La méthodologie de référence MR-005 encadre l’accès par des établissements de santé et des fédérations hospitalières aux données du Programme de médicalisation des systèmes d'information (PMSI) et aux RPU (Résumé de passage aux urgences) mises à disposition sur la plateforme sécurisée de l’Agence technique de l’information sur l’hospitalisation (ATIH). Les responsables de traitement ont l’obligation de documenter les projets menés dans le registre des activités de traitement. Les études menées doivent présenter un caractère d’intérêt public et aucun appariement avec d’autres données à caractère personnel n’est autorisé. Les responsables de traitement doivent enregistrer leurs traitements auprès d’un répertoire public tenu par l’INDS.
Les établissements de santé (publics ou privés, à but lucratif ou à but non lucratif);
La Fédération hospitalière de France (FHF) ;
La Fédération de l'hospitalisation privée (FHP) ;
La Fédération des établissements hospitaliers et d'aide à la personne privés non lucratifs (FEHAP) ;
La Fédération Unicancer ;
La Fédération nationale des établissements d'hospitalisation à domicile (FNEHAD).
Le responsable de traitement désigne un délégué à la protection des données et tient à jour, au sein du registre des activités de traitement, la liste des études mises en œuvre dans le cadre de la méthodologie de référence.
Objectif(s) poursuivi(s) par le traitement (finalités)
Le traitement des données doit présenter un caractère d’intérêt public.
Les finalités couvertes par la méthodologie de référence sont la planification et la valorisation de l'offre de soins ainsi que les études épidémiologiques et les études médico-économiques.
Une obligation de transparence incombe aux responsables de traitement. Elle se traduit par l’enregistrement de chaque étude conforme à la MR 005 dans un répertoire public tenu par l’INDS et accessible sur son site internet (www.indsante.fr). En pratique, un protocole (incluant la justification d’intérêt public), un résumé de l’étude selon un format arrêté par l’INDS et une déclaration des intérêts devront être soumis à l’Institut. Une fois l’étude terminée, les résultats obtenus devront aussi être communiqués dans un délai raisonnable conformément aux dispositions du code de la santé publique relatives au SNDS.
Données personnelles concernées
Le responsable de traitement s’engage à ne traiter que les données pertinentes, adéquates et limitées à ce qui est nécessaire au regard des finalités pour lesquelles elles sont traitées.
La nécessité de leur traitement doit être justifiée dans le protocole de recherche.
Les catégories de données à caractère personnel pouvant faire l’objet du traitement proviennent exclusivement des bases de données constituées par ATIH au titre du PMSI et des RPU. Ces données sont centralisées et mises à disposition sur la plateforme sécurisée de l’ATIH, en particulier :
Les fichiers dans les champs de la médecine, la chirurgie, l’obstétrique et l’odontologie (MCO) ;
Les fichiers concernant les soins de suite et de réadaptation (SSR) ;
Le recueil d’Information Médicalisée en Psychiatrie (RIM-P) ;
Les fichiers relatifs aux hospitalisations à domicile (HAD) ;
Le fichier ANO qui permet de relier toutes les données du PMSI d’un même patient.
Par ailleurs, les données des résumés de passage aux urgences (RPU), mises à disposition par l’ATIH dans les mêmes conditions, sont également incluses dans le champ de la méthodologie de référence.
Les traitements inclus dans le cadre de la présente méthodologie de référence portent sur les données nationales du PMSI et des RPU dont la profondeur historique maximale est de neuf ans plus l’année en cours. La zone géographique concernée ainsi que la profondeur historique des données consultées sont justifiées dans le protocole.
Durée de conservation des données
La durée d’accès aux données dans la plateforme sécurisée doit être limitée à la durée nécessaire à la mise en œuvre du traitement.
Lorsque le responsable de traitement en justifie, l’accès aux données peut être maintenu à l’issue de l’étude, dans la limite de deux ans à compter de la dernière publication relative aux résultats.
Destinataires des données
Les données de l'ATIH sont mises à disposition du responsable de traitement sur une plateforme sécurisée. Aucune exportation de données à caractère personnel ne peut être réalisée.
Seul le personnel habilité par le responsable de traitement peut accéder aux données.
Ces personnes sont soumises au secret professionnel dans les conditions définies par les articles 226-13 et 226-14 du code pénal.
La qualification des personnes habilitées et leurs droits d'accès doivent être régulièrement réévalués, conformément aux modalités décrites dans la procédure d'habilitation établie par le responsable de traitement.
Information des personnes et respect des droits « informatique et libertés »
La MR-005 n’impose pas d’information individuelle des personnes concernées. Cependant, elle prévoit que les responsables de traitement indiquent sur leur site internet qu’ils réalisent des projets à partir des données du PMSI et qu’ils rappellent que les personnes ont des droits d’accès, de rectification et d’opposition qui s’exercent auprès du directeur de l’organisme gestionnaire du régime d’assurance maladie obligatoire auquel elles sont rattachées.
Sécurité et confidentialité
La mise en œuvre des traitements de données à caractère personnel intervenant dans le cadre de l’étude s'effectue sous la responsabilité du responsable du traitement, y compris chez des tiers agissant pour son compte, dans le respect du règlement général sur la protection des données et de l’arrêté du 22 mars 2017 relatif au référentiel de sécurité applicable au SNDS.
La sécurité des traitements est assurée par la mise à disposition des données par l’ATIH sur une plateforme sécurisée et homologuée au référentiel de sécurité applicable au SNDS.
Un espace de travail sur la plateforme est fourni par l’ATIH afin que les utilisateurs puissent consulter les données. Seules des statistiques agrégées de telle sorte que l’identification des personnes est impossible peuvent être extraites de la plateforme.
