Chaînage anonyme : comment un séjour reste traçable sans jamais identifier le patient

Les RSA quittent chaque mois les établissements pour rejoindre l'ARS, entièrement anonymes. Mais un patient hospitalisé plusieurs fois — dans des établissements différents, dans des champs d'activité différents — doit pouvoir être reconnu comme la même personne d'un séjour à l'autre, sans jamais être identifiable. C'est ce que permet le chaînage anonyme, un dispositif en place depuis 2001.

Un numéro qui identifie sans identifier

Le principe repose sur la création d'un numéro anonyme, propre à chaque patient, calculé à partir de trois variables : le numéro d'assuré social (numéro d'ouvrant droit), la date de naissance et le sexe.

Ce numéro a une propriété essentielle : à partir des mêmes variables identifiantes, on obtient toujours le même numéro anonyme. C'est ce qui permet de relier entre elles les hospitalisations d'un même patient, qu'elles aient eu lieu dans le secteur public ou privé, en MCO, en HAD, en soins médicaux et de réadaptation ou en psychiatrie. Mais il est impossible de reconstituer l'identité du patient à partir de ce numéro — l'opération ne fonctionne que dans un sens.

Le dispositif a ses limites, assumées : il ne permet pas de distinguer des jumeaux de même sexe partageant le même ouvrant droit, et le numéro de chaînage d'une personne change si son numéro d'assuré social change.

Deux façons d'y arriver, selon le statut de l'établissement

Pour les établissements publics et ESPIC, la procédure se déroule en plusieurs étapes. Les services administratifs créent d'abord le numéro anonyme à partir des variables du VID-HOSP, grâce à un logiciel fourni par l'ATIH appelé MAGIC, qui intègre une fonction d'occultation des informations nominatives (FOIN) fondée sur une technique de hachage. Le médecin responsable de l'information médicale établit ensuite la correspondance entre ce numéro et le numéro de RSS du séjour. Le logiciel DRUIDES combine enfin ces éléments pour produire, en même temps que les fichiers anonymes (RSA, FICHCOMPA, RAFAEL), un fichier de chaînage qui ne contient ni donnée médicale ni donnée de facturation.

Pour les établissements privés visés aux d et e, la procédure est plus directe : ces établissements ne produisent pas de VID-HOSP, car les variables identifiantes se trouvent déjà dans l'enregistrement « A » du RSF. DRUIDES applique directement la fonction FOIN à ces données pour produire les fichiers anonymes et le fichier de chaînage correspondant.

Une seconde anonymisation à l'arrivée

Un détail mérite d'être connu : l'anonymisation ne s'arrête pas à la porte de l'établissement. Dès réception des fichiers anonymes, la plateforme e-PMSI applique une deuxième fois la fonction FOIN, avant tout traitement d'exploitation. Un second numéro anonyme est ainsi calculé — différent de celui produit par l'établissement — ce qui rompt le lien entre ce numéro final et les données d'origine. Les fichiers transmis à l'agence régionale de santé ne contiennent que ce second numéro anonyme.

Confidentialité : qui a le droit de voir quoi

Les données recueillies dans le cadre du PMSI sont protégées par le secret professionnel. Le service ou département de l'information médicale, qui organise leur recueil et leur circulation, est placé sous la responsabilité d'un médecin, et la création des fichiers est soumise à l'avis de la Commission nationale de l'informatique et des libertés.

Le RUM, le RSS et les recueils FICHCOMP et RSF-ACE sont considérés comme des données indirectement nominatives : leur contenu ne peut être porté à la connaissance que des seuls acteurs légalement autorisés — par exemple les médecins inspecteurs de santé publique ou les médecins conseils de l'assurance maladie, et uniquement par l'intermédiaire du médecin responsable de l'information médicale, dans le cadre de procédures de contrôle prévues par la loi.

Qualité des données et responsabilités

Le contenu du RUM doit être conforme au dossier médical du patient. Le praticien qui a dispensé les soins est responsable de l'exhaustivité et de la qualité des informations qu'il transmet au médecin responsable de l'information médicale, lequel conseille les praticiens et veille à la qualité des données, en les confrontant si besoin aux dossiers médicaux.

Sur le plan des responsabilités : le directeur de l'établissement répond des informations transmises réglementairement à l'extérieur, tandis que le règlement intérieur du service de l'information médicale — approuvé par la commission médicale d'établissement — fixe la répartition des responsabilités entre les différents acteurs.

Combien de temps ces données sont-elles conservées ?

Le médecin responsable de l'information médicale conserve l'ensemble des fichiers générateurs des résumés anonymes, ainsi que la table de correspondance entre numéros administratifs de séjour et numéros de RSS lorsqu'ils diffèrent. La durée de conservation de tous ces fichiers, anonymes ou non, est de cinq ans — une durée à ne pas confondre avec celle de conservation du dossier médical lui-même.

L'essentiel à retenir

Le chaînage anonyme permet de suivre le parcours d'un même patient à travers ses hospitalisations, sans jamais l'identifier : un numéro anonyme reproductible mais irréversible, calculé différemment selon le statut de l'établissement, puis recalculé une seconde fois à l'arrivée sur la plateforme nationale e-PMSI. Autour de ce dispositif s'organisent des règles strictes de confidentialité, de responsabilité et de conservation, qui encadrent tout le parcours de la donnée, du dossier médical du patient jusqu'à l'ARS.