Informatisation du système de santé :
pour préserver la sphère privée des citoyens
Ligue
des Droits de l'Homme
Collectif Informatique, Fichiers et Citoyenneté
Collectif pour les droits des citoyens face à l'informatisation de l'action
sociale
La
situation actuelle
Le codage comme moyen d'atteindre les objectifs
fixés
Le stockage exhaustif des informations
médico-sociales sur chaque personne
La mise en oeuvre du dispositif SESAM-Vitale
avec le volet de santé sur la carte Vitale
Face aux enjeux de l'informatisation de la
santé
1. La situation actuelle : mesures
en cours, divergences d'approche, questions en suspens, nécessité d'agir.
La situation actuelle de l'informatisation du système de santé est notamment marquée par :
Dans une telle situation plusieurs questions méritent d'être posées :
- Les objectifs assignés au dispositif sont-ils pertinents ? Sinon en quoi sont-ils des leurres ?
- Comment se présente du point de vue des citoyens la balance des avantages et des risques d'un tel dispositif ?
- Quelles conséquences pratiques pour le citoyen sont liées à la mise en oeuvre du système Sesam-Vitale ?
Au-delà de ces questions quelles orientations promouvoir et quelles actions entreprendre face aux dérives prévisibles de cette informatisation de la santé ?
2. le codage comme moyen d'atteindre
les objectifs fixés : pertinence ou leurre ?
L'informatisation du secteur de la santé est aujourd'hui conçue par les décideurs comme un projet dont la cohérence reposerait sur la production d'un système d'information alimenté par le codage de l'ensemble des actes, prestations et pathologies.
Le codage pour décrire l'activité sanitaire globale ?
Le codage des actes, des prestations et des pathologies constitue le coeur du dispositif prévu, et ce selon deux objectifs :
Le codage est donc censé répondre à ce double objectif.
Sur le strict plan de l'efficacité (voir ci-après les implications pour les droits des citoyens), le codage présente un certain nombre de difficultés, notamment pour les pathologies, qui constituent une limite majeure au regard des objectifs poursuivis :
Certes des situations de ce type existent en médecine mais une part très importante de la pratique médicale, voire prépondérante dans certaines disciplines par exemple en médecine générale, pédiatrie de ville, psychiatrie..., ne répond pas à ces critères. En effet de très nombreuses situations ne relèvent pas d'un diagnostic précis en terme de pathologie ou d'état morbide bien défini, parce que doivent être pris en compte le contexte, la raison du recours, le symptôme, les motifs psychologiques, les réalités sociales, tout autant qu'une éventuelle pathologie proprement dite.
Dans un tel contexte imposer le codage des pathologies aux praticiens conduira le plus probablement à deux effets pervers dès lors qu'il s'agit de situations diagnostiques relatives à des états morbides complexes et/ou mal définis :
Il faut aussi insister sur la difficulté méthodologique à exploiter des données recueillies par des médecins qui sont ni des enquêteurs ni des chercheurs mais des praticiens exerçant une activité quotidienne de soins déterminée par une dimension clinique et thérapeutique. De plus des finalités de nature fort différente, comme le contrôle économique et la connaissance épidémiologique, qui sont assignées à ce recueil de données relèvent aussi d'une erreur méthodologique.
Le codage des actes pour maîtriser les dépenses ?
Le codage des actes et des pathologies répond aussi, du point de vue des décideurs, à la nécessité qu'ont les caisses primaires d'assurance maladie de disposer d'informations pour contrôler les pratiques des médecins et les parcours de soins des patients. Ce contrôle, selon les décideurs, sera réalisé en vue d'une maîtrise des dépenses de santé et s'appuiera sur des références de « bonne pratique » médicale. Le « nomadisme » médical, la redondance d'examens pour un même patient... sont parmi les phénomènes les plus « traqués ».
La recherche d'une meilleure efficience est légitime mais doit-elle impérativement passer par un codage généralisé des actes et des pathologies ? Suppose-t-elle un chaînage illimité dans le temps des informations sur le parcours de santé d'un patient ?
Les conditions à remplir pour atteindre un tel objectif sont exposées dans un document de travail de la Société Française de Santé publique (SFSP) intitulé « Codage des pathologies en médecine ambulatoire » (disponible sur internet : http://www.sfsp-publichealth.org/page-commission.html ). Parmi les conditions requises :
L'ensemble de ces conditions paraît extrêmement difficile à réunir.
De plus, de nombreux acteurs s'accordent pour estimer que les « dérives » des pratiques ayant des conséquences notables sur les dépenses, peuvent être aisément repérées lors de contrôles plus simples à mettre en oeuvre . Une conservation des actes codés, très strictement encadrée et limitée au délai requis par le service de contrôle des caisses d'assurance maladie, est suffisante pour repérer et traiter les dysfonctionnements. Ceci est confirmé par les praticiens-conseil des caisses d'assurance maladie.
L« artillerie » lourde et hasardeuse du codage généralisé des actes, des prestations et des pathologies ne paraît pas être la condition première et nécessaire au contrôle et à la régulation des dépenses.
Cela étant, le contrôle ne saurait à lui seul répondre à l'ensemble des enjeux de l'évolution du système de santé, même du point de vue d'une meilleure utilisation des ressources.
Le recours indispensable au prisme de la codification et de la connaissance
pour faire évoluer le système de santé ?
Aux arguments accréditant le codage généralisé comme un moyen de bien connaître, et finement, les pratiques médicales et l'état de santé des populations, nous opposons la supériorité des études statistiques et épidémiologiques et du suivi des phénomènes de santé par des réseaux de praticiens « sentinelles ».
Les études sont réalisées le plus souvent sur échantillon selon un protocole ad hoc à partir d'hypothèses testées, avec une méthodologie d'enquête stricte, et mises en oeuvre par des professionnels formés à cet effet. Sauf cas particulier, les risques d'erreur sont bien moindres et les informations recueillies d'une fiabilité largement supérieure à celle qu'on peut attendre du codage banalisé des actes et des pathologies.
Le document
de travail de la SFSP (cité supra) indique, outre les éléments déjà évoqués,
les conditions complémentaires nécessaires pour une utilisation en santé publique :
« l'élaboration
de modèles d'induction de l'offre à partir de la connaissance des pathologies
identifiées et traitées, et la conception de stratégies de dépistage et/ou de
prévention pour des populations ciblées.
Une finalité
de contribution à l'intérêt de la santé publique a été attribuée au codage
des pathologies sans que leurs relations ne soient explorées. Aucune publication
ne fait état de tels rapports à travers les expériences étrangères
».
Donc pour
la SFSP l'utilité du codage des pathologies pour la santé publique reste à
démontrer.
Á ceux qui estiment que la connaissance des problèmes ainsi constituée permettrait « de rationaliser les choix budgétaires en matière de santé » dans le sens d'une optimisation de l'allocation des ressources vers des besoins clairement identifiés, il convient de rappeler que, même en disposant de bonnes connaissances sur la base de données d'études pertinentes, celles-ci ne sauraient constituer qu'un élément parmis d'autres pour déterminer une politique d'évolution du système de santé.
Nous citerons notamment :
Face aux multiples enjeux que représente une amélioration du système de santé en faveur de tous les citoyens, l'informatisation associée au codage des pathologies, bien que présentée comme une panacée pour cette réforme, doit donc être ramenée à sa juste place.
Celle d'un outil dont l'efficacité, même bien maîtrisée, ne peut être servir à alimenter l'illusion d'une mise en perspective, prétendument universelle, de l'ensemble des enjeux épidémiologiques, sociologiques et économiques.
3. Le stockage exhaustif
des informations médico-sociales sur chaque personne : avantage pour le
suivi médical du patient ou risque majeur d'atteinte à la vie privée du
citoyen ?
Le codage et le chaînage des informations personnelles de santé risquent
de conduire à la mise en place du « casier sanitaire
».
Le fait que le codage des actes, des prestations et des pathologies, soit transmis aux caisses d'assurance maladie sous forme électronique et en étant identifié avec le NIR, ou avec tout autre identifiant de portée générale, représente pour les citoyens un des risques majeurs de ce dispositif.
Avec le temps se constituera ainsi pour chaque personne le regroupement des données sur sa santé physique, mentale et « sociale ». En l'absence de limitation de la durée et de détermination des modalités de conservation de ces données stockées, une sorte de fichier sanitaire nominatif et exhaustif pourrait être géré par la caisse d'affiliation de chaque patient. Avec le chaînage des pathologies codées, on assisterait à la mise en place d'un authentique « casier sanitaire ».
Tout ou partie de ces informations est appelé à figurer sur la carte Vitale 2 qui constituerait alors un « extrait de casier sanitaire ».
Une banalisation du caractère confidentiel des informations nominatives est à craindre, dès lors qu'elles figureront sur un support qui appartiendra aux objets de la vie quotidienne (carte Vitale 2).
Placé en situation de demandeur, par exemple lors d'une embauche ou de la souscription d'un contrat d'assurance, qui sera en mesure de résister aux sollicitations, certes excessives, de communiquer les informations inscrites sur sa carte Vitale 2 ? Certains, se sachant indemnes de toute pathologie, pourraient même être tentés d'aller au devant de toute demande, en présentant spontanément à l'employeur certaines données du volet médical de leur carte attestant de leur bon état de santé, d'autant plus qu'une copie papier de certaines de ces données pourrait être légalement délivrée.
Les usages prévisibles laissent craindre tout autant l'utilisation détournée des données confidentielles par « consentement extorqué » voire « auto-extorqué », que par un détournement frauduleux, qui n'est jamais à exclure.
Le cas des données génétiques est particulièrement édifiant : qu'adviendra-t-il si un profil de prédisposition potentielle à la survenue d'une maladie enregistré dans le « casier sanitaire » et sur la carte Vitale 2, est accessible à un employeur lors de l'embauche ou à un assureur à la souscription d'un contrat ?
L'intérêt des employeurs, des banquiers, des assureurs pour les bases de données relatives à la santé des personnes est évident. Les risques de détournement de finalité le sont tout autant, puisque justifiés au nom de la concurrence économique. Le « casier sanitaire » pourrait aussi servir à cibler les malades par profils et à mettre en regard une offre de soins restreinte prédéfinie, ceci dans une logique de mise en concurrence des caisses de sécurité sociale avec les assurances privées. Qu'en serait-il des fichiers sanitaires des personnes constitués par ces caisses puis confiés au privé ? Alors les informations ne seraient-elles pas utilisées dans une logique assurantielle de sélection préalable des risques ou croisées avec les fichiers d'assurance vie, de prêts... ?
Par ailleurs, les pouvoirs publics locaux et nationaux comme les organismes de protection sociale pourraient eux aussi être tentés d'utiliser ces données dans une perspective de gestion ou de contrôle des populations dites « à risque ».
L'exhaustivité et le regroupement des informations médico-sociales nominatives dans un fichier unique, identifiées avec le NIR ou avec tout autre identifiant permanent de portée générale, créent de fait les conditions objectives de toutes ces dérives potentielles, d'autant plus que ces informations seront aisément accessibles.
De plus, les ordonnances d'avril 1996 imposent le codage des actes et des pathologies, sans reconnaître au patient de droit d'opposition, et en y subordonnant le remboursement des actes.
Une contrepartie positive pour la sécurité des patients dans le cadre
des systèmes d'alerte sanitaire ?
Un des arguments invoqués en faveur d'un stockage centralisé des informations sur les pathologies des personnes est qu'il servira ultérieurement en cas de besoin à la recherche des patients qui ont été soumis à des risques (produits sanguins, valves, prothèses...).
Il s'avère donc nécessaire de garder la trace de ce type d'événements survenus aux patients. Toutefois pour cela, il n'est nullement indispensable de recourir à un système de « casier sanitaire » centralisé. En effet, les médecins comme les établissements de santé conservent les dossiers de leurs patients selon les règles d'archivage des documents médicaux. En cas d'alerte sur un événement répertorié (par exemple l'administration de produits, ultérieurement suspects de contamination virale initialement non détectée), les établissements et les professionnels de santé peuvent être contactés pour retrouver dans leurs fichiers les patients concernés.
Une procédure réglementaire peut être prévue pour rechercher ces personnes, en faisant ponctuellement usage des fichiers de la sécurité sociale, après avis de la CNIL. D'ailleurs cette procédure a été utilisée dans l'affaire de la clinique du sport (cf. CNIL 18° rapport d'activité 1997, délibération n°97-094 du 2/12/97).
Ainsi, des systèmes de repérage efficaces peuvent être conçus dans l'intérêt des personnes pour répondre au cas par cas à une exigence de santé publique, sans recourir pour autant à un stockage exhaustif centralisé et nominatif des données de santé de toute la population.
4. La mise en oeuvre du dispositif
SESAM-Vitale avec un volet de santé sur la carte vitale : carte de sécurité
sociale électronique ou carnet de santé électronique ?
Enjeux et contradictions à propos des cartes Vitale.
Le choix d'un dispositif mettant en oeuvre une carte individuelle de l'assuré, la carte Vitale, et une carte professionnelle, la carte du professionnel de santé (CPS), définies sous la pression des intérêts économiques évidents des fabricants de cartes à puce et de lecteurs de cartes à puce, implique que les pouvoirs publics sécurisent ces cartes en assurant la confidentialité des informations qu'elles contiennent.
L'analogie avec la carte bancaire, familière aux consommateurs, est cependant trompeuse dans le cas de la carte Vitale.
Certaines caractéristiques du dispositif SESAM-Vitale recèlent des dangers sur le plan des libertés individuelles et publiques :
La carte Vitale 1 est utilisée pour sécuriser la constitution des feuilles de soins électroniques (FSE), il faut toutefois noter que la seule transmission des feuilles de soins électroniques ne nécessitait pas en soi une carte à puce de surcroît individuelle, pour preuve la télétransmission réalisée actuellement par les laboratoires de biologie ou les pharmacies.
La carte Vitale 2 avec son volet de santé est présentée comme nécessaire pour assurer la continuité et la coordination des soins, il convient de s'interroger sur les bénéfices réels pour le patient, aux vues des risques d'utilisation détournée et des risques d'utilisation défectueuse liée à la qualité et à l'intégrité des informations (par exemple : effacement de données, informations erronées ou incomplètes, difficultés liées au codage, non identification de l'émetteur pour certaines informations, etc.).
Le volet « urgences » paraît à première vue le plus légitime dans l'intérêt du patient, il viendrait se substituer aux documents papier existants (cartes de groupe sanguin, de vaccinations, de porteur d'affections chroniques, etc.).
Toutefois il est envisagé que la lecture de ce volet « urgence » soit rendue libre d'accès par des moyens techniques appropriés. Cela légitime les craintes exprimées ci-dessus de voir les employeurs ou les assureurs faire pression sur les personnes pour prendre connaissance des informations contenues sur une carte Vitale 2 rendue obligatoire.
L'usager, alors en position de demandeur, sera-t-il pleinement en situation de défendre ses droits en refusant de communiquer des informations contenues sur sa carte ?
Le volet « suivi des soins » pourrait comporter les antécédents médicaux, les motifs des dernières consultations et hospitalisations, les examens et les prescriptions réalisés avec les coordonnées des médecins et des services hospitaliers consultés par le patient, ces informations seraient accessibles selon différents « niveaux d'habilitation » attribués aux différentes fonctions assumées par les praticiens de santé concernés.
Ceci pose de nombreux problèmes : la fiabilité et la validité de l'information stockée (cf. ci-dessus les problèmes liés au codage des pathologies et à l'intégrité des données) ; le recours au médecin imposé au patient pour accéder à l'information stockée sur sa carte ; la protection de la confidentialité lors de l'utilisation de bornes publiques par le patient pour accéder à l'information stockée sur sa carte et lors de la délivrance par son médecin d'une copie papier d'une partie de ces informations ; etc.
Ce volet de santé de la carte Vitale 2, véritable extrait individuel de casier sanitaire, pose des problèmes similaires à ceux évoqués ci-dessus à propos du fichier sanitaire exhaustif et nominatif qui serait détenu par les caisses d'assurance maladie.
Ces difficultés et ces risques devraient conduire à remettre en cause le bien-fondé d'un volet de santé sur la carte Vitale 2, carte qui remplit par ailleurs une fonction administrative de carte de sécurité sociale électronique.
Propositions alternatives pour la carte Vitale 2.
Mais comment répondre au souci légitime d'améliorer la continuité des soins et quel outil mettre à la disposition des patients et des professionnels de santé pour contribuer à cet objectif ?
Plusieurs hypothèses sont étudiées ci-après avec l'objectif d'exclure du dispositif nécessaire à une bonne gestion de l'assurance maladie, le risque de constitution de fichiers sanitaires exhaustifs sous forme nominative sur chaque personne :
Le volet « urgences » serait uniquement accessible aux médecins et aux services d'urgence, après authentification au moyen de leur CPS (carte professionnelle de santé). L'accord du patient serait requis pour que des données y soient enregistrées.
Le volet « suivi des soins » n'existerait pas en tant que tel, la simple mention des coordonnées des médecins et des services de santé consultés par le patient devrait permettre, avec son accord, de joindre les détenteurs de l'information utile au cas par cas, sous réserve de conditions de sécurité optimum quant à la préservation de la confidentialité. Chacun conserverait ainsi la maîtrise, pour le patient, et la responsabilité, pour le professionnel, du transfert de l'information pertinente et utile à une situation donnée.
Ce dispositif comporte cependant des inconvénients :
- un support unique pour les informations administratives nécessaires au remboursement des soins, et les informations médicales, même restreintes, d'o๠les risques déjà décrits ;
- l'indisponibilité du médecin dont les coordonnées sont mentionnées sur la carte Vitale au moment même o๠un autre praticien souhaite l'interroger.
Dans tous les cas, nonobstant les éléments avancés sur l'adéquation du codage des pathologies à la réalité, le praticien de santé ne devrait transmettre les informations aux organismes d'assurance maladie que selon les modalités suivantes :
- découplage du traitement des informations nécessaires à la gestion administrative des droits à l'assurance maladie (transmission des feuilles de soins électronique) et des informations portant sur les pathologies ;
- strict encadrement de la durée de conservation des données nominatives transmises aux fins de gestion (actes, prescriptions) ;
- anonymisation à la source des données transmises à des fins de statistiques, d'autant que ces données pourraient être traitées par les organismes d'assurance-maladie ou par d'autres institutions.
Il convient donc d'éviter les risques de constitution de bases de données nominatives, tant à partir du codage des pathologies, qu'à partir du codage des actes qui est déjà porteur de nombreuses informations sur les personnes.
5. Face aux enjeux de l'informatisation
de la santé : légitimité d'un débat public et nécessité d'une mobilisation
citoyenne. Nous appelons à ce débat et à cette mobilisation autour des sujets suivants :
Document
rédigé dans le cadre d'un travail commun
au
Collectif pour les droits des citoyens face à l'informatisation de l'action
sociale,
au
Collectif " Informatique, fichiers et citoyenneté ",
et
à la Ligue des Droits de l'Homme
31/03/1999