(demande d’autorisation n°1031843-V3)
La Commission nationale de l'informatique et des libertés,
Vu la Convention n°108 du 28 janvier 1981 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement de données à caractère personnel et la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée le 6 août 2004, notamment ses articles 8-III et 25-I, 1°;
Vu le code de la sécurité sociale et notamment les articles L. 161-29 et R. 115-1 et suivants ;
Vu le code de la santé publique et notamment l’article L. 4113-7 ;
Vu le code pénal et notamment les articles 226-13 et 226-14 ;
Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, modifié en 2007 ;
Vu la délibération n°2005-314 du 20 décembre 2005 modifiant la délibération du 3 février 2005 autorisant une expérimentation présentée par la société Axa France ayant pour finalité d’accéder, sous forme anonymisée, aux données de santé figurant sur les feuilles de soins électroniques ;
Vu la délibération n°2009-686 du 10 décembre 2009 autorisant la société Axa France à mettre en œuvre un traitement ayant pour finalité d’accéder, sous forme anonymisée, aux données de santé figurant sur les feuilles de soins électroniques en matière pharmaceutique
Sur le rapport de Monsieur Jean MASSOT, commissaire et les observations de Madame Elisabeth ROLIN, commissaire du gouvernement ;
Formule les observations suivantes :
La société Axa France a saisi la Commission d’une demande d’extension à l’ensemble des départements et des assurés du traitement « Inédit-Santé » ayant pour finalité l’accès, sous forme anonymisée, aux données de santé figurant sur les feuilles de soins électroniques en matière pharmaceutique.
L’expérimentation menée depuis octobre 2007 par la société Axa France « Inédit santé » tend à créer une base de données statistiques et à liquider les prestations sur le fondement de données médicalisées (code des médicaments et liste des produits et prestations) prévues dans des contrats d’assurance santé d’ores et déjà existants qui proposent des garanties spécifiques pour certains médicaments non remboursés par le régime obligatoire et des produits et prestations de santé pour lesquels les frais réels dépassent le tarif forfaitaire de responsabilité.
La Commission a estimé que la demande formulée par la société Axa France qui procède, à réception des données, à leur anonymisation, relève de la procédure d’autorisation prévue à l’article 8-III de la loi du 6 janvier 1978 modifiée, dans la mesure où le traitement des données de santé figurant sur les feuilles de soins électroniques fait l’objet d’une anonymisation à bref délai.
La Commission a, par sa délibération n°2005-018 en date du 3 février 2005, autorisé la société Axa France à mener une expérimentation d’un an sur l’accès, sous forme anonymisée, aux données de santé figurant sur les feuilles de soins électroniques. L’expérimentation a débuté en octobre 2007, elle a été prolongée jusqu’au 31 décembre 2009.
La société Axa France a saisi, en octobre 2009, la CNIL d’une demande d’extension du traitement, à périmètre constant, à l’ensemble des assurés et des départements. Un bilan de l’expérimentation a été déposé à l’appui de sa demande.
Par une délibération n°2009-686 du 10 décembre 2009, la Commission a donné « un délai de 36 mois à la société Axa France pour adopter une des deux solutions suivantes :
Soit faire évoluer son architecture technique afin de se conformer au processus d’anonymisation préconisé dans le rapport de M. Babusiaux (tiers de confiance, entité juridique distincte de l’assureur, ou boîte noire).
Soit conserver son architecture actuelle, à condition de mettre en œuvre un processus d’audit complet et régulier du système « Inédit-santé » par une société externe indépendante, en conformité avec les recommandations figurant dans les conclusions de l’analyse du système réalisée par l’Agence nationale de la sécurité des systèmes d’information (notamment un audit technique et organisationnel ainsi qu’un audit du code source).
Quelle que soit la solution retenue, la société Axa France devra, dans ce même délai de 36 mois, la rendre compatible avec l’architecture commune d’acheminement des données détaillées des feuilles de soins électroniques vers l’assurance maladie complémentaire proposée par le ministère et examinée par la Commission ce jour laquelle prévoit l’utilisation d’une clé de chiffrement spécifique.
Dans l’intervalle, la Commission autorise la société Axa France à poursuivre le traitement, à périmètre constant, dans dix départements. Une extension de l’autorisation à l’ensemble des départements et des assurés ne sera envisageable qu’une fois que la société Axa France aura effectivement mis en œuvre une des deux solutions ci-dessus exposées. Dans cette hypothèse, il conviendra de saisir la Commission d’une nouvelle demande. »
La société Axa-France a choisi de mettre en œuvre une procédure d’audit du système « Inédit Santé » par une société externe indépendante. Ce rapport a été remis à la Commission le 9 septembre 2010.
La société Axa-France sollicite aujourd’hui, en s’appuyant sur ce rapport, une généralisation de l’application « Inédit-Santé » à tous ses clients et sur l’ensemble du territoire français.
Le rapport de la société d’audit, examiné par la Commission, met notamment en exergue les points suivants :
- Le processus « Inedit Santé » fonctionne conformément au dossier technique déposé auprès de la Commission. Il ne comporte pas de fonctions cachées, les données sont utilisées conformément aux finalités prévues dans le cadre du traitement.
- L’application « Inédit santé » est isolée et sécurisée. Les fonctions permettant le chiffrement des données de consommation de soins sont tracées.
- Le système « Inédit Santé » est facilement auditable.
Le rapport d’audit conclut que « le contexte technique qui supporte l’application Inédit-Santé, respecte les règles de l’art en matière de sécurité pour une architecture centralisée IBM ». Le code source utilisé dans l’application a été analysé et considéré comme satisfaisant. La documentation technique décrivant le système est complète.
La Commission considère donc que la société Axa-France s’est conformée à sa demande d’audit complet et régulier du système et que le dispositif mis en place assure un niveau de sécurité conforme à l’état de l’art.
La Commission autorise, dans ces conditions, la société Axa France à étendre à l’ensemble des départements et des assurés le traitement « Inédit santé » ayant pour finalité d’accéder, sous forme anonymisée, aux données de santé figurant sur les feuilles de soins électroniques en matière pharmaceutique.
La Commission rappelle que la société Axa France devra, dans un délai de 36 mois, rendre son application compatible avec l’architecture commune d’acheminement des données détaillées des feuilles de soins électroniques vers l’assurance maladie complémentaire proposée par le ministère et examinée par la Commission le 10 décembre 2009, laquelle prévoit l’utilisation d’une clé de chiffrement spécifique.
