# Appariement de données à la base principale du SNDS
Crédits
La version initiale de la fiche était issue d’un document de la CNAM disponibles dans la section Fiches best practices.
Elle a été mise à jour en juillet 2026 par la Plateforme des Données de Santé en collaboration avec Alira Health.
# 1. Définition et enjeux de l’appariement à la base principale du SNDS
Le SNDS est un levier majeur pour la recherche en raison de son ampleur et de sa capacité à être chaîné à d’autres bases. L’appariement à la base principale du SNDS permet de produire des analyses en vie réelle en associant des données externes (cohortes, registres, données hospitalières locales, etc.) aux données médico-administratives du SNDS grâce à des informations communes. En permettant d’enrichir les données du SNDS, cette démarche répond à de nombreuses problématiques de recherche en santé telles que : compléter le suivi longitudinal des patients, améliorer la qualité des analyses épidémiologiques, réduire les biais de sélection, etc.
Dans le contexte de la base principale du SNDS, l’enjeu opérationnel est de faire correspondre une population externe avec les identifiants internes pseudonymisés du SNDS, sans jamais faire circuler de manière non maîtrisée le numéro d’inscription au répertoire (NIR) permettant d’identifier des bénéficiaires (voir fiche Identifiants des bénéficiaires).
Il existe deux grandes familles d’appariement : l’appariement direct et l’appariement indirect (parfois appelé probabiliste) (1,2). Ces deux familles se déclinent en trois méthodes présentées à la section suivante.
Tout appariement de données à la base principale du SNDS est soumis à un cadre règlementaire spécifique nécessitant une autorisation de la Commission Nationale de l'Informatique et des Libertés (CNIL), et les données appariées doivent être manipulées dans un environnement homologué conforme au référentiel de sécurité du SNDS (3, 4).
# 2. Principes généraux et méthodes d’appariement
La base principale du SNDS identifie les bénéficiaires via plusieurs identifiants internes pseudonymisés qui sont utilisés dans le cadre des appariements (2) :
- BEN_NIR_ANO : version pseudonymisée du NIR du bénéficiaire.
À noter : le NIR est le numéro d’inscription au répertoire, communément appelé numéro de sécurité sociale ;
- BEN_NIR_PSA (généralement appelé pseudo-NIR) : version pseudonymisée du triplet {NIR ouvrant droit, date de naissance du bénéficiaire, sexe du bénéficiaire}.
À noter : cet identifiant peut changer au cours de la vie d'un individu (voir fiche Identifiants des bénéficiaires).
Tableau 1 : Tableau récapitulatif des méthodes d'appariement de données à la base principale du SNDS
| Méthode | Principe d’identification des patients | Données requises côté source | Qualité d'appariement attendue | Principales limites |
|---|---|---|---|---|
| (1) Appariement direct via NIR | 1) Le NIR est transmis à la CNAM, 2) Pseudonymisation du NIR par la CNAM. | Selon la source : - NIR du bénéficiaire ; et/ou - Composantes du pseudo-NIR. | Meilleur taux d’appariement a priori | - Fort encadrement réglementaire - Sécurité stricte |
| (2) Appariement direct avec reconstitution du NIR | 1) Les informations d’état civil sont transmises au SNGI, 2) Le NIR est reconstruit par la CNAV à partir des informations d’état civil, 3) Le NIR est pseudonymisé par la CNAM. | - Au minimum : nom, prénoms et date de naissance ; Le sexe peut être utilisé en complément. | Si l’état civil est de bonne qualité : taux d’appariement a priori comparable au direct. | - Dépendance forte à la qualité/complétude de l’état civil - Risque de lignes non reconstituées |
| (3) Appariement indirect | 1) Une table d’accrochage contenant des variables communes aux deux bases (base source à apparier et SNDS) pour les patients recherchés est transmise au gestionnaire SNDS (CNAM, PDS), 2) Le gestionnaire SNDS identifie les correspondances avec les bénéficiaires du SNDS via des règles d’itérations ou probabilistes entre les deux bases. | Variables discriminantes non directement identifiantes (mois et année de naissance, commune de résidence, date et lieu de soins…). | Taux d’appariement dépendant du niveau d’information et de qualité de la base source à apparier. | - Travail important de préparation, - Forte dépendance à la qualité des données transmises, - Risque de faux appariements. |
# 2.1 Appariement direct via le NIR
# 2.1.1 Principe
L’appariement direct via le NIR est la méthode à privilégier lorsque la base source contient de manière fiable le NIR du bénéficiaire et les composantes nécessaires à la pseudonymisation interne du SNDS ([1](#6-ressources-et-références, 2, 5). Lors de ce type d’appariement, l’ensemble des NIR associés à un même bénéficiaire dans le SNDS est pris en compte, y compris ceux pour lesquels aucune consommation de soins n’est attendue par le porteur de projet (1).
# 2.1.2 Modalités d’envoi du NIR
Dans le cadre d’un appariement direct via le NIR, le porteur de projet prépare une table d'accrochage contenant les variables d'identification requises (NIR du bénéficiaire ou de l'ouvrant droit, sexe et date de naissance du bénéficiaire), qui est ensuite utilisée dans le cadre des opérations de pseudonymisation permettant d'obtenir les pseudonymes SNDS nécessaires à l'extraction des données.
Cette table d’accrochage est transmise à la CNAM, selon des modalités sécurisées mises en œuvre:
- via la procédure SAFE (6), qui constitue la procédure historique (pour plus de détails sur la procédure SAFE, voir la section 3.3),
ou - via “Mon Interface d’Appariement” (MIA) (7), qui constitue un nouvel outil mis à disposition des porteurs de projets. Il propose une interface prenant en charge, via un point d’entrée unique, notamment le dépôt des tables d’accrochage, leur traitement selon les exigences techniques applicables et leur transfert vers les services concernés, tels que ceux de la CNAM et/ou de la CNAV (7).
# 2.1.3 Circuit d’appariement
Dans un appariement direct via le NIR (Figure 1), le détenteur de données prépare une table d’accrochage contenant les identifiants nécessaires à la pseudonymisation. Cette table est ensuite transmise selon des modalités sécurisées décrites en section 2.1.2 Modalités d’envoi du NIR. Le Gestionnaire SNDS (CNAM ou PDS) réalise des contrôles de cohérence, notamment :
- une recherche des pseudonymes dans le référentiel des bénéficiaires du SNDS ;
- des contrôles de cohérence (par exemple : pseudonymes non retrouvés dans le SNDS, pseudonymes associés à un même identifiant temporaire mais correspondant à des individus différents).
Les résultats sont reportés dans un bilan transmis au porteur de projet. Puis, les pseudonymes SNDS sont consolidés puis utilisés par le Gestionnaire SNDS pour extraire les données correspondantes dans la base principale du SNDS.
Le principe de restitution des pseudonymes SNDS est détaillé par la Figure 2 (6).
A noter : Lorsque la proportion de pseudonymes retrouvés est insuffisante ou qu’un nombre important d’incohérences est détecté, en concertation avec la Gestionnaire SNDS, le responsable du projet peut procéder à une reprise de la préparation de la table d’accrochage.
Figure 1 : Circuit d’appariement direct via le NIR (2)
Note :
- N° inclusion : Numéro d’inclusion correspondant à l’identifiant patient source présent dans les données enquête/métier.
- ID accrochage : Identifiant patient généré par le détenteur de données spécifiquement pour le projet
- NIR-DDN-S : NIR, date de naissance, sexe.
- h(NIR-DDN-S) : Identifiant interne de la base principale du SNDS, obtenu par « hachage cryptographique » de NIR-DDN-S.
- N° enquête : Numéro d’enquête correspondant à l’identifiant patient présent dans les données mises à disposition du projet, seul identifiant visible par le chercheur sur la plateforme cible.
Figure 2 : Principe de restitution des pseudonymes SNDS (6)
# 2.2 Appariement direct avec reconstitution du NIR
# 2.2.1 Principe
Lorsque le NIR est indisponible mais que la base source de données à apparier au SNDS inclut des informations d’état civil fiables des bénéficiaires, il peut être reconstitué afin de revenir à un appariement direct (1), 2). Cette reconstitution du NIR est effectuée par la CNAV, via le Système national de gestion des identifiants (SNGI) (5, 8).
Cet appariement nécessite la transmission au SNGI d’au moins trois informations d’état civil : nom, prénoms et date de naissance (9) Le sexe peut également être utilisé lorsqu’il est disponible. La qualité de la reconstitution du NIR dépend directement de l’exactitude et de la complétude des données transmises ; les lignes avec des informations incomplètes, erronées ou insuffisamment discriminantes n’aboutissent pas.
A noter : La reconstitution du NIR est uniquement possible via la solution MIA (non possible via la procédure SAFE).
# 2.2.2 Circuit d’appariement
Lors d’un appariement direct avec reconstitution du NIR (Figure 3), les données d’état civil sont préparées par le porteur de projet. Elles sont ensuite transmises afin de permettre la reconstitution du NIR par le SNGI de la CNAV, la pseudonymisation du NIR par la CNAM et la recherche des bénéficiaires correspondants dans la base principale du SNDS par le Gestionnaire SNDS. Le processus se poursuit ensuite selon les mêmes modalités qu’un appariement direct via le NIR.
Figure 3 : Circuit d’appariement direct avec reconstitution du NIR (2)
# 2.3 Appariement indirect
# 2.3.1 Principe et circuit d’appariement
L’appariement indirect est une stratégie probabiliste utilisée lorsque les méthodes (1) et (2) d’appariement direct ne sont pas envisageables (1, 2).
Il consiste à rapprocher les individus présents dans une base source et dans la base principale du SNDS à partir des variables communes aux deux bases (par exemple mois et année de naissance, sexe, dates de soins, diagnostics, etc.) selon une logique probabiliste ou par règles de décision, afin d’identifier des correspondances jugées suffisamment fiables :
Les variables communes utilisées pour l'appariement indirect sont définies en amont du projet et décrites dans le protocole de recherche. Des informations utiles pouvant aider dans leur choix sont présentées en section 2.3.2
Les règles d'appariement peuvent être définies lors d'un atelier réunissant le Gestionnaire SNDS et le détenteur de données. Elles précisent les critères de rapprochement entre les bases, les différentes étapes du processus et les règles de décision appliquées à chaque étape. Ces règles sont généralement formalisées sous la forme d'un arbre d'appariement.
La Figure 4 présente un exemple simplifié d'un arbre d'appariement.
Figure 4 : Exemple simplifié d’un arbre d’appariement (source PDS)
La Figure 5 présente les étapes d’un appariement indirect :
- (#1) Le détenteur de données prépare une table d’accrochage contenant les variables communes retenues pour l’appariement ;
- (#2) Cette table est ensuite transmise de manière sécurisée au Gestionnaire SNDS afin de permettre l’identification des bénéficiaires correspondants et l’extraction des données de la base principale du SNDS ;
- (#3) Les données de la base principale du SNDS et les données métier de la base source sont enfin mises à disposition sur la plateforme d’hébergement cible des données appariées.
A noter : La table d’accrochage des variables communes n’est pas conservée.
Figure 5 : Circuit d’appariement indirect (2)
Important
L’appariement indirect peut entraîner des faux positifs ainsi que des biais d’appariement. Sa mise en œuvre nécessite une méthodologie solide, incluant une validation des variables utilisées et une traçabilité des itérations réalisées (2).
# 2.3.2 Recommandations
La qualité d’un appariement indirect dépend fortement de la qualité, de la complétude et du pouvoir discriminant des variables transmises. Le choix des variables d’appariement nécessite une bonne connaissance simultanée de la base source et de la structure de la base principale du SNDS.
À titre général, il peut être utile de (1, 2) :
- fournir autant de variables communes que possible entre la source et le SNDS et documenter leurs niveaux d’exhaustivité et de qualité ;
- privilégier des variables discriminantes, comparables et standardisées (par exemple : sexe, mois et année de naissance, dates de soins ou diagnostics codés, actes ou établissements de prise en charge), et éviter les variables issues de champs libres ou peu homogènes ;
- privilégier les variables clairement identifiées et suffisamment fiables dans chacune des bases ;
- lorsque cela est pertinent, mobiliser plusieurs événements ou séjours afin d’augmenter le caractère discriminant du rapprochement ;
- limiter les valeurs manquantes, les incohérences et les erreurs de saisie.
Important
Ces éléments peuvent contribuer à améliorer la qualité de l’appariement, sans toutefois garantir un taux d’appariement élevé ni l’absence de faux appariements.
# 3. Acteurs et composants opérationnels
# 3.1 Rôle des principaux acteurs (2, 5, 7, 8)
- Détenteur de données : prépare la table d’accrochage, nettoie les données avant envoi et réalise le dépôt.
- PDS : assure le fonctionnement opérationnel de MIA.
- CNAM : opère la pseudonymisation du NIR et assure le fonctionnement opérationnel de la procédure SAFE.
- CNAV / SNGI : intervient dans les circuits de reconstitution du NIR à partir des informations d’état civil transmises via MIA.
# 3.2 Mon Interface d’Appariement (MIA)
MIA est une interface sécurisée mise en place par la PDS et permettant l’orchestration des flux avec la CNAM et, pour la reconstitution du NIR, avec la CNAV (9). Elle vise à centraliser et simplifier les opérations d’appariement :
- dépôt des tables d’accrochage via une interface web ;
- analyse et transfert des tables d’accrochage aux services concernés (CNAV si nécessaire, CNAM systématiquement), qui appliquent plusieurs niveaux de pseudonymisation ;
- suivi des traitements ;
- échanges sécurisés entre les acteurs.
Des documentations sont disponibles sur ici (opens new window)
# 3.3 Procédure SAFE
SAFE est la procédure historique mise en œuvre par la CNAM pour permettre la transmission sécurisée des informations nécessaires aux appariements directs avec la base principale du SNDS.
Dans le cadre de cette procédure, la table d’accrochage incluant les données d'identification requises (NIR du bénéficiaire ou de l'ouvrant droit, sexe, date de naissance) doit être transformée dans un format technique spécifique (« fichier normé ») (6), au moyen d’outils mis à disposition par la CNAM ou la PDS (macros VBA Excel ou scripts SAS/R/Python), puis déposé sur une plateforme sécurisée opérée par la CNAM (opens new window) (6).
SAFE constitue ainsi l'un des composants opérationnels mobilisés pour la réalisation des appariements directs avec le SNDS.
La Figure 6 présente de manière simplifiée le circuit d’appariement direct via la procédure SAFE, depuis la préparation de la table d’accrochage jusqu’à l’extraction des données de la base principale du SNDS.
Figure 6 : Circuit d’appariement direct via la procédure SAFE (6)
Après plusieurs étapes de pseudonymisation, la CNAM restitue les pseudonymes SNDS associés aux individus transmis (6, 9).
Attention
Les tables d’accrochage doivent être préparées avec soin (voir section 3.4). Des données incorrectes, incomplètes ou mal formatées peuvent conduire au rejet du dépot, à des pseudonymes non retrouvés ou à des anomalies d’appariement nécessitant une reprise du processus (6, 9).
# 3.4 Construction de la table d’accrochage
La table d’accrochage correspond au jeu de données préparé par le détenteur de données afin de permettre l’appariement avec la base principale du SNDS (2). Elle constitue une extraction structurée de la base source et contient, pour chaque individu :
- un identifiant temporaire non signifiant créé spécifiquement pour le projet ;
- ainsi que les variables nécessaires à la méthode d’appariement retenue.
Le contenu de la table d’accrochage dépend du type d’appariement :
- Appariement direct via le NIR : composantes nécessaires à la pseudonymisation (NIR du bénéficiaire ou de l’ouvrant droit, sexe, date de naissance) ;
- Appariement direct avec reconstitution du NIR : informations d’état civil nécessaires à la reconstitution du NIR par le SNGI (au minimum nom, prénoms et date de naissance) ;
- Appariement indirect : variables d’appariement non directement identifiantes (par exemple sexe, mois et année de naissance, dates de soins, diagnostics ou séjours).
Quelle que soit la méthode retenue, la table d’accrochage doit faire l’objet d’un nettoyage préalable. Cette étape vise à vérifier le format des variables, la complétude des informations, la cohérence des données, l’unicité des identifiants temporaires, ainsi que les modalités sécurisées de dépôt (signature et chiffrement) (5, 6, 8). La qualité de cette table conditionne directement la qualité de l’appariement et le taux de correspondances finalement obtenu.
# 4. Cadre réglementaire et éthique
# 4.1 Principes généraux de conformité
Les traitements de données de santé sont soumis à des exigences spécifiques de formalités en matière : d’information des personnes, de sécurité, de durée de conservation des données et de gouvernance. Pour les traitements de données de santé, la CNIL rappelle que la finalité doit être d’intérêt public, que les responsabilités doivent être clairement définies, que la sous-traitance doit être contractualisée, et que les traitements du SNDS doivent respecter le référentiel de sécurité du SNDS (10, 11).
Pour les circuits NIR, la CNIL insiste sur trois garanties structurantes (5) :
- la séparation entre NIR et données de santé pendant les transferts,
- l’usage d’identifiants d’accrochage non signifiants,
- et l’usage de moyens de transmission chiffrés et authentifiés dans un environnement homologué.
Les modalités de mise à disposition des données du SNDS peuvent inclure : le portail de la CNAM, la plateforme de l'Agence technique de l'information sur l'hospitalisation (ATIH), le Centre d’accès sécurisé aux données (CASD (opens new window)), la solution technique de la PDS ou un système-fils homologué.
# 4.2 Cadre réglementaire des études impliquant un appariement avec le SNDS
Les études impliquant un appariement avec la base principale du SNDS relèvent généralement du cadre des recherches n’impliquant pas la personne humaine (RNIPH). Selon les caractéristiques du projet, le traitement peut relever :
- d’une méthodologie de référence (notamment la MR-004) ;
- ou nécessiter une autorisation spécifique après examen par le Comité éthique et scientifique pour les recherches, les études et les évaluations dans le domaine de la santé (CESREES) puis la CNIL.
Dans certains cas, l’appariement avec la base principale du SNDS peut intervenir dans le cadre d’une recherche impliquant la personne humaine (RIPH). On parle alors de « recherche mixte ». Les démarches réglementaires applicables dépendent notamment du moment où l’appariement est décidé (dès la conception du projet, en cours de suivi ou après la fin du suivi des participants) et peuvent impliquer, selon les cas, un avis du comité de protection des personnes (CPP) ou du CESREES avant autorisation de la CNIL (cf. référence [4] pour plus d’informations).
Important
L'autorisation d'accès au SNDS ne vaut pas autorisation d'appariement. L'appariement doit être explicitement prévu dans l'autorisation délivrée par la CNIL, qu'il s'agisse d'une méthodologie de référence (MR) ou d'une autorisation sur projet instruite par le CESREES puis la CNIL. De même, la base source doit elle-même disposer d'un encadrement légal couvrant la transmission des identifiants (NIR ou état civil) à un tiers aux fins d'appariement.
# 5. Choisir sa méthode d’appariement et bonnes pratiques
Pour choisir sa méthode d’appariement, il faut en pratique (2) :
- privilégier l’appariement direct via le NIR lorsque le NIR est disponible et fiable ;
- sinon, privilégier la reconstitution du NIR lorsque les données d’état civil sont disponibles et de bonne qualité ;
- sinon, recourir à l’appariement indirect uniquement lorsqu’un appariement direct fiable n’est pas possible.
La Figure 7 présente un arbre de décision pour aider au choix de sa méthode d’appariement.
Figure 7 : Arbre de décision pour le choix de sa méthode d’appariement (2)
# 6. Ressources et références
1.Plateforme des Données de Santé (PDS) – Documentation SNDS
2.Guide pédagogique des appariements SNDS (opens new window)
3.Loi Informatique et Libertés & RGPD (article 87) (opens new window)
4.PDS – Guide pédagogique : Procédures d’accès aux données de santé en France (opens new window)
6.CNAM / Health Data Hub – Présentation de la procédure SAFE d’appariement direct au SNDS (atelier de présentation, février 2024). Support de formation interne.
7.PDS – Mon Interface d’Appariement (MIA) (opens new window)
8.CNIL – Les circuits d’appariement avec le SNDS utilisant le NIR (opens new window)
9.Mon interface d’appariement (MIA) (opens new window)
11.CNIL - Demande d’autorisation dans le domaine de la santé (hors recherche) : les informations à fournir et les critères d’octroi (opens new window). Commission nationale de l’informatique et des libertés, 2023.