Dr Max Bensadon
directeur technique du CTIP

"Le chaînage des informations PMSI monte en puissance cette année et devrait être opérationnel l’an prochain".

Propos recueillis par Denis Carradot, Thierry Dispot et Hervé Nabarette

20 septembre 2001

 Le chaînage des séjours de patients est actuellement en voie de généralisation dans tous les établissements hospitaliers. Il permet de suivre les patients hospitalisés à partir des données PMSI. Quelle est l’utilisation prévue par les tutelles ?

La volonté de mettre en place le chaînage du PMSI provient du Ministère et de la CNAMTS. Les objectifs sont divers. Le premier est l’analyse des prises en charge que ce soit pour contribuer à en améliorer la qualité (on pourra par exemple observer la trajectoire d’un patient atteint d’infection nosocomiale ou identifier une infection survenue après la sortie du patient à qui on aura posé une prothèse de hanche),  ou pour mettre en évidence un éventuel "saucissonnage" des séjours (prises en charge partielles entraînant une multiplication des séjours). Le second, tout aussi important,  est d’obtenir une base de données analysable au niveau patient, ce qui sera une avancée majeure notamment du point de vue épidémiologique. Bien sûr, l’utilisation et les conclusions tirées tiendront compte du caractère progressif de la mise en place et des pertes d’information éventuellement constatées.

 Quel est l’historique de ce projet ?

Le chaînage des Résumés de Sortie Anonymisés (RSA) existait pour la base des établissements privés en 1997. A l’époque, peu d’études avaient été réalisées, en raison du caractère incomplet de ce chaînage qui laissait de côté le secteur public. La généralisation en cours s’inspire de ce qui avait été fait. Certains éléments rendent d’ailleurs cette généralisation plus facile, comme l’homogénéisation du numéro de sécurité sociale, liée au projet de carte Vitale. Or ce numéro est utilisé pour générer les identifiants patients. A ce niveau, les disparités qui venaient de la diversité des régimes (SNCF, militaires...) n’ont plus court, même si certaines caisses sont en retard dans l’adoption du standard NIR à 13 caractères.

 Concrètement, comment l’identifiant patient permanent est-il créé ? Certaines populations poseront-elles problème ?

Le numéro d’anonymisation est créé à partir de variables identifiantes. Un algorithme d’anonymisation transforme ces variables en un numéro qui est anonyme, et propre à chaque patient. Ce numéro n’est pas réversible, on dit que le hachage est asymétrique. Les variables identifiantes de départ sont : le numéro de sécurité sociale, la date de naissance, et le sexe. Avec la CMU la plupart des patients non assurés ont aujourd’hui un numéro de sécurité sociale. Mais il demeure des cas particuliers. Par exemple, des jumeaux de même sexe et ayant le même ayant droit auront le même numéro anonyme. Nous avons préféré perdre de l’information, en choisissant de ne pas utiliser le rang gémellaire, qui n’est pas saisi de la même façon dans les établissements et sur la carte Vitale, plutôt que de risquer de rendre le numéro anonyme "instable". Pour les patients qui veulent être hospitalisés de façon anonyme, il n’y a pas saisie du numéro de sécurité sociale, et donc pas de possibilité de chaînage des informations. A chaque fois qu’un séjour n’est pas facturé, comme dans le cas des accidents du travail, il n’y a pas non plus recueil du numéro de sécurité sociale. Les établissements qui ont mis en place l’identifiant patient nous parlent d’une déperdition d’information qui concerne environ 2% des patients. Lorsque le système montera en puissance, nous devrons voir comment ce chiffre évolue.

 Comment les aspects réglementaires ont-ils été réglés (notamment CNIL et identifiant patient, Service Central de Sécurité des Systèmes d’Information et hachage asymétrique...) ?

La CNIL avait accepté le chaînage en 1997 pour les établissements privés. Mais elle s’était opposé au désir des tutelles de généraliser ce système, car elle craignait la sortie du numéro de sécurité sociale du strict circuit de facturation. Elle ne voulait pas que ce numéro soit trop lié à des données médicales, il devait être conservé à l’endroit où il est utilisé. Pour intégrer le numéro de sécurité sociale dans le Résumé Standardisé de Sortie dans les établissements publics, il aurait probablement fallu un décret en Conseil d’Etat. Nous avons donc mis au point un système qui repose sur la stricte dissociation du circuit administratif de facturation et du circuit de l’information médicale. Dans le circuit médical, on ne demande à aucun moment le numéro de sécurité sociale. D’autre part, seul le numéro identifiant anonyme sort du circuit de facturation. Le directeur de l’information médicale (DIM) de l’établissement rapproche les fichiers médicaux RSS et le fichier anonymisé fourni par le circuit de facturation, par le biais de jointures multiples.

D’autres mesures sont garantes de la confidentialité des données. Ainsi, les identifiants de chaînage produits par les établissements sont anonymisés une seconde fois. Un établissement qui détiendrait la base nationale chaînée ne pourrait "suivre" "facilement" un patient qui aurait séjourné chez lui, puisque le numéro qu’il a créé ne se retrouve pas dans la base nationale.

Enfin, les fichiers qui sortent des établissements sont envoyés sous forme cryptée par disquette.

La procédure est donc proche de celle qui avait été validée en 1997 par la CNIL et le SCSSI, d’autant que le module de hachage est le même que celui qui avait été utilisé en 1997. La CNIL a donné son accord le 2 juillet 2000.

 Quel sera le champ concerné par le projet ? Le moyen séjour sera-t-il concerné ? La ville ? Y-aura-t-il  un lien avec le long séjour ?

Le projet est de couvrir, à terme, tout le secteur des établissements de santé concerné par le PMSI. Le lien avec les établissements de Soins de suites et de réadaptation sera donc possible, de même pour la psychiatrie lorsque le PMSI y sera généralisé. En revanche, le lien avec les établissements de soins de longue durée n’est pas possible puisque le numéro de sécurité sociale n’y est pas recueilli. D’autre part, comme le numéro est créé de façon identique à partir d’éléments immuables, le suivi pourra se faire sur plusieurs années, en fait tant que la carte Vitale 1 ne sera pas remplacée (il est prévu que la carte Vitale 2 intègre le NIR de la personne plutôt que le numéro de Sécurité sociale de l’ayant droit). La jonction avec les données de ville ne devrait pas poser de problèmes techniques, puisque la CNAMTS utilise par définition le NIR pour ses remboursements, et que la fonction de hachage utilisée pour les établissements de santé nous a été fourni par un de ses services.

 La base des RSA chaînés ne posera-t-elle pas de nouveaux problèmes de confidentialité ? Elle donne plus d’information, elle autorise donc les recoupements plus facilement...

Effectivement, la base disposera d’une variable supplémentaire permettant d’identifier plus facilement le patient par recoupement : on saura en plus de l’âge, du sexe, de la durée de séjour, de l’établissement dans lequel a été hospitalisé qu’il a été éventuellement pris en charge dans plusieurs établissement (ou dans le même). Je rappelle que par définition le numéro anonyme ne permet pas de revenir aux variables ayant servi à le produire. Comme pour toute demande de base exhaustive, les demandeurs devront justifier de leur utilisation auprès de la CNIL... On ne connaît pas encore le degré de diffusion qui sera autorisé pour cette base...

 Quelles sont les étapes de mise en place ? Des difficultés sont-elles à prévoir ?

Pour les établissements privés, la mise en place sera aisée, étant donnée la qualité du circuit de facturation. De plus, les fichiers qui arrivent au DIM contiennent la totalité des informations nécessaires au chaînage, le numéro de sécurité sociale étant présent dans le RSS. Pour 2001, aucune modification n’a été demandée. Par contre, en 2002, il sera nécessaire de sortir le numéro de sécurité sociale du RSS, pour adopter le même schéma que dans le public. Le fichier de résumé de facturation devra intégrer le sexe, ce qu’il ne fait pas aujourd’hui. Les sociétés de service y travaillent. L’étape ultérieure consistera à intégrer directement le numéro anonyme dans le fichier de facturation.

Dans le public, sous budget global, les circuits de facturation sont moins systématisés que dans le privé. Les filières administratives sont diverses. Dans un premier temps, certains établissements auront des difficultés à mettre en place la génération du numéro anonyme... Au moins, la mise en relation des circuits administratifs et de l’information médicale permettra d’objectiver certains problèmes d’organisation...

Le système monte en puissance cette année, et il devrait être exploitable en 2002.

Retrouvez toutes les autres interviews.