DMP - le NIR, un identifiant pas suffisant

La CNIL vient de faire paraître son avis sur l'utilisation du NIR comme identifiant pour le DMP.
NIR: Numéro d'Inscription au Répertoire. Utilisé pour le Répertoire National d'Indentification des Personnes Physiques (92 millions de fiches), il est composé de 13 chiffres : le sexe (1 chiffre), l’année de naissance (2 chiffres), le mois de naissance (2 chiffres) et le lieu de naissance (5 chiffres ou caractères) de la personne concernée. Les 3 chiffres suivants correspondent à un numéro d’ordre qui permet de distinguer les personnes nées au même lieu à la même période.
DMP: Dossier Médical Personnel élaboré dans la loi 2004-810 du 9 août 2004 relative à l'assurance maladie.

Cet avis négatif - voir le considérant 5: "risques d’un accès non-contrôlé à leur dossier médical par l’intermédiaire de cet identifiant largement connu" - et les solutions proprosées - voir considérant 6: "La CNIL considère que la méthode la plus à même d’apporter des garanties souhaitables serait la création d’un nouvel identifiant, spécifique aux données de santé, généré à partir du NIR. Ce nouvel identifiant serait certifié selon les procédures déjà éprouvées, reconnues et fiables, actuellement utilisées pour les bénéficiaires de l’assurance maladie, mais transcodé selon des techniques établies d’anonymisation "va retarder de plusieurs mois l'offre de marché public pour le développement du DMP qui est donc repoussé en 2009.

Voici le communiqué de la CNIL:

Le 26 octobre 2006, le Président de la CNIL, M. Alex Türk, a décidé la création d’un groupe de travail ayant pour mission l’évaluation de la doctrine de la Commission sur l’utilisation du N.I.R (communément appelé numéro de sécurité sociale) dans la perspective de l’apparition de nouveaux identifiants nationaux, notamment dans le domaine de la santé. Les conclusions du groupe de travail ont été présentées ce jour en séance plénière.

1. Après une série d’auditions, et deux visites sur place, la CNIL réaffirme le caractère particulier du NIR puisque ce numéro est :
*signifiant, car composé d’une chaîne de caractères permettant de déterminer le sexe, la date (sauf le jour) et le lieu de naissance ;
*unique et pérenne, puisqu’un seul numéro est attribué à chaque individu dès sa naissance ;
*fiable, car il est certifié par l’INSEE à partir des données d’état civil transmises par les mairies.

2. Susceptible d’être reconstitué à partir des éléments d’état civil, facilitant la recherche et le tri des informations dans les fichiers, le NIR rend plus aisées les interconnexions. C’est pourquoi, la loi informatique et libertés soumet son utilisation, ainsi que les interconnexions de fichiers, à l’autorisation de la CNIL.
Ainsi la Commission a développé une doctrine de "cantonnement" selon laquelle chaque sphère d’activité (fiscalité, éducation nationale, banques, police…) doit être dotée d’identifiants sectoriels. Cependant, le NIR ayant été utilisé dès l’origine dans le secteur de la sécurité sociale, la CNIL a admis qu’il soit enregistré dans l’ensemble des fichiers des organismes en relation avec ce secteur. Employeurs, ASSEDIC et ANPE, organismes d’assurance maladie obligatoires et complémentaires, professionnels de santé ont donc été autorisés à recueillir, et à utiliser, le numéro de sécurité sociale dans leurs fichiers, mais uniquement pour leurs relations avec la sécurité sociale. Des informations relatives à la santé (nécessaires à la prise en charge des assurés et à une meilleure connaissance des dépenses de santé) figurent d’ores et déjà dans les fichiers de l’assurance maladie, aux côtés du NIR des personnes concernées. Il en est de même dans les fichiers de gestion administrative des patients des professionnels et des établissements de santé

3. Pour autant, est-il justifié d’autoriser aujourd’hui l’usage du numéro de sécurité sociale en tant qu’identifiant spécifique du dossier médical et en particulier du Dossier Médical Personnel (DMP)L’utilisation d'un identifiant numérique par patient devrait éviter tant les "doublons", aboutissant à créer plusieurs dossiers pour une même personne, que les "collisions" conduisant à rattacher les données de santé d'une personne à une autre. À cet égard, le recours à l’identifiant fiable et disponible qu’est le NIR peut apparaître comme la solution permettant de résoudre les problèmes qui résulteraient de la création d'un identifiant spécifique pour une population de plus de 60 millions de personnes.

4. Toutefois, les données de santé ne sont pas des données personnelles comme les autres : parce qu’elles sont "sensibles", elles appellent une protection renforcée. Dès lors, le recours au NIR devrait bénéficier de mesures de protection toutes particulières qui, aux dires mêmes des professionnels concernés, ne sont pas actuellement assurées ni dans les établissements de santé, ni chez les professionnels de santé, ni dans les réseaux de soins.

5. Même si des mesures de protection particulières étaient prises, l’utilisation directe d’un numéro aussi répandu que le NIR comme identifiant de santé et clé d’accès à un dossier médical comprenant des données de santé beaucoup plus complètes que celles conservées dans les fichiers des organismes sociaux est de nature à altérer le lien de confiance entre les professionnels de santé et les patients, ceux-ci pouvant s’interroger sur les risques d’un accès non-contrôlé à leur dossier médical par l’intermédiaire de cet identifiant largement connu.

6. C’est pourquoi, la Commission estime que le NIR ne constitue pas, aujourd’hui, un numéro adapté pour identifier le dossier médical de chacun. Dès lors, elle formule une proposition équilibrée reprenant les avantages, en termes de fiabilité, liés au recours au NIR tout en évitant les inconvénients de cette solution :

*La CNIL considère que la méthode la plus à même d’apporter des garanties souhaitables serait la création d’un nouvel identifiant, spécifique aux données de santé, généré à partir du NIR. Ce nouvel identifiant serait certifié selon les procédures déjà éprouvées, reconnues et fiables, actuellement utilisées pour les bénéficiaires de l’assurance maladie, mais transcodé selon des techniques établies d’anonymisation.

*Ce numéro, non signifiant et dont la création par décret serait soumise à l’avis de la CNIL, constituerait l’identifiant de santé spécifique, utilisable dans l’ensemble du système de soins. Cette proposition permettrait de bénéficier des avantages du NIR au moment de la création de l’identifiant tout en maintenant un niveau de garantie elevé