CNIL, 16 juillet 2026, 2026-075

La Commission nationale de l'informatique et des libertés,

Saisie par

la société APM International d'une demande de modification de la délibération n°2023-020 du 9 mars 2023 portant décision unique et autorisant la société "APM International" à mettre en œuvre des traitements automatisés à des fins de recherche, d'étude et d'évaluation dans le domaine de la santé nécessitant un accès aux données nationales du programme de médicalisation des systèmes d'information (PMSI) ;

Vu

le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données) ; Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment ses articles 66, 72 et suivants ; Vu l'avis favorable du Comité éthique et scientifique pour les recherches, les études et les évaluations dans le domaine de la santé du 8 janvier 2026 ; Vu le dossier et ses compléments ; Sur la proposition de Mme Marie Zins, commissaire, et après avoir entendu les observations de M. Damien Milic, commissaire du Gouvernement,

Formule les observations suivantes

: Sur le responsable de traitement : La société APM International (ci-après "la société APM") est une agence de presse spécialisée dans le secteur de la santé. Elle dispose de plusieurs services en ligne tels qu'APM News, un service d'information qui offre l'accès à des articles ou à des rapports, et APM Intelligence, qui permet la consultation structurée d'informations et de données par établissement de santé ou groupe d'établissements. Dans le cadre de son activité d'information des professionnels de santé, elle traite des sujets en lien avec la politique de santé, les établissements publics et privés, l'actualité scientifique et la vie des industries de santé. Son projet éditorial prévoit, en sus du traitement des actualités du secteur de la santé, l'analyse du paysage hospitalier et la réalisation d'analyses ciblées à des niveaux nationaux ou régionaux des politiques de santé, notamment à partir de données disponibles de façon ouverte (open data). Sur l'opportunité du renouvellement de la décision unique précédemment délivrée par la CNIL : Le 9 mars 2023 la société APM International a été autorisée par la CNIL à mettre en œuvre pendant trois ans des traitements de données à caractère personnel à partir de certaines données du PMSI afin d'analyser l'évolution du paysage hospitalier avec la construction d'indicateurs d'activité liés aux soins par établissement, groupe d'établissements, catégories d'établissements ou par région, au regard des politiques publiques mises en place. Les méthodes de calcul de ces indicateurs (qui demeurent inchangées) étaient décrites dans le dossier de demande. Il ressort du bilan transmis à la Commission que sept traitements ont été mis en œuvre suivant, pour chacun d'eux, un protocole scientifique précis. La société APM sollicite un renouvellement de l'autorisation précédemment délivrée afin d'accéder aux données du PMSI pour continuer à mettre en œuvre annuellement ces traitements, pendant cinq ans. Cette demande a fait l'objet d'un avis favorable du comité éthique et scientifique pour les recherches, les études et les évaluations dans le domaine de la santé. Sous réserve que ces fichiers soient diffusables par l'Agence technique de l'information sur l'hospitalisation (ATIH), outre le fichier spécifique permettant de relier toutes les données du PMSI concernant un même patient (fichier "ANO"), les données concernant les activités suivantes sont nécessaires à la réalisation de ces nouvelles études : médecine, chirurgie, obstétrique et odontologie (MCO) ; hospitalisation à domicile (HAD) ; fichier complémentaire (FICHCOMP). La société APM sollicite un accès aux données nationales du PMSI de l'année 2019 (uniquement pour certaines études) ainsi que des 2025 à 2029, en fenêtre roulante, sous réserve qu'elles soient diffusables par l'ATIH. Ces données seront hébergées via la solution technique du Centre d'accès sécurisé aux données (CASD). Ces traitements répondent à une même finalité, la réalisation d'études destinées à la construction d'indicateurs d'activités pour les établissements, groupes d'établissements ou groupements hospitaliers, portent sur des catégories de données identiques - en l'espèce, les données du PMSI - et dont les catégories de destinataires sont identiques - les personnes habilitées par la société APM. Les traitements décrits relevant du régime prévu par les dispositions des articles 66 et 72 et suivants de la loi n° 78-17 du 6 janvier 1978 modifiée, la CNIL estime opportun, au vu des éléments présentés dans le dossier de demande, de faire application des dispositions de l'article 66 IV de cette loi. Les autres caractéristiques des traitements envisagés (finalité des traitements, base légale ; exception pour traiter les données sensibles ; modalités d'information et d'exercice des droits des personnes, modalités de transparence, sécurité des données, durée d'accès aux données) devront être conformes à celles décrites dans la délibération n°2023-020 du 9 mars 2023 portant décision unique et autorisant la société "APM International" à mettre en œuvre des traitements automatisés à des fins de recherche, d'étude et d'évaluation dans le domaine de la santé nécessitant un accès aux données nationales du programme de médicalisation des systèmes d'information (PMSI).

Autorise, conformément à la présente délibération

, la société APM International à mettre en œuvre les traitements décrits ci-dessus pendant une durée de cinq ans, avec obligation de remise d'un bilan à la Commission à l'issue de ce délai. La Vice-présidente déléguée, S. Lambremon