Mis à jour le 4 min de lecture

Des données de santé « anonymisées » peuvent-elles encore vous identifier ?

« Ne vous inquiétez pas, les données sont anonymisées. » Quiconque partage des données de santé a entendu cette phrase. Le mécanisme derrière elle est plus faible qu’il n’y paraît.

Comment l’anonymisation est censée fonctionner

Sous HIPAA, le mécanisme central pour permettre la recherche sur les dossiers de santé est la désidentification : retirer les 18 identifiants listés (noms, adresses plus fines que l’État, presque toutes les dates, numéros d’identification, etc.), ou faire certifier par un expert que le risque de réidentification est « très faible », et le dossier cesse d’être une information de santé protégée. Il peut alors être partagé sans l’autorisation du patient. L’hypothèse : sans identifiants, le dossier ne renvoie plus à une personne.

Pourquoi cela échoue

Retirer les identifiants directs ne suffit pas. Une revue systématique des attaques de réidentification a trouvé qu’en moyenne environ un quart des dossiers étaient réidentifiés, un tiers dans les attaques sur des données de santé, presque toujours dans des jeux de données seulement débarrassés des noms et autres identifiants directs, et non désidentifiés selon une norme formelle. Des travaux ultérieurs ont montré que 15 attributs démographiques suffisent à réidentifier 99,98 % des Américains. Une date de naissance ici, un code postal là, un diagnostic rare, une date d’admission : aucun n’est un nom, mais ensemble ils peuvent réduire un dossier à une seule personne.

Aux États-Unis, les violations d’informations de santé protégées signalées au régulateur fédéral depuis 2009 avaient, fin 2025, exposé les dossiers de plus d’un milliard de personnes (chaque personne est comptée une fois par violation, le total n’est donc pas un nombre de personnes distinctes). Une fois qu’un jeu de données « anonymisé » fuite, quiconque détient d’autres données sur vous peut tenter la combinaison.

Le compromis

La réponse classique au risque de réidentification consiste à retirer davantage : dates plus grossières, régions plus larges, moins de champs. Mais chaque champ retiré retire aussi de la valeur scientifique, et la réponse institutionnelle habituelle, durcir les règles et les contrôles d’accès, a ralenti la recherche sans améliorer clairement la confidentialité : deux tiers des épidémiologistes américains interrogés jugeaient que la règle de confidentialité HIPAA avait rendu la recherche plus difficile, un quart seulement qu’elle avait renforcé la confidentialité des participants, et la loi finlandaise sur l’utilisation secondaire a été suivie d’une baisse estimée à 47 % des nouveaux permis de données en 2023. On demande à un seul mécanisme de fournir à la fois la confidentialité et la valeur de recherche ; il ne fournit pleinement ni l’une ni l’autre.

L’alternative : le consentement plutôt que l’anonymisation

Il existe une autre façon de rendre les données de santé utilisables pour la recherche : ne pas prétendre qu’elles ne sont pas personnelles. Garder le dossier entier, sous le contrôle de la personne, et faire passer la recherche par un consentement explicite et révocable, avec chaque accès journalisé.

Health Data Safe est construite ainsi : les données restent sous le contrôle du patient sur une infrastructure open source, l’accès d’un chercheur exige un consentement limité dans le temps et lié à une finalité, et chaque accès est journalisé avec l’identité de l’accédant et le périmètre consulté. Rien n’est retiré du dossier, qui garde toute sa valeur scientifique ; la protection vient de la gouvernance.

Voir Fonctionnement pour la mécanique, ou les lois qui protègent les données de santé en Europe.

Sources