Agence technique de l’information sur l’hospitalisation (ATIH)

avis 20144116 - Séance du 27/11/2014

Monsieur X a saisi la commission d’accès aux documents administratifs, par courrier enregistré à son secrétariat le 20 octobre 2014, à la suite du refus opposé par le directeur de l’Agence technique de l’information sur l’hospitalisation (ATIH) à sa demande de communication des données issues de la base de données du programme de médicalisation des systèmes d’information (PMSI) concernant les établissements de santé privés, afin de pouvoir réaliser une étude pour le compte de la société WL GORE, sur la comparaison du coût à un an du traitement d’un anévrisme de l’artère poplitée entre un patient ayant un pontage par implant prothétique ou un pontage par prélèvement de veine saphène, et un patient bénéficiant d’une pose du dispositif médical Viabahn®.

La commission relève que les données dont la société souhaite obtenir la communication auprès de l’ATIH, dans le cadre d’une étude médico-économique demandée par le Comité économique des produits de santé, sont issues des informations établies par les établissements de santé privés dans le cadre du « programme de médicalisation des systèmes d’information » (PMSI), qui doit permettre une description synthétique standardisée de l’activité médicale de ces établissements. Il repose sur l’enregistrement systématique minimal de données médico-administratives normalisées et sur leur traitement automatisé. Le recueil de l’ensemble des informations standard relatives aux séjours hospitaliers des malades en médecine, chirurgie, obstétrique et odontologie porte le nom de « résumé de sortie standardisé » (RSS). Un « résumé de sortie anonyme » (RSA) est produit à partir du résumé de sortie standardisé, pour être transmis à l’agence régionale de santé. Pour les établissements de santé privés, chaque RSS est associé à un « résumé standardisé de facturation » (RSF) qui reprend les informations issues du bordereau de facturation transmis à l’assurance maladie. Le RSF contient, outre les données tarifaires des prestations afférentes au séjour, correspondant au fonctionnement de la clinique et aux honoraires médicaux, des informations permettant d’identifier l’établissement et de faire le rapprochement avec le RSA correspondant à cette facturation. L’anonymisation du RSF est à l’origine du « résumé standardisé de facturation anonyme » (RSFA), élaboré concomitamment au RSA, et qui est également transmis à l’agence régionale de santé.

La commission constate que ces fichiers, RSF et RSFA, comportent, pour chaque établissement, identifié par son numéro d’établissement de santé, pour chaque patient soigné, identifié par une clé d’authentification qui garantit son anonymat à l’égard d’un tiers, et pour chaque type d’acte pratiqué, identifié par un code, différents codes correspondant à la discipline médico-tarifaire, au mode de traitement, aux prestations, au coefficient de l’acte, à sa quantité, et à la prise en charge des soins ainsi que l’indication du prix unitaire, du taux de remboursement et du montant remboursable.

En réponse à la demande qui lui a été adressée, le directeur de l’ATIH a informé la commission qu’il avait communiqué à la société HEVA, entre avril et juillet 2014, les RSA issus de l’activité de l’année 2013 des établissements publics et privés relevant des différents champs sanitaires (médecine, chirurgie, obstétrique, soins de suite et réadaptation, hospitalisation à domicile). La commission en prend note, mais relève qu’eu égard à ses termes et à son objet, la demande de la société HEVA doit être regardée comme tendant à la communication des RSF des établissements de santé privés.

La commission estime, comme elle l’a fait dans ses avis n° 20084093 du 11 décembre 2008 et n° 20112163 du 26 mai 2011, que la communication de l’ensemble des données contenues dans ces fichiers pourrait porter atteinte au secret en matière commerciale et industrielle, protégé par le II de l’article 6 de la loi du 17 juillet 1978, dans la mesure où elles comportent des informations précises sur la nature de l’activité des établissements, sur la productivité de leurs différentes activités de soins, sur leur chiffre d’affaires, ainsi que sur leur mode et leur niveau de tarification.

Il ressort toutefois des éléments portés à la connaissance de la commission que l’étude envisagée par la société HEVA ne nécessite pas un traitement des données répertoriées par établissement de santé, et ne vise qu’à recenser les codes « liste des produits et prestations remboursables » (LPPR) et les codes d’actes « classification commune des actes médicaux » correspondant aux séjours de traitement d’un anévrisme de l’artère poplitée par les différentes techniques visées en objet.

La commission rappelle par ailleurs que le II de l’article 6 de la loi du 17 juillet 1978 prohibe également la communication à un tiers tel que la société HEVA des données dont la communication porterait atteinte à la protection de la vie privée ou au secret médical. La société HEVA ne saurait donc recevoir communication, sur le fondement de cette loi, que d’extraits des RSF dont auront été supprimées toutes les données susceptibles de permettre l’identification des personnes concernées. La commission note d’ailleurs que l’article 63 de la loi du 6 janvier 1986 ne permet la communication des données issues des systèmes d’information des établissements de santé publics et privés à des fins, telles que celles que poursuit la société HEVA, d’analyse des pratiques et des activités de soins que sous la forme de statistiques agrégées ou de données par patient constituées de telle sorte que les personnes concernées ne puissent être identifiées. Il ne peut être dérogé à cette règle que sur autorisation de la Commission nationale de l’informatique et des libertés (CNIL). La commission note que la société HEVA indique ne pas détenir une telle autorisation en ce qui concerne les données contenues dans les RSF.

La commission rappelle enfin que la réutilisation de ces informations publiques envisagée par la société HEVA n’est légalement possible que si l’ATIH est en mesure de les rendre anonymes, conformément à l’article 13 de la loi du 17 juillet 1978, et est subordonnée au respect des dispositions de la loi du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés.

La commission estime donc que la communication des données des RSF à la société HEVA doit être précédée de l’occultation des mentions permettant l’identification des établissements privés et des patients concernés, c’est-à-dire, à tout le moins, du code FINESS de l’établissement et du code géographique du patient.

Sur ce point, le directeur de l’ATIH a indiqué que cette opération d’anonymisation nécessiterait un travail important de la part de ses agents. La commission rappelle à cet égard qu‘elle a pu considérer (avis n° 20112163 du 26 mai 2011) que la communication de données tarifaires relatives aux dépassements d’honoraires pratiqués par les établissements de santé qui supposait de procéder à l’extraction de données provenant des bases RSA et RSF puis de les traiter afin de calculer la facturation moyenne de différents types d’actes, par territoire de santé et pour les seuls établissements privés, tendait à l’élaboration de nouveaux documents, qui ne pouvaient être obtenus à l’aide d’un traitement automatisé d’usage courant.

En l’espèce, en revanche, la commission, au vu des éléments dont elle dispose, estime que les opérations d’occultation requises préalablement à la communication pourraient pas être effectuées au moyen d’un traitement automatisé d’usage courant et n’entraîneraient pas des efforts disproportionnés de la part de l’ATIH.

Le directeur de l’ATIH a encore indiqué que le traitement de données issues du PMSI pour le compte d’organismes privés à but lucratif ne relevait pas des missions assignées à l’ATIH, telles qu’elles résultent des articles R6113-33 et suivants du code de la santé publique. La commission estime toutefois que cette circonstance ne saurait faire obstacle à ce que des tiers puissent demander, sur le fondement du droit d’accès prévu par la loi du 17 juillet 1978, la communication des documents administratifs résultant de l’extraction des données d’un système d’information dans les limites et conditions prévues par cette dernière loi. En tout état de cause, l’article R6116-33 du code de la santé publique dispose que l’ATIH est chargée, notamment, de « l’accessibilité aux tiers du dispositif de recueil de l’activité médico-économique des établissements de santé mentionné à l’article L6113-8 » du même code.

Enfin, le directeur de l’ATIH a fait valoir que si le conseil d’administration de son établissement a décidé de subordonner la réutilisation des données qu’il détient à l’acquittement d’une redevance, le Premier ministre n’a pas, à ce jour, pris le décret procédant à leur inscription préalable, requise par l’article 38 du décret n° 2005-1755 du 30 décembre 2005, sur la liste des informations publiques contenues dans des documents produits ou reçus par l’État et ses établissements publics à caractère administratif et dont la réutilisation est soumise au paiement d’une redevance. La commission rappelle toutefois que si l’article 15 de la loi du 17 juillet 1978 permet de soumettre à redevance la réutilisation d’informations publiques, l’absence de décision prise par l’autorité compétente sur le principe et le tarif d’une redevance ne saurait faire obstacle ni à l’exercice du droit d’accès garanti par le chapitre Ier du titre Ier de cette loi ni à l’exercice de la liberté de réutilisation garantie par le chapitre II de ce titre. Dans l’attente d’une telle décision, la réutilisation envisagée ne peut être que gratuite.

La commission émet donc, sous les réserves qui précèdent, un avis favorable à la demande de la société HEVA.