care_insight

A la suite de la publication d’un rapport de la Cour des Comptes en mai 2016 mettant en évidence les « failles de sécurité » du SNIIRAM (Système national d’information interrégimes de l’Assurance Maladie), la CNIL (Commission Nationale de l’Informatique et des Libertés) a diligenté plusieurs des missions de contrôle sur place entre les mois de septembre 2016 et mars 2017 afin de vérifier la conformité du SNIIRAM à la loi du 6 janvier 2018 modifiée.

Les contrôles réalisés par la CNIL ont mis en évidence des manquements à la loi Informatiques et Libertés en matière de sécurité des données. Le 27 février 2018, la CNIL a enjoint la CNAMTS (Caisse nationale d’assurance maladie des travailleurs salariés) de renforcer la sécurisation du SNIIRAM. La CNAMTS dispose d’un délais de trois mois pour s’y conformer.

Le SNIIRAM, une base de données sans équivalent en Europe

Créé par la loi n°98-1194 du 23 décembre 1998 de financement de la sécurité sociale et mis en oeuvre par la CNAMTS, le SNIIRAM contient des milliards de données relatives à la santé des assurés sociaux (actes médicaux, feuilles de soins, séjours hospitaliers, etc.).

Mise en service en 2004, cette base de données est accessible aux caisses gestionnaires des régimes d’assurance maladie, aux agences régionales de santé, aux ministères, à l’institut national des données de santé, et à organismes de recherche, etc. Le SNIIRAM constitue une base de données médico-administratives sans équivalent en Europe.

Aux termes de l’article L.161-28-1 du code de la sécurité sociale, le SNIIRAM contribue :

• « à la connaissance des dépenses de l’ensemble des régimes d’assurance maladie par circonscription géographique, par catégorie de professionnels responsables de ces dépenses et par des professionnels ou établissement ;
• à la transmission en retour aux prestataires de soins d’informations pertinentes relatives à leur activité et à leur recette, et s’il y a lieu à leurs prescriptions ;
• à la constitution du système national des données de santé (…). Il est alimentée par les organismes gérant un régime de base d’assurance maladie ».

Des failles de sécurité mises en évidence par la Cour des Comptes en 2016

Dans un rapport rendu public le 3 mai 2016, la Cour des Comptes soulignait l’état de sécurité insuffisant des données du SNIIRAM : « les efforts doivent être poursuivis afin de réduire les risques pouvant affecter la confidentialité et la sécurité des données ». La Cour des Comptes formulait treize recommendations pour « sécuriser l’existant » et encourager l’utilisation du SNIIRAM à des fins de recherche et d’intérêt général.

A la suite de la publication du rapport de la Cour des Comptes, la Commission nationale Informatique et Libertés a inscrit le SNIIRAM au nombre des thématiques de son programme annuel de contrôles. En application de la décision n°2016-186C du 20 juin 2016 de la Présidente de la CNIL, des missions de contrôles ont été diligentées auprès de la CNAMTS, de prestataires techniques et de caisses primaires d’assurance maladie pour vérifier la conformité du SNIIRAM à la loi Informatique et Libertés.

Des mesures de sécurité jugées « insuffisantes » par la CNIL au regard de la loi du 6 janvier 1978 modifiée

La décision de la CNIL, prise le 8 février 2018, a été rendue publique le 27 février 2018 par une décision du 15 février. La CNIL a relevé plusieurs « insuffisances » concernant, notamment : 

• la pseudonymisation des données de santé des assurés sociaux (qui vise à rendre plus difficile la ré-identification des personnes) ;
• les procédures de sauvegarde des données ; 
• l‘accès aux données par les usagers du SNIIRAM (en particulier, l’insuffisante sécurité de leurs postes de travail ) et des prestataires ; 
• les extractions de données individuelles du SNIIRAM ;
• la mise à disposition d’extractions de données agrégées du SNIIRAM aux partenaires.

Ces éléments constituent des manquements à l’article 34 de la loi n° 78-17 du 6 janvier 1978 modifiée, aux termes duquel : « Le responsable du traitement est tenu de prendre toutes précautions utiles, au regard de la nature des données et des risques présentés par le traitement, pour préserver la sécurité des données et, notamment, empêcher qu’elles soient déformées, endommagées, ou que des tiers non autorisés y aient accès (…) ».

La CNAMTS dispose d’un délais de trois mois pour s’y conformer

La CNIL a mis en demeure la CNAMTS « de prendre toute mesure utile pour garantir pleinement la sécurité et la confidentialité des données des assurés sociaux conformément aux exigences de l’article 34 de la loi Informatique et Libertés » sous un délais de trois mois. Une mise en demeure est en droit français une interpellation formelle de la part d’un organe institutionnel.

La CNIL précise dans un communiqué de presse daté du 27 février 2018 qu’ »au regard de la particulière sensibilité des données des données traitées, du volume des données enregistrées et du nombre important d’organismes habilités à y accéder, il a été décidé de rendre publique cette mise en demeure ».

La CNAMTS s’expose à des sanctions si elle ne se conforme pas à la loi aux termes du délais de trois mois imparti par la CNIL

La Présidente de la CNIL précise dans sa décision que cette mise en demeure ne constitue pas une « sanction ». En revanche, si la CNAMTS ne se conforme pas aux disposition de la loi Informatique et Libertés aux termes du délais de trois mois imparti par la CNIL, un rapporteur sera désigné et la formation restreinte de la CNIL pourra prononcer à l’encontre de la CNAMTS l’une des sanctions prévues à l’article 45 de la loi du 6 janvier 1978 modifiée, à savoir :

• 1° Un avertissement ;
• 2° Une sanction pécuniaire, dans les conditions prévues à l’article 47, à l’exception des cas où le traitement est mis en œuvre par l’Etat ;
• 3° Une injonction de cesser le traitement, lorsque celui-ci relève de l’article 22, ou un retrait de l’autorisation accordée en application de l’article 25.

La décision de la CNIL est consultable en ligne.

A quelques mois de l’entrée en vigueur du Règlement général sur la protection des données (RGPD), la Commission nationale Informatique et Libertés (CNIL) publie le mardi 27 février 2018 une nouvelle version des ses guides Privacy Impact Assessment (PIA) ou Analyse d’impact sur la vie privée, assortie d’une guide d’adaptation de la méthode PIA au contexte des objets connectés et une étude de cas sur un moniteur de sommeil.

Remarques sémantiques préalables 

Analyse d’impact relative à la protection des données ou Data Protection Impact Assessment (DPIA) terme retenu par le RGPD, et Analyse d’impact sur la vie privée ou Privacy Impact Assessment ou (PIA) , terme plus communément utilisé dans d’autres régions du monde, sont synonymes.

Le RGPD rend obligatoire l’analyse d’impact relative à la protection des données (DPIA) pour les traitements « susceptibles d’engendrer des risques élevés »

Un DPIA vise à bâtir et démontrer la mise en oeuvre de principes de protection de la vie privée. Le DPIA repose sur deux piliers, comme le rappelle la CNIL sur son site internet : 

• l’évaluation juridique de la nécessité et de la proportionnalité du traitement au regard des principes et droits fondamentaux ;
• l’étude technique des risques sur la sécurité des données.

Aux termes de l’article 35 du RGPD, une analyse d’impact relative à la protection des données (DPIA) doit être obligatoirement réalisée lorsque le traitement est « susceptible d’engendrer un risque élevé pour les droits et libertés des personnes concernées ». Le DPIA doit être réalisé avant la mise en oeuvre du traitement.

Les traitements satisfaisant au moins deux des critères suivants doivent faire l’objet d’une analyse d’impact : évaluation/scoring, décision automatique avec effet légal ou similaire, surveillance systématique, collecte de données sensibles, collecte de données personnelles à grande échelle, personnes vulnérables, utilisation d’une nouvelle technologie, exclusion du bénéfice d’un droit/contrat.

A compter de mai 2018, une analyse d’impact ne sera pas exigée pour deux types de traitements : 

• les traitements ayant fait l’objet d’une formalité préalable auprès de la CNIL avant le 25 mai 2018 ;
• les traitements consignés au registre d’un correspondant « informatique et liberté ».

La CNIL actualise ses guides et son logiciel PIA pour les rendre conformes au RGPD

La CNIL a révisé le contenu de ses guides « PIA » pour les adapter aux nouvelles obligations introduites par le RGPD et pour compléter le logiciel PIA proposé par la CNIL. La méthode PIA de la CNIL est composée de trois guides : 

• La méthode : elle explique comment réaliser un PIA ;
• Les Modèles PIA : ils permettent de formaliser l’étude en détaillant la façon de traiter les différentes sections présentées dans la méthode ;
• Les bases de connaissances : elles comprennent des éléments utiles pour mener le PIA (catalogue de mesures, typologies, exemples de données).

Pour accompagner la publication des guides, le logiciel PIA fait peau neuve. PIA a été corrigé et amélioré sur les points suivants : ajout de versions allemandes et espagnoles, d’un manuel utilisateur, d’un exemple de PIA entièrement complété, d’un historique de pièces-jointes, etc. La nouvelle version beta de l’outil PIA est disponible au téléchargement à cette adresse.

Une version de la méthode PIA adaptée au secteur des objets connectés

La CNIL publie une version de la méthode PIA appliquée au secteur des objets connectés. Le document d’une cinquantaine de pages est appelé PIAF ou Privacy Impact Assessment Framework. Une étude de cas sur un moniteur du sommeil est également accessible sur le site de la CNIL. Les guides, le PIAF et l’étude de cas sont téléchargeables à cette adresse.