Les 9 questions pour comprendre et s’approprier l’INS

L’identifiant national de santé ou INS devra obligatoirement être utilisé à partir du 1er janvier 2021 pour référencer des données de santé. Une mesure qui aurait dû entrer en vigueur un an plus tôt, mais repoussée faute de publication des référentiels nécessaires et de mise en service dans les temps du téléservice de la Caisse nationale d’assurance maladie (Cnam) qui permet justement d’obtenir l’INS. Entretemps, le téléservice INSi, pour identifiant national de santé intégré, est entré en production, le référentiel “Identifiant national de santé” est paru au Journal officiel, l’Agence du numérique en santé (ANS) a publié un guide à l’intention des éditeurs de logiciels métier et ces derniers ont commencé à intégrer l’accès au téléservice dans leurs solutions. À quelques jours de l’entrée en application de l’obligation d’usage de l’INS, mind Health répond aux questions qui pourraient encore se poser.

Qui devra appliquer l’INS ?

Cette obligation de référencement s’applique aux professionnels de santé, aux établissements de santé et aux services et organismes “concourant à la prévention ou aux soins” comme la Caisse nationale d’assurance maladie (Cnam) ou l’Ordre des pharmaciens en tant que responsable du dossier pharmaceutique. Les Groupements régionaux d’appui au développement de la e-santé (GRADeS) et les éditeurs informatiques qui interviennent comme sous-traitants dans une finalité de prise en charge des usagers sont également autorisés à accéder ou à manipuler l’INS. Les professionnels et établissements concernés sont autant ceux prenant en charge des usagers à des fins sanitaires que médico-sociales. L’usage de cette identité sera donc strictement réservé à l’identification des usagers pris en charge ainsi qu’au référencement des données de santé et administratives associées à ces prises en charge. Toutes les applications internes à une structure et qui traitent de la donnée de santé doivent ainsi désormais référencer ces données avec l’identité INS. Sur le terrain, l’Assistance publique-Hôpitaux de Marseille (AP-HM) a été le premier site à déployer l’INS, avec un logiciel du MiPih.

Le dossier médical personnel (DMP) se basera également sur l’INSi : “des travaux sont en cours à la Cnam et devraient aboutir en 2021”, a indiqué Elsa Creac’h, responsable de missions au sein de l’ANS et en particulier du projet INS, lors de la Journée nationale des industriels de la e-santé (JNI) du 10 novembre 2020. Au cours d’un webinaire qui a suivi sur l’INS, Sébastien Houget, directeur de projets au GIE Sesam-Vitale, ajoutait : “nous ferons en sorte qu’un logiciel qui aura récupéré l’INS via le téléservice INSi puisse l’utiliser directement pour accéder au DMP d’un patient” sans transaction supplémentaire. “Il sera donc possible d’appeler un DMP directement avec l’INS via le téléservice INSi. En revanche, pour la création d’un DMP, il sera encore nécessaire d’appeler la transaction” ad hoc.

Dans sa documentation, l’ANS cite des exemples de cas où le référencement par l’identité INS est obligatoire : transmission d’un courrier résumant la prise en charge de l’usager aux professionnels de santé concernés, envoi de données nécessaires à la réalisation d’une réunion de concertation pluriprofessionnelle, envoi d’une demande d’examen complémentaire associée à des données cliniques… Le référencement n’est en revanche “pas pertinent” dans le cas par exemple d’une prescription d’analyse biologique sans mention de données cliniques. 

À quels objectifs répond cette obligation d’usage ?

L’INS est l’un des projets socles de la feuille de route gouvernementale du virage numérique en santé (action n°6). Le 10 novembre 2020, Elsa Creac’h rappelait que “cette identité, régulièrement vérifiée, permet le partage de l’information en toute sécurité et confiance”. Le projet INS vise en effet à l’utilisation par l’ensemble des acteurs d’une même identité. Il permet également de sécuriser le référencement des données de santé et administratives des usagers. La responsable de missions au sein de l’ANS a ajouté que “sa portée nationale permet de dépasser les limites administratives régionales ou le périmètre des nouveaux découpages territoriaux de santé et justifie le recours à une base de référence unique, interrogée via le téléservice INSi”.

Qu’est-ce que l’INS ?

Il se compose de trois éléments :
– le matricule INS, à savoir le NIR (pour numéro d’inscription au Répertoire national d’identification des personnes physiques, ou RNIPP) de la personne concernée, donc son numéro de Sécurité sociale, ou son NIA (numéro identifiant d’attente), qui est le numéro provisoire octroyé à un demandeur ou à un bénéficiaire d’une prestation de sécurité sociale qui ne dispose pas encore d’un NIR. Ce matricule fait donc 15 caractères ;

– l’identifiant de la structure qui a attribué le NIR ou le NIA, précisé sous la forme d’un OID (pour object identifier), “information habituellement invisible pour le professionnel de santé” rappelle l’ANS ;

– et cinq traits INS : nom de naissance, prénom(s) de naissance, date de naissance, sexe et lieu de naissance (code Insee).

Bien que ces données se ressemblent (utilisation du NIR, de traits d’identité…), l’INS, créé pour référencer les données de santé, est à distinguer des données de facturation. Sébastien Houget rappelle en outre que “le NIR facturation n’est pas le NIR individuel et peut être celui de l’ayant droit par exemple ; il se différencie donc de l’INS qui, lui, est attaché à la personne”.

À noter qu’un changement de prénom ou de sexe peut amener à un changement de matricule INS. En revanche, “le changement de nom d’usage en cas de mariage par exemple ne le modifie pas”, a précisé l’ANS lors du webinaire. 

À quoi sert précisément le téléservice INSi ?

Ce téléservice est nécessaire pour obtenir ou vérifier un INS. Il met à disposition quatre opérations : la récupération de l’identité INS (mise en production en février 2020), soit via une opération de recherche par carte Vitale, soit via une opération de saisie par traits d’identité, et la vérification de l’identité INS, soit unitaire (mise en production au mois de juillet dernier), soit en masse. L’opération de vérification en masse, qui permet de passer en revue la base des usagers tous les 3 à 5 ans, vient d’être mise en production, au mois de décembre. 

La base interrogée par le téléservice est quotidiennement mise à jour par l’intermédiaire de l’Institut national de la statistique et des études économiques (Insee) qui est destinataire des modifications de l’état civil établis par les communes et de la Caisse nationale d’assurance vieillesse (Cnav) pour les personnes nées à l’étranger immatriculées. Le tout en cohérence avec les fichiers du ministère de l’Intérieur utilisés pour la gestion des titres d’identité. 

Des travaux sont encore en cours entre l’ANS et la Cnam pour faire évoluer l’INSi, “en particulier sur le mode d’authentification au téléservice” a précisé l’ANS en novembre. Pour le moment, il est nécessaire de se doter d’une carte CPx nominative. Il s’agit d’une famille de cartes regroupant la carte de professionnel de santé (CPS), la carte de professionnel de santé en formation (CPF), la carte de personnel d’établissement (CPE) pour les salariés de santé non éligibles à la CPS, la carte de directeur d’établissement de santé (CDE) et la carte de responsable ou de directeur d’établissement autorisé hors santé (CPA/CDA). Selon Grégory Guazzelli, chargé de la mise en oeuvre du projet de téléservice INSi à la Cnam, intervenant lors du webinaire de l’ANS le 10 novembre, “notre priorité est de se dédouaner de l’usage de la carte CPx nominative pour permettre une identification via la structure (l’établissement). Nous espérons voir aboutir le projet à la fin du premier trimestre 2021. Cependant, un détail reste à régler : une autorisation de la Commission nationale de l’informatique et des libertés (Cnil) sera requise pour l’ouverture” du service.

Comment se sont mis en marche ou se mettent en marche les éditeurs de logiciels ?

Selon l’ANS, ils avaient ou ont “trois marches à franchir” : l’intégration de l’INSi, l’implémentation de l’identité INS puis la diffusion de cette identité. En pratique, il s’agit pour un logiciel métier d’être en capacité d’interroger le téléservice INSi pour récupérer et/ou vérifier une identité INS, de gérer les identités INS en respectant les bonnes pratiques d’identitovigilance et de diffuser l’identité INS conformément aux standards d’interopérabilité.

À noter que tous les logiciels sont concernés, y compris ceux qui ne créent pas ou ne modifient pas d’identité, ou qui utilisent un outil tiers pour la gestion de l’identitovigilance ; si ces derniers sont concernés dans une moindre mesure que les logiciels référentiels d’identités, ils doivent toutefois, eux aussi, être en mesure de gérer et diffuser une identité INS. Les logiciels référentiels d’identité doivent quant à eux être capables de créer une identité pour un nouvel usager et de mettre à jour l’identité d’un usager connu “et ce, dans différentes contextes, précise l’ANS : en présence du patient (lors de son accueil administratif ou de sa prise en charge par le professionnel), en amont de sa venue (gestion des préadmissions par exemple) ou à partir d’informations transmises par un tiers (par le professionnel requérant dans le cas de la télémédecine par exemple)”. Ils doivent aussi savoir vérifier des identités, unitaires ou en masse. 

Que le logiciel soit référentiel ou non référentiel d’identité, tout appel à l’INSi doit bien sûr être tracé, ainsi que tout retour du téléservice. Ces données de traçabilité sont généralement conservées entre 6 et 12 mois selon l’analyse d’impact, a précisé l’ANS pendant le webinaire. 

Au 10 décembre, selon la liste publique du GIE Sesam-Vitale, 49 éditeurs ont été autorisés à y accéder. À mi-novembre, l’ANS indiquait que 86 étaient en cours d’autorisation dont 8 effectuaient des tests sur la plateforme du Centre national de dépôt et d’agrément (CNDA), un service de l’Assurance maladie. Parmi les éditeurs autorisés, “une dizaine ont commencé à déployer le service sur le terrain”, soulignait Sébastien Houget. En décembre, plus de 25 000 appels au téléservice avaient été réalisés, 70 % constituant en une recherche par trait d’identité, les 30 % restants par carte Vitale.

Un éditeur qui souhaite être autorisé à déployer le téléservice doit compter environ une journée pour l’analyse de son dossier par le CNDA, sur sa partie juridique et l’aspect contractualisation, puis trois à quatre jours pour l’obtention de l’autorisation.

Quelles sont les règles d’échange entre logiciels et téléservice INSi ?

En fonction des informations saisies par le professionnel ou la structure, le logiciel référentiel d’identité attribuera un “statut” à chaque identité numérique stockée. Quatre statuts ont été déterminés : identité provisoire (statut attribué par défaut à toute identité numérique créée sans utilisation du téléservice INSi), identité récupérée (correspond à une identité numérique composée des traits de l’identité INS récupérés après interrogation du téléservice INSi) puis, “après contrôle de cohérence satisfaisant avec l’identité de la personne physique” indique l’ANS, l’identité peut être validée (pour une identité numérique initialement classée provisoire) ou qualifiée (si elle était classée comme récupérée). 

Le statut d’identité qualifiée correspond au plus haut niveau de confiance pouvant être attribué à une identité numérique : il est le seul à permettre de diffuser le matricule INS et l’OID, “sinon ce serait trop dangereux”, a souligné Elsa Creac’h. Cela signifie que l’identité a à la fois été validée à partir d’une “pièce justificative de haut degré de confiance”, comme un passeport ou la carte nationale d’identité, ainsi que le livret de famille pour un enfant accompagné d’un parent, et été récupérée à partir du téléservice INSi. La responsable de missions au sein de l’ANS a ajouté qu’il sera “possible de se baser à terme sur un dispositif d’identification électronique pour certifier l’identité de l’usager pris en charge, même quand celui-ci n’est pas présent. En libéral, même si ce secteur n’y est pas habitué, comme en établissement de santé”.

L’utilisateur – le professionnel ou la structure – peut de son côté indiquer un de ces trois attributs : identité homonyme, identité douteuse (en cas de doute sur la véracité de l’identité recueillie : usager confus, suspicion d’utilisation frauduleuse d’identité, situation sanitaire exceptionnelle…) ou identité fictive. Cette dernière concerne les identités “dites sensibles, faisant l’objet d’une réglementation particulière en termes d’anonymisation des

prises en charge” ainsi que les “situations de création d’identités fictives : traits imaginaires attribués à un patient incapable de décliner son identité, tests informatiques, formation…”. Dans le cas d’une identité caractérisée de douteuse ou de fictive, le logiciel doit rendre impossible d’attribuer un statut autre que celui d’identité provisoire et de faire appel au téléservice INSi.

Que faire en cas d’anomalie ?

Si la différence est mineure, “c’est l’identité INS qui doit être privilégiée” indique l’ANS. Mais s’il n’est possible de valider la concordance entre les traits de la personne physique et ceux délivrés par le téléservice INSi, l’identité INS ne peut être acceptée puisqu’elle n’est pas modifiable ; il est alors nécessaire d’enregistrer les traits d’identité de façon manuelle en attribuant un statut d’identité provisoire. “Le risque serait de propager l’erreur auprès des autres professionnels de santé et d’être à l’origine de la collision de données de santé (mélange entre plusieurs usagers) compromettant la qualité de la prise en charge de l’usager”, souligne l’ANS. L’agence invite les professionnels et structures dans tous les cas à 

“inviter l’usager à effectuer les démarches pour faire corriger les erreurs constatées en s’adressant en priorité à l’état civil de sa commune”. Surtout, en cas d’erreur d’attribution de l’identité INS à un usager, “il est nécessaire d’informer sans délais l’ensemble des professionnels avec lesquels cette identité a été partagée”.

L’usager doit-il être informé ?

L’usager doit savoir que l’identité INS sera utilisée pour référencer ses données de santé et “les objectifs poursuivis en termes d’amélioration de la qualité et de la sécurité de son parcours de santé” doivent lui être expliqués, selon l’ANS. Il a aussi le droit de s’opposer à la transmission de tout ou partie de ses données de santé mais pas au référencement de celles-ci par l’identité INS. Un professionnel de santé a de toute façon l’obligation de demander à l’usager d’attester son identité au moins une fois, de préférence à l’occasion du premier contact, “pour garantir la cohérence entre les traits de l’usager et ceux de l’identité numérique qui sera utilisée”. L’ANS rappelle à ce titre que la carte Vitale n’est pas un document d’identité. 

Y aura-t-il une tolérance passé le 1er janvier 2021 ?

“On sait que tout le monde ne sera pas au rendez-vous, déclarait Émilie Passemard, experte juridique au sein de la délégation ministérielle au numérique en santé (DNS), lors de la JNI du 10 novembre. On peut imaginer qu’il y aura une tolérance mais personne n’est capable aujourd’hui de la préciser.” Elsa Creac’h a ajouté lors du webinaire qu’“il n’y a pas de souhait de pénaliser”.