Après avoir entendu Mme Marie-France MAZARS, commissaire, en son rapport, et Mme Nacima BELKACEM, commissaire du Gouvernement, en ses observations,
Formule les observations suivantes :
Le règlement (UE) n° 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données (ci-après « le RGPD ») et notamment son article 5, point 2, prévoit que le responsable de traitement doit être en mesure de démontrer que les principes du règlement sont respectés.
L'article 9, paragraphe 4 du RGPD précise que les Etats membres peuvent maintenir ou introduire des conditions supplémentaires, y compris des limitations, en ce qui concerne le traitement des données génétiques ou des données concernant la santé.
Ainsi, en application de la loi du 6 janvier 1978 modifiée (ci-après « loi informatique et libertés »), les traitements de données à caractère personnel à des fins de recherche, étude ou évaluation dans le domaine de la santé, sont autorisés par la Commission nationale de l'informatique et des libertés (ci-après« la Commission »).
La Commission peut homologuer et publier des méthodologies de référence, au titre des référentiels mentionnés au II de l'article 54 de la loi « informatique et libertés », établies en concertation avec l'Institut national des données de santé (ci-après « INDS »), ainsi qu'avec les organismes publics et privés représentatifs des acteurs concernés.
Parmi les traitements les plus usuels figure l'accès par les établissements de santé aux données centralisées par l'Agence technique de l'information sur l'hospitalisation (ci-après « ATIH ») et mises à disposition sur la plateforme sécurisée de l'ATIH, c'est-à-dire les données du Programme de médicalisation des systèmes d'information ou (ci-après « PMSI ») et les données des Résumés de passage aux urgences (ci-après « RPU »).
Le PMSI consiste en un recueil synthétique et standardisé d'informations administratives et médicales au sein des établissements de santé, publics ou privés, à but lucratif ou à but non lucratif, dont les objectifs principaux sont d'organiser les soins hospitaliers sur le territoire français (planification) et de financer les établissements en fonction de leur activité (tarification à l'activité). Il est de plus en plus utilisé en épidémiologie hospitalière pour comprendre les facteurs de variation des prises en charge, de l'offre de soins et son adéquation aux besoins des populations.
Régi par les articles L. 6113-7 et L. 6113-8 du Code de la santé publique (ci-après « CSP »), le PMSI a été généralisé dans les années 1990 et est désormais appliqué quel que soit le secteur d'hospitalisation, mais avec des modes de recueils différents selon les catégories de prise en charge. Il comporte des données concernant les activités suivantes :
- médecine, chirurgie, obstétrique et odontologie (MCO) ;
- soins de suite et de réadaptation (SSR) ;
- recueil d'information médicalisée en psychiatrie (RIM-P) ;
- hospitalisation à domicile (HAD).
Un fichier spécifique permet de relier toutes les données du PMSI concernant un même patient (fichier « ANO »).
Les données du PMSI permettent d'analyser et de comprendre l'activité des établissements de santé dans toutes leurs dimensions (volume, attractivité, taux de fuite, valeur, etc.) et établir des comparaisons entre établissements sur l'ensemble du territoire. Elles permettent ainsi aux établissements d'élaborer leur projet médical et les projets de territoire en prenant en compte leur environnement, en termes d'offre de soins et de coûts, et de répondre à leur obligation légale d'analyse de leur activité (art. L. 6113-7 du CSP).
Le résumé de passage aux urgences (RPU) est un recueil standardisé des données médico-administratives des patients pris en charge par les services d'urgences hospitalières. Il a été rendu obligatoire par un arrêté du 24 juillet 2013. Ce recueil a pour finalité d'améliorer la connaissance de l'activité des structures des urgences et de permettre la mise en place d'une base de données nationale sur les urgences.
Les RPU ne sont chaînés ni avec le PMSI (qui constitue une base distincte), ni entre eux, si bien que les différents passages d'un même patient ne seront pas regroupés dans la base nationale de l'ATIH.
Bien que d'usage plus récent que le PMSI, les RPU représentent une source d'informations importante sur les urgences, qui permet des analyses complémentaires à celles menées à partir du PMSI.
Faciliter l'accès des établissements de santé à ces données s'inscrit également dans la volonté des pouvoirs publics d'améliorer l'accès aux soins et la qualité de la prise en charge médicale dans un cadre de maîtrise des dépenses générales qui conduit à renforcer les recompositions hospitalières et à rationaliser leur financement au regard de leur contribution à l'amélioration de la performance globale de l'offre de soins.
Directement concernées par cet objectif, les fédérations hospitalières qui informent, conseillent, assistent et représentent les établissements de santé auprès des pouvoirs publics, ont aussi besoin d'exploiter les données de l'ATIH de manière récurrente et itérative pour répondre aux besoins de leurs adhérents, qu'ils soient communs ou individuels.
Au regard de tous ces besoins, la Commission a estimé que le cadre d'une méthodologie de référence était approprié pour faciliter et encadrer les nombreux traitements de données réalisés par les établissements de santé et les fédérations hospitalières à partir des données détenues par l'ATIH.
Compte tenu de leurs missions, les fédérations et établissements réalisent un grand nombre d'études qui s'inscrivent dans un ensemble de finalités déterminées correspondant à leurs missions (par exemple : évaluation des parcours de santé ou de la qualité des soins, évaluations médico-économiques, réponses aux demandes des pouvoirs publics, actions auprès du grand public, conseil aux adhérents, etc.). Les responsables de traitement qui adressent un engagement de conformité à cette méthodologie de référence sont autorisés à mettre en œuvre les traitements dès lors que ceux-ci répondent aux conditions prévues par ces dispositions.
Décide :