CONVENTION DE MISE A DISPOSITION DES DONNEES PMSI REGIONALES

CONVENTION DE MISE A DISPOSITION DES DONNEES PMSI REGIONALES Pour les établissements réalisant un recueil d activité PMSI en Midi Pyrénées Portant sur les données MCO, HAD, SSR, PSY, non chaînées Entre les soussignés : L Agence Régionale de Santé de Midi Pyrénées, représentée par : Nom : Xavier CHASTEL En sa qualité de : Directeur Général D une part, et L Etablissement de santé : Adresse Représenté par : Nom : En sa qualité de Directeur D autre part, 1 l ARS met à disposition du médecin responsable de l information médicale (DIM) de l établissement, dont le nom est le Dr, les informations issues du Programme de Médicalisation des Systèmes d Information (PMSI) en médecine, chirurgie, obstétrique (MCO), dénommées résumés de sortie anonymes (RSA), en hospitalisation à domicile (HAD), dénommées résumés anonymes par sous séquences (RAPSS), en soins de suite et réadaptation (SSR), dénommées résumés hebdomadaires anonymes (RHA), en psychiatrie (PSY), dénommées résumés par séquence anonyme (RPSA) et résumés d acte ambulatoire anonyme (R3A), fournis par l ATIH. Ces données seront utilisées à des fins d analyse de l activité des établissements de santé, notamment dans le cadre de l élaboration des projets d établissement et des Conventions d objectifs et de moyens ou éventuellement à des fins d études épidémiologiques. Agence Régionale de l Hospitalisation de Midi Pyrénées - 14, Place Saint Etienne - BP 860-31015 TOULOUSE Cedex 1/906 Téléphone : 05 62 26 86 40 - Télécopie 05 61 25 73 72

2 La convention de mise à disposition est envoyée au représentant de l Etablissement pour signature. Cette convention est ensuite signée par le Directeur d Agence. Une copie de cette convention signée, accompagnée des fichiers PMSI au format électronique préalablement défini, sera transmise par courrier recommandé avec accusé de réception au Directeur d Etablissement à l attention du médecin DIM. La version électronique des fichiers pourra être rendue accessible au téléchargement sur un site sécurisé. L accès à ce site par l Etablissement aura valeur de remise. 3 En contrepartie de la mise à disposition des données PMSI régionales, l Etablissement : s interdit toute cession des données à des tiers, hors contrat visé à l article 4 qui sera transmis à l ARS pour information, s engage à transmettre à l'agence Régionale d'hospitalisation et au comité technique régional de l information médicale (COTRIM) pour information, les projets d utilisation des bases régionales non chaînées du PMSI et les résultats qui en sont issus, s engage à ne pas diffuser les résultats des traitements issus des bases régionales à des tiers sans l accord préalable de l ARS. 4 Par la signature de la présente convention, l Etablissement s engage à respecter les obligations décrites ci-après concernant la protection de l identité des personnes. Ainsi il s engage à : Respecter les termes de la déclaration à la CNIL (jointe en annexe 2) ; Confier les données régionales au praticien responsable de l information médicale désigné par le conseil d administration ou l organe délibérant de l établissement, après information de la Commission médicale ou de la Conférence médicale. Le médecin responsable de l'information médicale est la seule personne habilitée à traiter les données transmises ou à les valider en cas de traitement par un organisme extérieur. Respecter et faire respecter le secret des informations par toutes les personnes susceptibles de travailler sur ces données, ou d y avoir accès, ces personnes étant astreintes au secret professionnel. Ne diffuser hors de l Etablissement, après accord de l ARS, que des statistiques agrégées, tirées de l exploitation des informations mises à disposition. Prendre toutes précautions utiles afin de préserver la sécurité des informations et notamment empêcher qu elles ne soient déformées, endommagées ou communiquées à des tiers non autorisés. Ne pas rétrocéder ou divulguer à des tiers les informations fournies sous quelque forme que ce soit. Ne pas procéder à des rapprochements, interconnexions, mises en relation, appariements avec tout fichier de données directement ou indirectement nominatives ou toute information susceptible de révéler l identité d une personne et / ou son état de santé. Ne pas utiliser de façon détournée les informations transmises, notamment à des fins de recherche ou d identification des personnes. Toutes les statistiques agrégées devront être présentées de telle sorte que les personnes ne puissent être identifiables. Si l Etablissement confie à un prestataire extérieur la réalisation de travaux à partir des informations fournies, le prestataire doit s engager, par la signature d un contrat, à respecter les engagements souscrits par l établissement dans la présente convention de mise à disposition. Dans ce contrat, le prestataire reconnaîtra l Etablissement comme destinataire exclusif du travail réalisé. Agence Régionale de l Hospitalisation de Midi Pyrénées - 14, Place Saint Etienne - BP 860-31015 TOULOUSE Cedex 06 Téléphone : 05 62 26 86 40 - Télécopie 05 61 25 73 72 2/9

Il ne conservera aucun fichier manuel ou informatisé stockant les informations saisies, et n en fera aucun autre usage que celui prévu par l Etablissement 1. Le directeur de l'etablissement transmettra les résultats bruts au médecin responsable de l'information médicale de l'établissement pour validation. En cas de non validation, le médecin responsable de l'information médicale en avertira le directeur de l'etablissement. Tout contrat passé entre l Etablissement et un prestataire extérieur devra être tenu à la disposition de l ARS et de la CNIL. 5 l ARS se réserve le droit de procéder à toute vérification qui lui paraîtrait utile pour constater le respect par l Etablissement des obligations précitées. En cas de non respect des dispositions précitées, l Etablissement ne pourra plus utiliser les données mises à disposition et la responsabilité du représentant de l Etablissement pourra être engagée sur la base des dispositions des articles 226.17 et suivants du code pénal. Toulouse, le. Le Directeur de l Etablissement Le Directeur de l ARS 1 Proposition de clause de confidentialité en cas de sous-traitance fournie par la CNIL en PJ 2 Agence Régionale de l Hospitalisation de Midi Pyrénées - 14, Place Saint Etienne - BP 860-31015 TOULOUSE Cedex 06 Téléphone : 05 62 26 86 40 - Télécopie 05 61 25 73 72 3/9

ANNEXE 1 RÔLE DU MEDECIN RESPONSABLE DE L'INFORMATION MEDICALE Dans le cadre de cette mise à disposition de données issues du PMSI, un double du courrier adressé à la direction de l'établissement est systématiquement adressé au médecin responsable de l'information médicale. Le médecin responsable de l'information médicale transmet à l'a.r.s. et au C.O.T.R.I.M. les projets d'utilisation de la base régionale de RSA et les résultats bruts qui en sont issus. Agence Régionale de l Hospitalisation de Midi Pyrénées - 14, Place Saint Etienne - BP 860-31015 TOULOUSE Cedex 06 Téléphone : 05 62 26 86 40 - Télécopie 05 61 25 73 72 4/9

Agence régionale de Santé Midi Pyrénées Dossier de déclaration à la CNIL Cession de base régionale PMSI ANNEXE 2 Principe général La présente déclaration de traitement automatisé d'information est formulée par l'agence Régionale de Santé Midi Pyrénées (ARS) pour l'ensemble des établissements de santé publics et privés de Midi Pyrénées réalisant un recueil d'activité médicalisée en court et moyen séjour, dans le cadre du Programme de Médicalisation des Systèmes d'information (PMSI). L'ARS dépose ce dossier conformément à l'article 41 de la loi n 99-641 du 27 juillet 1999 portant création de la couverture maladie universelle. Cet article vient modifier la loi n 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés. Le 2 ème alinéa de l'article 40-14 du chapitre V TER est ainsi rédigé : "Les traitements répondant à une même finalité portant sur des catégories de données identiques et ayant des destinataires ou des catégories de destinataires identiques peuvent faire l'objet d'une décision unique de la commission." Les établissement midi pyrénéens susceptibles de réaliser des traitements automatisés sont ceux qui, publics ou privés, transmettent des données PMSI dans l un des quatre champs MCO, HAD, SSR ou PSY. Les bases de données régionales du PMSI non chaînées MCO, HAD, SSR, PSY, pourront être transmises aux Etablissements signataires avec l ARS d une convention de mise à disposition. Les données seront transmises au praticien responsable de l'information médicale dans cet établissement, conformément à l'article L6113-7 du Code de la santé publique. Nature des informations utilisées et objectifs du traitement Les données issues du PMSI sont nécessaires à la révision de la carte sanitaire, à l'élaboration et à la mise en œuvre du Schéma régional d'organisation sanitaire, à la détermination des ressources des établissements et à l'évaluation de la qualité des soins (article L6113-8 du Code de la santé publique). Ces objectifs généraux sont principalement poursuivis par le Ministère de la santé, de la jeunesse et des sports, au plan national et par les ARS au niveau régional. Les 2 principales finalités du traitement ici déclaré sont : 1) l'analyse qualitative et quantitative de l'activité des établissements de santé publics et privés 2) la réalisation d'études épidémiologiques Les données régionales du PMSI doivent permettre aux établissements de santé de préciser et d'affiner le diagnostic préalable à l'élaboration de leur Projet d'etablissement et/ou Contrat d'objectifs et de Moyens : les seules données non anonymisées RSS (MCO), RPSS (HAD), RH (SSR), RPS et RAA (PSY), de l'établissement ne suffisent pas pour situer son activité dans son secteur sanitaire ou son bassin de santé les données agrégées issues du PMSI diffusées par l'ars ne répondent que partiellement aux attentes des établissements qui sont: - la comparaison de l'activité entre établissements par pôle d'activité, pour une liste de diagnostics ou d'actes déterminés - l étude de la répartition des activités sur un territoire donné - l étude d'attractivité et de fuite (la variable "Code Postal" présente dans le fichier est indispensable pour ce type de traitement) - l amélioration de la qualité du codage de l'information (le COmité Technique Régionale de l'information Médicale COTRIM- sera tenu informé des projets d'exploitation de la base de RSA) Les informations qui seront transmises sont les données anonymisées non chaînées, contenues dans les bases régionales PMSI des établissements publics et privés de Midi Pyrénées fournie par l ATIH, selon les formats de données en cours. 5/9

Agence régionale de Santé Midi Pyrénées Dossier de déclaration à la CNIL Cession de base régionale PMSI Les destinataires potentiels de ces données sont les producteurs mêmes de l'information puisque les bases régionales PMSI sont alimentées par les données transmises à l'atih, via l ARS par les établissements de santé publics et privés. Ces données se composent des résumés anonymes (RSA, RAPSS, RHA, RPSA et R3A) transmis par les établissements antérieurement financés par dotation globale, et par les établissements de santé privés à but lucratif, ayant une activité de médecine, chirurgie et obstétrique (MCO), hospitalisation à domicile (HAD), soins de suite et réadaptation (SSR) ou psychiatrie (PSY), en application de l'arrêté du 31 décembre 2003 modifié. Sécurité Les fichiers remis ne comporteront pas le fichier «ANO» qui attribue un code personnel au patient et chaîne les soins d un même patients dans le temps et dans l espace. Les traitements automatisés seront réalisés avec les précautions décrites par la Commission informatique et liberté sur son site : http://www.cnil.fr/index.php?id=1059 (un impératif, la sécurité). Les établissements qui souhaiteront réaliser des traitements sur les bases régionales PMSI en feront la demande motivée auprès de l'ars de Midi Pyrénées. Une convention de cession sera ensuite adressée à l'etablissement afin que son représentant la signe. Cette convention sera ensuite signée par le directeur de l'ars et tenue à la disposition de la CNIL. Une copie de la convention signée par les deux parties, accompagnée des fichiers PMSI au format électronique préalablement défini, sera transmise par courrier recommandé avec accusé de réception au Directeur d Etablissement à l attention du médecin responsable du département de l information médicale. La version électronique des fichiers pourra être rendue accessible au téléchargement sur un site sécurisé. L accès à ce site par l Etablissement aura valeur de remise. En signant une convention de cession, les établissements s'engagent à faire respecter le secret des informations cédées et à préserver la sécurité des informations afin de garantir la protection de l identité des personnes. La demande de fichiers chaînés par un Etablissement sera adressée directement à l ATIH et devra comporter une autorisation délivrée par la CNIL au vu d un projet d étude particulier. Seule l ATIH délivrera des bases PMSI chaînées. (voir formulaire de demande en PJ1) 6/9

Formulaire de commande de base PMSI A joindre au courrier de demande officielle Pièce jointe 1 Date de la demande : Vos coordonnées: Nom de la structure : N SIRET : Nom du contact : Adresse : E-mail : Tel : Fax : Ministère chargé de la santé, Ministère chargé de la sécurité sociale, Organismes d assurance maladie, ARH Etablissement de santé ayant contribué à la constitution des bases ou des organismes les représentant Autre Champ(s) et année(s) du PMSI souhaité(s) : MCO...... Année(s): SSR........ Année(s): HAD.......Année(s): PSY (à partir de 2007)........Année(s): Secteur(s) : Public Privé Public et Privé Critères d extraction : France Entière Régions : Autres critères (à préciser) : 7/9

Autorisation CNIL: Obtenue sous le numéro : En cours d obtention Non demandée Fichiers annexes : (nécessitant un accord de la CNIL) Votre dossier CNIL doit mentionner explicitement l acquisition de ces fichiers (ANO, MED et/ou DMIP) Fichier de chaînage (ANO).Si oui, préciser les années: A compter de 2008 : Fichier de médicaments par séjour (MED) (secteur ex-dg)... Si oui, préciser les années: Fichier de DMI par séjour (DMIP) (secteur ex-dg). Si oui, préciser les années: Le cas échéant : Je certifie sur l honneur que mon établissement conduit des travaux de recherche dans le domaine de la santé à finalités exclusivement non marchandes * Je soussigné, Nom : Prénom : Fonction : Je certifie sur l honneur l exactitude des renseignements figurant dans la présente N.B. : toute déclaration insincère rendrait caduque la transmission des bases et irrégulière l utilisation qui en est faite par le déclarant. Fait à Le Signature : 8/9

Pièce jointe 2 PROPOSITION DE CLAUSE DE CONFIDENTIALITE EN CAS DE SOUS-TRAITANCE Les supports informatiques fournis par la... et tous documents de quelque nature qu ils soient résultant de leur traitement par la société... restent la propriété de la... Les données contenues dans ces supports et documents sont strictement couvertes par le secret professionnel (article 226.13 du code pénal). Conformément aux articles 34 et 35 de la loi du 6 janvier 1978 relative à l informatique, aux fichiers et aux libertés, la société... s engage à prendre toutes précautions utiles afin de préserver la sécurité des informations et notamment d empêcher qu elles ne soient déformées, endommagées ou communiquées à des personnes non autorisées. La société... s engage donc à respecter, de façon absolue, les obligations suivantes et à les faire respecter par son personnel, c est-à-dire notamment à : - ne prendre aucune copie des documents et supports d informations confiés par la société... et utilisés par la société... à l exception de celles nécessaires pour les besoins de l exécution de sa prestation, objet du présent contrat ; - ne pas utiliser les documents et informations traités à des fins autres que celles spécifiées au présent contrat ; - ne pas divulguer ces documents ou informations à d autres personnes, qu il s agisse de personnes privées ou publiques, physiques ou morales ; - prendre toutes mesures permettant d éviter toute utilisation détournée ou frauduleuse des fichiers informatiques en cours d exécution du contrat ; - prendre toutes mesures, notamment de sécurité matérielle, pour assurer la conservation des documents et informations traités tout au long de la durée du présent contrat ; et en fin de contrat à : - procéder à la destruction de tous fichiers manuels ou informatisés stockant les informations saisies ; ou à : - restituer intégralement les supports d informations selon les modalités prévues au présent contrat. A ce titre, également, la société... ne pourra sous-traiter l exécution des prestations à une autre société, ni procéder à une cession de marché. Les supports d informations qui lui seront remis devront être traités sur le territoire français métropolitain. La... se réserve le droit de procéder à toute vérification qui lui paraîtrait utile pour constater le respect des obligations précitées par la société... Il est rappelé que, en cas de non-respect des dispositions précitées, la responsabilité du titulaire peut également être engagée sur la base des dispositions des articles 226-17 et 226-5 du nouveau code pénal. La... pourra prononcer la résiliation immédiate du contrat, sans indemnité en faveur du titulaire, en cas de violation du secret professionnel ou de non-respect des dispositions précitées. 9/9