La CNAM va renforcer la sécurisation des données de santé d'ici à 2020

La Caisse nationale d'assurance-maladie (CNAM) va s'atteler à la modernisation de la sécurité des données de santé inter-régimes (SNIIRAM) qui seront versées au futur Système national des données de santé (SNDS). C'est ce qu'a annoncé ce mardi 17 janvier le directeur général de l'assurance-maladie, Nicolas Revel, lors de son audition par la mission d'évaluation et de contrôle des lois de financement de la Sécurité sociale (Assemblée nationale).

Cette déclaration survient quelques semaines après l'annonce de la création en avril du SNDS, une base de données unique en son genre, prévue par la loi de santé et dont le décret a été publié le 28 décembre 2016.

La CNAM a été désignée responsable du traitement de ces données. Toutefois, dans un avis publié fin décembre, la Commission nationale de l'informatique et des libertés (CNIL) relevait « que le niveau de sécurité envisagé ne sera[it] pas atteint au lancement du traitement SNDS ». Selon l'instance, le procédé cryptographique utilisé pour le SNIIRAM est un « procédé dont la robustesse est aujourd'hui remise en question par l'ancienneté de son algorithme et par le fait que les secrets cryptographiques n'ont jamais été renouvelés ».

Lors de son audition, le patron de l'assurance-maladie a reconnu l'ancienneté de l'algorithme mais a rappelé les travaux entamés depuis 2009 pour sécuriser le SNIIRAM. « Le SNDS intégrera un grand nombre de données et sera ouvert à de nombreux acteurs. L'algorithme sera modernisé », affirme Nicolas Revel.

Pas d'urgence vitale

Alain Issarni, directeur des systèmes d'information (DSI) de la CNAM, a détaillé le procédé technique de pseudo-anonymisation des données de santé réalisée à partir du NIR (numéro de sécurité sociale). « Personne n'a jamais cassé les codes même si l'algorithme est ancien, explique-t-il. En revanche, le procédé cryptographique est irréversible. » En d’autres termes, si une intrusion est décelée dans la base de données, il lui sera impossible de remonter aux informations liées à l'identité d'un individu. Les représentants de la CNAM ont souligné la complexité du processus de modernisation de l'algorithme et précisé qu'il n'y avait « pas d'urgence vitale, cela peut attendre 2020 ».

À cela s'ajoutent le coût financier et les moyens humains nécessaires pour sécuriser le SNDS. « Nous aurons à réfléchir à l'accompagnement des acteurs car ils doivent être formés à l'usage », rapporte Nicolas Revel.

Une réflexion est aussi lancée sur le modèle économique. L'accès à la base SNIIRAM a toujours été gratuit mais avec la création du SNDS, l'assurance-maladie envisage un accès payant à la base de données…