Je souhaite la bienvenue aux représentants de la Cour des comptes et je les remercie du travail remarquable qu'ils nous ont fourni. Ce sujet est stratégique et ses dimensions ne sont pas encore clairement perçues par les décideurs. C'est ce constat qui a déterminé le choix de cette thématique pour votre rapport.

Avant de commencer cette audition, je voudrais faire part de mon irritation suite à la diffusion dans certains médias de votre rapport, monsieur le président. Cela ne s'inscrit pas dans la tradition de la MECSS, dont il n'est pas besoin de rappeler que je suis le créateur. Je souhaite ardemment que la logique consistant à réserver la teneur de ses travaux aux représentants de la nation soit respectée. Si de telles diffusions venaient à se répéter, je solliciterai des moyens pour effectuer des recherches et aboutir à des sanctions, car il n'est pas admissible de préempter la réflexion des représentants de la nation.

Monsieur le président, votre rapport se compose de trois chapitres. Le premier constate le caractère exceptionnel de la base de données dont dispose l'assurance maladie, et souligne son pilotage quelque peu défaillant. La quantité de données est exceptionnelle au sein du système national interrégimes de l'assurance maladie (SNIIRAM) lui-même et elle le sera encore plus avec la mise en place du nouveau système national des données de santé (SNDS) créé par l'article 193 de la loi de modernisation de notre système de santé du 26 janvier 2016, du fait de l'agrégation d'autres fichiers, déjà possible – comme pour les données de la base CepiDc (Centre d'épidémiologie sur les causes médicales de décès de l'INSERM) – ou à venir – comme pour les données médico-sociales issues de la CNSA ou l'échantillon représentatif des données de remboursement par bénéficiaire transmises par des organismes d'assurance maladie complémentaire. L'émergence des objets connectés va également contribuer à faire exploser la masse de ces données, ce qui pose naturellement des questions au regard de leur sécurité et de leur confidentialité.

Vous recommandez donc de reconnaître à la CNAMTS le statut d'opérateur d'importance vitale, de la soumettre aux règles et contrôles périodiques externes de sécurité y afférant, notamment de la part de l'Agence nationale de la sécurité des systèmes d'information (ANSSI), et de parfaire la conformité du dispositif au référentiel général de sécurité de l'État (RGS). Vous relevez quelques éléments inquiétants : des algorithmes obsolètes, l'absence de procédés de remplacement de clés de cryptage et la nécessité de médicaliser le codage, notamment sur le PMSI (programme de médicalisation des systèmes d'information), suite à son chaînage avec le SNIIRAM.

Le système intègre chaque année les données émanant de 500 millions de consultations, 1,2 milliard de feuilles de soins électroniques et 11 millions de séjours d'hospitalisation. Il n'y a pas eu d'études sur le coût de l'installation et du fonctionnement de ce dispositif.

Le deuxième chapitre constate que l'utilisation des données est trop malthusienne, donc inadaptée aux enjeux en matière de santé publique, de recherche, de maîtrise des dépenses et de diffusion de l'information.

La troisième partie invite à clarifier la nouvelle gouvernance de ce système née de la loi de modernisation de notre système de santé, en distinguant bien entre la gestion technique, la gouvernance stratégique et la gouvernance des accès. Vous insistez fort justement sur la nécessité d'être attentifs à la rédaction des décrets d'application et vous suggérez une logique de contrôle a posteriori afin d'éviter la rigidité des autorisations a priori. Enfin, vous insistez sur la nécessité de définir un modèle économique permettant de répondre concrètement au besoin de sécurisation de ces données sur les moyen et long termes.

Un décret en Conseil d'État écarte certaines possibilités de financement de l'accès aux données, mais des systèmes étrangers permettent l'accès libre et gratuit à des données agrégées, tout en prévoyant des contributions forfaitaires pour l'accès à des données spécifiques, voire une taxation pour l'accès à des données personnelles. Ce modèle économique est particulièrement vertueux.

La MECSS aura évidemment à coeur d'analyser tous ces enjeux stratégiques, sur la base du rapport que je vous invite maintenant à nous présenter.

Le rapport que nous vous présentons aujourd'hui contraste fortement avec un rapport de 2012, consacré à l'échec du dossier médical personnel (DMP) : nous avions constaté des dépenses considérables pour un résultat nul. Dans le cas présent, nous constatons que des dépenses modérées ont permis de créer une base de données réussie, malgré certaines limites, qui constitue un progrès majeur situant notre pays au premier rang.

Cette base de données d'une richesse et d'une finesse considérables s'est créée à la façon d'une cathédrale gothique, mais sans plan préétabli ou vision prédéterminée, avec beaucoup de pragmatisme, un solide bon sens et beaucoup d'opiniâtreté. En dix ans s'est construit un édifice composite dans lequel chaque partie est venue compléter et renforcer la solidité du tout.

La force de cette base est d'abord d'être un produit dérivé. Elle n'a pas été conçue à partir de rien : c'est un sous-produit du dispositif de liquidation des prestations d'assurance maladie. Le dispositif de feuilles de soins électroniques, mis en place au tournant des années 1995 avec la carte Sésame-Vitale et pensé pour améliorer les délais de remboursement des assurés, s'est révélé à même de nourrir un entrepôt de données d'une importance majeure.

Le dispositif s'est développé de manière très progressive. Dès 1997-1998, la Cour des comptes avait souligné dans son rapport sur la Sécurité sociale la richesse des bases de données partielles qui existaient alors, mais aussi leurs limites. La Cour avait également affirmé l'intérêt de construire des bases de données interrégimes, que l'ensemble des régimes d'assurance maladie viendraient alimenter.

Sur ce fondement, la loi de financement de la Sécurité sociale pour 1999 a prévu la mise en place d'un système national interrégimes d'assurance maladie – le SNIIRAM –, alimenté obligatoirement par l'ensemble des régimes d'assurance maladie. Ce système, véritable révolution copernicienne, s'est mis en place progressivement. Il a fallu trois ans pour qu'il commence à se constituer, et presque cinq ans pour qu'il entre réellement en fonction. Mais la décision du législateur a été déterminante pour permettre de franchir un certain nombre de barrières et d'obstacles.

Le système s'est peu à peu perfectionné dans plusieurs directions. Tout d'abord, la qualité des données s'est améliorée au fil du temps, même si des marges de progrès demeurent. Mais l'élément de progrès sans doute le plus important est le chaînage de l'entrepôt de données initial avec les données hospitalières issues du PMSI. Avec beaucoup d'intelligence, il a été décidé de ne pas fusionner les bases, ce qui aurait créé de sérieuses difficultés et abouti à un échec. Une solution pragmatique a été retenue, celle du chaînage, c'est-à-dire l'appariement des données à partir du numéro d'identification personnel. Cette étape, intervenue en 2009-2010, a été absolument déterminante. Elle a permis d'enrichir l'entrepôt de données et de donner une profondeur au parcours de soins des personnes, en ville et à l'hôpital. La finesse des données hospitalières, qui donnent des indications sur la pathologie traitée à l'hôpital, a permis de médicaliser davantage des données qui étaient auparavant administratives et de fournir des éclairages complémentaires sur les parcours de soins.

Cette construction a donc été très pragmatique et volontariste. À chaque étape s'est manifesté le souci d'enrichir la base, de l'incrémenter et de la structurer. Une base peut être d'une richesse exceptionnelle, mais il est essentiel qu'elle soit à même de délivrer des services opérationnels à ses utilisateurs. À partir de 2005, un échantillon général des bénéficiaires au 197e, soit 600 000 personnes, a été extrait de la base globale qui regroupe la totalité des épisodes de soins de la totalité de la population française. Puis, des bases de données thématiques ont été progressivement mises en place. À partir d'un entrepôt de données d'une dimension considérable, comme il en existe peu dans le monde, un ensemble d'extractions particulières a été défini afin d'offrir une solution appropriée aux différentes utilisations souhaitables.

Cette dynamique s'est développée de manière très empirique, car il n'y a pas eu de véritable pilotage stratégique. Au fond, pour paraphraser Victor Hugo, le SNIIRAM a été une « force qui va ». Si cette base de données n'a pas été véritablement pilotée, il n'y a pas eu pour autant d'errance dans la manière dont elle s'est développée. L'État est resté en retrait ; le comité de pilotage, qui devait exercer une fonction stratégique, ne l'a pas fait ; les différentes institutions créées autour du SNIIRAM ont été plus concurrentes que complémentaires – les responsabilités des unes ont empiété sur les responsabilités des autres. Mais grâce à la qualité des personnes qui ont piloté le dispositif, le SNIIRAM s'est construit, s'est amélioré et s'est enrichi tout au long des années. Quelques personnes, à la direction de la Sécurité sociale ou à la CNAM, ont eu la ténacité et la vision nécessaires, plus que les administrations. Nous devons constater que ce processus a réussi, quelles que soient les limites que l'on peut aujourd'hui constater.

Dans le cadre de vos travaux, deux administrations n'ont pas répondu : la direction de la recherche et de l'enseignement supérieur et l'ATIH (Agence technique de l'information sur l'hospitalisation). Cela est-il lié au pilotage défaillant que vous évoquiez à l'instant ?

L'absence de réponse du ministère de la recherche me semble précisément résulter de ce que le SNIIRAM n'est pas vu comme un outil de recherche : c'est un sujet périphérique pour ce ministère. De plus, les sujets qui concernaient directement la direction interrogée étaient relativement mineurs.

Quant à l'ATIH, nous avons eu de nombreux contacts avec elle au cours de l'instruction et je pense qu'elle a dû considérer qu'elle n'avait pas d'observation en réponse aux analyses de la Cour. Cela veut donc dire qu'elle les a validées.

L'absence de pilotage stratégique s'est malgré tout faite sentir dans la prise en compte tardive des questions de sécurité. Évidemment, sur un champ aussi sensible que la protection de la vie privée, la sécurisation et la garantie de la confidentialité des données imposent un pilotage, une responsabilité assumée et une trajectoire de progrès. L'absence de pilotage stratégique constatée jusqu'à la période récente est donc tout à fait regrettable. Avant 2013, les questions de sécurité n'ont pas été prises à bras-le-corps, ce qui a entraîné des faiblesses marquées de certains dispositifs. À partir de 2013, la caisse nationale d'assurance maladie a réagi et a pris les impératifs de sécurité en considération de façon beaucoup plus rigoureuse, même si nous avons encore constaté que des progrès restaient à faire au regard des meilleures pratiques de sécurité préconisées par l'ANSSI. Un plan d'action a été décidé, un pilotage des problématiques de sécurité a été mis en place, des actions ont été engagées pour juguler plusieurs risques majeurs. Avec les experts informatiques de la Cour et un cabinet informatique extérieur, nous avons constaté qu'il n'y a pas, à l'heure actuelle, de faiblesses de sécurité présentant un niveau de criticité majeur.

Nous avons attiré l'attention sur le fait que des progrès devaient être faits. Des mises à niveau sont nécessaires et les administrations de tutelle et le ministère de la santé doivent suivre attentivement ces questions. Surtout, il est nécessaire de poursuivre et d'intensifier les efforts à moyen terme, car certaines fonctions essentielles reposent sur des technologies obsolescentes. Elles ne mettent pas le dispositif en difficulté aujourd'hui mais, à terme, il est certain qu'il faudra les moderniser. C'est notamment le cas de la fonction d'occultation, qui est utilisée à deux reprises dans le processus d'anonymisation des données personnelles. Ce dispositif repose sur un logiciel d'origine américaine, SHA-1, qu'il faudra remplacer d'ici à quelques années. Une modernisation permet de passer de SHA-1 à SHA-2, mais c'est un processus très lourd, très compliqué, qui ne touchera pas simplement les systèmes d'information du régime d'assurance maladie, mais l'ensemble des régimes de base d'assurance maladie et les bases de données hospitalières. Il faut anticiper ce projet en termes de calendrier et de coûts, d'autant qu'il ne s'agira pas simplement de prendre en compte le flux de données nouvelles mais aussi de retraiter le stock, sachant qu'il est prévu de conserver les données pendant vingt ans.

Au-delà du dispositif de 450 téraoctets dont s'est dotée la CNAM, est-ce que les structures périphériques qui viennent alimenter le SNIIRAM font l'objet des mêmes attentions en matière de sécurisation des données ?

Le ministère de la santé cherche à mettre en place, autour du secrétaire général des ministères chargés des affaires sociales, un pilotage stratégique des systèmes d'information en santé. C'est un progrès que la Cour avait appelé de ses voeux dans son rapport sur la Sécurité sociale. Il nous est apparu que ce pilotage restait perfectible, notamment en termes de sécurité informatique. De notre point de vue, la fréquence et l'étroitesse des contacts entre ce pilotage stratégique et les opérateurs sont insuffisantes.

Vous nous avez dit que le dispositif était d'une richesse considérable pour un coût modique. Avez-vous des éléments chiffrés plus précis ? Ils seraient utiles pour établir un modèle économique permettant d'assurer la sécurisation de ces données. Les exemples étrangers ont-ils pu vous fournir quelques indications par analogie ?

Les systèmes étrangers sont différents, les comparaisons en termes de coût sont malaisées et seraient probablement peu significatives.

Le coût de fonctionnement est très bas proportionnellement à l'ensemble des dépenses informatiques. S'agissant des mesures de sécurité, nous avons demandé au fil des mois un chiffrage, mais il n'a toujours pas été réalisé. La tutelle va sans doute s'y intéresser maintenant, mais ce coût sera négligeable par rapport au budget total du régime général.

Il est vrai que quelques dizaines de millions d'euros pèsent bien peu face aux 170 milliards d'euros de l'assurance maladie !

À l'aune de certains autres projets publics, nous pouvons craindre des surprises en cours de route s'il apparaissait nécessaire de refonder en profondeur un système qui fonctionne en millefeuille depuis un quart de siècle. Nous ne nous aventurerons donc pas à affirmer que quelques dizaines de millions d'euros suffiront.

Le deuxième chapitre de notre rapport constate un paradoxe. Cette construction empirique d'une grande richesse et d'une grande finesse offre des usages potentiels considérables, mais son usage réel est « précautionneux » au regard des enjeux en termes de santé publique et d'efficience organisationnelle du système de soins.

Il est légitime de contingenter l'accès à des données aussi sensibles, mais la précaution tend à devenir de la méfiance à l'égard de toutes les demandes d'accès. C'est ce paradoxe que nous avons cherché à détailler en mesurant l'usage effectif qui a été fait du SNIIRAM par différentes institutions, en commençant par les différents organismes d'assurance maladie, dont la CNAM.

La CNAM commence à utiliser davantage le SNIIRAM pour des analyses et des enquêtes, mais à doses filées et de façon très hétérogène selon les différents organismes locaux. Surtout, la CNAM utilise le SNIIRAM d'une manière plus tactique que stratégique. Au fond, il nous est apparu que l'exploitation du SNIIRAM venait à l'appui de certains objectifs mais qu'elle n'était pas conçue dans une approche plus large visant à améliorer l'efficience du système de santé. Des progrès ont été constatés, en particulier dans le rapport annuel qui vous est remis sur les charges et produits de l'assurance maladie. Le SNIIRAM est utilisé de manière plus fine depuis deux ou trois ans, mais il n'est pas encore utilisé de manière routinière pour rechercher une meilleure efficience globale du système de soins, en particulier pour réduire les anomalies, les erreurs ou les abus. L'utilisation en ce domaine est très retenue.

Cette deuxième partie évoque un ratio sur le mésusage des données. Dans la majorité des cas, il est lié à des erreurs humaines dans la procédure et, dans à peu près un quart des cas, à des tentatives de fracturation informatique. Le préjudice a-t-il été évalué ? Les risques de divulgation de données confidentielles ou de détournements de fonds publics ont-ils été analysés ?

Cette problématique n'est touchée que de manière très périphérique et superficielle. Le risque d'atteinte aux deniers publics n'est pas plus élevé qu'avec les autres systèmes, car le SNIIRAM est en aval des opérations de remboursement. Si des captations informatiques devaient causer des préjudices, elles se réaliseraient en amont, hors du champ de notre enquête.

Les autres institutions du secteur sanitaire font également un usage assez chiche du SNIIRAM, même si l'on constate de la part de certains – en particulier l'Institut national de prévention et d'éducation pour la santé – un usage plus intensif. Les administrations n'utilisent absolument pas le SNIIRAM.

Il existe un fort contraste entre des institutions qui disposent d'accès permanents leur permettant, avec des degrés d'intensité divers, d'accéder directement aux données mais qui utilisent assez peu cette faculté, et des demandes d'accès ponctuels par d'autres acteurs, à des fins de recherche ou d'évaluation et de santé publique. Il y a beaucoup d'appétence des équipes de recherche et d'évaluation, mais les procédures d'accès transforment la demande en un véritable parcours du combattant, avec des délais qui peuvent être considérables, de l'ordre de dix-huit mois. Nous avons pu constater que cela conduite à une forme de découragement des équipes.

Cette inadéquation entre l'offre et la demande est liée à la lourdeur des procédures, mais j'ai été étonné d'apprendre que seuls six équivalents temps plein traitent de ce sujet au sein de la CNIL. Au vu de l'importance des demandes, cela ne doit qu'aggraver la lassitude, au détriment de la santé de la nation.

Existe-t-il une estimation des besoins ? Quels effectifs faudrait-il mettre en place au sein des différentes structures ? Quels sont les moyens techniques et financiers nécessaires ?

Nous n'avons pas fait d'estimation des moyens. Nous avons auditionné la présidente de la CNIL, qui nous a indiqué que les six personnes en question ne sont pas dédiées au seul accès au SNIIRAM, mais à l'ensemble des accès à des données de santé.

C'est pourquoi j'ai mentionné l'agrégation des fichiers à venir, qu'il s'agisse du CépiDC, des données médico-sociales ou de celles issues des assurances complémentaires. Sans compter les objets connectés, qui vont venir alimenter l'ensemble des banques de données. On voit bien qu'il y a une inadéquation complète des moyens.

Cet engorgement est d'autant plus important que les dispositifs de simplification sont très peu utilisés, qu'il s'agisse des méthodologies de référence pour les enquêtes à fin de recherche ou des autorisations cadres dans le cadre d'évaluations de santé publique. Le levier prioritaire semble être l'adaptation des procédures plutôt que celle des moyens. La complexité des procédures n'a pas été réduite et les dispositifs de simplification sont sous-utilisés, par souci d'éviter une divulgation indue de données de santé. C'est ce principe de précaution qui paralyse l'utilisation de méthodologies plus simples, pourtant prévues par les textes. Plus que des moyens, le blocage vient de l'absence de recours à des modes de traitement plus simples.

Le troisième chapitre est consacré à la nouvelle gouvernance issue de la loi sur la modernisation de notre système de santé.

L'article 193 de cette loi tend à réorganiser la gouvernance du système selon une logique plus claire : le pilotage stratégique est confié à une administration de l'État, et non à un comité sans président ; le rôle de l'Institut national des données de santé est nettement défini ; les procédures applicables par la CNIL au titre de la loi « Informatique et libertés » sont simplifiées.

Mais tout dépendra des décrets d'application : il faudra bien sérier les responsabilités et articuler les procédures pour éviter des formes de redondance qui reproduiraient les difficultés que nous avons constatées.

Avez-vous des informations sur les dates de publication de ces décrets ?

L'objectif est que les principaux décrets d'application de l'article 193 soient publiés avant l'été.

Et dans le cadre de l'enrichissement des bases de données, la CNAM a la volonté de mettre en oeuvre le DMP pour l'année 2017.

La démarche d'ouverture raisonnée des données impose de clarifier le jeu des acteurs. Elle doit également s'accompagner d'un renforcement considérable des contrôles a posteriori, afin de permettre une simplification des procédures d'accès a priori. Actuellement, l'accent est mis sur le contrôle a priori des conditions d'accès, mais une fois l'autorisation donnée, il n'y a plus aucune forme de contrôle. Il faut basculer vers des formes renforcées de contrôle a posteriori pour permettre de rendre les accès à ces bases de données plus fluides, plus aisés et plus larges.

Évidemment, la sensibilité de ces données impose des formes de contrôle. Mais il faudrait trouver un meilleur équilibre pour que les procédures d'accès a priori soient plus souples et que les contrôles a posteriori soient effectifs, rigoureux, et donnent lieu à des sanctions le cas échéant.

Par ailleurs, le nouveau système des données de santé doit d'emblée être construit de manière sécurisée. Des investissements complémentaires sont à prévoir pour sa mise en oeuvre et sa maintenance dans la durée.

C'est ce qui nous amène à nous pencher sur la question du modèle économique. Le texte voté par le Parlement prévoit la gratuité de la mise à disposition d'un certain type de données au bénéfice d'un public large, dès lors qu'il n'y a pas de possibilité d'identification des personnes. La gratuité est également de mise pour des acteurs publics dans l'exercice de leurs missions de service public. Malgré tout, des formes de redevance restent possibles pour la mise à disposition de ces données au profit d'autres acteurs que des acteurs publics ou pour bénéficier de services supplémentaires que l'hébergeur de données pourrait rendre aux divers utilisateurs. Nous incitons à aller plus loin afin que le modèle économique du nouveau système national de données de santé conforte sa soutenabilité financière.

Le SNIIRAM va encore être enrichi, donc la question de sa pérennisation et de son évolution est absolument centrale. Il faut maintenir l'avance dont dispose aujourd'hui notre pays en ce domaine. Sinon, nous risquons de nous retrouver dans quelques années avec un système qui ne sera pas en l'état de l'art et qui présentera des risques de sécurité et de confidentialité. Si un tel système était un jour fracturé, cela poserait de graves problèmes de confiance.

L'exploitation des données pourrait-elle influer sur la prescription médicale ? Les professions médicales que vous avez rencontrées ont-elles exprimé des inquiétudes à ce sujet ?

Concernant les fraudes, l'objectif est de dissuader plutôt que de sanctionner. Cela pourrait induire des économies opportunes à incorporer au modèle économique.

Le positionnement actuel du SNIIRAM, en aval de la facturation, n'apparaît pas de nature à influencer directement les professions de santé, qui sont bien plus concernées par l'alimentation quotidienne du système et la télétransmission. Il en irait différemment si les données non-structurées, c'est-à-dire les données médicales, entraient dans le SNIIRAM.

Tous les efforts d'autres pays et des multinationales tendent à capter l'ensemble des données. Dans cette hypothèse, nous n'allons pas vers une robotisation des professions médicales, mais nous verrions une vraie réaction des autorités de santé qui disposeraient de données beaucoup plus riches et pertinentes.

Donc à court terme, nous n'envisageons pas d'influence sur les prescriptions, mais à moyen et long terme, tout dépendra des investissements qui seront faits. Pour le moment, le DMP sera géré par la CNAM de manière totalement indépendante du reste.

Certains industriels estiment que l'utilisation de ces données à des fins non-médicales pourrait générer un marché de 70 à 100 milliards d'euros. Confirmez-vous ces chiffres ? La Cour des comptes a-t-elle procédé à une évaluation du marché de l'exploitation de ces données ?

Non, nous ne nous sommes pas élevés au-dessus de notre condition. (Sourires).

Je vous remercie d'avoir accepté de nous répondre.