pourcentages inconnus de discontinuités et de pertes de données non rapprochables, qui altèrent la portée des travaux. Leurs objectifs sont notamment de partager le coût des études et de l’offre aux assurés d’un accès en ligne similaire à celui d’ameli.fr : médecins et établissements les plus proches, tarifs constatés, etc. : les services d’hôpitaux sont ainsi de plus en plus classés comme le sont hôtels et restaurants, y compris cartographiquement. Leurs professionnels – fréquemment jeunes et de très haut niveau – sont désormais en partie issus de filières universitaires dédiées aux métiers de la science des données (Data science, Data mining, Data analytics…). Leurs matériaux pédagogiques sont parfois accessibles gratuitement sur Internet. Les acteurs en matière de données de santé recrutent ainsi des collaborateurs bénéficiant d’une formation ciblée.

Aux comptes-rendus de consultation et d’intervention, analyses, imagerie, ils ajoutent des données aspirées sur la « toile », afin de définir les profils de risque individuels : habitudes de consommation (relevés de cartes bancaires notamment), données partagées par leurs clients (appareils connectés : activité physique, rythme cardiaque, etc.). Leur maîtrise médicalisée des dépenses de santé repose ainsi sur l’analyse de données multi-sources – à la différence du SNIIRAM – détaillant l’évolution des comportements des prescripteurs et des consommateurs, avec un fort contrôle par les assureurs des prestataires et de la justification des soins.

e) Gestion du risque : rémunération selon l’usage des données

Les objectifs fédéraux sont similaires à la « gestion du risque » française (dépenser mieux, dépenser moins). Les paiements de Medicare et Medicaid aux praticiens et établissements sont majorés – ou pénalisés par des réfactions – en fonction du niveau de maturité de leurs systèmes d’information et de leur usage pour améliorer les soins et en réduire le coût (« meaningful use »). De nouveaux modes de financement des dépenses fédérales visent à passer du simple remboursement par prestation ou honoraire forfaitaire sans prise en compte de la qualité des soins à trois étapes successives aboutissant au financement d’un parcours de soins évalué sur plus d’un an. Medicare vise à rémunérer ainsi, au moins partiellement, 85 % des prestations en 2016 et 90 % en 2018 en fonction d’indicateurs d’efficacité du parcours individuel de soins, et totalement ensuite.

Aucun contrôle fédéral de la qualité des données produites à cet effet par les prestataires n’est effectué, en dehors de la recherche de fraude (cf. infra) : le dispositif est fondé moins sur des normes informatiques et des audits que sur des primes indexées sur les résultats en qualité et coût des soins. Les projections d’économies attendues d’une informatisation accrue de la gestion prévisionnelle du risque et de la lutte contre la fraude (cf. infra), sont chiffrées en milliards de dollars.

f) Vente de données

Deux catégories principales de données sont commercialisées par la sécurité sociale fédérale (CMS): les séries limitées, accessibles à tous, et les données plus détaillées de recherche, accessibles seulement aux chercheurs, à l’exclusion de toute utilisation commerciale directe. Les séries limitées et standardisées de données anonymisées sont payantes ou, pour les agrégats simples, gratuites (Limited Data Sets). Après avoir été fournies au format pdf non modifiable, elles le sont désormais dans des formats exploitables (Excel et autres). Leur gratuité est gérée de manière similaire à celle des données météorologiques, payantes quand elles sont détaillées au-delà de l’information du grand public. L’administration Obama a également rendue gratuite une base de données très détaillée (21 millions de données, fichiers Excel en ligne) sur les prescripteurs et les prescriptions pharmaceutiques – dans l’espoir d’en contenir le coût et les impacts iatrogéniques. Elle ne concerne que les prestataires et les assurés du programme « D », soit la consommation des deux-tiers environ des 52 millions de bénéficiaires de Medicare154.

Pour les autres séries limitées et standardisées, les redevances à payer varient selon la complexité et la taille des fichiers. Le tableau ci-après donne une idée des tarifs et des supports fournis soit en version intégrale (« 100 % ») soit en échantillon de « 5 % » :

Extraits du tarif, séries limitées de données, CMS, par année de données155, en $

Taille de la série :5 % des données5 % des données100 % des données100 % des données
Soins en établissement400CD3 000DVD
Services de soins infirmiers 300CD1 000DVD
Soins de ville1 000DVD7 000Disque dur
Équipements médicaux durables 800DVDNon disp.Non disp.

Les utilisateurs doivent remplir deux conditions, sans que leur demande soit soumise au comité de protection de la vie privée : signer un accord d’utilisation de données (Data Use Agreement, DUA) conforme à la législation ; soumettre leur plan de recherche, qui doit concerner des projets destinés à améliorer les soins prodigués aux assurés de Medicare : administration, gestion financière, qualité de la vie, études de santé publique, rapports… Les envois sur des disques durs sécurisés, plus onéreux, sont en régression.

Pour les requêtes d’accès aux données à des fins de recherche, plus complètes, CMS met largement à la disposition des prestataires comme des chercheurs des espaces sécurisés de travail, dans lesquels les utilisateurs traitent les données de leur choix mais sans pouvoir les capter, seul le résultat de leurs travaux étant enregistrable.

Les conditions sont plus rigoureuses, avec, pour en garantir le respect, une procédure d’examen de l’utilisation prévue. Les tarifs sont également plus élevés :

Extraits du tarif, données de recherche, CMS, par année de données, en $

Millions de données individuelles:Moins de 1 M1 à 5 M5 à 20 M20 M et +
Par prestataires de Medicare 2 000 2 500 3 000 5 000
Soins en établissement 2 000 3 000 6 000 12 000
Soins de ville 2 000 5 00010 000 15 000

Au total, l’accès à une série large de données de la base CMS sur plusieurs années peut coûter jusqu’à plus de 100 000 euros.

À ce prix, les utilisateurs reçoivent une assistance technique. Afin de faciliter la dissémination de ses données, CMS a confié à la faculté de santé de l’Université du Minnesota la gestion d’un centre spécifique de ressources, le RESDAC156, doté d’une quinzaine de titulaires d’un mastère, et du concours à temps partiel d’autant d’universitaires. Il assiste les chercheurs souhaitant exploiter les données de CMS : initiation collective (séminaires) ou individuelle au fonctionnement de l’assurance maladie publique, formation (structure, points forts et faiblesses…) au maniement des données, identification des cohortes, devis pour l’achat des données, préparation des demandes de données.

Les données des quelque 230 autres millions d’américains sont inaccessibles, sauf à les obtenir, séparément, de chacune des sociétés qui en sont propriétaires et qui entendent les valoriser à leur propre profit.

Un point faible, mais résultant d’un très haut degré d’informatisation de la santé, est l’exposition au vol de données individuelles de volume et de nature variables selon les cas : en ont été les principales victimes en 2015 le groupe d’assurances ANTHEM (78,8 millions de dossiers volés), et trois autres opérateurs, dont celui de l’université de Californie (10 millions chacun).

g) Relations avec l’Europe

Les États-Unis ont signé avec l’Union européenne un accord – controversé, et suspendu en 2015 – reconnaissant que la législation américaine, fédérale ou au niveau des États, garantit le même niveau de protection des données et de sécurité qu’en Europe. Cet accord a notamment amené la CNIL à autoriser un chercheur américain à accéder à des données françaises comme l’indique le rapport OCDE 2013. Ils ont également un accord avec la Grande-Bretagne pour développer l’exploitation privée aussi bien que publique des données de santé. L’implantation en France d’opérateurs multinationaux, mais d’origine américaine, d’analyse décisionnelle des données de santé a également commencé. Elle annonce une exploitation commerciale par eux des données partagées individuellement par les usagers à travers leurs données personnelles et objets connectés de santé. Pourrait suivre une offensive visant à exploiter directement ou indirectement celles du SNDS.

En conclusion, les données médico-administratives des trois-quarts de la population américaine restent inaccessibles, sauf accords séparés avec les centaines, sinon milliers, d’hébergeurs privés de ces données. Des points forts méritent de retenir l’attention :

la croissance des moyens fédéraux pour stimuler l’analyse décisionnelle et la recherche pour améliorer la qualité des soins et en maîtriser le coût, avec notamment un organisme en partenariat public-privé est ainsi chargé d’inciter à la diffusion et l’exploitation des données de santé et un centre universitaire d’assistance aux utilisateurs, partiellement financé par les redevances ;

l’indexation partielle de la rémunération par l’assurance maladie publique des établissements et personnels de santé sur le niveau de maturité de leurs systèmes d’information ;

l’usage de ces derniers à des fins d’analyse décisionnelle

les formations universitaires à l’analyse décisionnelle à partir de très grandes bases de données ;

la lutte contre les abus et la fraude ;

l’accès direct aux données Medicare et Medicaid par l’équivalent américain de la Cour des comptes.

GRANDE-BRETAGNE (Angleterre)

Des données riches mais hétérogènes

Les données de santé en Angleterre proviennent de sources variées. Elles sont avant tout caractérisées par leur grande hétérogénéité. Les données sur l’offre de soin et la performance des établissements sont nombreuses et accessibles. Celles relatives aux consommations de soins sont beaucoup plus limitées, car il n’existe aucun cadre « national » d’enregistrement de ces informations.

Deux institutions sont essentiellement en charge de les collecter et de les mettre à disposition :

le Health and Social Care Information Centre (HSCIC)

Le HSCIC est une agence publique créée en avril 2013. Il a pour mission de collecter et de mettre à disposition l’ensemble des données relatives à la prise en charge sanitaire. Les dossiers médicaux des patients enregistrés à l’hôpital sont informatisés dans les établissements puis stockés par l’agence. Les données y sont enregistrées de manière identifiable et permettent notamment le transfert des dossiers des patients d’un centre de soins à un autre. Elles sont ensuite mises à disposition du public comme du privé.

L’agence mène néanmoins actuellement un travail d’anonymisation des informations (par la création d’un identifiant nationale unique) afin de permettre les appariements de cohortes. Ces informations, riches en données cliniques contrairement au SNIIRAM, ne contiennent cependant pas celles relatives aux consommations de soins.

le Clinical Practice Research Datalink (CPRD)

Le CPRD est un organisme public créé en 2011(issu de la fusion de deux institutions) afin de faciliter la mise à disposition de données de santé auprès d’organismes de recherche tant publics que privés. Il une base d’environ 4 millions de dossiers patients (8 % de la population de l’Angleterre), alimentée par des informations transmises par des médecins volontaires. Environ 7000 médecins participent au programme, pour lequel ils sont rémunérés environ £800 par an. Le CPRD collecte grâce à cela des informations relatives aux actes et prescriptions des médecins de villes, ainsi que d’autres types de données relatives notamment à l’état de santé des patients. Les données incluent également l’enregistrement des indications de prescription (données de diagnostic) pour chaque produit de santé, information particulièrement importante.

Cependant, ces données ne sont pas rapprochables avec les données du NHS, en l’absence d’un identifiant personnel. Elles sont présentées comme parfaitement anonymes. Croisées avec celles mises à disposition par le HSCIC sont d’une richesse particulièrement grande, largement supérieure à celle du SNIIRAM, puisqu’elles permettent de croiser données cliniques et données médico-administratives. Néanmoins, la taille de l’échantillon est très nettement inférieure aux données françaises et ne permet pas de procéder à l’ensemble des études souhaitées (pour des questions de robustesse statistique notamment).

Bien qu’étant une organisation à but non lucratif, le CPRD est autorisé à vendre ses services pour couvrir ses frais de fonctionnement. Il vise, à terme, la complète autonomie financière. Actuellement, le CPRD vend sa propre base pour des sommes pouvant atteindre £250 000.

D’autres sources sont par ailleurs à prendre en considération :

NHS England produit et met à disposition des données relatives à la qualité des soins dans les établissements et chez les professionnels de santé

Le NICE (National Institue for Health and Care Excellence) établit les recommandations de bonnes pratiques et établit les standards de qualité à respecter

Des entreprises privées (Cegedim et IMS Health) établissent leurs propres bases d’informations médicales et relatives à la consommation de produits de santé, qu’elles commercialisent ensuite.

Des efforts réels de mise à disposition

L’approche anglaise se veut résolument « pragmatique ». Compte tenu du potentiel que ces bases, croisant données médicales et informations sur les consommations de soins, la question de leur ouverture au secteur privé est essentiellement abordée sous l’angle de l’innovation, de la compétitivité de pays et de la rentabilité des investissements.

Les frontières entre public et privé, telles qu’elles sont établies en France, ne trouvent pas d’écho similaire en Angleterre. L’ensemble des institutions et des entreprises de recherche (grandes entreprises comme start-ups de biotechnologie) peuvent accéder aux données, à condition de respecter les règles de confidentialité afférente et de payer, le cas échéant.

De manière plus significative encore, des sociétés comme Doctor Foster ou CHKS utilisent les données du HSCIC relatives aux établissements hospitaliers pour établir leurs propres indicateurs de qualité de soins. Elles sont souvent directement sollicitées par les établissements de soins qui leur confient généralement le soin de mener à bien ces études.

Le NHS lui-même reconnait l’importance et leur contribution à l’amélioration de la transparence en matière de données de santé. Il souligne par exemple que la publication de ces indicateurs construit par le secteur privé et comparant la qualité des établissements entre eux a été à l’origine d’une réelle prise de conscience par les établissements de enjeux de qualité du codage des actes157.

Un projet, intitulé « care.data », est actuellement conduit par NHS England. Il vise à constituer une base de données plus large, en recensant de manière bien plus systématique les données de santé des patients. Ce projet a connu des retards de lancement en raison de la crainte qu’une trop forte opposition des médecins et des citoyens ne viennent en limiter l’impact, en raison de la possibilité donnée aux patients de refuser que leurs données ne figurent dans la base, qui relève du droit à la protection de ses données individuelles. Il est actuellement toujours en cours de déploiement.

Les données anglaises peuvent ainsi être caractérisées comme plus riches mais moins larges que les données françaises. Issues de sources diverses, croisant secteur public et secteur privé, elles ne permettent pas d’obtenir une photographie aussi exhaustive que le SNIRAM des consommations de soins. Néanmoins, les efforts en matière de construction d’indicateurs de qualité des praticiens et des établissements sont particulièrement notables, tout comme la profondeur d’analyse pouvant être tirée de la base gérée par le CPRD. Cependant, en raison de l’organisation des soins en Angleterre (et notamment du mode de rémunération des médecins), la notion de « données de facturation », constitutive du SNIIRAM, a peu de sens. Chaque acte de soin n’étant pas facturé indépendamment, ni nécessairement valorisé en propre, les données de santé collectées selon différentes sources, qu’elles soient cliniques ou médico-administrative, ne peuvent pas servir à mener une évaluation fine du coût du système de soins.

ITALIE

a) Le système sanitaire italien

Le Sistema Sanitario Nazionale (SSN) est du ressort de l’État, des régions et des collectivités territoriales. Il est très fortement décentralisé. Les régions, très largement autonomes, ont des compétences élargies dans la programmation régionale et dans la gestion des services. Un réseau complet d’agences sanitaires locales assure les prestations préventives, ambulatoires et hospitalières, ainsi que médico-sociales. Des niveaux élémentaires d’assistance constituent un socle minimum de prestations obligatoires. Le financement provient de l’impôt, essentiellement régional.

Les médecins de famille sont les pivots du système, payés en fonction du nombre de patients pour 80 % (maximum = 1 500 patients), le reste de leur rémunération se partageant entre l’activité et des rémunérations type objectifs de santé publique.

Dans son rapport annuel 2013, la Cour des comptes italienne a souligné que les objectifs d’équilibre financier ont été atteints au prix d’efforts qui peuvent mettre en danger le niveau de prestations et l’accès aux soins (en particulier report sur le citoyen de dépenses en médicaments moins ou plus du tout remboursés). Le risque porte également sur les nécessaires investissements en termes de technologie et d’infrastructures, les régions du Mezzogiorno étant sans surprise les plus affectées par ces problèmes. L’équilibre financier du SSN au niveau régional varie fortement d’une région à l’autre.

b) Le nouveau système national d’information sanitaire

Le Nuovo Sistema Informativo Sanitario (NSIS) a été conçu et mis en place à partir de 2009 pour disposer d’un outil de référence pour mesurer la qualité, l’efficience et la pertinence du SSN. Il s’inscrit dans le cadre de la compétence de l’État pour le monitoring au niveau national, encadrée par la loi du 13 novembre 2009. Le dispositif est piloté par une commission de six représentants nationaux et six régionaux, qui élabore les textes et organise des groupes de travail thématiques avec divers partenaires. L’articulation avec les régions est précisée par des contrats successifs État-région158.

Le NSIS a huit objectifs, visant à permettre aux régions comme au niveau central et à d’autres institutions, notamment de contrôle, de mesurer les niveaux d’atteinte des prestations obligatoires, de suivre les dépenses de santé, ainsi que les services d’urgences, des évènements « sentinelle » et des listes d’attente pour certaines prestations. Le graphe ci-dessus montre la diversité des données hospitalières et ambulatoires, non seulement individuelles, mais aussi sur les réseaux de soins, la santé mentale, les services à domicile, la dépendance, le cycle de vie et la consommation de médicaments, les erreurs sanitaires et les investissements.

Les flux correspondants ont été mis en œuvre de manière échelonnée depuis 2003. En 2015, le degré de réalisation de ces modules était évalué à 85 %. Un examen approfondi des réalisations italiennes peut éclairer les réflexions sur le futur SNDS français.

Le système contient ces données dans la limite des prestations obligatoires minimales, plus petit dénominateur commun à l’ensemble des régions et provinces autonomes : les activités de soins réalisées en sus n’y figurent pas. Les données sont vérifiées au niveau régional, puis adressées au ministère, qui opère d’autres contrôles de qualité. La région peut suivre les patients en remplaçant le code fiscal par un code anonymisé régional ; certaines régions fusionnent en un même dossier tous les éléments du parcours de soins d’un patient, mais un tel suivi en cas de changement de région de domicile est impossible, l’adoption d’un code anonymisé national étant encore à l’étude. Des contrôles régionaux en matière de fraude sont également opérés, de manière variable.

c) Identification et confidentialité

L’absence, comme aux États-Unis, de numéro de sécurité sociale est palliée par un code fiscal délivré à tout résident même temporaire. Chaque bénéficiaire reçoit une carte sanitaire nationale qui permet aux professionnels de lire ce code, ainsi que, dans certaines régions, d’autres données. Le code étant utilisé pour les démarches administratives, l’autorité de protection est très vigilante par rapport aux croisements possibles ( bancaires, fiscaux, sociaux…). L’autorité fiscale s’oppose à sa mention dans les dossiers médicaux et à la transmission de données individuelles le comportant, face au ministère qui en a maintenu l’usage. Le Codice dell’amministrazione digitale, loi de 2005, a organisé la mise à disposition des données. Les chercheurs peuvent demander au ministère un accès aux bases, en respectant un cahier des charges, déposant un protocole devant une commission, et en suivant un processus de validation en termes de protection de la vie privée. Le ministère a l’obligation de mettre ensuite à disposition les données, sauf pour les traitements relèvent des statistiques nationales.

d) Dossiers patients personnels

À terme, le NSIS souhaite se doter d’un dossier patient informatisé comprenant toutes les informations relatives au parcours et à la prise en charge des patients. Ce dossier serait accessible à l’ensemble des professionnels. Ce projet ambitieux doit en effet aboutir à la constitution et au déploiement d’un Fascicolo Sanitario Elettronico (FSE), dispositif proche du DMP français. Demeurant en 2015 dans l’attente du cadre juridique, le ministère a fait le choix d’un développement en deux temps : il s’agit de disposer d’abord de données plus complètes que les seules prestations, un récent décret sur l’Anagrafe nazionale degli assistiti (recueil national sur les bénéficiaires) prévoyant entre autres de disposer des pathologies. Le support de cette première étape vers le FSE pourrait être la généralisation nationale d’une carte sanitaire individuelle, que certaines régions, notamment la Lombardie, ont déjà commencé à enrichir en ce sens. Les médecins de famille ont d’ores et déjà l’obligation de gérer des dossiers dématérialisés, sur des logiciels interopérables avec le système national de santé. Les prescriptions de médicaments et d’examens complémentaires ainsi numérisées sont basculées dans le système national. Il est envisagé de disposer à terme d’un flux complet d’informations individuelles sur les soins primaires, les parcours, les interactions avec les spécialistes.

En conclusion, le système italien est principalement un outil de programmation et revalorisation des prestations, de programmation et de suivi des structures et des activités. Ce n’est pas encore un instrument de pilotage stratégique national ni de production exhaustive de données, compte tenu des particularismes régionaux. Deux particularités mériteraient un examen approfondi des réalisations italiennes, afin d’éclairer les réflexions sur le champ du futur SNDS français : l’ampleur des domaines couverts, ainsi que l’intégration entre secteur sanitaire et médico-social.

SUÈDE, UN EXEMPLE EN PHARMACOVIGILANCE

Dans certains pays, en particulier au nord de l’Europe, les données de santé de l’ensemble de la population sont concentrées dans un même système d’information, et peuvent être croisées avec d’autres données. La taille limitée des populations concernées facilite cette organisation. Des études épidémiologiques peuvent donc être menées rapidement sur des sujets variés. À titre d’exemple, les possibles effets psychiatriques de la varénicline ont fait l’objet d’une étude épidémiologique portant sur l’ensemble de la population suédoise (7 917 436 personnes de plus de 15 ans)159. Parmi ceux-ci, 69 757 ont été traités par varénicline entre 2006 et 2009. Les données concernant la prescription de varénicline ont été extraites du registre des prescriptions médicamenteuses, les données concernant les événements psychiatriques incluant les effets suicidaires et les abus de substances ont été extraites du registre des patients, et les données concernant les événements judiciaires ont été extraites des registres de l’administration judiciaire et le registre des décès a également été utilisé. Toutes ces données ont été croisées grâce à un numéro d’identification personnel unique utilisé dans chacune de ces bases de données.

L’exposition à la varénicline n’était pas associée à une augmentation du risque de conduite suicidaire, d’accusation criminelle, d’accident de la voie publique, d’infraction de conduite ou de psychose. A contrario, l’exposition à la varénicline était associée à une discrète augmentation de l’anxiété (hazard ratio 1,23, IC 95 %=1.01 à 1.51) et des troubles de l’humeur (HR=1,31, IC 95 %=1,06 à 1,63), observés chez des patients ayant des antécédents psychiatriques.

liste des principaux interlocuteurs rencontrés

Assurance maladie

Caisse nationale d’assurance maladie des travailleurs salariés

Nicolas REVEL, directeur général

Dr. Jean-Paul PRIEUR, directeur du réseau médical et des opérations de gestion du risque

Pr. François ALLA, conseiller « recherche et SNIIRAM » du médecin-conseil national

Dominique POLTON, conseillère auprès du directeur général

Stéphanie NAUX, chef de cabinet

Dr. Pierre FENDER, directeur de l’audit, du contrôle contentieux et de la répression des fraudes, accompagné d’Elise PALMA et de Benjamin SERVAN

Direction déléguée à la gestion et à l’organisation des soins

Mathilde LIGNOT-LELOUP, directrice déléguée

Annie FOUARD, département de l’hospitalisation

Thomas JAN, DCES

Pierre GABACH, DPMC

Annie PERRAUD, DPROD

Direction de la stratégie, des études et des statistiques

Claude GISSOT, directeur

Hélène CAILLOL, responsable du département maîtrise d’ouvrage informatique et étude statistique

Jocelyn COURTOIS, responsable du département veille et stratégie

Gonzague DEBEUGNY, responsable du département d’études sur l’offre de soins

Dr. Anne FAGOT-CAMPAGNA, responsable du département d’études sur les pathologies et les patients

Annie HENRION, chargée de mission auprès du directeur

Jean-Philippe PERRET, responsable du département synthèse et prévision

Dr. Alain WEILL, responsable du département d’études sur la santé publique

Direction déléguée des systèmes d’information

Anne THIEBEAULD, directrice de cabinet

Jean-Michel LESAGE, directeur du pôle Paris/Val-de-Seine

Patrick PANNET, direction du pilotage et des fonctions transverses

Chantal CHAUVEAU, département management sécurité

Site d’Évreux

Paul MENDES, responsable du sous-département « programmes et projets »

Franck LETELLIER, responsable des opérations d'administrations des systèmes

Lydia GOLONKA, responsable administrative

Laurent DUCHET, responsable adjoint du département « maîtrise d'ouvrage informatique, stratégie et études » (DSES)

Kader KASSED, responsable de la sécurité

Caisses primaires d’assurance maladie & service médical : Bordeaux, Montpellier, Rouen,

Régime social des indépendants

M. Emmanuel GIGON, Mme Céline CAREL, Direction des études, des équilibres et des placements

M. Alain MASCLAUX, M. Julien LESREL, Mme Patricia MOLL, Direction de la gestion des risques et de l’action sociale

Caisse centrale de la mutualité sociale agricole

Alain PELC, directeur des études, des répertoires et des statistiques

Laurent COLIN, directeur des systèmes d’information

Ghislaine ROSAY, membre du cabinet du directeur général

Ministères – ARS

Secrétariat général pour la modernisation de l’action publique, direction interministérielle du numérique et du système d’information et de communication de l’État

Henri VERDIER, directeur,

Pierre LEBON, responsable du service « appui aux transformations », accompagnée d’Amélie BANZET, chef de projet

Perica SUCEVIC, conseiller juridique

Ministère des affaires sociales et de la santé

Inspection générale des affaires sociales

Pascale ROMENTEAU, adjointe au chef de l’inspection

Secrétariat général des ministères chargés des affaires sociales

Natacha LEMAIRE, adjointe au secrétaire général

Philippe BURNEL, délégué à la stratégie des systèmes d’information de santé

Philippe LOUDENOT, fonctionnaire de sécurité des systèmes d’information

Direction de la sécurité sociale

François GODINEAU, chef de service

Emmanuel CHION, chef du bureau 3B, sous-direction des études et des prévisions financières

Marie-France FORESTI-MERCIER, Benoît FAVIER, mission de lutte contre la fraude,

Abraham HAMZAWI, chef du bureau 4C, sous-direction de la gestion et des systèmes d’information

Direction générale de l’offre de soins

Yannick LE GUEN, sous-directeur, pilotage de la performance des acteurs de l’offre de soins ;

Sandrine BILLET, adjointe au sous-directeur de la régulation de l’offre de soins ;

Jérôme DUPONT, chef du bureau « système d’information décisionnel », sous-direction de la stratégie et des ressources

Direction générale de la santé

Prof. Benoit VALLET, directeur général

Frédéric SEVAL, chef de la division « droits des usagers, affaires juridiques et éthiques », Sophie CHAUMIEN-CZUWAK, chargée d’étude

Alain FONTAINE, chef de la mission « prospective et recherche »

Direction de la recherche, des études, de l’évaluation et des statistiques

Franck VON LENNEP, directeur

André LOTH, directeur de projet

Denis RAYNAUD, sous-directeur adjoint « observation de la santé et de l’assurance maladie »

Renaud LEGAL, chef du bureau « dépenses de santé et relations avec l’assurance maladie »

Noémie JESS, chargée d’études

Direction générale de la cohésion sociale

François GUERILLON, chef de la mission « management de l’information et gouvernance des systèmes d’information »

Katia JULIENNE, cheffe du service des politiques sociales et médico-sociales

Ministère de l’économie, de l’industrie et du numérique

Délégation nationale à la lutte contre la fraude

Jeanne-Marie PROST, déléguée nationale

Sabine ROYER, chargée de mission « santé »

Philippe LOUVIAU, chargé de mission « systèmes d’information »

Direction générale du trésor

Olivier VAZEILLE, chef de bureau Santé et comptes sociaux, Daniel CABY, adjoint

Agences régionales de santé

ARS Île-de-France : Gilles DE LA GORCE, directeur de la stratégie et Pierre BLONDÉ, directeur des systèmes d’information

ARS Aquitaine : Arnaud JOAN-GRANGE, directeur adjoint de l'offre de soins et de l'autonomie, Christian EGEA, responsable adjoint du pôle base de données, études, et statistiques, du Dr. Martine SENCEY et de Gaël GROS, chargée de mission, pôle base de données, études, et statistiques

ARS Languedoc-Roussillon : Amandine HUGODOT, chef de cabinet de la directrice générale ; Annick LE PAPE, responsable adjointe du pôle études et prospectives en santé, Dominique CARRIÈRE, unité d’aide à la décision

Commission nationale de l’informatique et des libertés

Délia RAHAL-LÖFSKOG, chef du service de la santé, direction de la conformité

Adrien ROUSSEAUX, ingénieur expert, service de l’expertise technologique

Etablissements publics, GIE et GIP

Agence nationale de sécurité du médicament et des produits de santé (ANSM)

Dominique MARTIN, directeur général

François HEBERT, directeur général adjoint chargé des opérations

Carole LE SAULNIER, directrice des affaires juridiques et réglementaires

Mahmoud ZUREIK, directeur scientifique et de la stratégie européenne

Agence nationale de sécurité des systèmes d’information

Guillaume POUPART, directeur général

Arnaud RIVIERE de LA SOUCHERE, chef de bureau de coordination sectorielle

Anne COAT, chargée de mission

Agence technique de l’information sur l’hospitalisation (ATIH)

Housseyni HOLLA, directeur général

Dr. Max BENSADON, directeur adjoint, chef du service « architecture et production informatiques »

Françoise BOURGOIN, chef du service « réponse aux demandes externes »

Caisse nationale de solidarité et de l’autonomie

Béatrice GUÉNEAU-CASTILLA, directrice adjointe

Bernadette MOREAU, directrice de la compensation

Xavier DUPONT, directeur des établissements et services médico-sociaux

Julie MICHEAU, directrice scientifique

Hamid BOUKHLOUF, directeur des systèmes d’information

GIE SESAM-VITALE

Jacques de VARAX, directeur général (par téléphone)

Benoît CALMELS (par téléphone)

Haute autorité de santé

Dominique MAIGNE, directeur, Jean-Christophe BRAS, conseiller

Catherine GRENIER, adjointe au directeur de l’amélioration de la qualité et de la sécurité des soins

Jean-Pierre SALES, directeur de l’évaluation médicale, économique et en santé publique, Catherine RUMEAU-PICHON, adjointe

Institut des données de santé

Christian BABUSIAUX, président

Richard DECOTTIGNIES, directeur, Marie-Delphine CHASSIN, chef de projet

Prof. Didier SICARD, président du comité d’experts

Institut national du cancer

Christine LE BIHAN (département observation, veille et évaluation), chargée de l’exploitation du PMSI et du SNIIRAM dans le cadre d’un projet de cohorte

Michaël D’AURIA, département des systèmes d’information)

Institut national de la santé et de la recherche médicale (INSERM)

Pr. Yves LEVY, président-directeur général

Pr. Geneviève CHÊNE, directrice de l’ITMO Santé publique, Frédérique LESAULNIER et de Marie LHOMOST, chargées de mission

Grégoire REY, directeur du CépiDC

Institut national de veille sanitaire (InVS)

Dr. Anne DOUSSIN, responsable de mission, direction scientifique et de la qualité

Javier NICOLAU, chargé de mission, direction scientifique et de la qualité

Clotilde HACHIN, correspondante informatique et libertés, service financier et logistique

Paul-Henri LAMPE, directeur du service des systèmes d’information

Dr. Isabelle GRÉMY, directrice du département des maladies chroniques et des traumatismes, Laurence MANDEREAU-BRUNO, chargée d’études scientifiques et de Francis CHIN, chargé d’études

Laetitia BENEZET, statisticienne, Béatrice GEOFFROY-PEREZ, épidémiologiste et Frédéric MOISAN, épidémiologiste, département santé-travail

Agnès LEFRANC, directrice du département santé-environnement, accompagnée d’Yvon MOTREFF, épidémiologiste

Représentants des professionnels de santé

Union nationale des professionnels de santé

Patrick CORNE

Tristan MARECHAL

Dr. Jean MARTY

Conseil national de l’ordre des pharmaciens

Olivier PORTE, directeur des technologies en santé

Associations

Collectif inter-associatif sur la santé

Christian SAOUT, secrétaire général délégué, Marc PARIS, responsable de la communication (utilisateur du SNIIRAM)

Association PRESCRIRE

Bruno TOUSSAINT, directeur, Pierre CHIRAC, membre du collège des fondateurs

Entreprises

IBM France

Pierre LHOSTE, directeur de cabinet (par téléphone)

CEMKA-EVAL

Dr. Bruno DETOURNAY, directeur (par téléphone)

Open Health/Celtipharm

Dr. Patrick GUÉRIN, président-directeur général, accompagné du Dr. Christophe MARTIN, de Lionel VODZISLAWSKY, directeur de la communication et de Me François-Henri BRIARD, avocat au Conseil d’État et à la Cour de cassation

Personnalités qualifiées

Maya BACACHE-BEAUVALLET, maître de conférences à Télécom-Paristech

Emmanuel BACRY, chercheur au Centre de Mathématiques Appliquées de l’École polytechnique

Yann BOURGUEIL, directeur de recherche, médecin de santé publique, IRDES

Dr. Jean-Claude DESENCLOS, épidémiologiste, InVS

Dr. Irène FRACHON, centre hospitalier universitaire de Brest

Pr. Marcel GOLDBERG, chercheur, Unité Cohortes épidémiologiques en population (UMS 011 INSERM-UVSQ), membre fondateur du réseau REDSIAM

Dr. Catherine HILL, membre du conseil scientifique de l’ANSM

Dr Christian JACQUELINET, épidémiologiste, ABM

François MALYE et Jérôme VINCENT, journalistes

Dr. Karin MARTIN-LATRY, centre hospitalier universitaire de Bordeaux

Dr. Antoine PARIENTE, service de pharmacologie (Université Bordeaux Segalen – CHU de Bordeaux), INSERM U657 (pharmaco-épidémiologie et évaluation de l’impact des produits de santé sur les populations)

Dr. François PESTY

Dr. Jean-Yves ROBIN, ancien directeur du GIP ASIP

Pr. Jean-Louis SERRES, président du comité consultatif sur le traitement de l’information en matière de recherche dans le domaine de la santé