L’usage de l’INS repoussé à 2021

La mesure devait entrer en vigueur le 1er janvier 2020. Désormais, l’obligation de référencer toute donnée de santé avec l’identifiant national de santé (INS), donc le numéro de Sécurité sociale (NIR), est repoussée au 1er janvier 2021. Un décret paru le 10 octobre 2019 a ainsi modifié le décret de 2017 qui mettait en oeuvre l’utilisation du NIR en tant qu’INS. Pour rappel, cette obligation de référencement s’applique aux professionnels de santé, établissements et services et organismes “concourant à la prévention ou aux soins” comme la Caisse nationale d’assurance maladie (Cnam) ou l’Ordre des pharmaciens en tant que responsable du dossier pharmaceutique. 

Le nouveau décret supprime en outre les dates de parution du référentiel INS, dont la publication était prévue au plus tard le 31 mars 2018, et de mise en oeuvre des téléservices de la Cnam fixée quant à elle au plus tard le 31 décembre 2018. En effet, relève la Commission nationale de l’informatique et des libertés (Cnil) dans son avis également publié le 10 octobre, “l’usage de l’INS ne peut intervenir, en pratique, que si les conditions techniques d’utilisation en termes de sécurité et l’architecture globale du téléservice en sont précisées par le référentiel à venir. (…) Et l’accès à un INS fiabilisé est, à ce jour, rendu impossible dans la mesure où les téléservices de la Cnam ne sont pas encore en service”. 

Le référentiel de sécurité à paraître d’ici la fin de l’année

Le référentiel, soumis à consultation publique en septembre 2018, sera soumis pour avis à la Cnil “dans les prochains jours”, indique l’Agence des systèmes d’information partagés de santé (Asip santé) dans un communiqué diffusé le 11 octobre. Il “sera ensuite approuvé par arrêté, d’ici la fin de l’année”, ajoutant qu’il “devrait être modifié à la marge” (lire l’analyse de mind Health). Les téléservices, à savoir celui qui permettra de récupérer l’INS d’une part et celui qui le vérifiera d’autre part quand il est transmis par un autre professionnel ou un tiers qualifié, sont disponibles en mode “bac à sable”, c’est-à-dire qu’ils peuvent d’ores et déjà être testés par les professionnels moyennant une signature, par leur éditeur de logiciel, d’une convention d’apprentissage avec la Cnam. Les éditeurs pourront alors, en attendant la mise en production du service, réaliser des tests d’accrochage “en amont de ceux relatifs à l’obtention de l’autorisation de ce téléservice”. Ils recevront un numéro d’autorisation leur permettant d’accéder à un “espace d’apprentissage”. L’Asip indique enfin que “le déploiement de l’INS est d’ores et déjà en cours de préparation avec une phase pilote prévue pour début 2020 associant une vingtaine de structures de santé et leurs éditeurs respectifs”.

Le nouveau décret précise par ailleurs que “le recours aux téléservices n’exonère pas (les utilisateurs) de mettre en place toute procédure de surveillance, de correction et de prévention des erreurs relevant de l’organisation de la prise en charge des personnes et concourant à la maîtrise du risque d’erreur dans l’identification des personnes”. Une mention “utile” aux yeux de la Cnil, mais “insuffisante”. Elle demande donc que “le ministère (de la Santé) précise les modalités de vérification de l’identité des usagers concernés par l’opération de référencement dans le référentiel à venir”. Pour l’heure, le référentiel stipule que “l’INS n’a pas vocation à remplacer les mesures d’identitovigilance locales” et renforce ces mesures. L’ajout dans le décret fait sourire Pierre Desmarais, avocat spécialisé en droit numérique et de la santé, qui commente sur son blog : “c’est peut-être une bonne chose que l’application du NIR-INS soit repoussée à 2021. Pendant que la Cnam planche sur sa copie, les acteurs de la santé vont pouvoir mettre en place les mesures nécessaires pour éviter les erreurs liées à l’INS… lui-même censé éviter les erreurs”.