Actualités de l'Urgence - APM

L'article 193 de la loi de santé du 26 janvier 2016 a réformé la gestion des données de santé et élargi leur mise à disposition.

Il a instauré le SNDS, qui va regrouper les données issues du Système national d'information inter-régimes d'assurance maladie (Sniiram), incluant le programme de médicalisation des systèmes d'information (PMSI), celles du Centre d'épidémiologie sur les causes médicales de décès (CépiDC), des données médico-sociales de la Caisse nationale de solidarité pour l'autonomie (CNSA) et un échantillon des données de remboursement des complémentaires.

La loi a confié la responsabilité du traitement des données à la Caisse nationale de l'assurance maladie des travailleurs salariés (Cnamts), tandis qu'un Institut national des données de santé (INDS) doit succéder à l'actuel Institut des données de santé afin de devenir le guichet unique pour l'accès aux données.

Le décret sur le SNDS est paru mercredi. Depuis la version dont l'APM avait eu copie en septembre, il a été modifié, à la suite notamment de son examen par la Commission nationale de l'informatique et des libertés (Cnil) puis par le Conseil d'Etat.

Le texte reprend, en les précisant, les six finalités du dispositif inscrites dans la loi: information du public; définition, mise en oeuvre et évaluation des politiques de santé; connaissance des dépenses; information des professionnels et établissements de santé; surveillance et sécurité sanitaires; recherche, études, évaluation et innovation.

Le SNDS "ne comporte aucune donnée directement identifiante": ni le nom, ni le prénom, ni l'adresse, ni le numéro d'inscription au répertoire des personnes physiques" (NIR, numéro dit "de sécurité sociale"), selon le décret. Les données sont rattachées à chaque personne par un "pseudonyme" obtenu par un "procédé cryptographique irréversible" du NIR.

Le texte détaille les catégories de données figurant dans le SNDS. Elles sont relatives:

->aux bénéficiaires de soins et de prestations médico-sociales ->aux organismes d'assurance maladie obligatoire et complémentaires ->à la prise en charge "sanitaire, médico-sociale et financière" de chaque bénéficiaire ->aux professionnels de santé et services de santé intervenant dans la prise en charge ->à la situation des personnes handicapées ->aux arrêts de travail et aux prestations en espèces.

Elles sont conservées pendant 19 ans en plus de l'année au cours de laquelle elles ont été recueillies, avant d'être archivées pour une durée supplémentaire de 10 ans.

Le décret prévoit la constitution de jeux de données anonymes gratuits accessibles en <*open data*>, des jeux de données agrégées et semi-agrégées "adaptés à différents types de recherche, d'étude ou d'évaluation", ainsi que des "échantillons généralistes représentatifs de l'ensemble des bénéficiaires de l'assurance maladie".

Le projet de décret autorise la Cnamts à contractualiser avec l'Institut national de la santé et de la recherche médicale (Inserm) en tant que "coordinateur national d'infrastructures de recherche utilisant des données de santé". Elle pourra le charger de réaliser "des extractions et la mise à disposition effective" de données du SNDS.

Certains membres du personnel et des prestataires de la Cnamts et de l'Inserm pourront accéder à l'ensemble des données du SNDS "nécessaires à l'exercice de leurs missions".

===Niveaux d'accès variés suivant les institutions

Le décret énumère des institutions dotées d'un "accès permanent" au SNDS. Seules certaines auront un accès à l'ensemble des données ainsi qu'aux échantillons généralistes, "avec croisement des identifiants potentiels", ainsi qu'aux données semi-agrégées et agrégées "présentant un risque résiduel de ré-identification".

Ce sont des directions du ministère des affaires sociales et de la santé (Drees, DGS, DGOS), les organismes de l'assurance maladie obligatoire, la CNSA, la Haute autorité de santé (HAS), l'Agence nationale de santé publique (ANSP), l'Agence nationale de sécurité du médicament et des produits de santé (ANSM), l'Agence de la biomédecine (ABM), l'Institut national du cancer (Inca), l'Etablissement français du sang (EFS), l'Agence technique de l'information sur l'hospitalisation (ATIH), l'INDS, l'Institut de recherche et documentation en économie de la santé (Irdes), l'Institut national d'études démographiques (Ined). Il s'agit également, avec des restrictions liées à leur champ d'action, des agences régionales de santé (ARS), des observatoires régionaux de santé (ORS) et du service de santé des armées (SSA).

Le décret donne un accès permanent mais plus restreint à d'autres acteurs: équipes de recherche de l'Inserm, des CHU, des centres de lutte contre le cancer (CLCC), de l'EHESP, la DSS, la direction du budget, l'ASN, l'IRSN, le HCAAM, le Fonds CMU, l'ODFT, l'Anap, les URPS.

L'historique des données accessibles oscillera entre six ans et vingt ans (dont l'année en cours), sauf pour les échantillons généralistes de bénéficiaires (20 ans dont l'année en cours).

Chacun des acteurs concernés devra habiliter un nombre limité de personnes "spécialement formées" à traiter ces données.

Un accès ponctuel sera possible pour "tous les autres organismes, publics ou privés, à but lucratif ou non lucratif", sur autorisation de la Cnil, rappelle le ministère de la santé dans un communiqué mercredi.

Les règles de "la gestion sécurisée du SNDS" seront détaillées "dans un référentiel de sécurité arrêté par les ministres chargés de la santé, de la sécurité sociale et du numérique" après avis de la Cnil, dispose le décret.

Il confie à la Cnamts le rôle de réunir un comité de pilotage opérationnel "afin de planifier et de coordonner les actions engagées" avec la Drees, l'Inserm, l'ATIH, la CNSA et les représentants des complémentaires.

Les ministères en charge de la santé et des affaires sociales fixeront les orientations de développement du SNDS en réunissant un "comité stratégique comprenant des représentants des organismes responsables des bases de données alimentant le SNDS, le président de l'INDS et une personnalité qualifiée.

Un deuxième décret a été publié mercredi, fixant "les modalités de demande d'autorisation de traitement de données à caractère personnel ayant pour fin la recherche, les études et les évaluations dans le domaine de la santé". Il entrera en vigueur une fois que la convention constitutive de l'INDS aura été approuvée et que le comité d'expertise pour les recherches, les études et les évaluations dans le domaine de la santé (Cerees) aura été installé.

Le Cerees se prononce "sur toute demande de mise en oeuvre des traitements de données à caractère personnel ayant pour finalités la recherche, l'étude ou l'évaluation dans le domaine de la santé et n'impliquant pas la personne humaine", explique le ministère dans la notice.

Le décret prévoit également des procédures simplifiées d'accès à ces données qui pourront être mise en oeuvre en lien avec la Cnil.

Dans son communiqué, le ministère précise qu'à partir de 2018, le SNDS "sera enrichi de données médico-sociales permettant de mieux comprendre les liens entre prises en charge médicale et médico-sociale. En 2019, un échantillon de données fournies par les assureurs complémentaires permettra de réaliser des études précises concernant le reste à charge pour les assurés."

Le Journal officiel de mercredi a également publié les avis de la Cnil sur les deux décrets. La commission signale qu'"en cumulant la trentaine d'organismes demandeurs, ce sont plus de 2.000 utilisateurs potentiels qui auront accès au SNDS, voire jusqu'à 3.000 en comptant l'intégralité des unions régionales des professionnels de santé (URPS)".

Elle s'inquiète du fait que "le niveau de sécurité envisagé ne sera pas atteint" dès le lancement du SNDS en 2017. "Le projet d'arrêté du référentiel de sécurité prévo[it] une période de transition de deux ans jusqu'au 26 janvier 2019 pour la mise en conformité des traitements couverts par le projet de décret", signale-t-elle.

Le ministère de la santé a créé mercredi sur son site une page faisant le point sur l'installation du SNDS (http://drees.social-sante.gouv.fr/etudes-et-statistiques/technique/acces-aux-donnees-de-sante/article/mise-en-oeuvre-du-systeme-national-des-donnees-de-sante-et-nouveau-cadre-d).

(Décrets n°2016-1871 et n°1872 du 26 décembre 2016, Journal officiel du mercredi 28 décembre, textes 33 (https://www.legifrance.gouv.fr/jo_pdf.do?id=JORFTEXT000033702840) et 34 (https://www.legifrance.gouv.fr/jo_pdf.do?id=JORFTEXT000033702868); délibérations de la Cnil, textes 147 (https://www.legifrance.gouv.fr/jo_pdf.do?id=JORFTEXT000033704169) et 148 (https://www.legifrance.gouv.fr/jo_pdf.do?id=JORFTEXT000033704201))

/vg/nc/eh/APM polsan