« Palmarès des hôpitaux » : la CNIL précise les raisons de son refus d’autoriser le Point à accéder à la base de données des hôpitaux

Le contexte

La demande d’autorisation déposée par la société SEBDO, la société d’exploitation de l’hebdomadaire Le Point, s’inscrit dans le cadre de l’élaboration de son « palmarès annuel des hôpitaux et des cliniques ». Pour calculer les indicateurs nécessaires à l’établissement de ce palmarès, la société analyse les réponses aux questionnaires qu’elle adresse aux établissements et se fonde sur des données publiques. Elle utilise également des données issues d’une base de données qui contient toutes les informations relatives aux séjours, consultations et actes de soin réalisés dans les établissements de santé : le PMSI ou Programme de médicalisation des systèmes d’information.

La base ne contient pas les noms des personnes mais elle contient des informations administratives et médicales relatives à toute personne ayant fait l’objet d’un suivi au sein d’un établissement  : les personnes sont donc réidentifiables et cette base de données présente une grande sensibilité. Pour cette raison, la loi du 26 janvier 2016 dite « loi de modernisation du système de santé » (loi LMSS)  prévoit que l’utilisation de cette base de données n’est pas libre, y compris pour les journalistes. Elle doit être autorisée par la CNIL, après avis d’un comité consultatif indépendant de celle-ci. Ce comité est composé de personnalités qualifiées et d’experts choisis, notamment, en raison de leurs compétences en matière de recherche dans le domaine de la santé. L’autorisation nécessite que le projet du demandeur poursuive « une finalité d’intérêt public ».

Une évolution du cadre légal et règlementaire

C’est dans ce cadre que la société SEBDO a déposé, entre 2018 et 2020, plusieurs demandes d’autorisation afin de traiter les données du PMSI pour établir le palmarès annuel publié par Le Point. Lors des précédentes demandes, le comité consultatif avait recommandé à la société de préciser et d’améliorer substantiellement la méthodologie utilisée pour établir ce classement. La CNIL avait alors accordé les autorisations d’accès au PMSI.

Depuis, le cadre juridique a de nouveau évolué : le législateur a renforcé la protection des données de santé par la loi du 24 juillet 2019 relative à l’organisation et à la transformation du système de santé (loi dite OTSS). Il a également créé un nouveau comité consultatif, le Comité éthique et scientifique pour les recherches, les études et les évaluations dans le domaine de la santé (CESREES), dont les missions ont été renforcées. Celui-ci évalue la qualité scientifique et méthodologique de projets d’études nécessitant le recours à des données personnelles de santé ainsi que leur intérêt public (objectifs, bénéfice attendu, modalités de transparence, intégrité, qualité scientifique etc.).

Les motivations du refus de la CNIL

À la suite d’une nouvelle demande d’autorisation de la société SEBDO pour établir son palmarès 2022 des hôpitaux et cliniques, le CESREES s’est donc prononcé sur le projet déposé. Dans un avis du 2 juin 2022, il a pointé plusieurs limites méthodologiques dans l’établissement du classement tant s’agissant des indicateurs retenus que de leur pondération. Il a également considéré que, en l’état des éléments qui lui étaient présentés, « la construction des indicateurs retenus dans le palmarès peut conduire à diffuser une information erronée sur les performances relatives réelles des établissements de santé pouvant induire en erreur les patients et être par conséquent contraire à l’intérêt public ».

Avant de se prononcer, la CNIL a  décidé de saisir à nouveau le CESREES, comme la loi l’y autorise, afin qu’il précise sa position. Le comité, faisant usage des nouvelles missions que lui a confiées la loi, a réaffirmé l’absence d’intérêt public des traitements qui présentent, selon son analyse, des « biais méthodologiques majeurs ». Ces avis sont plus critiques et précis que les précédents avis du comité consultatif.

Examinant le dossier, la CNIL a tenu compte de la nature particulière du demandeur, qui est un organisme de presse, et de la nécessité de garantir la liberté de la presse. Cependant, elle a finalement considéré que l’utilisation des données du PMSI ne pouvait pas être autorisée en l’état car :

• les « biais méthodologiques » relevés par le CESREES dans ses avis apparaissent de nature à influer substantiellement sur les résultats du classement hospitalier diffusé auprès du public ;
• les indicateurs calculés à partir des données du PMSI sont susceptibles d’avoir une influence sur les choix de nombreuses personnes dans leurs parcours de soin, qu’il s’agisse des lecteurs du journal Le Point ou d’assurés sociaux qui consultent ces indicateurs grâce à un partenariat conclu avec un important réseau de soins  ;
• la méthodologie n’est pas librement accessible au public alors même que les données du PMSI sont susceptibles de concerner l’ensemble de la population. Par ailleurs, la description de cette méthodologie diffusée auprès des lecteurs du magazine n’est pas suffisamment précise pour leur permettre d’en apprécier la qualité ou les éventuels défauts.

Si la CNIL a refusé d’autoriser l’accès au PMSI, elle souligne que le journal Le Point reste libre d’utiliser d’autres sources dans le cadre de ses activités journalistiques (questionnaires, données publiques, entretiens…) : la décision de la CNIL ne concerne que l’accès à la base de donnée PMSI pour laquelle le législateur, compte tenu de sa sensibilité, a décidé qu’elle n’était pas libre d’accès mais soumise à un régime d’autorisation préalable destiné à contrôler l’usage fait des données.

Par ailleurs, le journal Le Point peut également saisir la CNIL d’une nouvelle demande d’autorisation sur la base d’un dossier modifié.