Bulletin Officiel n°2001-13

Bulletin Officiel n°2001-13Direction de l'hospitalisation
et de l'organisation des soins
Sous-direction de la qualité
et de l'organisation des soins
Bureau E 3

Circulaire DHOS/PMSI n° 2001-106 du 22 février 2001 relative au chaînage des séjours en établissements de santé dans le cadre du programme de médicalisation des systèmes d'information (PMSI)

SP 3 336
896

NOR : MESH0130115C

(Texte non paru au Journal officiel)

Date d'application : immédiate.
Pièce jointe : une annexe technique.

Le directeur de l'hospitalisation et de l'organisation de soins à Mesdames et Messieurs les directeurs des agences régionales de l'hospitalisation ; Mesdames et Messieurs les directeurs d'établissements de santé, à destination des médecins responsables de l'information médicale (DIM) Pris en application de la loi du 31 juillet 1991, le décret du 27 juillet 1994 dispose que tout établissement de santé rend compte de son activité. Dans le cadre du PMSI, cela se fait au moyen de résumés de séjour (RSS) pour les hospitalisations de court-séjour MCO, au moyen de résumés hebdomadaires (RHS) pour les séjours en soins de suites ou de réadaptation (arrêtés du 20 septembre 1994, du 22 juillet 1996 et du 29 juillet 1998).
A la différence des résumés produits par les établissements financés par dotation globale, les résumés émanant des établissements de privés relevant de l'objectif quantifié national (OQN) comptent, au nombre des rubriques obligatoirement renseignées, la mention du numéro dit « de sécurité sociale », ce qui ouvre la possibilité de relier entre eux les différents séjours d'un même patient. Ce « chaînage » des séjours, mis en oeuvre jusqu'en décembre 1999, a été en 2000, provisoirement abandonné, lorsque les procédures de transmission des informations produites par les établissements privés ont été modifiées : suppression de la télétransmission vers la CNAMTS, envoi des données, sur support magnétique, à destination des agences régionales de l'hospitalisation. Or, le chaînage des séjours est le complément nécessaire du dispositif de recueil d'informations : outre qu'il joue un rôle essentiel dans la validation de la qualité du codage des informations fournies, il est indispensable à la réalisation d'analyses pertinentes des bases de données régionales et nationale. Il a donc été décidé d'organiser, pour l'ensemble des établissements, une même procédure de chaînage, qui constitue une adaptation de la procédure initialement instaurée dans le secteur de l'hospitalisation privée.
La présentation technique du dispositif permettant d'assurer, pour les admissions postérieures au 31 décembre 2000, le chaînage de tous les séjours d'un même patient, figure en annexe technique. Ce dispositif a été accepté par la commission nationale de l'informatique et des libertés (CNIL), le 20 juin 2000, en raison, notamment, du fait qu'il évite d'inclure les numéros dits « de sécurité sociale (1) » dans le fichier des résumés de séjour. Il impose l'emploi d'un logiciel, MAGIC (module d'anonymisation et de gestion des informations de chaînage), qui sera fourni aux établissements par la DHOS. En pratique, il se développe en deux étapes : dans la première, le numéro « de sécurité sociale » est anonymisé et couplé avec un numéro administratif, puis intervient une seconde procédure de couplage, effectuée par le département d'information médicale (DIM) :

la première étape concerne le bureau des admissions et/ou frais de séjour. En utilisant le logiciel MAGIC, celui-ci devra créer, à partir du fichier des « numéros de sécurité sociale » des patients admis, un fichier de « numéros anonymes

dans un second temps, le médecin responsable du département d'information médicale (DIM) devra mettre en relation le fichier ANO-HOSP, reçu du service des admissions et/ou frais de séjour et le fichier, élaboré par ses soins, qui opère la liaison entre le numéro de RSS et le numéro administratif.

De la sorte, les résumés constitutifs des fichiers de RSS, que l'on peut assimiler à des fragments de dossiers médicaux à la protection desquels doit être portée une attention toute particulière, ne seront pas indexés par le numéro de sécurité sociale du patient, qui constitue un identifiant majeur, mais par un « numéro anonyme ».
Cette première protection, qui permet de disposer de résumés anonymes, quoique « chaînables », est renforcée par l'intervention, au niveau de l'ARH, d'une nouvelle procédure de « hachage » des numéros anonymes, à la réception des fichiers de RSA : celle-ci sera réalisée par les applicatifs MAHOS et MAHOS-privé, qui seront modifiés en conséquence.
Bien qu'il constitue un attribut du patient, comme le numéro de sécurité sociale dont il est indirectement issu, le numéro produit au terme de cette seconde procédure préserve l'identité de ce patient. Il est, en outre, parfaitement stable : le suivi et l'analyse des « trajectoires de soins » pourra donc être réalisé au sein d'un même établissement, mais également d'un établissement à l'autre, au sein d'une même discipline, voire du court-séjour MCO vers les soins de suite, ou l'inverse.
La procédure utilisée ne requiert pas des établissements qu'ils modifient leur organisation actuelle (3) : en effet, les fichiers traités par le logiciel MAGIC pour fabriquer les « numéros anonymes » et les affecter aux RSS ou RHS sont d'ores et déjà produits par les logiciels de gestion des malades ainsi que par les logiciels utilisés dans les DIM. Les établissements doivent cependant s'assurer que des fonctionnalités d'exportation de fichiers sont bien disponibles.
Calendrier :
Les premières données chaînables à adresser aux agences régionales de l'hospitalisation sont les résumés de séjours (RSS) et résumés hebdomadaires (RHS) édités au titre du premier semestre 2001. La date d'effet de la présente circulaire est toutefois différente pour les établissements financés par dotation globale, d'une part, pour les établissements privés soumis à l'objectif quantifié national, d'autre part :

la procédure décrite ci-dessus et développée dans l'annexe ci-jointe devra être effectivement mise en oeuvre lors des premières transmissions de cet exercice, soit en septembre 2001, pour les établissements financés par dotation globale.
en revanche, pour les établissements soumis à l'objectif quantifié national, elle ne s'appliquera qu'aux hospitalisations dont la date de sortie est postérieure au 31 décembre 2001 ; en effet, à titre dérogatoire, le chaînage des données relatives à 2001 s'effectuera encore selon les procédures instituées en 1996.

Par empêchement
du directeur de l'hospitalisation
et de l'organisation des soins :
Le chef de service,
J. Lenain

ANNEXE TECHNIQUE CONCERNANT LA MISE EN OEUVRE
DU CHAÎNAGE DES DONNÉES PMSI
Introduction

La CNIL a émis un avis positif lors de la séance du 20 juin 2000, pour l'extension aux établissements publics du dispositif de chaînage des séjours déjà appliqué dans les cliniques privées, et reposant sur l'utilisation du numéro de sécurité sociale.
Le procédé utilisé repose sur les mêmes variables que celles retenues dans le cas des cliniques privées, mais n'impose pas que les fichiers médicaux (RSS/RHS) soient indexés par ces dernières.

A. - Schéma général du dispositif

Au sein de l'établissement deux acteurs sont concernés :

le service administratif, qui doit produire un fichier VID-HOSP et utiliser un module informatique Magic, distribué par l'Etat pour réaliser un fichier ANO-HOSP ;
et le département d'information médicale, qui reçoit le fichier ANO-HOSP des services administratifs. Il doit produire un nouveau fichier HOSP-PMSI et un fichier traditionnel pour le PMSI (type fichier de RUM ou de RHS) et utiliser un logiciel générateur d'information médicalisée « anonymes » (GENRSA, GENRHA ou AGRAF), distribué par l'Etat, afin de réaliser un ou des fichiers anonymes chaînables.

Le dispositif est complété par une deuxième anonymisation au niveau de l'ARH, avant intégration des données dans les bases PMSI régionale ou nationale.
Pour les établissements privés (4) MCO, aucune modification du circuit d'information ou des formats des fichiers ne sera nécessaire, pour l'année 2001.
A partir de janvier 2002, le schéma de transmission devra être conforme à celui présenté plus haut. L'annexe 5 présente l'ensemble des modifications à prévoir.

A. - Constitution du fichier VID-HOSP

Comme on l'a vu, ce fichier doit être réalisé par les services administratifs de l'établissement sous la responsabilité du DSIO ou du directeur de l'établissement. Il est constitué des variables suivantes :

1. Le numéro de sécurité sociale

Il s'agit du numéro d'assuré social (c'est-à-dire celui de l'ouvrant droit), tel qu'il existe dans la carte Vitale 1 (remplaçante de la carte de sécurité sociale/papier).
Il est normalement recueilli au niveau du service des admissions des établissements publics et PSPH, afin de remplir les bandes/informations de séjours transmis aux caisses d'assurance maladie. Dans les établissements privés, il est nécessaire à la facturation.

2. Date de naissance

Il s'agit de la date de naissance de la personne admise et non celle de l'assuré.

3. Sexe

Il s'agit également du sexe de la personne admise et non de celui de l'assuré.
Ces trois premières variables sont les variables identifiantes du patient. On peut d'ores et déjà noter que le dispositif ne permettra pas de distinguer les jumeaux de même sexe ayant le même ouvrant droit.

4. Variable identifiant le séjour hospitalier
(numéro administratif local de séjour)

C'est le numéro fourni par le service des admissions de l'établissement pour identifier le séjour du patient.
Remarque : ce numéro peut également être l'IPP (5), si l'établissement en dispose.
Le format informatique du fichier VID-HOSP est présenté en annexe I. Cette annexe présente également les cas particuliers.

B. - Constitution du fichier ANO-HOSP et transmission au DIM

L'Etat fournira à l'ensemble des établissements un logiciel d'anonymisation, Magic, fonctionnant sur un ordinateur dont les caractéristiques minimales sont précisées en annexe III. Ce logiciel devra fonctionner dans les services administratifs de l'établissement sous la responsabilité du directeur des systèmes d'information (DSIO) ou du directeur de l'établissement.
Cette opération est importante et vise au respect de l'anonymat du patient. Elle doit donc être impérativement respectée. Elle ne pourra être réalisée qu'avec le logiciel fourni par l'Etat.
Le logiciel Magic constitue à partir du fichier VID-HOSP, un fichier contenant les informations suivantes, que nous appellerons par la suite ANO-HOSP :

numéro de patient anonymisé : ce patient est constitué par le module FOIN (fonction d'occultation des identifiants nominatifs), réalisé par le CESSI de la CNAMTS (les caractéristiques de cette fonction peuvent être consultées en annexe IV) ;
numéro local de séjour.

Ce fichier devra être transmis au DIM de l'établissement, sur support informatique ou par réseau. Le fichier VID-HOSP devra être détruit au plus tard 6 mois après la transmission au DIM du fichier ANO-HOSP.
Les contrôles qui seront effectués par le logiciel Magic sont les suivants :
1. Contrôle de la conformité des différentes variables.
2. Contrôle de l'absence de doublon sur le numéro d'hospitalisation dans le fichier VID-HOSP (deux numéros d'hospitalisation identiques pointant sur des variables identifiantes différentes). Les seuls doublons tolérés, mais supprimés du fichier ANO-HOSP, seront les doublons complets (c'est-à-dire de l'ensemble des variables) correspondant donc à des enregistrements en double.
Une clé d'intégrité sera générée pour s'assurer qu'aucune modification du fichier ANO-HOSP n'aura été réalisée entre sa génération et son utilisation.

C. - Constitution du fichier HOSP-PMSI

Le DIM devra réaliser un fichier contenant les correspondances entre le numéro de séjour PMSI (numéro de RSS, numéro séjour SSR) et le numéro d'identification de séjour administratif.
Ce fichier est, en général, déjà utilisé par les DIM pour permettre de faire la liaison entre les données saisies pour le PMSI et le dossier médical.
Le format informatique de ce fichier est présenté en annexe II. Cette annexe présente également les cas particuliers (nouveau-nés et séances).

D. - Constitution du fichier anonyme chaînable

Cette étape est réalisée par le logiciel d'anonymisation fournit par l'Etat (GENRSA, AGRAF ou GENRHA) qui sera modifié en conséquence pour pouvoir produire un fichier anonyme contenant un identifiant permettant le chaînage des séjours pour un patient donné sur l'ensemble de la France.
Pour cela, il nécessitera en plus du fichier de données PMSI, le fichier ANO-HOSP, et le fichier HOSP-PMSI.
Un couplage en cascade s'effectuera tout d'abord entre les fichiers ANO-HOSP et HOSP-PMSI puis entre les fichiers de données PMSI et le fichier HOSP-PMSI.
Le premier couplage s'effectuera sur la variable « numéro local de séjour » le second sur la variable « numéro séjour PMSI ».
Ce n'est que lorsque tous les problèmes de couplages seront résolus que GENRSA réalisera le fichier de RSA contenant le numéro anonyme.
Des contrôles seront réalisés par le logiciel d'anonymisation lors de l'étape de couplage. Ce sont les suivantes :
1. Contrôle des variables du fichier HOSP-PMSI.
2. Vérification de l'absence de doublons de numéro d'hospitalisation dans le fichier HOSP-PMSI.

Les seuls doublons tolérés sont :

les doublons complets (c'est-à-dire de l'ensemble des variétés), correspondant donc à des enregistrements en double ; ces enregistrements seront supprimés ;

ceux dont les numéros anonymes référencés dans le fichier ANO-HOSP sont identiques.

3. Vérification que l'ensemble des numéros PMSI présents dans HOSP-PMSI sont bien dans le fichier PMSI et vice versa, sauf éventuellement pour les NN dans le MCO.
4. Vérification que l'ensemble des numéros locaux de séjours présents dans le fichier ANO-HOSP sont bien dans le fichier HOSP-RSS sauf éventuellement pour les NN dans le MCO.

E. - Chiffrement des fichiers

Lors de l'envoi des données à la tutelle, le fichier anonymisé chaînable sera chiffré. L'annexe IV présente les modalités de ce chiffrement, qui sera effectué par un module spécifique du logiciel d'anonymisation (GENRSA, AGRAF ou GENRHA).

F. - Traitements réalisés au niveau de l'ARH

Lors de la réception des fichiers par l'ARH, les étapes suivantes seront réalisées par le logiciel Mahos, qui sera modifié en conséquence :

déchiffrement du fichier ;

réalisation d'une deuxième anonymisation du numéro anonyme, créé dans l'établissement ;

traitements Mahos traditionnels.

Il est nécessaire de procéder à cette deuxième anonymisation, afin que les numéros anonymes calculés dans l'établissement ne soient pas ceux utilisés dans les bases nationales.

ANNEXE I
FICHIER VID-HOSP

	TAILLE	POSITION	REMARQUES
Numéro de sécurité sociale	13	1-13	Valeur manquante : « XXXXXXXXXX »
Date de naissance	8	14-21	JJMAAAA Valeur manquante : « XXXXXXXXXX »
Sexe	1	22	1 : homme/2 : femme Valeur manquante « X »
Numéro d'identification administratif de séjour	20	36-55	Doit être en caractère ASCII imprimables et cadré à gauche. Les caractères blancs laissés à gauche seront considérés commes significatifs. Doit être obligatoirement renseigné.

Dans certains cas, le numéro de sécurité sociale peut ne pas être renseigné :
1. Cas des non-assurés sociaux : par exemple les étrangers non résidents en France ;
2. Les patients anonymes ;
3. Les accouchements sous X ;
4. Les IVG.
Il faudra donc utiliser comme valeur manquante une chaîne de caractères composée uniquement de « X », c'est-à-dire : « XXXXXXXXXX ».
Dans le cas où le numéro de sécurité sociale est manquant, on ne renseignera aucune autre variable identifiante. Elles devront donc être considérées comme manquantes. Par contre, le numéro local de séjour devra être renseigné.
Utilisation de l'IPP (identifiant patient permanent) :
Les établissements ayant mis en place un IPP peuvent utiliser ce numéro à la place du numéro administratif de séjour. Il faut noter que, dans ce cas, il faudra utiliser également l'IPP dans le fichier HOSP-PMSI.
Dans les établissements publics et PSPH, le numéro d'identification administratif de séjour sera le plus souvent le numéro d'hospitalisation.
Cependant, dans certains cas, l'identification du séjour à partir d'un numéro d'hospitalisation unique peut être difficile :

cas des établissements multisites : lors des transferts entre les différents sites, on peut avoir attribution d'un nouveau numéro d'hospitalisation. Dans ce cas, l'établissement peut soit utiliser un numéro identifiant permanent du patient (IPP), soit utiliser les deux numéros d'hospitalisation. Dans ce dernier cas, on aura donc deux lignes dans le fichier VID-HOSP, il faudra donc nécessairement que le fichier HOSP-PMSI contienne également deux lignes faisant référence à chacun des deux numéros référencés ;
cas de la radiothérapie, où il n'y a pas d'hospitalisation, donc pas de numéro d'hospitalisation : dans ce cas, il faudra utiliser un numéro administratif utilisé pour identifier le séjour dans le circuit de facturation.

Consignes concernant les nouveau-nés (MCO) :
Dans certains cas, les nouveau-nés dans l'établissement restant auprès de leur mère ne se voient pas attribuer de numéro local de séjour. Dans ce cas, l'établissement pourra ne pas inclure ces nouveau-nés dans le fichier VID-HOSP. En aucun cas, on ne devra générer une ligne contenant un numéro local de séjour manquant.
Dans les autres cas (nouveau-nés ayant un numéro local de séjour ou nouveau-nés pris en charge dans un service de néonatalogie), c'est le numéro local de séjour qui sera utilisé. Pour le numéro d'assuré social, l'établissement utilisera celui figurant sur la carte Vitale de la mère. On utilisera bien entendu la date de naissance et le sexe de l'enfant, et non ceux de la mère.
Consignes particulières concernant les séances (MCO) :
Concernant les séances, les établissements pourront n'indiquer qu'un seul numéro local de séjour pour l'ensemble des séances réalisées dans la période.
NB : établissements privés MCO, à partir de janvier 2002 : voir l'annexe V.

ANNEXE II
FICHIER HOSP-PMSI

	TAILLE	POSITION	REMARQUES
Numéro d'identification	7	1-7	Ne peut pas être manquant
Numéro d'identification administratif local de séjour	20	8-27	Doit être en caractère ASCII imprimables et cadré à gauche. Les caractères blancs laissés à gauche seront considérés comme significatifs. Ne peut pas être manquant (sauf si nouveau-né MCO)

Cas des nouveau-nés (NN) dans les MCO :
Les NN auprès de leur mère n'ont parfois pas de numéro d'hospitalisation (cf. plus haut), mais ont obligatoirement un numéro PMSI (numéro de RSS). Dans ce cas, le médecin DIM peut décider d'intégrer ou non dans le fichier HOSP-PMSI des enregistrements avec le numéro PMSI remlpli et le numéro administratif de séjour à blanc (manquant). Dans le cas où un numéro d'hospitalisation serait généré, les lignes correspondantes devront être intégrées dans le fichier HOSP-PMSI.
Cas des séances dans le MCO :
Plusieurs cas de figure peuvent se produire :
a) Un RSS séance est constitué pour une période prédéterminée, avec attribution d'un numéro d'hospitalisation pour la période ;
b) Un RSS est constitué pour chaque venue avec attribution d'un numéro d'hospitalisation pour chaque venue ;
c) Un RSS est constitué (automatiquement) pour chaque venue avec attribution d'un numéro d'hospitalisation pour la période.
Les cas a) et b) ne posent pas de problèmes.
Pour le cas c), le fichier HOSP-PMSI contiendra pour un numéro administratif de séjour plusieurs numéros de RSS avec un enregistrement par numéro de RSS.
NB : Etablissements privés MCO, à partir de janvier 2002 : voir l'annexe IV.

ANNEXE III
CARACTÉRISTIQUES DU MATÉRIEL

Le module MAGIC est prévu pour être intégré sur un micro-ordinateur compatible PC, pouvant faire tourner le logiciel POP-MCO.
Il s'agit donc d'un ordinateur pouvant faire fonctionner le système d'exploitation Windows 95.
Le logiciel ne focntionnera pas sur un micro-ordinateur compatible PC sous Windows 3.1 x.

ANNEXE IV
caractéristiques de l'anonymisation
(Texte élaboré à partir des documents fournis par le CESSI de la CNAMTS)

L'anonymisation des variables identifiantes est réalisée par le module FOIN : fonction d'occultation des informations nominatives.
Cette fonction, élaborée par le CESSI de la CNAMTS, a été validée par les instances administratives suivantes :

accord du SCSSI du 8 janvier 1997 portant sur la gestion des clés de la fonction d'anonymisation FOIN ;
accord du SCSSI du 3 juin 1996 portant sur la fonction d'occultation des informations nominatives de la CNAMTS ;
avis favorable de la CNIL du 18 juillet 1996 portant sur la fonction d'occultation des informations nominatives de la CNAMTS.

Les principales caractéristiques de la fonction FOIN sont les suivantes :

non réversible : à partir d'un résultat, on ne peut pas retrouver les données nominatives qui ont servi au calcul ;
faible taux de collision : faible probabilité d'obtenir, à partir de données nominatives différentes, un même « identifiant anonyme » ;
bon effet avalanche : pour deux données nominatives approchantes, les numéros anonymes obtenus ne sont pas similaires ;
agrégation : conservation dans le temps et l'espace de la granularité nécessaire aux finalités de traitements ;
paramétrable : paramétrée à partir d'une clé secrète, permettant ainsi d'obtenir un identifiant anonyme propre à chacune des applications ;
identifiable : la clé secrète utilisée doit être identifiable dans le numéro anonyme généré pour que seuls les identifiants calculés avec la même clé secrète soient agrégés.

ANNEXE V
modifications à prévoir pour les établissements privés lucratifs
du champ MCO à partir de janvier 2002

Pour les établissements privés à but lucratif du champ MCO à partir de janvier 2002, plusieurs modifications sont à prévoir.
A. - Modifications du format des fichiers de données médicales.
Cette modification concerne la suppression des variables identifiantes du fichier de RSS. Les formats qui s'appliqueront pour les données médicales (fichiers de RSS ou de RSS groupés) seront donc identiques à ceux du PMSI MCO public.
B. - La variable administrative permettant d'identifier le séjour devra obligatoirement être le numéro de facture.
Le fichier VID-HOSP sera remplacé par le fichier de facture (fichier de RSF).
Cela entraînera les modifications suivantes par rapport au fichier actuel de RSF :

suppression de la variable « rang de bénéficiaire » ;

ajout du sexe ;

remplacement du numéro de RSS par numéro de facture.

Le module MAGIC réalisera un fichier de RSF dans lequel les variables identifiantes seront remplacées par le numéro anonyme généré par la fonction FOIN.
Le fichier HOSP-PMSI devra donc être constitué des deux variables :

numéro de facture ;

numéro de RSS.

Le reste de la procédure est identique à celle présentée plus haut.
(1) Numéros dits « de sécurité sociale » : voir, en annexe technique, le contenu précis de cette appellation.
(2) Le logiciel MAGIC intègre une fonction de « hachage », c'est-à-dire de cryptage non réversible, FOIN, qui a été validée par le service central de sécurité des systèmes d'information (SCSSI).
(3) Les établissements privés devront toutefois veiller à ce que, le 1er janvier 2002 au plus tard, le numéro de sécurité sociale ne figure plus dans les fichiers de RUM ou de RSS qu'ils produisent.
(4) Etablissements privés sous OQN.
(5) IPP : identifiant permanent du patient.