A la suite de la publication d’un rapport de la Cour des Comptes en mai 2016 mettant en évidence les « failles de sécurité » du SNIIRAM (Système national d’information interrégimes de l’Assurance Maladie), la CNIL (Commission Nationale de l’Informatique et des Libertés) a diligenté plusieurs des missions de contrôle sur place entre les mois de septembre 2016 et mars 2017 afin de vérifier la conformité du SNIIRAM à la loi du 6 janvier 2018 modifiée.
Les contrôles réalisés par la CNIL ont mis en évidence des manquements à la loi Informatiques et Libertés en matière de sécurité des données. Le 27 février 2018, la CNIL a enjoint la CNAMTS (Caisse nationale d’assurance maladie des travailleurs salariés) de renforcer la sécurisation du SNIIRAM. La CNAMTS dispose d’un délais de trois mois pour s’y conformer.
Le SNIIRAM, une base de données sans équivalent en Europe
Créé par la loi n°98-1194 du 23 décembre 1998 de financement de la sécurité sociale et mis en oeuvre par la CNAMTS, le SNIIRAM contient des milliards de données relatives à la santé des assurés sociaux (actes médicaux, feuilles de soins, séjours hospitaliers, etc.).
Mise en service en 2004, cette base de données est accessible aux caisses gestionnaires des régimes d’assurance maladie, aux agences régionales de santé, aux ministères, à l’institut national des données de santé, et à organismes de recherche, etc. Le SNIIRAM constitue une base de données médico-administratives sans équivalent en Europe.
Aux termes de l’article L.161-28-1 du code de la sécurité sociale, le SNIIRAM contribue :
- « à la connaissance des dépenses de l’ensemble des régimes d’assurance maladie par circonscription géographique, par catégorie de professionnels responsables de ces dépenses et par des professionnels ou établissement ;
- à la transmission en retour aux prestataires de soins d’informations pertinentes relatives à leur activité et à leur recette, et s’il y a lieu à leurs prescriptions ;
- à la constitution du système national des données de santé (…). Il est alimentée par les organismes gérant un régime de base d’assurance maladie ».
Des failles de sécurité mises en évidence par la Cour des Comptes en 2016
Dans un rapport rendu public le 3 mai 2016, la Cour des Comptes soulignait l’état de sécurité insuffisant des données du SNIIRAM : « les efforts doivent être poursuivis afin de réduire les risques pouvant affecter la confidentialité et la sécurité des données ». La Cour des Comptes formulait treize recommendations pour « sécuriser l’existant » et encourager l’utilisation du SNIIRAM à des fins de recherche et d’intérêt général.
A la suite de la publication du rapport de la Cour des Comptes, la Commission nationale Informatique et Libertés a inscrit le SNIIRAM au nombre des thématiques de son programme annuel de contrôles. En application de la décision n°2016-186C du 20 juin 2016 de la Présidente de la CNIL, des missions de contrôles ont été diligentées auprès de la CNAMTS, de prestataires techniques et de caisses primaires d’assurance maladie pour vérifier la conformité du SNIIRAM à la loi Informatique et Libertés.
Des mesures de sécurité jugées « insuffisantes » par la CNIL au regard de la loi du 6 janvier 1978 modifiée
La décision de la CNIL, prise le 8 février 2018, a été rendue publique le 27 février 2018 par une décision du 15 février. La CNIL a relevé plusieurs « insuffisances » concernant, notamment :
- la pseudonymisation des données de santé des assurés sociaux (qui vise à rendre plus difficile la ré-identification des personnes) ;
- les procédures de sauvegarde des données ;
- l‘accès aux données par les usagers du SNIIRAM (en particulier, l’insuffisante sécurité de leurs postes de travail ) et des prestataires ;
- les extractions de données individuelles du SNIIRAM ;
- la mise à disposition d’extractions de données agrégées du SNIIRAM aux partenaires.
Ces éléments constituent des manquements à l’article 34 de la loi n° 78-17 du 6 janvier 1978 modifiée, aux termes duquel : « Le responsable du traitement est tenu de prendre toutes précautions utiles, au regard de la nature des données et des risques présentés par le traitement, pour préserver la sécurité des données et, notamment, empêcher qu’elles soient déformées, endommagées, ou que des tiers non autorisés y aient accès (…) ».
La CNAMTS dispose d’un délais de trois mois pour s’y conformer
La CNIL a mis en demeure la CNAMTS « de prendre toute mesure utile pour garantir pleinement la sécurité et la confidentialité des données des assurés sociaux conformément aux exigences de l’article 34 de la loi Informatique et Libertés » sous un délais de trois mois. Une mise en demeure est en droit français une interpellation formelle de la part d’un organe institutionnel.
La CNIL précise dans un communiqué de presse daté du 27 février 2018 qu’ »au regard de la particulière sensibilité des données des données traitées, du volume des données enregistrées et du nombre important d’organismes habilités à y accéder, il a été décidé de rendre publique cette mise en demeure ».
La CNAMTS s’expose à des sanctions si elle ne se conforme pas à la loi aux termes du délais de trois mois imparti par la CNIL
La Présidente de la CNIL précise dans sa décision que cette mise en demeure ne constitue pas une « sanction ». En revanche, si la CNAMTS ne se conforme pas aux disposition de la loi Informatique et Libertés aux termes du délais de trois mois imparti par la CNIL, un rapporteur sera désigné et la formation restreinte de la CNIL pourra prononcer à l’encontre de la CNAMTS l’une des sanctions prévues à l’article 45 de la loi du 6 janvier 1978 modifiée, à savoir :
- 1° Un avertissement ;
- 2° Une sanction pécuniaire, dans les conditions prévues à l’article 47, à l’exception des cas où le traitement est mis en œuvre par l’Etat ;
- 3° Une injonction de cesser le traitement, lorsque celui-ci relève de l’article 22, ou un retrait de l’autorisation accordée en application de l’article 25.
La décision de la CNIL est consultable en ligne.