IDENTIFICATION DU PATIENT DANS LES SYSTMES DINFORMATION DE

IDENTIFICATION DU PATIENT DANS LES SYSTÈMES D’INFORMATION DE SANTÉ Catherine QUANTIN et Karima BOURQUARD 12/11/2021 CORTE - Juillet 2007 1

I. Situation internationale : Les différents identifiants dans les différents pays II. La situation française III. Problématique de l’Interopérabilité de l’identification du patient en France et en Europe 12/11/2021 CORTE - Juillet 2007 2

I. Situation internationale : Les différents identifiants dans les différents pays II. Sources : III. Projet Si 1. 1 « Principes et Processus d’identification du patient » IV. Expériences internationales des systèmes de santé, de la politique d’information des systèmes de santé et de la politique d’identification. (version 1 – 2002) V. GMSIH 12/11/2021 CORTE - Juillet 2007 3

3 GRANDES CATÉGORIES DE PAYS ONT ÉTÉ IDENTIFIÉES § Des pays où l’identification unique nationale du patient est organisée ou prévue : pays du Nord de l’Europe (Danemark, Pays Bas, Belgique, Grande Bretagne, Irlande) et nouvelle Zélande, Allemagne ? § Des pays où l’identification du patient est plutôt de l’ordre de la « région » : Pays du sud de l’Europe (Espagne et Italie), pays fédéraux (Canada et Australie). § Pays indécis récent : les Etats-Unis d’Amérique qui s’orientent vers la fédération d’identifiants 12/11/2021 CORTE - Juillet 2007 4

PAYS OÙ L’IDENTIFICATION DU NATIONALE DU PATIENT EST ORGANISÉE OU PRÉVUE 12/11/2021 CORTE - Juillet 2007 5

Danemark 1. Constitution : § L’identifiant patient Santé = l’identifiant national (utilisé pour identifier les citoyens) NPR § Constitué de 10 chiffres + clé de vérification. Une partie du numéro est signifiante (date de naissance et sexe). 2. Attribution : § A la naissance et à l’arrivée pour les immigrants. 3. Usage et accès : § Nombreux domaines (publics et privés), notamment dans les banques privées. § Pour la santé : • Pour les soins, après identification du professionnel et consentement du patient • Appuyé sur le NPR : le DK dispose d’une base centralisée des contacts des patients avec les hôpitaux • Pour la recherche : bases de données anonymisées. 12/11/2021 CORTE - Juillet 2007 6

Pays Bas (Projet) 1. Constitution : 1. BSN : Burger Service Number , identification utilisée par l’administration fiscale mais aussi pour tout type d’identification (passeport, permis de conduire, …) § Identifiant citoyen unique, en cours de discussion par le § Sénat pour son utilisation dans la santé Doit être appliqué en 2008 si vote 2. Attribution : § Identifiant sur 9 digits (à la naissance ? ) 3. Usage et accès : • Service disponible pour conversion de l’ID local en BSN § Ce projet a pour objectif : accès aux informations de santé par les professionnels de santé ainsi que par les patients pour l’échange d’informations administratives et médicales. 12/11/2021 CORTE - Juillet 2007 7

Belgique 1. Constitution : § Numéro de sécurité sociale anonymisé 2. Attribution : Disponible sur une carte santé 3. Usage et accès : § Pour la santé, 3 types d’applications : • Financier et administratif (remboursement des soins) • Coordination des soins • Recherche clinique et épidémiologique EN projet : A partir du numéro de sécurité sociale on obtient 3 numéros anonymes différents pour chaque application (cryptage irréversible) 12/11/2021 CORTE - Juillet 2007 8

Grande Bretagne 1. Constitution : § Identifiant patient santé : le « NHS number » . § Numéro, non signifiant, composé de 10 chiffres + une clé. 2. Attribution : § couple Patient/médecin enregistré dans le registre local du NHS 3. Usage et accès : § Destiné à tous les usages en santé. § Numéro connu du praticien généraliste (le patient n’a pas besoin de connaître ce numéro). 12/11/2021 CORTE - Juillet 2007 9

Irlande 1. Constitution : 2. Identifiant patient santé unique en cours de mise en œuvre avec un support carte appelé PPS (Personal Public Service) 2. Attribution : ? En cours d’élaboration : les institutions concernées sont he Health Information and Quality Authority (HIQA) and the Department of Health and Children (DOHC). Le financement provient de General Medical Services Payments Board (GMSPB) qui utilise le PPS Usage et accès : 3. - Destiné à tous les usages en santé y compris l’accès au dossier patient 12/11/2021 CORTE - Juillet 2007 10

Nouvelle Zélande 1. Constitution : § Numéro unique § Composé de 7 caractères (3 lettres et 4 chiffres). 2. Attribution : § A tous les utilisateurs du système de soins (Même les touristes étrangers ayant besoin de soins). § Les traits utilisés sont le nom, les prénoms, la date de naissance et la date de décès, l’adresse, le sexe, l’ethnie, le statut de résident (n’interviennent pas dans la construction du numéro). 3. Usages et accès : § Tous les usages en santé § Un individu peut avoir plusieurs ALIAS, selon les applications (recherche) 12/11/2021 CORTE - Juillet 2007 11

Allemagne 1. Constitution : § Le numéro de sécurité sociale n’est pas utilisé pour l’identification du patient. § Chaque hôpital possède son propre système d’identification du patient : Le deuxième prénom et le lieu de naissance sont généralement utilisés en plus des nom, prénom et date de naissance. § Projet d’unification des cartes de remboursement et d’harmonisation de l’identification du patient. 12/11/2021 CORTE - Juillet 2007 12

PAYS OÙ L’IDENTIFIANT DU PATIENT EST PLUTÔT DE L’ORDRE DE LA RÉGION 12/11/2021 CORTE - Juillet 2007 13

Espagne et Italie 1. Constitution : 2. Numéro d’identifiant patient par région (17 en Espagne) 3. 2. Attribution : 4. Chaque région attribue un numéro de santé à ses habitants 5. Espagne : identifiants sur carte (principalement magnétique) 3. Usages et accès : Tous les usages de santé Le numéro patient est édité sur une carte que le patient présente au médecin lors de chaque visite 12/11/2021 CORTE - Juillet 2007 14

Canada 1. Constitution : Numéro de sécurité sociale national n’est pas utilisé en santé (utilisé pour les impôts). Numéro patient pas uniforme d’une province à l’autre (ex : numéro non signifiant de 10 chiffres en Ontario). 2. Attribution : Chaque province attribue un numéro de santé à ses habitants. 3. Usage et accès : Tous les usages de santé Le numéro patient est édité sur une carte que le patient présente au médecin lors de chaque visite. Projet inforoute : création d’un identifiant patient santé national. 12/11/2021 CORTE - Juillet 2007 15

Australie 1. Constitution : Actuellement en cours de discussion, compte tenu de la diversité des cultures et des provinces. En cours de normalisation des attributs de l’identité A l’étude 2. Attribution : A l’étude 3. Usage et Accès : Utilisation de fédérateurs d’identité 12/11/2021 CORTE - Juillet 2007 16

Un pays indécis : les Etats-Unis 1. Constitution : 2. Après de nombreuses discussions, orientation vers une fédération des identifiants des états 3. 2. Attribution : 4. Par chaque état 3. Usage et Accès : ? 12/11/2021 CORTE - Juillet 2007 17

II. La situation française : Le Dossier Médical Personnel -Initié par la loi du 13 Août 2004 -Tous les bénéficiaires de la couverture maladie doivent disposer de leur DMP 12/11/2021 CORTE - Juillet 2007 18

CONTENU n n n pathologies, antécédents codés en CIM -10, traitements et dispensations médicamenteuses, compte-rendus d’examens (et images) compte-rendus de consultations informations utiles à la prévention 12/11/2021 CORTE - Juillet 2007 19

Apport du DMP à l’épidémiologie n Etudes exhaustives (population), de l’évolution de l’état de santé diagnostiqué des individus actuellement impossibles avec les autres systèmes d’information. n Evaluation médico-économique de la prise en charge (examens, traitements chirurgicaux, prescriptions médicales) par pathologie (y compris les maladies rares). 12/11/2021 CORTE - Juillet 2007 20

n L’apport du DMP à la prévention ne peut s’envisager sans son traitement épidémiologique : une idée admise (mais pas dans le projet de décret). n Toutefois, la source DMP n’acquerra une qualité et une exhaustivité (des données) satisfaisante que si elle est validée par rapprochement d’autres sources (son exhaustivité reposera sur le consentement du patient). 12/11/2021 CORTE - Juillet 2007 21

Exemples DMP -Hospitalisations -Consultations IGR PMSI : hospitalisation pour cancer INSEE Données de mortalité Possibilité pour tous les patients hospitalisés pour cancer à l’IGR de reconstituer le parcours du patient (avant et après l’IGR), jusqu’au décès 12/11/2021 CORTE - Juillet 2007 22

DMP Hospitalisations Consultations Hôpitaux de la région PMSI hospitalisations Registre de cancer Possibilité : - de repérer des cas potentiels « oubliés » par les registres (après validation anatomopathologique) - de connaître le parcours du patient avant et après le diagnostic 12/11/2021 CORTE - Juillet 2007 23

DMP Base périnatale Hospitalisations Consultations Tout au long de la vie du patient En population Possibilité de connaître le devenir des enfants et d’identifier des facteurs de risque périnataux de pathologies de l’adulte 12/11/2021 CORTE - Juillet 2007 24

Réciproquement des sources anonymes comme le SNIIR-AM ou le panel des bénéficiaires gagneraient une autre dimension à recueillir le motif des traitements pris en charge, à travers les diagnostics inscrits dans le DMP. 12/11/2021 CORTE - Juillet 2007 25

SNIIRAM DMP -Hospitalisations -Consultations (sans les diagnostics) -Actes et traitements remboursés Idem + diagnostics Évaluation (anonyme) médico-économique du coût de la prise en charge d’une pathologie 12/11/2021 CORTE - Juillet 2007 26

n Ce rapprochement entre sources Ø identifiant compatible mis en place permettant de rapprocher des données de différentes sources. n Toutefois, dans la loi du 13 Août 2004, l’objectif du DMP est limité à la coordination des soins, sans que les traitements statistiques à des fins de recherche soient évoqués. 12/11/2021 CORTE - Juillet 2007 27

n Cette situation a ému les Académies (sciences, médecine), les associations (épidémiologistes, statisticiens) Ø n article publié dans la Revue d’Epidémiologie et de Santé Publique. Dans cet article, madame BOSSI a précisé : « un traitement ultérieur de données à des fins statistiques ou à des fins de recherche scientifique ou historique est considéré comme compatible avec les finalités initiales de la collecte des données » . Ø cf. article 6, loi du 06/01/78 modifiée en Août 2004 12/11/2021 CORTE - Juillet 2007 28

Communiqué sur l’utilisation en épidémiologie des bases de données recueillies en population générale – Académie de médecine R. Ardaillou et R. Henrion « La finalité d’un tel dossier ne doit pas seulement être individuelle, c'est-à-dire permettre aux médecins d’obtenir rapidement tous les renseignements utiles au diagnostic, au traitement et au suivi du patient, mais aussi épidémiologique, c'est-à-dire permettre de rassembler les données individuelles en vue d’obtenir les données indispensables sur l’état sanitaire de l’ensemble de la population » . 12/11/2021 CORTE - Juillet 2007 29

n « Les études croisées rapprochant les données de plusieurs sources devraient être autorisées. On peut donner comme exemple l’utilisation couplée du DMP et du SNIR-AM ou du DMP et des données de grandes cohortes et d’enquêtes en santé publique qui permettrait la validation multi-sources, très utile dans les études épidémiologiques » . n « L’anonymat doit être préservé dans toutes ces études, ce que les moyens informatiques modernes de cryptage et de sécurité de l’information autorisent, en respectant les recommandations de la Commission nationale informatique et liberté (CNIL), tels ceux adoptés par l’Institut de veille sanitaire pour les maladies à déclaration obligatoire, notamment le dossier médical des patients séropositifs pour le VIH » . 12/11/2021 CORTE - Juillet 2007 30

Les contraintes des épidémiologistes n L’appariement avec les sources: q Le SNIIRAM q Le PMSI q Le panel EPIBAM des bénéficiaires q Les bases de mortalité de l’INSEE 12/11/2021 CORTE - Juillet 2007 31

n Afin d’assurer l’unicité de l’identifiant patient et sa compatibilité avec les principales bases de données de santé, l’utilisation du NIR a semblé souhaitable. n Pour que le NIR (ou un dérivé) devienne l’identifiant du DMP : proposition de l’amendement de la loi de finances de la sécurité sociale pour que le NIR soit un « identifiant de patient commun dans le domaine de la santé » . (Automne 2006 ) 12/11/2021 CORTE - Juillet 2007 32

§ Pressions exercées (ligue des Droits de l’Homme, Association Droits et Libertés, face à l’informatisation de la société – Delis, Associations de patients). § La CNIL a réuni un groupe de travail et a rendu son avis fin mars 2007 : l’anonymisation du NIR devrait permettre de protéger l’intérêt des citoyens tel qu’il a été exprimé par les associations de patients ou de défense des libertés individuelles. 12/11/2021 CORTE - Juillet 2007 33

QUELLES MÉTHODES POURRAIENT PERMETTRE D’ASSURER L’ANONYMAT ? 12/11/2021 CORTE - Juillet 2007 34

Méthodes statistiques : Assurer un certain niveau d’agrégation (plusieurs individus partageant les mêmes caractéristiques) : Modifications des données : - Remplacer les valeurs par la médiane ou la moyenne, Regrouper les valeurs en classes, Ajouter des données virtuelles ou supprimer des données « trop » identifiantes, Echanger les valeurs entre les enregistrements 12/11/2021 CORTE - Juillet 2007 35

MÉTHODE DE HACHAGE Transformation irréversible de l’identité (algorithme Standard Hash Algorithm – SHA) Code identique, pour une identité donnée, pour permettre le regroupement des informations d’un même malade. 12/11/2021 CORTE - Juillet 2007 36

METHODE D’ANONYMAT DECLAREE AUPRES. du Service Central de la Sécurité des Systèmes d’Information (SCSSI) : mars 1996. de la Commission Nationale de l’Informatique et des Libertés (CNIL) : décembre 1996 12/11/2021 CORTE - Juillet 2007 37

REFLEXION PRÉSENTÉE À LA CNIL § Génération d’un INS (Identifiant National de Santé) par anonymisation du NIR (tiers de confiance) pour répondre au souhait des associations de patients : INS sur la carte vitale (CV) § Inconvénients : - Correspondance NIR-INS sur la CV et chez les professionnels de santé du point de vue de la Sécurité : c’est comme si on utilisait le NIR (risque de leurre) Nécessité de procéder à un autre hachage lorsque l’on stocke les données de santé. 12/11/2021 CORTE - Juillet 2007 38

Nécessité de sécuriser le NIR lors du stockage (hébergeurs) PS INS Chiffré chiffrement Portail Hachage INS de stockage hébergeur chiffrement INS de stockage Avantages : - pas d’implantation du système de hachage chez les professionnels de santé (PS) pas de coût supplémentaire, ni de divulgation du système de hachage - possibilité d’avoir 1 INS de stockage différent par application (DMP, DCC, dossier de réseau) sans avoir à distribuer les clés à tous les PS. Inconvénients : - Co-existence de l’INS et du NIR dans les bases des PS (et notamment les hôpitaux de grande taille) nécessité d’un chiffrement de l’INS et du NIR chez les PS. 12/11/2021 CORTE - Juillet 2007 39

Pré-requis en matière de sécurité - Identification / Authentification fiable et robuste des PS (nécessité de la CPS à l’hôpital) - Archivage sécurisé et fiabilisé des données de santé chez les PS (pas seulement gestion des droits d’accès aux applications mais sécurité du stockage sur le disque dur local et des archives externes) - Sécurité des échanges entre les PS (ville-ville, ville-hôpital, PS-domicile). Exemple : rebond de messagerie pendant les congés ou accès aux dossiers médicaux depuis internet à domicile pour les astreintes médicales et informatiques (VPN + CPS). 12/11/2021 CORTE - Juillet 2007 40

III. Problématique de l’Interopérabilité de l’identification du patient en France et en Europe Ø En France Le NIR ne suffit pas pour créer l’INS • Pour assurer le chaînage avec les données PMSI-SNIIRAM : il faudrait rajouter la date de naissance et le sexe du patient. 12/11/2021 CORTE - Juillet 2007 41

EXISTANT NIR assuré DN bénéficiaire Sexe bénéficiaire Centres de Traitement HACHAGE FOIN – SNIIR AM 1 Informatique (CTI) Id ano 1 HACHAGE FOIN – SNIIR AM 2 Id ano 2 SOLUTION PROPOSEE HACHAGE (Clé 3) Id ano 3 HACHAGE (Clé 4) Centre National de Traitement Informatique (CNTI) Tiers de Confiance NIS 12/11/2021 CORTE - Juillet 2007 42

Ø Au niveau de l’Europe § Pour assurer l’interopérabilité de l’INS avec les autres identifiants en Europe : üOn pourrait rajouter au NIR : • le nom, le prénom, la date de naissance, qui sont déjà dans la Carte Européenne de Santé et que l’on pourrait rendre anonymes par hachage. • L’identifiant individuel à composante familiale (validé par la CNIL + Brevet C. QUANTIN et O. Cohen– 2004) 12/11/2021 CORTE - Juillet 2007 43

PROJET NET CARD n n n Un des enjeux est la mobilité des citoyens en Europe ainsi que de faciliter l’accès aux soins dans les états membres de l’Union Européenne et de l’espace économique Européen En France, les acteurs du projet sont le GIE SV, CNAMTS, APHP, CNPS Basé sur le E 111 et le E 128 Dématérialisation des données administratives en vue de remboursement sur une carte non spécifique (utilisation des cartes existantes) Le formulaire 12/11/2021 Identification de l‘établissement hospitalier Identification du patient assuré : Nom, NIR, droits, période de validité etc. . . Informations utiles à l‘admission du patient Information utiles au diagnostic médical Code opération Information mutuelle complémentaire ETM et Tiers Payant Informations utiles à la prise en charge CORTE - Juillet 2007 44

Schéma d’architecture Billing Services Health Care Pro. Workstation secure Internet SSL V 3 or Intranet NETC@RDS Service Portal SLOVAKIA EHIC or Smart Card Input Log stored NETC@RDS Repository Service Portal FINLAND Log stored D’après Vitale 12/11/2021 CORTE - Juillet 2007 45

ANNEXE IDENTIFIANT INDIVIDUEL Nom 3 Prénom 3 D Naissance 3 Nom 2 Prénom 2 D Naissance 2 Nom 1 Prénom 1 D Naissance 1 12/11/2021 CORTE - Juillet 2007 46

IDENTIFIANT INDIVIDUEL A COMPOSANTE FAMILIALE Composante individuelle du père Composante individuelle de la mère Nom 3 Prénom 3 D Naissance 3 Nom 2 Prénom 2 D Naissance 2 Nom 1 Prénom 1 D Naissance 1 Nom 3 Prénom 3 D Naissance 3 12/11/2021 CORTE - Juillet 2007 Nom 2 Prénom 2 D Naissance 2 47

CHAINAGE FAMILIAL 12/11/2021 CORTE - Juillet 2007 48

PROPOSITION § L’identifiant individuel aurait plusieurs composantes : 1. L’identifiant du patient dans le pays où il est assuré social : (cf partie I) pour les autres pays ou l’identifiant du DMP pour la France. 2. L’identifiant à composante familiale (nom, prénom, date de naissance du patient, ainsi que les mêmes informations pour le père et la mère) : pour faire le lien entre les données d’un patient dans pays. § Chacun des champs de chacune des composantes serait haché (logiciel de hachage SHA). 12/11/2021 CORTE - Juillet 2007 49

UN MODÈLE EVOLUTIF - Le rajout d’une composante est possible, par exemple pour les données de biométrie (que nous n’avons pas prévu d’emblée, en raison de la position récente du comité National d’Ethique et de la CNIL). - Pour permettre d’assurer l’évolutivité de notre modèle, il convient de pouvoir gérer l’historique des modifications successives des identifiants au cours du temps. (création d’un numéro de transmission? ) 12/11/2021 CORTE - Juillet 2007 50