(demande d’autorisation n°1087829-V1)
La Commission nationale de l'informatique et des libertés,
Saisie par la société GROUPAMA d’une demande tendant à la mise en œuvre du traitement ayant pour finalité l’accès aux données de santé figurant sur les feuilles de soins électroniques en matière d’optique ;
Vu la Convention n°108 du 28 janvier 1981 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement de données à caractère personnel et la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée le 6 août 2004, notamment ses articles 8-III et 25-I, 1°;
Vu le code de la sécurité sociale et notamment les articles L. 161-29 et R. 115-1 et suivants ;
Vu le code de la santé publique et notamment l’article L. 4113-7 ;
Vu le code pénal et notamment les articles 226-13 et 226-14 ;
Vu la délibération n°2006-010 du 19 janvier 2006 portant autorisation d’une expérimentation pendant la durée d’un an du traitement mis en œuvre par la société GROUPAMA et ayant pour finalité de permettre l’accès, sous forme anonymisée, à l’information sur les défauts visuels des assurés figurant sur les demandes de prise en charge ;
Sur le rapport de Monsieur Jean MASSOT, commissaire et les observations de Madame Elisabeth ROLIN, commissaire du gouvernement ;
Formule les observations suivantes
En 2005, la société GROUPAMA a saisi la Commission d’une demande d’autorisation relative à un traitement automatisé permettant d’accéder, à titre expérimental, de manière anonymisée, à l’information sur les défauts visuels de ses assurés figurant sur les demandes de prises en charge.
La branche assurance maladie complémentaire de la société GROUPAMA qui assure la prise en charge d’une partie des dépenses de soins et de biens médicaux en complément du régime obligatoire reçoit des professionnels de santé des données relatives à l’identité du patient dont le numéro de sécurité sociale, la lettre-clé de l’acte pratiqué ou de la prestation servie ainsi que des demandes de prise en charge papier.
En matière d’optique, les régimes obligatoires ne remboursent qu’une petite partie des équipements. Les contrats complémentaires santé classiques remboursent les assurés en fonction de forfaits, exprimés soit en pourcentage de la prise en charge du régime obligatoire, soit sur la base d’un montant fixe prévu dans le contrat. Ces contrats ne tiennent donc pas compte du défaut visuel de l’assuré. Dès lors, si le défaut de vision est facile à corriger, le coût des équipements est en dessous du forfait mais la prestation optique est fréquemment facturée au niveau du forfait. Lorsque le défaut visuel est important, le forfait est souvent largement dépassé et le reste à charge est substantiel pour l’assuré.
Pour mieux adapter la prise en charge aux besoins de ses assurés, la société GROUPAMA, dans le cadre de l’expérimentation, a proposé de moduler les remboursements des verres en fonction de la complexité du défaut visuel du patient et par conséquent en fonction de l’équipement optique nécessaire.
Cette expérimentation s’inscrit dans le cadre du rapport de Monsieur Babusiaux relatif à l’accès des assureurs complémentaires aux données de santé des feuilles de soins électroniques qui recommande que les données sensibles « ne viennent pas, sous leur forme nominative, à la connaissance des assurances complémentaires » en précisant que l’architecture utilisée pour la transmission des données repose sur l’organisation du système d’information de l’assureur « en deux sous systèmes séparés communiquant entre eux par le truchement d’un tiers de confiance ». Le rapport envisage deux statuts possibles pour ce tiers de confiance qui est au cœur de la sécurité du système : soit une entité juridique distincte de l’assureur, n’ayant pas d’intérêts communs avec celui-ci, soit l’utilisation d’une boîte noire, c’est-à-dire un dispositif matériel inviolable même par l’assureur lui-même.
La Commission a estimé que la demande formulée par la société GROUPAMA qui procède, à réception des données, à leur anonymisation, relève de la procédure d’autorisation prévue à l’article 8-III de la loi du 6 janvier 1978 modifiée, dans la mesure où le traitement des données de santé figurant sur les demandes de prises en charge électroniques fait l’objet d’une anonymisation à bref délai.
La Commission a, par sa délibération n°2006-010 en date du 19 janvier 2006, autorisé la société GROUPAMA à mener une expérimentation d’un an sur l’accès, sous forme anonymisée, à l’information sur les défauts visuels des assurés figurant sur les demandes de prises en charges en vue d’améliorer leur remboursement. L’expérimentation a débuté le 17 septembre 2007 et s’est achevée le 17 septembre 2008.
La société GROUPAMA demande aujourd’hui à la CNIL l’autorisation de déployer le traitement expérimenté à l’ensemble de ses assurés.
Sur l’architecture du dispositif
Le dispositif expérimental a concerné des opticiens partenaires volontaires qui ont émis en accédant à un extranet, les demandes de devis électroniques.
A réception de ces données chiffrées sur la plate forme d’échange, dénommée « front office » gérée par un prestataire, la demande est décryptée puis les données relatives à l’identification de l’assuré et au défaut visuel sont immédiatement chiffrées avec deux clés différentes. Une fois ce chiffrement réalisé, la demande de devis électronique est transmise au système dédié à la gestion des remboursements (prestations optiques) dénommé « middle office ». Ce dispositif est hébergé chez un second prestataire de service.
Le « middle office » traite les demandes de prise en charge. Il déchiffre uniquement les données relatives au défaut visuel de l’assuré. Ces données sont utilisées pour le contrôle du respect des grilles tarifaires. Ces données sensibles sont ensuite remplacées par des « codes prestations » généraux et conservées pendant une durée de trois ans. Une requête est ensuite adressée au  « back office » de la société GROUPAMA pour le calcul du reste à charge en fonction des garanties souscrites.
Le remboursement aux assurés par la société GROUPAMA se fait sur la base de factures présentées.
Les factures sont examinées par la société GROUPAMA pour vérifier leur adéquation avec la « demande de devis » qui a été précédemment transmise. La facture fait référence au devis permettant ainsi d’opérer cette vérification.
Transmises sous forme papier, les factures sont ensuite saisies manuellement dans un logiciel au niveau du « middle office » après avoir bénéficié d’un chiffrement dans la mesure où elles contiennent des informations sensibles (défaut visuel de l’assuré).
La référence du devis qui est portée sur la facture est également chiffrée pour éviter des croisements avec le fichier de devis qui contient des informations sensibles.
Le bilan communiqué par la société GROUPAMA indique que d’autres pistes sont étudiées pour la transmission de la facture afin d’assurer une meilleure protection des données sensibles qu’un simple envoi papier.
Sur les mesures de sécurité mises en œuvre
Les fonctions cryptographiques essentielles du processus d’anonymisation et de chiffrement/déchiffrement sont réalisées par des « boîtes noires ».
La sécurité du processus a été évaluée par un cabinet de consultants indépendant, qui a suggéré un certain nombre de modifications pour améliorer la sécurité du dispositif lors de son extension éventuelle. La Commission considère que ces propositions d’améliorations sont à prendre en compte.
Sur la conformité du traitement mis en œuvre à la loi du 6 janvier 1978 modifiée
Il convient d’apprécier la conformité du traitement mis en œuvre par la société GROUPAMA à la loi du 6 janvier 1978 modifiée et aux préconisations du rapport de M. Christian Babusiaux.
La Commission relève que le processus de demande de devis s’appuie sur des mécanismes de tiers de confiance reposant sur des boîtes noires. En ce sens, les préconisations du rapport de Monsieur Christian BABUSIAUX sont respectées.
Cependant, les données sensibles se retrouvent malgré tout associées à des informations nominatives dans certaines situations.
C’est le cas notamment sur le « front office » qui déchiffre brièvement toutes les informations sensibles et ainsi que les données d’identification de l’assuré. C’est également le cas lors du processus de vérification des factures, qui implique la transmission papier des éléments décrivant le défaut visuel du patient.
Par ailleurs la Commission relève que l’ensemble des opérations de chiffrement et de déchiffrement est tracé.
Sur les mesures d’information des personnes concernées
Outre l’information sur le dispositif diffusée par la société GROUPAMA dans les conditions générales du contrat d’assurance santé et la note d’information qui sera envoyée aux assurés avant le lancement de la mise en œuvre généralisée, il convient que la société GROUPAMA propose à ses partenaires des affichettes d’information qu’ils pourront apposer dans leurs centres d’optique.
Les assurés seront informés qu’ils peuvent refuser la transmission électronique de leurs données anonymisées et envoyer leur demande de prise en charge par courrier postal.
Autorise dans ces conditions la société GROUPAMA  à mettre en œuvre pour une durée de trente six mois, un traitement ayant pour finalité l’accès sous forme anonymisée à l’information sur les défauts visuels du patient figurant sur les demandes de prises en charge sur le fondement de l’article 8-III relatif à l’anonymisation à bref délai.
La société GROUPAMA devra cependant, dans le même délai de trente six mois, adopter l’architecture commune proposée par le ministère de la santé relative à l’acheminement des feuilles de soins électroniques aux organismes d’assurance maladie complémentaires.
