Choix de l'identifiant santé

Le numéro de Sécu n'est pas adapté au DMP, selon la Cnil

Publié le 22/02/2007

Article réservé aux abonnés

1276105523F_Img248843.jpg

LA COMMISSION nationale de l'informatique et des libertés (Cnil) vient de rendre un jugement de Salomon sur le choix de l'identifiant unique destiné au secteur de la santé, et au dossier médical personnel (DMP) en particulier. Le ministère de la Santé et des Solidarités et le groupement d'intérêt public (GIP) en charge du DMP avaient clairement indiqué leur préférence pour l'utilisation du numéro de Sécu, c'est-à-dire le numéro d'inscription au répertoire des personnes physiques (NIR de l'Insee). Au contraire, plusieurs organisations représentant les patients et les usagers se sont élevées ces derniers mois contre cette éventualité. Ils ont argué que le recours au NIR (déjà connu des professionnels de santé, des caisses d'assurance-maladie et de retraite, mutuelles, Assedic, employeurs...) ouvrait une brèche vers une interconnexion généralisée des fichiers, et porterait donc «un coup décisif» au droit à la vie privée.

Dans son communiqué, la Cnil montre qu'elle n'est pas restée sourde aux arguments des uns et des autres. Le NIR, rappelle-t-elle, présente «un caractère particulier» : ce numéro est «signifiant» (indication du sexe, de la date et du lieu de naissance), «unique et pérenne» dès la naissance, et donc «fiable» puisqu'il est susceptible d'éviter à la fois les «doublons» (deux dossiers pour la même personne) et les «collisions» (confusion entre deux patients).

Pour autant, la Cnil souligne aussi que le NIR «rend plus aisées les interconnexions» de fichiers, dès lors que ce numéro est «susceptible d'être reconstitué à partir des éléments d'état civil». Or la commission s'efforce justement d'autoriser au compte-gouttes ces interconnexions depuis sa création par la loi informatique et libertés de 1978. En outre, fait valoir la Cnil, «les données de santé ne sont pas des données personnelles comme les autres: parce qu'elles sont “sensibles”, elles appellent une protection renforcée». Et celle-ci n'est acquise actuellement «ni dans les établissements de santé, ni chez les professionnels de santé, ni dans les réseaux de soins». «Même si des mesures de protection particulières étaient prises, l'utilisation directe d'un numéro aussi répandu que le NIR, comme identifiant de santé et clé d'accès à un dossier médical comprenant des données de santé beaucoup plus complètes que celles conservées dans les fichiers des organismes sociaux, est de nature à altérer le lien de confiance entre les professionnels de santé et les patients», affirme la Cnil.

En conséquence, son avis au ministre de la Santé (qui l'attendait pour pouvoir trancher par décret) repose sur «une proposition équilibrée reprenant les avantages, en termes de fiabilité, liés au recours au NIR tout en évitant les inconvénients de cette solution». Ce compromis prévisible (« le Quotidien » du 20 février) consiste à créer «un nouvel identifiant, spécifique aux données de santé, généré à partir du NIR». «Certifié» mais aussi «transcodé selon des techniques établies d'anonymisation», ce numéro serait «non signifiant» et maintiendrait «un niveau de garantie élevé», précise la commission.

Le ministre Xavier Bertrand devrait faire connaître sa décision pour l'identifiant de santé unique «très prochainement», indique son cabinet, qui devait réunir les responsables du GIP-DMP mercredi soir à ce sujet. Le ministère doit en tout cas être embarrassé par le surcoût du compromis de la Cnil. Fin 2006, il avait fait savoir que la non-utilisation du NIR pourrait majorer de «500millions d'euros» la note du chantier DMP, un chiffre non confirmé par le GIP.

En tout cas, la Ligue des droits de l'homme, Aides et le collectif Delis (à l'origine d'une pétition sur Internet), ainsi que le Collectif interassociatif sur la santé (Ciss), appellent solennellement le gouvernement à «suivre cette préconisation de la Cnil» car elle «préserve la protection des données personnelles de santé».