Actualités du droit
Le NIR devient l’identifiant national de santé
Un décret adopté le 27 mars 2017 [1], après avis de la CNIL [2], détermine les conditions d’utilisation du numéro d’inscription au répertoire national d’identification des personnes physiques (« NIR ») comme identifiant national de santé (« INS »).
La question de l’utilisation du NIR [3] comme identifiant national de santé nourrit les débats depuis de longues années. Les conditions d’utilisation de cet identifiant unique, pérenne et certifié, a souvent été l’emblème des combats pour les libertés individuelles : longtemps perçu comme l’outil parfait des interconnexions entre fichiers, justifiant la mise en place par la CNIL, gardienne de son utilisation, d’une doctrine de cantonnement très stricte, il devenait de plus en plus difficile de maintenir une position qui devenait inadaptée au contexte.
Aujourd’hui, l’utilisation du NIR comme identifiant national de santé répond au déploiement actuel de systèmes d’informations interopérables et sécurisés, indispensables pour assurer une meilleure coordination des soins et permettre aux patients de mieux comprendre et gérer leur parcours de soins. [4]
Outil essentiel de l’identito-vigilance, il va désormais permettre aux acteurs des secteurs sanitaire et médico-social d’échanger et de partager des données sur un même patient pris en charge en réduisant considérablement les risques de doublons et de collisions.
Son utilisation, aux fins d’identification des personnes prises en charge à des fins sanitaires et médico-sociales, nécessite néanmoins la mise en œuvre de garanties de sécurité particulièrement strictes. C’est l’objet du décret du 27 mars 2017.
Le NIR, nouvel identifiant de référence dans les secteurs sanitaire et médico-social
Le décret du 27 mars 2017 « relatif à l’utilisation du numéro d’inscription au répertoire national d’identification des personnes physiques comme identifiant national de santé », est pris en application de l’article L. 1111-8-1-I du code de la santé publique, tel que modifié par la loi de modernisation de notre système de santé [5], qui prévoit que « Le numéro d’inscription au répertoire national d’identification des personnes physiques est utilisé comme identifiant de santé des personnes pour leur prise en charge à des fins sanitaires et médico-sociales, dans les conditions prévues à l’article L. 1110-4 » du code de la santé publique.
La nature des données référencées par le NIR
Télécharger la version imprimable
Le décret précise les situations dans lesquelles l’identifiant national de santé pourra être utilisé : « L’identifiant national de santé est utilisé pour référencer les données de santé et les données administratives de toute personne bénéficiant ou appelée à bénéficier d’un acte diagnostique, thérapeutique, de prévention, de soulagement de la douleur, de compensation du handicap ou de prévention de la perte d’autonomie, ou d’interventions nécessaires à la coordination de plusieurs de ces actes. » [6]
Sont ainsi visées les données de santé et les données administratives des personnes produites à l’occasion d’actes caractérisant leur prise en charge dans les domaines sanitaire et médico-social.
L’utilisation de l’INS est ainsi limitée à ces seules finalités, conformément aux dispositions de l’article L. 1111-8-1 du Code de la santé publique, lequel prévoit que ce décret devra « empêcher l’utilisation à des fins autres que sanitaires et médico-sociales ».
La CNIL rappelle dans sa délibération qu’elle sera « particulièrement vigilante à ce qu’aucun élargissement de cet usage n’intervienne à l’avenir ». En outre, compte tenu de la finalité des traitements réalisés avec l’INS, le droit d’opposition prévu à l’article 38 de la loi Informatique et Libertés ne s’appliquera pas aux traitements de données ayant pour objet le seul référencement des données ainsi traitées.
Les professionnels habilités à utiliser le NIR comme identifiant national de santé
L’utilisation du NIR comme identifiant national de santé est réservée aux professionnels, établissements, services et organismes concourant à la prévention des soins, ainsi que les professionnels constituant une équipe de soins et intervenant dans la prise en charge sanitaire ou médico-sociale de la personne concernée.
L’articulation avec les nouvelles dispositions des articles L1110-4 et L1110-12 du code de la santé publique issues de la loi n°2016-41 du 26 janvier 2016 qui définissent les nouvelles règles de l’échange et du partage des données de santé autour d’une notion d’équipe de soins redéfinie est ici logique et complète ainsi le nouveau cadre de référence du traitement des données de santé.
Ainsi, dès lors que l’identification d’une personne par les professionnels précités est nécessaire pour la prise en charge sanitaire ou médico-sociale, cette identification ne peut être réalisée que par le NIR. Et en cas d’impossibilité d’utiliser cet identifiant lors de la prise en charge, « … il doit être procédé au référencement des données mentionnées à l’article R. 1111-8-2 avec l’identifiant national de santé dès qu’il est possible d’y accéder ».
La CNIL souligne dans son avis qu’environ 2 millions de personnes pourront ainsi utiliser le NIR, ce qui justifie d’importantes garanties en termes de sécurité.
Les modalités pratiques d’utilisation du NIR et les garanties à mettre en œuvre
L’accès au NIR ou au NIA et les services de consultation
Les professionnels de santé autorisés à l’utiliser cet identifiant national de santé accèdent au NIR via l’utilisation de la carte vitale des assurés. L’article R. 1111-8-1 I du code de la santé publique précise par ailleurs que pour les personnes en instance d’attribution du NIR, et jusqu’à l’attribution de ce numéro, il pourra être fait usage du « numéro identifiant d’attente » (NIA), attribué par la Caisse nationale d’assurance vieillesse des travailleurs salariés. Pour les cas où le NIR n’est pas accessible, la CNAMTS met en place un téléservice de recherche et de vérification de l’identifiant de santé « … dans le respect des dispositions de l’article 27 de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés. ».
La CNIL souligne toutefois qu’au regard des risques d’interconnexions et de détournements de finalités, l’utilisation de ce téléservice devra faire l’objet de mesures de sécurité particulières, notamment, en limitant la recherche à un seul individu sans pouvoir accéder à la base complète.
Elle demande à cet égard « … qu’une étude des risques du traitement et notamment son impact sur la vie privée soit réalisée … ainsi qu’un descriptif de l’architecture technique retenue et des mesures de sécurité mises en œuvre ou prévues …. Elle rappelle que la conformité du téléservice au Référentiel général de sécurité (RGS) sera nécessaire ».
Ainsi, le décret prévoit la publication d’un référentiel technique encadrant les modalités de mise en œuvre de l‘obligation d’utilisation de l’identifiant national de santé. Ce référentiel précisera les procédures de surveillance et de gestion des risques et erreurs liés à l’identification des personnes ainsi que les mesures de sécurité applicables aux opérations de référencement de données à caractère personnel.
La CNIL avait préconisé l’ajout à ce référentiel de règles spécifiques concernant la sécurité des dispositifs techniques amenés à traiter le NIR et ce afin de ne pas affaiblir le haut niveau de sécurité devant entourer ce traitement particulièrement sensible.
Ce référentiel devra être publié au plus tard, le 31 mars 2018 [7] et précéder la mise en œuvre des services de consultation dont la mise en œuvre est attendue au plus tard le 31 décembre 2018.
Les conséquences sur les formalités de la loi Informatique et Libertés
L’utilisation du NIR en dehors des cas prévus par les textes dans un traitement de données à caractère personnel obéit à un régime de formalités préalables strict [8]. La reconnaissance du NIR comme identifiant national de santé emporte donc des conséquences sur le régime des formalités préalables applicable.
L’article L1111-8-1 du code de la santé publique dispose ainsi que : « Les dispositions de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés prescrivant une procédure particulière d’autorisation à raison de l’utilisation du numéro d’inscription au répertoire national d’identification des personnes physiques dans un traitement de données à caractère personnel ne sont pas applicables aux traitements qui utilisent ce numéro exclusivement dans les conditions prévues au présent I » (prise en charge à des fins sanitaires et médico-sociales, dans les conditions prévues à l’article L. 1110-4).
En outre, le décret précise que, avant la publication du référentiel technique, l’utilisation de l’identifiant national de santé pour référencer des données de santé et données administratives, dans le cadre d’un traitement à finalité sanitaire ou médico-sociale constitue un changement devant être notifié à la CNIL.
A l’inverse, à compter de la publication de ce référentiel, l’utilisation du NIR comme identifiant national de santé, conformément aux prescriptions de ce référentiel, et uniquement pour les traitements prévus par ce décret, ne constitue pas un changement et sera donc dispensé de notification auprès de la CNIL.
En tout état de cause, les acteurs devant utiliser l’identifiant national de santé auront jusqu’au 1er janvier 2020 pour se conformer à ce décret. [9]
[1] Décret n° 2017-412 du 27 mars 2017 relatif à l’utilisation du numéro d’inscription au répertoire national d’identification des personnes physiques comme identifiant national de santé paru au JORF n° 0075 du 29 mars 2017.
[2] Délibération n° 2017-014 du 19 janvier 2017 portant avis sur un projet de décret relatif à l’utilisation du numéro d’inscription au répertoire national d’identification des personnes physiques comme identifiant de santé
[3] Ou numéro de sécurité sociale
[4] Notons que le II de l’article L1118-1 du code de la santé publique institue un régime spécifique pour les traitements de recherche dans le domaine de la santé qui recourent au NIR notamment pour apparier leurs données avec celles des bases médico-administratives.
[5] Article 193 de la loi n°2016-41 du 26 janvier 2016 de modernisation de notre système de santé
[6] R. 1111-8-2 du Code de la santé publique
[7] R. 1111-8-7 du code de la santé publique
[8] Régime de l’avis ou de l’autorisation selon que l’organisme relève du secteur public ou privé.
[9] Article 2 du décret n° 2017-412 du 27 mars 2017 relatif à l’utilisation du numéro d’inscription au répertoire national d’identification des personnes physiques comme identifiant national de santé