Conformité · Guide

Anonymisation ou pseudonymisation : la nuance qui change tout

Un compte rendu qui porte un prénom, un âge et une pathologie reste identifiable dans une commune de huit cents habitants. Aucun traitement automatique n'y change quoi que ce soit. Un éditeur qui vous répond « c'est anonymisé » vous promet donc quelque chose qu'il ne peut pas tenir. La vraie protection est ailleurs, et il vaut mieux savoir où elle est.

Deux mots, deux régimes juridiques

Le RGPD distingue nettement les deux, et la différence n'est pas une question de degré.

Une donnée anonyme ne permet plus, par aucun moyen raisonnable, de remonter à une personne. Elle n'est plus une donnée personnelle : le RGPD ne s'y applique plus du tout.

Une donnée pseudonymisée a été privée de certains identifiants, mais le rattachement reste possible, que ce soit par une table de correspondance ou par recoupement. Elle reste une donnée personnelle, avec toutes les obligations qui vont avec.

La conséquence est concrète : quand un éditeur dit « anonymisé », soit il emploie le mot de travers, soit il vous laisse croire que ses obligations ont disparu. Dans les deux cas, la question mérite d'être reposée.

Pourquoi un compte rendu ne peut pas être anonyme

Prenez un document réel. Il indique un âge en années et en mois, une classe, une commune, un médecin prescripteur, une date de passation, une histoire développementale et un tableau clinique. Retirez le nom : la description reste. Dans une petite ville, elle suffit largement à reconnaître l'enfant, et parfois à le reconnaître de façon certaine.

C'est ce qu'on appelle la ré-identification par recoupement, et ce n'est pas une hypothèse théorique. Plus le document est riche cliniquement, donc plus il est utile, moins il est anonymisable. Les deux objectifs sont contradictoires par nature.

Un outil qui prétendrait anonymiser vraiment devrait retirer l'âge précis, la localisation, la chronologie et les particularités cliniques. Il ne resterait pas grand-chose à rédiger.

Alors qu'est-ce qui protège réellement ?

Pas le masquage. Ce qui protège, c'est d'assumer qu'il s'agit de données de santé du début à la fin, et de les traiter comme telles. Concrètement, quatre choses.

Un hébergeur certifié pour les données de santé, dont vous pouvez vérifier le nom sur la liste publique.

Un traitement qui reste dans l'Union européenne, y compris quand un modèle d'intelligence artificielle intervient.

Un engagement écrit qu'aucun modèle n'est entraîné sur vos données, et que le fournisseur du modèle ne les reçoit pas.

Un contrat de sous-traitance, où vous restez responsable de traitement et l'éditeur sous-traitant. C'est ce contrat qui l'oblige à n'agir que sur votre instruction.

La pseudonymisation vient par-dessus, en réduction du risque. Elle est utile, elle n'est pas le socle. Un éditeur qui la présente comme sa protection principale a construit sa sécurité à l'envers.

Ce que vous pouvez demander à un éditeur

Une question suffit à faire la différence : quels champs exactement sont retirés avant l'envoi au modèle, et lesquels partent en clair ?

Un éditeur qui a fait le travail répond par une liste. Un éditeur qui répond « tout est anonymisé » n'a pas répondu à la question, et il faut la reposer.

Et Scielle ?

Scielle fait de la pseudonymisation, pas de l'anonymisation, et nous ne prétendrons pas le contraire. Avant l'envoi au modèle, nous retirons le numéro de sécurité sociale, le nom du médecin prescripteur et celui du médecin traitant, et une partie du nom du patient. Nous conservons volontairement une référence, sans laquelle le compte rendu ne pourrait pas être rédigé.

Donc non, le recoupement dans une petite commune ne peut pas être exclu. Personne ne peut l'exclure. Ce que nous pouvons dire, c'est où sont les données, qui les traite, et ce qu'il en fait : c'est détaillé sur notre page sécurité.

Pour le reste des vérifications à faire avant de confier des données à un logiciel, voir notre grille en neuf questions.