Identitovigilance : La clé de la sécurité des données de santé et de la qualité des soins

Dans l'ère du numérique, où les données de santé sont de plus en plus accessibles et partagées, l'identitovigilance s'impose comme un pilier fondamental pour garantir la sécurité des informations des patients et la qualité des parcours de soins. Assurer que chaque donnée est correctement associée au bon patient est un impératif éthique, légal et clinique. Cet article explore en profondeur le concept d'identitovigilance, son cadre réglementaire en France autour de l'Identité Nationale de Santé (INS), les procédures clés à mettre en œuvre, le rôle des différents acteurs, les mesures de sécurité indispensables et les bénéfices attendus pour le système de santé.

Qu'est-ce que l'identitovigilance ? Définition et enjeux

L'identitovigilance est l'ensemble des procédures et des mesures mises en œuvre pour garantir l'identification unique et fiable d'une personne tout au long de son parcours de santé. Elle vise à prévenir les erreurs d'identification, telles que les doublons, les collisions d'identités ou les erreurs d'attribution de données, qui peuvent avoir des conséquences graves sur la prise en charge des patients.

Dans un contexte où les services numériques en santé se développent rapidement, l'enjeu de l'identitovigilance est devenu crucial. La capacité à associer de manière sûre et pérenne les données de santé à caractère personnel avec la personne à laquelle elles se rapportent est essentielle pour plusieurs raisons :

• Sécurité des soins : Une identification erronée peut entraîner des erreurs de diagnostic, de traitement, d'administration de médicaments, voire des interventions chirurgicales sur le mauvais patient. L'identitovigilance permet de minimiser ces risques et d'assurer la sécurité des soins.
• Qualité des données : En garantissant la bonne association des données, l'identitovigilance contribue à la constitution de dossiers patients fiables et complets, facilitant ainsi la continuité et la coordination des soins.
• Interopérabilité des systèmes : L'utilisation d'une identité unique et qualifiée facilite l'échange et le partage sécurisé des données de santé entre les différents acteurs du parcours de soins, améliorant ainsi l'efficience du système.
• Respect des droits des patients : L'identitovigilance permet de garantir l'accès des patients à leurs propres données de santé et de respecter leur droit à la confidentialité et à la protection de leur vie privée.
• Maîtrise des risques : Les erreurs d'identification peuvent avoir des implications juridiques et financières importantes pour les établissements de santé et les professionnels. L'identitovigilance contribue à la maîtrise de ces risques.

Face à ces enjeux, la France a mis en place un cadre réglementaire et des outils spécifiques, notamment l'Identité Nationale de Santé (INS), pour renforcer l'identitovigilance au sein du système de santé.

L'Identité Nationale de Santé (INS) : Fondement de l'identitovigilance en France

L'Identité Nationale de Santé (INS) est l'identifiant de référence pour les personnes prises en charge à des fins sanitaires et médico-sociales en France. Elle repose sur l'utilisation du numéro d'inscription au répertoire national d'identification des personnes physiques (NIR), plus communément appelé numéro de sécurité sociale, ou du numéro d'immatriculation d'attente (NIA) pour les personnes en cours d'attribution d'un NIR.

Il est crucial de distinguer le matricule INS, qui a pour valeur le NIR ou le NIA utilisé pour le référencement des données de santé à des fins de prise en charge ou de suivi médico-social, du NIR utilisé à d'autres fins administratives. L'usage du NIR en tant que matricule INS est strictement encadré et limité à la sphère de la santé et du médico-social.

L'objectif principal de l'INS est de permettre un référencement fiable et univoque des données de santé des usagers sur l'ensemble du territoire. Elle est constituée de plusieurs éléments :

• Le matricule INS (NIR ou NIA).
• Les traits INS, qui sont les éléments d'identité de référence associés au NIR/NIA dans les bases nationales de référence (nom de naissance, liste des prénoms de naissance, sexe, date de naissance et code officiel géographique du lieu de naissance).
• L'organisme ayant affecté l'INS, sous la forme d'un OID (Object Identifier).

Le recours à l'INS est devenu obligatoire pour les professionnels, établissements, services et organismes concourant à la prise en charge sanitaire ou médico-sociale des personnes. Tout autre identifiant ne peut être utilisé qu'en cas d'impossibilité d'accéder à l'INS, afin de ne pas entraver la prise en charge.

L'INS, associée aux traits d'identité, est apparue comme la solution la plus adaptée pour identifier les usagers du système de santé, référencer leurs données et en favoriser la diffusion sécurisée entre les acteurs de la prise en charge, dans le respect des règles de confidentialité.

Le Référentiel National d'Identitovigilance (RNIV) : Le cadre normatif et les bonnes pratiques

Le Référentiel National d’Identitovigilance (RNIV), annexé au référentiel INS, est un document essentiel qui précise l'ensemble des règles et des procédures à mettre en place par les organismes responsables du référencement des données de santé avec l'INS dans le domaine de l'identitovigilance. Il a été élaboré en collaboration étroite avec l’association des référents régionaux en identitovigilance (3RIV), les professionnels de santé et les entreprises du numérique en santé.

Le RNIV vise à garantir la qualité de l'identification des usagers par la mise en œuvre de procédures rigoureuses. Il définit notamment les règles permettant de déterminer le statut de l'INS, en distinguant l'INS non qualifiée de l'INS qualifiée (au statut "identité qualifiée").

Une INS est considérée comme qualifiée si elle remplit deux conditions :

• L'identité de la personne a été validée en respectant les procédures d'identitovigilance décrites dans le RNIV.
• L'INS (matricule INS et traits d'identité associés) a été récupérée auprès des bases nationales de référence (RNIPP ou copie conforme) via le téléservice INSi ou l'Appli carte Vitale.

Le RNIV décrit les procédures d'identitovigilance à mettre en œuvre lors de l'identification primaire (première prise de contact) et secondaire (contacts ultérieurs) avec l'usager. Il aborde également la gestion des homonymes, la correction des erreurs d'identification et les mesures à prendre en cas de suspicion de fraude à l'identité.

Le référentiel INS, dans sa version 2.1 de décembre 2024, annule et remplace la version précédente et précise les règles d'intégration et de "qualification" de l'INS dans les logiciels des professionnels, en particulier dans le secteur libéral. Les évolutions apportées tiennent compte des retours des professionnels de santé et visent à simplifier les procédures de qualification dans certaines situations.

Les étapes et les procédures clés de l'identitovigilance

La mise en œuvre de l'identitovigilance repose sur un ensemble d'étapes et de procédures clés, allant de l'identification initiale du patient à la gestion des erreurs et des mises à jour de son identité.

1. Identification primaire : Lors de la première prise en charge d'un usager, il est essentiel de procéder à une identification rigoureuse pour créer une identité numérique unique dans le système d'information de santé. Cette étape comprend généralement :

• La recueil des traits d'identité de l'usager (nom, prénoms, date et lieu de naissance, sexe).
• La vérification de ces informations à l'aide de documents justificatifs (carte d'identité, passeport, etc.).
• La recherche dans le système d'information pour vérifier si l'usager n'a pas déjà été identifié (éviter les doublons).
• En l'absence d'INS qualifiée, une tentative de récupération de l'INS via le téléservice INSi (par lecture de la carte Vitale ou saisie des traits d'identité) ou l'Appli carte Vitale doit être effectuée dès que possible.
• L'attribution d'un niveau de confiance à l'identité enregistrée, conformément aux procédures définies dans le RNIV.

2. Identification secondaire : Lors des contacts ultérieurs avec l'usager, il est nécessaire de vérifier son identité avant toute consultation ou traitement. Cela peut se faire par différentes méthodes (interrogation de l'usager, lecture de sa carte Vitale, etc.) et doit permettre de s'assurer qu'il s'agit bien de la personne concernée.

3. Qualification de l'INS : L'INS doit être qualifiée dès que possible pour garantir sa fiabilité. Cette qualification implique la validation de l'identité de l'usager par des procédures d'identitovigilance et la récupération de l'INS auprès des bases de référence via le téléservice INSi ou l'Appli carte Vitale. Une INS non qualifiée ne doit pas être véhiculée en interne ou vers l'extérieur.

4. Utilisation de l'INS qualifiée : Dès que l'INS d'un usager a été qualifiée, le matricule INS et les traits d'identité provenant des bases de référence doivent être utilisés pour son identification, notamment lors des échanges de données de santé. Les traits d'identité récupérés doivent remplacer les traits stricts locaux dans les champs correspondants.

5. Gestion des erreurs et des mises à jour : Des procédures doivent être mises en place pour détecter et corriger les erreurs d'identification. En cas de rectification de l'INS, des mesures doivent être prévues pour assurer la propagation de l'information aux acteurs et aux systèmes auxquels les données ont été transmises. L'historique des matricules INS d'une personne doit être conservé.

6. Vérification périodique de l'INS : À l'issue d'un délai paramétrable (de l'ordre de 5 ans), une opération de vérification de l'INS via le téléservice doit être rappelée pour s'assurer de sa validité. Cette vérification peut être réalisée lors d'un épisode de prise en charge ou d'une interaction avec l'usager.

Les acteurs de l'identitovigilance : Rôles et responsabilités

La mise en œuvre efficace de l'identitovigilance est une responsabilité partagée entre les différents acteurs du système de santé.

• Les professionnels de santé, les établissements et services médico-sociaux : Ils sont obligés d'utiliser l'INS pour le référencement des données de santé des personnes qu'ils prennent en charge. Ils doivent mettre en œuvre les procédures d'identitovigilance définies dans le RNIV et s'assurer de la qualification de l'INS. Ils sont responsables du respect des exigences juridiques et des mesures de sécurité liées au référencement des données avec l'INS au sein de leurs structures.
• Les responsables du référencement des données de santé : Ils sont chargés de veiller à l'application des règles relatives à l'INS et à l'identitovigilance au sein de leur organisation. Ils doivent notamment s'assurer de l'appartenance au "cercle de confiance" des acteurs autorisés à utiliser l'INS, définir la durée de conservation de l'INS, informer les personnes concernées de l'utilisation de l'INS, et mettre en place les mesures de sécurité appropriées.
• Les prestataires de services et les éditeurs de logiciels : Ils sont des acteurs clés dans l'intégration de l'INS et des fonctionnalités d'identitovigilance dans les systèmes d'information de santé. Ils peuvent agir en tant que sous-traitants du responsable de traitement et doivent se conformer aux exigences du référentiel INS. Leurs solutions logicielles doivent faciliter la récupération, la qualification et l'utilisation de l'INS, ainsi que la mise en œuvre des procédures d'identitovigilance.
• L'Agence du Numérique en Santé (ANS) et la Caisse Nationale de l'Assurance Maladie (Cnam) : Ils sont co-responsables du téléservice INSi. La Cnam est responsable de la mise en œuvre opérationnelle du téléservice et de l'Appli carte Vitale, qui permettent la récupération et la vérification de l'INS. L'ANS assure la maintenance de l'autorité de certification IGC-Santé, qui délivre les moyens d'identification électronique pour accéder au téléservice.
• Les référents régionaux en identitovigilance (3RIV) : Ils jouent un rôle essentiel dans l'accompagnement et la diffusion des bonnes pratiques en matière d'identitovigilance au niveau régional.

La sensibilisation et la formation de tous les personnels impliqués dans le référencement de l'identité des usagers sont indispensables pour garantir l'efficacité de l'identitovigilance. Une attention particulière doit être portée à la distinction entre le matricule INS et les autres usages potentiels du NIR.

Sécurité et identitovigilance : Protéger l'INS et les données de santé

Le référencement des données de santé avec l'INS introduit un risque complémentaire qui doit être maîtrisé par la mise en œuvre de mesures de sécurité appropriées. Ces mesures doivent être intégrées dans l'analyse de risques et l'analyse d'impact relative à la protection des données (AIPD) réalisées par les responsables de traitement.

Les principales catégories de risques à considérer suite à l'intégration de l'INS sont la perte de disponibilité, la perte d'intégrité et la perte de confidentialité des données (données de santé et INS), ainsi que la perte d'auditabilité des actions effectuées.

Les mesures de sécurité minimales à mettre en œuvre pour l'INS comprennent :

• Gestion de l'identité : Définition et application des procédures d'identitovigilance conformes au RNIV. Non-véhiculation des INS non qualifiées. Non-modification locale du matricule INS et des traits d'identité de référence. Utilisation de l'INS qualifiée pour les échanges de données. Envoi obligatoire des traits d'identité de référence avec le matricule INS lors des échanges. Traçabilité des partenaires d'échange. Procédures de propagation des rectifications d'INS. Sensibilisation des utilisateurs.
• Contrôle d'accès : Revue de la politique de contrôle d'accès pour intégrer l'INS et l'accès au téléservice INSi. Gestion stricte des habilitations. Identification électronique forte pour l'accès au téléservice INSi via les produits de certification IGC-Santé (cartes CPx, Pro Santé Connect, certificats organisation). Traçabilité de tout accès à l'INS, y compris les accès au téléservice INSi avec conservation des traces pendant la durée préconisée par la CNIL (actuellement 6 mois) et analyse régulière de ces traces.
• Traçabilité : Mise en place d'un système de détection d'intrusion. Traçabilité des accès (modification, consultation) à l'INS qualifiée au sein de l'organisme. Réalisation d'audits de sécurité réguliers.
• Sécurité des communications : Sécurisation des canaux de communication utilisés pour échanger des données de santé comportant l'INS.
• Auto-homologation téléservice INSi : Procédure interne obligatoire pour les personnes morales utilisant un certificat logiciel organisation pour accéder au téléservice. Cette procédure vise à attester de la mise en œuvre des mesures de sécurité requises.

Le responsable du référencement des données de santé doit justifier du respect de ces mesures, qui peuvent figurer dans l'homologation de sécurité du système d'information.

Les bénéfices de l'identitovigilance et les perspectives d'avenir

La mise en œuvre rigoureuse de l'identitovigilance et l'utilisation généralisée de l'INS qualifiée apportent de nombreux bénéfices au système de santé :

• Réduction significative des erreurs médicales liées à des problèmes d'identification.
• Amélioration de la qualité et de la fiabilité des données de santé, favorisant une prise en charge plus éclairée et personnalisée.
• Facilitation de la coordination et de la continuité des soins grâce à un échange fluide et sécurisé des informations entre les professionnels.
• Renforcement de la sécurité des données de santé et du respect de la vie privée des patients.
• Optimisation de l'efficience du système de santé par la réduction des doublons et des erreurs administratives.
• Contribution à la constitution de bases de données de santé fiables pour la recherche et l'évaluation des pratiques.

La Feuille de route du numérique en santé ambitionne une utilisation généralisée de l'INS dans les services numériques en santé, avec un objectif significatif de 90% d'identités qualifiées dans la file active des établissements de santé.

L'arrivée de l'Appli carte Vitale simplifie considérablement la gestion de l'INS pour les acteurs de santé, en permettant la récupération directe de l'identité qualifiée du patient (ou de ses ayants droit) lors de l'ouverture de l'application. Cette évolution contribue à faciliter la qualification de l'INS et à atteindre les objectifs fixés.

En conclusion, l'identitovigilance, portée par le cadre de l'Identité Nationale de Santé et du Référentiel National d'Identitovigilance, est un enjeu majeur pour la transformation numérique du système de santé. Elle est la pierre angulaire de la sécurité des données et de la qualité des soins, garantissant que chaque patient est correctement identifié et que ses informations de santé sont protégées tout au long de son parcours. La mobilisation et l'engagement de tous les acteurs sont essentiels pour atteindre une identitovigilance robuste et généralisée au bénéfice de l'ensemble des usagers du système de santé.

‍