Le traitement « SNIIRAM » (Système national d’information inter-régimes de l’assurance maladie) est opéré par la « CNAMTS » (Caisse nationale de l’assurance maladie des travailleurs salariés) et vise à améliorer la gestion des politiques de santé. Sa base de données contient des milliards de données relatives à la santé des assurés sociaux : actes médicaux, feuilles de soins, séjours hospitaliers, entre autres. Ces données sont par ailleurs accessibles par de très nombreux organismes : les caisses gestionnaires des régimes d’assurance maladie, les agences régionales de santé, des ministères, l’institut national des données de santé et des organismes de recherche.

Alertée par un rapport de la Cour des comptes (2016) faisant état d’une sécurité insuffisante sur ce traitement, la CNIL a conduit plusieurs contrôles auprès de la CNAMTS, de certains de ses prestataires techniques et de caisses primaires d’assurance maladie.

La CNIL a relevé plusieurs insuffisances en matière de sécurité des données, à savoir :

– « la pseudonymisation des données,

– les procédures de sauvegarde,

– l’accès aux données par les utilisateurs du SNIIRAM et par des prestataires,

–  la sécurité des postes de travail des utilisateurs du SNIIRAM,

– les extractions de données individuelles du SNIIRAM ainsi que la mise à disposition d’extractions de données agrégées du SNIIRAM aux partenaires »

Prenant en compte à la fois la sensibilité des données traitées, leur volume et le nombre important d’organismes habilités à y accéder, la Présidente de la CNIL met en demeure publiquement la CNAMTS de prendre, dans un délai de 3 mois, « toute mesure pour garantir la sécurité et la confidentialité des données » des assurés sociaux, conformément aux exigences de l’article 34 de la loi Informatique et Libertés.

 

Cette décision souligne l’importance d’envisager le recours à un mécanisme de pseudonymisation des données en tant que mesure de sécurité.

La pseudonymisation est définie, dans le RGPD comme  « le traitement de données à caractère personnel de telle façon que celles-ci ne puissent plus être attribuées à une personne concernée précise sans avoir recours à des informations supplémentaires, pour autant que ces informations supplémentaires soient conservées séparément et soumises à des mesures techniques et organisationnelles afin de garantir que les données à caractère personnel ne sont pas attribuées à une personne physique identifiée ou identifiable. »

La pseudonymisation se distingue de l’anonymisation, qui permet d’empêcher l’identification d’une personne concernée de façon irréversible, et qui soustrait du même coup le traitement au champ d’application de la loi informatique et libertés.

 

Par Claudia WEBER – ITLAW Avocats

Nous contacter