care_insight

La Cour des comptes publiait le mercredi 7 janvier son rapport public annuel, dont le chapitre 4 est consacré aux « Services publics numériques en santé ». Dans un premier article, H&TI revenait sur les évaluations réalisées par le Cours des Comptes de plusieurs outils numériques (ameli.fr, dossier médical personnel, etc.).

Ce second article recense et synthétise l’ensemble des recommandations formulées par la Cour en matière de santé numérique.

Partant du constat que les services publics numériques en santé ne jouent pas le rôle majeur qu’ils sont appelés à assumer dans la transformation du système de santé, la Cour des Comptes considère qu’une « stratégie d’ensemble, claire et structurante, de modernisation numérique du système de santé est (…) à définir ».

Des préalables doivent ainsi être « réglés » en matière de garantie de sécurité, d’interopérabilité, d’identification unique du patient dans le système de soins. Par ailleurs l’obligation d’un accord préalable du patient pour la création d’un DMP et la possibilité qui lui est offerte de limiter sa complétude, « mériteraient d’être réexaminées ».

L’État doit intensifier son action en matière de santé numérique, d’après la Cour. Cette intensification doit porter sur plusieurs chantiers.

Renforcer la sécurité des services publics numériques

La Cour des Comptes juge indispensable de sécuriser les systèmes d’information en santé et d’assurer la confidentialité, l’intégrité, la disponibilité et la traçabilité des données dématérialisées. A ce titre, la Cour préconise de : 

• préciser les modalités de mise en œuvre du suivi national des incidents graves de sécurité instauré par la loi du 26 janvier 2016 de modernisation de notre système de santé ;
• intégrer de manière prioritaire l’enjeu de sécurité dans tous les chantiers numériques ;
• dégager de nouvelles ressources financières pour sécuriser le SNIIRAM : dans une communication remise à l’Assemblée nationale sur le système national d’information inter-régimes d’assurance maladie (SNIIRAM).

Rendre opposables les normes d’interopérabilité 

La Cour constate que « le corpus des normes d’interopérabilité reste (…) encore pour partie lacunaire ». Elle rappelle également que depuis la loi du 26 janvier 2016, les normes d’interopérabilités peuvent être rendues opposables par arrêté ministériel, ce qui les rend applicables à l’ensemble des acteurs. Ceci n’a pas été fait à ce jour. La Cour recommande ainsi de : 

• rendre opposables les normes d’interopérabilité ;
• établir un calendrier d’opposabilité permettant aux éditeurs de logiciels et hébergeurs de données de santé d’anticiper les évolutions à venir dans ce domaine, ce calendrier apparaissant comme « une responsabilité que les pouvoirs publics ne sauraient plus longtemps éluder ».

Acter et entériner l’unification de l’identité numérique des patients

La Cour rappelle l’existence de nombreux numéros d’identification des usagers du systèmes de santé : le patient est identifié à partir du numéro d’inscription au répertoire national des personnes physiques (NIR) pour la facturation des soins, à partir d’un identifiant spécifique créé pour les patients des établissements de santé, par un décret du 27 avril 2016, et à partir d’un identifiant national mis en place par l’Asip Santé pour permettre une identification commune à l’échelle nationale.

La Cour considère qu’il résulte de cette pluralité d’identifiants nationaux « des incohérences coûteuses en temps et en ressources ». Pour rendre effective l’utilisation du NIR comme identifiant national de santé unique à l’horizon 2020, (comme le prévoit la loi du 26 janvier 2016), il faudra « une forte impulsion et une vigilance attentive pour pouvoir tenir ces délais dans de bonnes conditions ».

« Intégrer pleinement le numérique dans une nouvelle stratégie de santé »

Faire émerger de nouveaux services

La Cour des Comptes préconise de généraliser l’utilisation de logiciels d’aide à la prescription et à la décision, sans que ces derniers ne se substituent aux médecins.

« Enrichir l’usage de données de santé » et réexaminer les conditions associées à l’ouverture du DMP

Les bases de données de santé sont insuffisamment médicalisées et exploitées à des fins de politiques publiques, souligne la Cour, qui rappelle l’importance des « enjeux de complétude et de médicalisation des données de santé ». La Cour recommande à ce titre de : 

• accélérer la médicalisation des bases de données ;
• réexaminer les « restrictions à l’ouverture et à la complétude des dossiers », à l’aune « des résultats effectifs du déploiement en cours ».

« Coordonner les efforts publics »

La Cour des Comptes salue enfin la création en janvier 2017 d’un Conseil stratégique du numérique en santé (CSNS). Elle regrette toutefois que cette instance demeure à ce jour « incomplète : à l’exception de la CNAMTS, elle ne comprend aucun des opérateurs de l’assurance maladie ». 

Ainsi, conclut-elle, « une instance stratégique restreinte à vocation décisionnelle gagnerait à voir le jour, à même d’arbitrer les choix structurants pour les services publics numériques en santé et d’anticiper les questions posées par l’accélération de leur développement (…). »

La Commission des Affaires sociales de l’Assemblée nationale procède actuellement à l’examen pour avis du projet de loi relatif à la protection des données personnelles. La Députée Albane Gaillot a remis son rapport, sur le fondement duquel la Commission a émis un avis favorable à l’adoption de l’ensemble du projet de loi, sans modification.

En revanche, la rapporteure considère dans son avis – dont H&TI vous propose la synthèse – que le projet présente des enjeux non négligeables pour trois types d’acteurs :
• les responsables de traitements, auxquels peuvent être infligés des sanctions d’un nouvel ordre ;
• la Commission Nationale de l’Informatique et des Libertés, dont les moyens et financiers « ne sont pas à la hauteur des enjeux »;
• les acteurs du traitements des données (industriels, chercheurs, etc.) dont l’action devra se déployer dans un cadre éthique renouvelé dont la député exige la précision.

Les responsables de traitement sont exposés à de nouvelles sanctions

Les organismes publics et privés auditionnés par la Commission des Affaires Sociales se sont dits « inquiets » par le nouveau cadre juridique envisagé par le projet de loi. Les craintes exprimées portent principalement sur l’article 13 du projet, qui traite des traitements de données à caractère personnel dans le domaine de la santé, en modifiant le chapitre IX de la loi du 6 janvier 1978.

Il prévoit que pour les traitements des données de santé justifiés par une finalité d’intérêt public, des référentiels, règlements types et méthodologies de référence peuvent être établies par la CNIL, en concertation avec l’Institut national des données de santé. Ces référentiels, règlements types et méthodologies de références constitueront la règle et les autorisations par la CNIL deviendront l’exception. L’article prévoit des dispositions particulières pour traitements à des fins de recherche, d’étude ou d’évaluation dans le domaine de la santé.

D’après la rapporteure de la Commission des affaires sociales, cet article suscite plusieurs craintes car il alourdit le régime de sanction. Par ailleurs, relève Albane Gaillot, « s’il allège les formalités, l’article 13 ne modifie en rien l’approche aujourd’hui retenue et n’opère pas de bouleversements majeurs dans les procédures ».

La CNIL dispose-t-elle des moyens financiers et humains nécessaires à la mise en oeuvre du nouveau régime ? 

Le second défi concerne la CNIL. Si celle-ci a « parfaitement anticipé les évolutions opérées par le règlement », en élaborant une doctrine d’emploi conforme aux nouvelles exigences de la CNIL et en faisant évoluer ses services vers l’accompagnement des opérateurs publics et privés, elle ne peut le faire à effectif constant. 

Albane Gaillot remarque à ce titre que « les objectifs sous-tendus par la nouvelle logique de régulation nécessitent un renforcement des capacités opérationnelles tant pour l’accompagnement que pour le contrôle ». C’est par ailleurs ce que souligne le Conseil d’Etat dans un avis rendu le 7 décembre 2017: « Le Conseil d’Etat observe que les conséquences de ce régime de décision implicite sur les moyens humains et matériels de la CNIL n’ont pas fait l’objet d’une analyse de la part du Gouvernement qui devra veiller à ce que cette commission dispose des moyens de prendre effectivement position au regard de l’importance et du nombre de ces traitements ».

« Il est illusoire de penser que cet objectif ambitieux pourra être atteint à effectif constant »

Conforter le régime de traitement des données pour les acteurs impliqués

La rapporteur considère que le traitement des informations de santé requière une « vigilance particulière ». 

Les acteurs des données de santé, et notamment les professionnels de santé, les industriels ou les organismes de recherche doivent se conformer à plusieurs exigences éthiques : recueil du consentement, respect du droit à l’information, du droit de rectification ou encore, du droit à l’oubli. Albane Gaillot préconise de « conforter le régime de traitement des données de santé par le développement de labels ou de certifications attestant d’une démarche éthique, sous le contrôle de la CNIL ».

La rapporteure appelle enfin les citoyens à être particulièrement vigilants quant au consentement accordé à l’usage de leurs données personnelles : « un ambitieux chantier de sensibilisation doit être entrepris ».

« De nombreux angles morts subsistent »

Le projet de loi s’inscrit dans un contexte de développement sans précédents des outils numériques. En atteste notamment le thème du rapport annuel de la Cour des Comptes, rendu public le 7 février 2018. A ce titre, la rapporteur souligne que le projet comporte de « nombreux angles morts ».

Ce projet de loi n’entend pas relever « le défi de l’intelligence artificielle », de l’homme augmenté et de la robotisation. Le législateur doit se saisir de ces enjeux, faute de quoi « il aura failli à sa mission ».