identification du patient dans les...

03/09/2007 CORTE - Juillet 2007 1

IDENTIFICATION DU PATIENT DANS LES SYSTÈMES

D’INFORMATION DE SANTÉ

Catherine QUANTIN et Karima BOURQUARD

03/09/2007 CORTE - Juillet 2007 2

I. Situation internationale : Les différents identifiants dans les différents pays

II. La situation française

III. Problématique de l’Interopérabilité de l’identification du patient en France et en Europe

03/09/2007 CORTE - Juillet 2007 3

I. Situation internationale : Les différents identifiants dans les différents pays

Sources :

Projet Si 1.1 « Principes et Processus d’identification du patient »

Expériences internationales des systèmes de santé, de la politique d’information des systèmes de santé et

de la politique d’identification. (version 1 – 2002)

GMSIH

03/09/2007 CORTE - Juillet 2007 4

3 GRANDES CATÉGORIES DE PAYS ONT ÉTÉ IDENTIFIÉES

Des pays où l’identification unique nationale du patient est organisée ou prévue : pays du Nord de l’Europe (Danemark, Pays Bas, Belgique, Grande Bretagne, Irlande) et nouvelle Zélande, Allemagne ?

Des pays où l’identification du patient est plutôt de l’ordre de la « région » : Pays du sud de l’Europe (Espagne et Italie), pays fédéraux (Canada et Australie).

Pays indécis récent : les Etats-Unis d’Amérique qui s’orientent vers la fédération d’identifiants

03/09/2007 CORTE - Juillet 2007 5

PAYS OÙ L’IDENTIFICATION

DU NATIONALE DU PATIENT

EST ORGANISÉE OU

PRÉVUE

03/09/2007 CORTE - Juillet 2007 6

Danemark 1. Constitution :

L’identifiant patient Santé = l’identifiant national (utilisé pour identifier les citoyens) NPRConstitué de 10 chiffres + clé de vérification. Une partie du numéro est signifiante (date de naissance et sexe).

2. Attribution :A la naissance et à l’arrivée pour les immigrants.

3. Usage et accès :Nombreux domaines (publics et privés), notamment dans les banques privées.Pour la santé :• Pour les soins, après identification du professionnel et

consentement du patient• Appuyé sur le NPR : le DK dispose d’une base centralisée

des contacts des patients avec les hôpitaux• Pour la recherche : bases de données anonymisées.

03/09/2007 CORTE - Juillet 2007 7

Pays Bas (Projet)1. Constitution :

1. BSN : Burger Service Number , identification utilisée par l’administration fiscale mais aussi pour tout type d’identification (passeport, permis de conduire,…)Identifiant citoyen unique, en cours de discussion par le Sénat pour son utilisation dans la santéDoit être appliqué en 2008 si vote

2. Attribution :Identifiant sur 9 digits (à la naissance ?)

3. Usage et accès :• Service disponible pour conversion de l’ID local en BSN

Ce projet a pour objectif : accès aux informations de santé par les professionnels de santé ainsi que par les patients pour l’échange d’informations administratives et médicales.

03/09/2007 CORTE - Juillet 2007 8

Belgique 1. Constitution :

Numéro de sécurité sociale anonymisé

2. Attribution :Disponible sur une carte santé

3. Usage et accès :Pour la santé, 3 types d’applications :• Financier et administratif (remboursement des soins)• Coordination des soins• Recherche clinique et épidémiologique

EN projet : A partir du numéro de sécurité sociale on obtient 3 numéros anonymes différents pour chaque application (cryptage irréversible)

03/09/2007 CORTE - Juillet 2007 9

Grande Bretagne1. Constitution :

Identifiant patient santé : le « NHS number ».Numéro, non signifiant, composé de 10 chiffres + une

clé.

2. Attribution :couple Patient/médecin enregistré dans le registre local

du NHS

3. Usage et accès :Destiné à tous les usages en santé.Numéro connu du praticien généraliste (le patient n’a

pas besoin de connaître ce numéro).

03/09/2007 CORTE - Juillet 2007 10

Irlande

1. Constitution :Identifiant patient santé unique en cours de mise en

œuvre avec un support carte appelé PPS (PersonalPublic Service)

2. Attribution : ?En cours d’élaboration : les institutions concernées sont he

Health Information and Quality Authority (HIQA) and the Department of Health and Children (DOHC) . Le financement provient de General Medical Services Payments Board (GMSPB) qui utilise le PPS

3. Usage et accès :- Destiné à tous les usages en santé y compris l’accès

au dossier patient

03/09/2007 CORTE - Juillet 2007 11

Nouvelle Zélande1. Constitution :

Numéro unique Composé de 7 caractères (3 lettres et 4 chiffres).

2. Attribution : A tous les utilisateurs du système de soins (Même les touristes étrangers ayant besoin de soins).Les traits utilisés sont le nom, les prénoms, la date de naissance et la date de décès, l’adresse, le sexe, l’ethnie, le statut de résident (n’interviennent pas dans la construction du numéro).

3. Usages et accès :Tous les usages en santéUn individu peut avoir plusieurs ALIAS, selon les applications (recherche)

03/09/2007 CORTE - Juillet 2007 12

Allemagne

1. Constitution :

Le numéro de sécurité sociale n’est pas utilisé pour l’identification du patient.

Chaque hôpital possède son propre système d’identification du patient : Le deuxième prénom et le lieu de naissance sont généralement utilisés en plus des nom, prénom et date de naissance.

Projet d’unification des cartes de remboursement et d’harmonisation de l’identification du patient.

03/09/2007 CORTE - Juillet 2007 13

PAYS OÙ L’IDENTIFIANT DU PATIENT EST PLUTÔT DE L’ORDRE

DE LA RÉGION

03/09/2007 CORTE - Juillet 2007 14

Espagne et Italie

1. Constitution :Numéro d’identifiant patient par région (17 en Espagne)

2. Attribution :Chaque région attribue un numéro de santé à ses habitantsEspagne : identifiants sur carte (principalement magnétique)

3. Usages et accès :Tous les usages de santéLe numéro patient est édité sur une carte que le patient présente

au médecin lors de chaque visite

03/09/2007 CORTE - Juillet 2007 15

Canada

1. Constitution :Numéro de sécurité sociale national n’est pas utilisé en santé (utilisé

pour les impôts).Numéro patient pas uniforme d’une province à l’autre (ex : numéro non

signifiant de 10 chiffres en Ontario).

2. Attribution :Chaque province attribue un numéro de santé à ses habitants.

3. Usage et accès :Tous les usages de santéLe numéro patient est édité sur une carte que le patient présente au

médecin lors de chaque visite.Projet inforoute : création d’un identifiant patient santé national.

03/09/2007 CORTE - Juillet 2007 16

Australie

1. Constitution :Actuellement en cours de discussion, compte tenu de la diversité

des cultures et des provinces. En cours de normalisation des attributs de l’identitéA l’étude

2. Attribution :A l’étude3. Usage et Accès :Utilisation de fédérateurs d’identité

03/09/2007 CORTE - Juillet 2007 17

Un pays indécis : les Etats-Unis

1. Constitution :Après de nombreuses discussions, orientation vers une fédération des

identifiants des états

2. Attribution : Par chaque état

3. Usage et Accès : ?

03/09/2007 CORTE - Juillet 2007 18

II. La situation française :

Le Dossier Médical Personnel

-Initié par la loi du 13 Août 2004

-Tous les bénéficiaires de la couverture maladie doivent

disposer de leur DMP

03/09/2007 CORTE - Juillet 2007 19

CONTENU

pathologies, antécédents codés en CIM -10, traitements et dispensations médicamenteuses, compte-rendus d’examens (et images)compte-rendus de consultations informations utiles à la prévention

03/09/2007 CORTE - Juillet 2007 20

Apport du DMP à l’épidémiologie

Etudes exhaustives (population), de l’évolution de l’état de santé diagnostiqué des individus actuellement impossibles avec les autres systèmes d’information.

Evaluation médico-économique de la prise en charge (examens, traitements chirurgicaux, prescriptions médicales) par pathologie (y compris les maladies rares).

03/09/2007 CORTE - Juillet 2007 21

L’apport du DMP à la prévention ne peut s’envisager sans son traitement épidémiologique : une idée admise (mais pas dans le projet de décret).

Toutefois, la source DMP n’acquerra une qualité et une exhaustivité (des données) satisfaisante que si elle est validée par rapprochement d’autres sources (son exhaustivité reposera sur le consentement du patient).

03/09/2007 CORTE - Juillet 2007 22

Exemples

DMP IGR INSEE

-Hospitalisations-Consultations

PMSI : hospitalisationpour cancer

Données demortalité

Possibilité pour tous les patients hospitalisés pour cancer à l’IGR de reconstituer le parcours du patient (avant et après l’IGR), jusqu’au décès

03/09/2007 CORTE - Juillet 2007 23

DMP Hôpitaux de la région

HospitalisationsConsultations

PMSIhospitalisations

Registre de cancer

Possibilité :- de repérer des cas potentiels « oubliés » par les registres (aprèsvalidation anatomopathologique)

- de connaître le parcours du patient avant et après le diagnostic

03/09/2007 CORTE - Juillet 2007 24

DMP Base périnatale

Hospitalisations ConsultationsTout au long de la vie du patient

En population

Possibilité de connaître le devenir des enfants et d’identifier des facteurs de risque périnataux de pathologies de l’adulte

03/09/2007 CORTE - Juillet 2007 25

Réciproquement des sources anonymes comme le SNIIR-AM ou le panel des bénéficiaires gagneraient une autre dimension à recueillir le motif des traitements pris en charge, à travers les diagnostics inscrits dans le DMP.

03/09/2007 CORTE - Juillet 2007 26

SNIIRAM DMP-Hospitalisations-Consultations (sans les diagnostics)-Actes et traitements remboursés

Idem + diagnostics

Évaluation (anonyme) médico-économique du coûtde la prise en charge d’une pathologie

03/09/2007 CORTE - Juillet 2007 27

Ce rapprochement entre sources identifiant compatible mis en place permettant de rapprocher des données de différentes sources.

Toutefois, dans la loi du 13 Août 2004, l’objectif du DMP est limité à la coordination des soins, sans que les traitements statistiques à des fins de recherche soient évoqués.

03/09/2007 CORTE - Juillet 2007 28

Cette situation a ému les Académies (sciences, médecine), les associations (épidémiologistes, statisticiens)

article publié dans la Revue d’Epidémiologie et de Santé Publique.

Dans cet article, madame BOSSI a précisé : « un traitement ultérieur de données à des fins statistiques ou à des fins de recherche scientifique ou historique est considéré comme compatible avec les finalités initiales de la collecte des données ».

cf. article 6, loi du 06/01/78 modifiée en Août 2004

03/09/2007 CORTE - Juillet 2007 29

Communiqué sur l’utilisation en épidémiologie des bases de données recueillies

en population générale – Académie de médecineR. Ardaillou et R. Henrion

« La finalité d’un tel dossier ne doit pas seulement être individuelle, c'est-à-dire permettre aux médecins d’obtenir rapidement tous les renseignements utiles au diagnostic, au traitement et au suivi du patient, mais aussi épidémiologique, c'est-à-dire permettre de rassembler les données individuelles en vue d’obtenir les données indispensables sur l’état sanitaire de l’ensemble de la population ».

03/09/2007 CORTE - Juillet 2007 30

« Les études croisées rapprochant les données de plusieurs sources devraient être autorisées. On peut donner comme exemple l’utilisation couplée du DMP et du SNIR-AM ou du DMP et des données de grandes cohortes et d’enquêtes en santé publique qui permettrait la validation multi-sources, très utile dans les études épidémiologiques ».

« L’anonymat doit être préservé dans toutes ces études, ce que les moyens informatiques modernes de cryptage et de sécurité de l’information autorisent, en respectant les recommandations de la Commission nationale informatique et liberté (CNIL), tels ceux adoptés par l’Institut de veille sanitaire pour les maladies à déclaration obligatoire, notamment le dossier médical des patients séropositifs pour le VIH ».

03/09/2007 CORTE - Juillet 2007 31

Les contraintes des épidémiologistes

L’appariement avec les sources:Le SNIIRAMLe PMSILe panel EPIBAM des bénéficiairesLes bases de mortalité de l’INSEE

03/09/2007 CORTE - Juillet 2007 32

Afin d’assurer l’unicité de l’identifiant patient et sa compatibilité avec les principales bases de données de santé, l’utilisation du NIR a semblé souhaitable.

Pour que le NIR (ou un dérivé) devienne l’identifiant du DMP : proposition de l’amendement de la loi de finances de la sécurité sociale pour que le NIR soit un « identifiant de patient commun dans le domaine de la santé ».(Automne 2006 )

03/09/2007 CORTE - Juillet 2007 33

Pressions exercées (ligue des Droits de l’Homme, Association Droits et Libertés, face à l’informatisation de la société – Delis, Associations de patients).

La CNIL a réuni un groupe de travail et a rendu son avis fin mars 2007 : l’anonymisation du NIR devrait permettre de protéger l’intérêt des citoyens tel qu’il a étéexprimé par les associations de patients ou de défense des libertés individuelles.

03/09/2007 CORTE - Juillet 2007 34

QUELLES MÉTHODES POURRAIENT

PERMETTRE

D’ASSURER L’ANONYMAT ?

03/09/2007 CORTE - Juillet 2007 35

Méthodes statistiques :

Assurer un certain niveau d’agrégation (plusieurs individus partageant les mêmes caractéristiques) :

Modifications des données :

- Remplacer les valeurs par la médiane ou la moyenne,- Regrouper les valeurs en classes, - Ajouter des données virtuelles ou supprimer des données «

trop » identifiantes, - Echanger les valeurs entre les enregistrements

03/09/2007 CORTE - Juillet 2007 36

MÉTHODE DE HACHAGE

Transformation irréversible de l’identité(algorithme Standard Hash Algorithm – SHA)

Code identique, pour une identité donnée, pour permettre le regroupement des informations d’un même malade.

03/09/2007 CORTE - Juillet 2007 37

METHODE D’ANONYMAT

DECLAREE AUPRES

. du Service Central de la Sécuritédes Systèmes d’Information (SCSSI) : mars 1996

. de la Commission Nationale de l’Informatique et des Libertés (CNIL) : décembre 1996

03/09/2007 CORTE - Juillet 2007 38

REFLEXION PRÉSENTÉE À LA CNIL

Génération d’un INS (Identifiant National de Santé) par anonymisation du NIR (tiers de confiance) pour répondre au souhait des associations de patients : INS sur la carte vitale (CV)

Inconvénients :- Correspondance NIR-INS sur la CV et chez les professionnels de santé du point de vue de la Sécurité : c’est comme si on utilisait le NIR (risque de leurre)

Nécessité de procéder à un autre hachage lorsque l’on stocke les données de santé.

03/09/2007 CORTE - Juillet 2007 39

Nécessité de sécuriser le NIR lors du stockage (hébergeurs)

PS

INSChiffré

chiffrementPortail

HachageINS INSde stockage

INS destockage

hébergeur

chiffrement

Avantages :- pas d’implantation du système de hachage chez les professionnels de santé (PS)

pas de coût supplémentaire, ni de divulgation du système de hachage- possibilité d’avoir 1 INS de stockage différent par application (DMP, DCC, dossier de réseau) sans avoir à distribuer les clés à tous les PS.

Inconvénients :- Co-existence de l’INS et du NIR dans les bases des PS (et notamment les hôpitaux de grande taille) nécessité d’un chiffrement de l’INS et du NIR chez les PS.

03/09/2007 CORTE - Juillet 2007 40

Pré-requis en matière de sécurité

- Identification / Authentification fiable et robuste des PS (nécessité de la CPS à l’hôpital)

- Archivage sécurisé et fiabilisé des données de santé chez les PS (pas seulement gestion des droits d’accès aux applications mais sécurité du stockage sur le disque dur local et des archives externes)

- Sécurité des échanges entre les PS (ville-ville, ville-hôpital, PS-domicile). Exemple : rebond de messagerie pendant les congés ou accès aux dossiers médicaux depuis internet àdomicile pour les astreintes médicales et informatiques (VPN + CPS).

03/09/2007 CORTE - Juillet 2007 41

III. Problématique de l’Interopérabilité de l’identification du patient en France et en Europe

En France

Le NIR ne suffit pas pour créer l’INS • Pour assurer le chaînage avec les données

PMSI-SNIIRAM : il faudrait rajouter la date de naissance et le sexe du patient.

03/09/2007 CORTE - Juillet 2007 42

EXISTANT

NIR assuré DN bénéficiaire

Sexe bénéficiaire

Centres de

Traitement

Informatique

(CTI)

HACHAGEFOIN – SNIIR AM 1

Id ano 1

Id ano 1

HACHAGE FOIN – SNIIR AM 2

Id ano 2

HACHAGE (Clé 3)

Id ano 3

Centre

National de

Traitement

Informatique

(CNTI)

SOLUTION PROPOSEE

Id ano 3

HACHAGE (Clé 4)

NIS

Tiers de

Confiance

03/09/2007 CORTE - Juillet 2007 43

Pour assurer l’interopérabilité de l’INS avec les autres identifiants en Europe :

On pourrait rajouter au NIR :• le nom, le prénom, la date de naissance, qui sont

déjà dans la Carte Européenne de Santé et que l’on pourrait rendre anonymes par hachage.

• L’identifiant individuel à composante familiale (validépar la CNIL + Brevet C. QUANTIN et O. Cohen– 2004)

Au niveau de l’Europe

03/09/2007 CORTE - Juillet 2007 44

PROJET NET CARDUn des enjeux est la mobilité des citoyens en Europe ainsi que de faciliter l’accès aux soins dans les états membres de l’UnionEuropéenne et de l’espace économique EuropéenEn France, les acteurs du projet sont le GIE SV, CNAMTS, APHP, CNPSBasé sur le E111 et le E128 Dématérialisation des données administratives en vue de remboursementsur une carte non spécifique (utilisation des cartes existantes)

Identification de l‘établissement hospitalierIdentification du patient assuré :Nom, NIR, droits, période de validité etc...Informations utiles à l‘admission du patientInformation utiles au diagnostic médicalCode opérationInformation mutuelle complémentaireETM et Tiers PayantInformations utiles à la prise en charge

Le formulaire

03/09/2007 CORTE - Juillet 2007 45

Schéma d’architecture

EHIC or Smart CardInput

Log stored Log stored

HealthHealth Care Pro. Care Pro. WorkstationWorkstation

NETC@RDSNETC@RDSService PortalService Portal

SLOVAKIASLOVAKIA

NETC@RDSNETC@RDSService PortalService Portal

FINLANDFINLAND

Internet SSL V3

RepositoryRepositoryFINLANDFINLAND

BillingServices

secureInternet

orIntranet

D’après Vitale

03/09/2007 CORTE - Juillet 2007 46

IDENTIFIANT INDIVIDUELIDENTIFIANT INDIVIDUELNom3 Prénom3 D Naissance3

Nom2 Prénom2 D Naissance2


ANNEXE

03/09/2007 CORTE - Juillet 2007 47

IDENTIFIANT INDIVIDUEL A IDENTIFIANT INDIVIDUEL A COMPOSANTE FAMILIALECOMPOSANTE FAMILIALE

Nom3 Prénom3 D Naissance3 Nom2 Prénom2 D Naissance2




Composante individuelle du père

Composante individuelle de la mère

03/09/2007 CORTE - Juillet 2007 48

CHAINAGE FAMILIALCHAINAGE FAMILIAL

03/09/2007 CORTE - Juillet 2007 49

PROPOSITION

L’identifiant individuel aurait plusieurs composantes :

1. L’identifiant du patient dans le pays où il est assurésocial : (cf partie I) pour les autres pays ou l’identifiant du DMP pour la France.

2. L’identifiant à composante familiale (nom, prénom, date de naissance du patient, ainsi que les mêmes informations pour le père et la mère) : pour faire le lien entre les données d’un patient dans ≠ pays.

Chacun des champs de chacune des composantes serait haché (logiciel de hachage SHA).

03/09/2007 CORTE - Juillet 2007 50

UN MODÈLE EVOLUTIF

- Le rajout d’une composante est possible, par exemple pour les données de biométrie (que nous n’avons pas prévu d’emblée, en raison de la position récente du comité National d’Ethique et de la CNIL).

- Pour permettre d’assurer l’évolutivité de notre modèle, il convient de pouvoir gérer l’historique des modifications successives des identifiants au cours du temps. (création d’un numéro de transmission?)

identification du patient dans les...

Documents