L’un des éléments clés pour les recherches effectuées dans les domaines de la médecine et de la santé publique est de pouvoir identifier de façon certaine les individus qui y participent. Être susceptible de compter plusieurs fois un même patient est susceptible d’entraîner des biais dans les études, les rendant ainsi moins fiables. Cela fait donc de nombreuses années que les chercheurs réclament de pouvoir utiliser le NIR, communément appelé numéro de Sécurité sociale, comme identifiant pour les personnes participant à leurs travaux. Jusqu’à aujourd’hui, il est strictement interdit de le faire, mais cette situation devrait évoluer très prochainement.

Le NIR est le numéro d’inscription au répertoire de L’Insee (Institut national de la statistique et des études économiques) : « Toute personne née en France métropolitaine et dans les départements d’outre-mer (DOM) est inscrite au répertoire national d’identification des personnes physiques (RNIPP). L’inscription à ce répertoire entraîne l’attribution du numéro d’inscription au répertoire (NIR) qui est utilisé notamment par les organismes d’assurance maladie pour la délivrance des “cartes vitales”.
Ce numéro d’identification unique de l’individu est formé de 13 chiffres : le sexe (1 chiffre), l’année de naissance (2 chiffres), le mois de naissance (2 chiffres) et le lieu de naissance (5 chiffres). Les 3 chiffres suivants correspondent à un numéro d’ordre qui permet de distinguer les personnes nées au même lieu à la même période ; une clé de contrôle à 2 chiffres complète le NIR. »

En mars 2007, la Commission nationale de l’informatique et des libertés (CNIL), sous la pression de diverses associations et à un moment où il était prévu que le dossier médical personnel (DMP) voit le jour, s’était prononcée pour un identifiant santé dérivé du NIR par anonymisation pour tout ce qui touchait au système de soins. « En effet, parce qu’il est signifiant et peut donc être reconstitué à partir d’éléments d’état civil, parce que la généralisation de son usage faciliterait grandement les rapprochements de fichiers sans cesse plus importants, l’extension de l’usage du NIR reste, à elle seule, une menace, quand bien même d’autres dangers sont apparus avec des identifiants encore plus intrusifs, comme la biométrie. »
Mais en 2011, alors que le DMP est censé avoir été “amorcé”, le problème lié à l’identification des participants aux recherches médicales et aux études de santé publique reste entier. C’est dans ce contexte qu’intervient une nouvelle décision de la CNIL. Dans un communiqué intitulé « L’utilisation encadrée du NIR par les chercheurs et les autorités sanitaires : un véritable enjeu de santé publique », la CNIL explique qu’elle « a été sensibilisée aux difficultés auxquelles sont confrontés les chercheurs et les autorités sanitaires en France, qui, faute de pouvoir utiliser le NIR, ne sont pas toujours en mesure de fournir aux pouvoirs publics des indicateurs statistiques fiables. Ces derniers sont pourtant indispensables à la définition et à l’évaluation des politiques de santé publique et à la surveillance sanitaire de la population. […] À l’issue de ces travaux, la CNIL a demandé aux pouvoirs publics de prendre les mesures réglementaires nécessaires pour définir une politique d’accès au NIR à des fins de recherche et d’études de santé publique. En conséquence, elle a saisi le Premier ministre et les ministres de la santé et de la recherche de cette demande. » Le croisement de données individuelles provenant de sources différentes, comme des fichiers de la Sécurité sociale par exemple, est indispensable aux recherches en santé et seul le NIR semble pouvoir apporter la fiabilité nécessaire.

Serait-ce l’un des effets, désirables cette fois, des couacs de la campagne de vaccination contre la grippe A(H1N1) ? On comprend l’importance d’une utilisation correcte d’un identifiant unique fiable lorsque l’on se souvient des promesses liées à la pharmacovigilance concernant ce vaccin controversé, la traçabilité des personnes vaccinées a montré des dysfonctionnements compromettant les travaux de santé publique et les alertes individuelles en cas d’apparition d’effets indésirables graves apparaissant sur le long terme. Que des chercheurs indépendants puissent croiser les fichiers de l’assurance-maladie pour identifier les patients de façon fiable les patients ayant pris du Mediator ou l’un de ses génériques et suivis pour une pathologie évoquant une hypertension artérielle pulmonaire pourrait aussi être utile. Rien ne dit pourtant que le décret demandé par la CNIL verra bien le jour…

La commission nationale de l’informatique et des libertés (CNIL) a pris une décision, le 4 juin 2009, concernant un site permettant aux internautes d’attribuer une note aux médecins. Elle a publié à cette occasion un article intitulé « Notation des avocats et des médecins : la CNIL n’interdit rien mais veille au respect de la loi ».

Le site, qui n’est plus en ligne à l’heure actuelle, permettait aux internautes, après s’être inscrits en laissant leur nom et leur prénom, de rechercher un professionnel par son nom ou par sa ville pour voir s’afficher la « fiche profil » de ce dernier. Identité, coordonnées professionnelles, spécialité et les notes données par d’autres internautes figuraient sur cette page. C’est selon des critères prédéfinis que la notation s’effectuait, comme les honoraires par exemple, mais des commentaires libres pouvaient être ajoutés.
Malgré la présence de l’article 32 de la loi nº 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, modifiée en 2004, dans les conditions générales d’utilisation, plusieurs professionnels n’ont pas réussi à obtenir la suppression de leur fiche et ont saisi la CNIL. Le premier manquement relevé par cette dernière à l’encontre de la société à qui appartenait ce site Internet concernait l’obligation d’accomplir correctement les formalités préalables à la mise en oeuvre du traitement des données personnelles. Alors que les données relatives aux professionnels n’avaient pas été collectées auprès d’eux, la déclaration faite à la CNIL par le site le prétendait. Elles avaient en fait été trouvées sur les pages jaunes et ne correspondaient pas à une collecte loyale comme le prévoit la loi. Autre manquement, les personnes faisant l’objet du traitement des données n’en ont pas été informées bien que ces dernières, s’agissant de professionnels exerçant sous leur nom propre, constituent bien des données à caractère personnel au sens de l’article 2 de la loi du 6 janvier 1978. D’autres manquements ont été relevés : pas de durée de conservation des données, non-respect du droit d’opposition.

« C’est pourquoi la formation contentieuse de la CNIL a adopté, le 4 juin 2009, une mise en demeure à l’encontre de ce site qui dispose d’un mois pour s’y conformer. S’il respecte les exigences de cette mise en demeure, le site peut poursuivre son activité. La CNIL n’interdit donc rien mais veille simplement à ce que les activités professionnelles, quelles qu’elles soient, s’exercent dans la légalité. » Le responsable du site ayant mis en cause cette décision, la CNIL a décidé de la mettre en ligne…