La Commission nationale de l'informatique et des libertés,

Vu la Convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;

Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement de données à caractère personnel et à la libre circulation de ces données ;

Vu le code de la sécurité sociale, et notamment son article L. 6113-8 ;

Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée le 6 août 2004, notamment son article 11 ;

Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifié le 25 mars 2007 ;

Vu l'arrêté du 31 décembre 2003 relatif au recueil et au traitement des données d'activité médicale des établissements de santé publics ou privés ayant une activité en médecine chirurgie ou obstétrique et à la transmission d'informations issues de ce traitement dans les conditions définies à l'article L. 6113-8 du code de la santé publique ;

Vu le projet d'arrêté du ministre de la santé, de la jeunesse et des sports relatif au recueil et au traitement des données d'activité médicale et des données de facturation correspondantes produites par les établissements de santé publics ou privés ayant une activité en médecine, chirurgie, obstétrique et odontologie et à la transmission d'informations issues de ce traitement dans les conditions définies à l'article L. 6113-8 du code de la santé publique ;

Sur le rapport de M. de Longevialle, commissaire, et les observations de Mme Pascale Compagnie, commissaire du Gouvernement,

Emet l'avis suivant :

La commission a été saisie par la ministre de la santé, de la jeunesse et des sports d'un projet d'arrêté relatif au recueil et au traitement des données d'activité médicale et des données de facturation correspondantes produites par les établissements de santé publics ou privés ayant une activité en médecine, chirurgie, obstétrique et odontologie et à la transmission d'informations issues de ce traitement dans les conditions définies à l'article L. 6113-8 du code de la santé publique.

L'article L. 6113-8 précité prévoit que les établissements de santé transmettent aux agences régionales de l'hospitalisation, ainsi qu'à l'Etat et aux organismes d'assurance maladie, les informations relatives à leurs moyens de fonctionnement et à leur activité qui sont nécessaires à l'élaboration et à la révision de la carte sanitaire et du schéma d'organisation sanitaire, à la détermination de leurs ressources, à l'évaluation de la qualité des soins ainsi qu'au contrôle de leur activité et de leurs facturations.

Le présent projet d'arrêt dit « PMSI » a pour finalité d'actualiser, sans le modifier sur le fond, l'arrêté du 31 décembre 2003, qui avait fait l'objet d'un avis de la CNIL, le 22 décembre 2003.

Les modifications apportées ont pour objet d'utiliser cette production de données pour le financement de l'activité de chaque établissement de santé (tarification à l'activité). Il décrit le dispositif de production des données d'activité et de facturation des établissements dans la perspective de la mise en place de la tarification à l'activité dans l'ensemble des établissements de santé tant privés que publics mais également le dispositif transitoire (art. 7) tenant compte des différentes modalités de facturation actuelle des deux secteurs hospitaliers.

Les nouvelles données traitées sont relatives :

― aux données liées au séjour non transmis dans les actuels RUM (résumés d'unité médicale) et RSS (résumés de sortie standardisés) comme les consommations de médicaments coûteux et de dispositifs médicaux implantables ;

― aux informations concernant des activités non suivies d'hospitalisation : prestations réalisées dans le cadre de l'urgence, des alternatives à la dialyse en centre spécialisé, les actes réalisés à l'hôpital sans hospitalisation, les consultations et actes externes.

A terme, les agences régionales de l'hospitation (ARH) seront destinataires des résumés standardisés de facturation (RSF) des établissements privés et publics de leur ressort géographique, pour l'ensemble des prestations hospitalières et plus uniquement pour les séjours hospitaliers. Les fichiers transmis à l'ARH sont anonymisés. Une clé de chaînage permet de lier les séjours ou les prestations non suivis d'hospitalisation (résumés de sortie anonymisés - RSA) avec les fichiers de résumés standardisés de facturation (RSF).

Il est également prévu à l'article 4 du projet d'arrêté que les établissements prennent toutes les dispositions utiles afin de permettre aux patients d'exercer auprès du médecin responsable de l'informatique médicale leurs droits d'accès et de rectification.

La commission prend acte que, dans la mesure où les modifications apportées au recueil et au traitement des données d'activité médicale et des données de facturation ne sont pas substantielles, les établissements qui ont d'ores et déjà effectué une déclaration auprès de la CNIL pour ce traitement ne sont pas tenus d'effectuer de nouvelles formalités.

La durée de conservation de tous les fichiers d'activité ou de facturation est de cinq ans.

Dans ces conditions, le projet d'arrêté n'appelle pas d'observation particulière au regard de la protection des données à caractère personnel.