La Commission nationale de l'informatique et des libertés,
Saisie d'une demande d'autorisation par la société Axa France concernant la mise en place d'une expérimentation ayant pour finalité l'accès, sous forme anonymisée, aux données de santé figurant sur les feuilles de soins électroniques.
Vu la Convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement de données à caractère personnel et la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés modifiée par la loi n° 2004-801 du 6 août 2004 relative à la protection des personnes physiques à l'égard des traitements de données à caractère personnel, et notamment ses articles 8 et 25 ;
Vu le code pénal et notamment les articles 226-13 et 226-14 ;
Vu le code de la sécurité sociale et notamment ses articles L. 161-29 et R. 115-1 et suivants ;
Après avoir entendu M. François Bernard, commissaire, en son rapport, et Mme Catherine Pozzo di Borgo, commissaire adjoint du Gouvernement en ses observations ;
Formule les observations suivantes
La société Axa France a saisi la Commission d'une demande d'expérimentation tendant à accéder, sous forme anonymisée, aux données de santé présentes sur les feuilles de soins électroniques.
La branche assurance maladie complémentaire de la société Axa France qui assure la prise en charge d'une partie des dépenses de soins et de biens médicaux en complément du régime obligatoire reçoit des professionnels de santé des données relatives à l'identité du patient dont le numéro de sécurité sociale ainsi que la lettre-clé de l'acte médical pratiqué, le nombre d'actes et les majorations éventuelles (nuit, urgence, férié ...) et s'agissant des médicaments, le montant global payé par l'assuré et le taux de remboursement du régime obligatoire.
La société Axa France souhaiterait accéder à une partie des données de santé figurant sur les feuilles de soins électroniques transmises par les pharmaciens volontaires et en particulier au code des médicaments et à la liste des produits et prestations. Elle pourrait aussi liquider les prestations sur la base des données médicales prévues dans les contrats d'assurance d'ores et déjà existants qui proposent des garanties spécifiques pour certains médicaments médicaments non remboursés par le régime obligatoire, produits et prestations pour lesquels les frais réels dépassent le tarif forfaitaire de responsabilité.
Dans la mesure où il n'existe pas, pour les organismes d'assurance maladie complémentaires, de disposition analogue à l'article L. 161-29 du code de la sécurité sociale qui autorise les professionnels de santé, les organismes et établissements de santé à transmettre le numéro de code des actes effectués, prestations réalisées et pathologies diagnostiquées aux organismes d'assurance maladie obligatoire, la Commission estime pouvoir se fonder sur l'article 8-III de la loi du 6 janvier 1978 modifiée pour se prononcer sur le traitement présenté à titre expérimental par Axa France. Aux termes de cette disposition, il est en effet prévu que si les données de santé à caractère personnel sont appelées à faire l'objet à bref délai d'un procédé d'anonymisation préalablement reconnu conforme aux dispositions de la loi précitée par la CNIL, celle-ci peut autoriser, compte tenu de leur finalité, certaines catégories de traitements.
Sur l'architecture du dispositif
Le dispositif expérimental concernerait des pharmacies volontaires qui émettraient par le biais du logiciel SESAM Vitale installé sur leur poste des demandes de remboursement électroniques qui contiendraient le code des médicaments et des produits et prestations vers le système informatique de la société Axa France. Ces flux seraient sécurisés par les dispositifs standards prévus dans les logiciels de télé-transmission.
A réception des données chiffrées sur le système informatique d'Axa France, celles-ci seraient déchiffrées par le dispositif d'accueil SESAM Vitale implanté dans le système d'Axa puis chiffrées à nouveau par un module propre à la société Axa France et transmises respectivement à une base de données statistique et à une base appelée "sinistre" qui assurerait la liquidation des produits et prestations relevant de contrats particuliers.
Cette base "sinistre" comporterait les numéros de sécurité sociale des assurés et, sous forme chiffrée, les codes des médicaments et des produits et prestations. Elle permettrait de rechercher, sur la base du numéro de sécurité sociale de l'assuré, s'il dispose d'un contrat nécessitant le traitement de codes détaillés. Si tel n'était pas le cas, les données médicalisées seraient supprimées et la demande de remboursement électronique serait traitée de manière classique.
La base "sinistre" comporterait par ailleurs une base dénommée base "réclamation", module permettant, sous certaines conditions, de retrouver une demande de remboursement électronique médicalisée déterminée pour traiter les éventuelles réclamations des assurés et des professionnels de santé.
La base "statistique" permettrait d'effectuer des simulations pour mieux gérer le risque maladie et proposer de nouvelles garanties. Elle ne comporterait que des données anonymisées.
Sur les mesures de sécurité mises en oeuvre.
Afin d'assurer un haut niveau de sécurité aux données à caractère personnel transmises par les pharmacies, la Commission considère que les pharmaciens participant devront disposer sur leur poste de travail de la version 1.40 du système SESAM Vitale qui assure un chiffrement fort des données sensibles et du transport.
Sur le procédé d'anonymisation
Les précisions apportées sur l'algorithme d'anonymisation, sa longueur et les modalités de stockage de la clé apparaissent satisfaisantes à la Commission dans le cadre d'une expérimentation et conformes à l'état de l'art.
La Commission considère toutefois qu'un scellement du système d'information de la société Axa France qui comporte le dispositif d'accueil SESAM Vitale et le module de chiffrement de la société Axa est nécessaire pour assurer la sécurité des données qui transitent. La machine ainsi scellée ne devra effectuer aucun autre traitement. L'accès physique à ce poste devra être strictement restreint.
La société Axa France devra également démontrer au plus tard à l'issue de l'expérimentation que le logiciel d'anonymisation a fait l'objet d'une expertise indépendante et en communiquer les résultats à la Commission.
Sur la base de données réclamations
La société Axa France prévoit un processus qui lui permettrait, en cas de réclamation de la part d'un assuré ou d'un professionnel de santé, de retrouver la demande de remboursement correspondante.
Cette base serait isolée des autres bases et consultable par un médecin uniquement à la demande expresse des assurés ou des professionnels de santé concernés pour une seule facture à la fois. Elle ne serait interrogée que dans l'hypothèse où un premier niveau de traitement de la réclamation ne nécessitant pas de remonter au code détaillé du produit et prestation serait insuffisant.
Le procédé consisterait alors à créer de nouveau la clé d'anonymisation mais à partir d'éléments fournis par l'assuré ou le professionnel de santé pour retrouver, dans la base informatique, les informations correspondant à la demande de remboursement électronique concernée par la réclamation. Une traçabilité des accès serait mise en place.
Si la procédure ainsi mise en place semble satisfaisante, il apparaît toutefois nécessaire de vérifier son effectivité.  A cet égard, la Commission considère comme indispensable la procédure d'expertise indépendante qui permettra en particulier de démontrer la pertinence de cette base et son utilité avant toute généralisation. Elle se réserve par ailleurs la possibilité de contrôler sur place le dispositif.
Sur les mesures d'information des personnes concernées
La note d'information diffusée par la société Axa France devra en particulier indiquer qu'il s'agit d'un dispositif expérimental destiné aux assurés bénéficiant d'un contrat particulier nécessitant de connaître le code détaillé des médicaments et la liste des produits et prestations.
Autorise, à titre expérimental, pour une durée d'un an, la société Axa France à accéder, sous forme anonymisée, aux données de santé figurant sur les feuilles de soins électroniques sur le fondement de l'article 8-III relatif à l'anonymisation à bref délai, sous réserve
que seules les pharmacies utilisant un logiciel SESAM Vitale 1.40 puissent participer à l'expérimentation ;
- le système d'information de la société Axa France qui comporte le dispositif d'accueil SESAM Vitale et le module de chiffrement de la société Axa soient scellés ;
- le logiciel d'anonymisation fasse l'objet d'une expertise indépendante et les résultats communiqués à la Commission ;
- la procédure à suivre pour l'accès à la base réclamation fasse l'objet d'un audit et qu'un bilan détaillé de l'utilisation de la base soit remis à la Commission à l'issue de l'expérimentation ;
- la liste des statistiques réalisées ainsi que leurs critères soit remise à la Commission à l'issue de l'expérimentation.
Le président, Alex TURK.
