Des données de santé « anonymisées » peuvent-elles encore vous identifier ?
« Ne vous inquiétez pas, les données sont anonymisées. » Quiconque partage des données de santé a entendu cette phrase. Le mécanisme derrière elle est plus faible qu’il n’y paraît.
Comment l’anonymisation est censée fonctionner
Sous HIPAA, le mécanisme central pour permettre la recherche sur les dossiers de santé consiste à retirer les identifiants : sans nom ni adresse, le dossier peut être partagé comme « désidentifié », sans l’autorisation du patient. L’hypothèse : sans identifiants, le dossier ne renvoie plus à une personne.
Pourquoi cela échoue
Une revue systématique des attaques de réidentification sur des données de santé a montré que des dossiers dépouillés de leurs identifiants restent réidentifiables lorsque des quasi-identifiants sont combinés. Une date de naissance ici, un code postal là, un diagnostic rare, une date d’admission : aucun n’est un nom, mais ensemble ils peuvent réduire un dossier « désidentifié » à une seule personne.
Aux États-Unis, les violations d’informations de santé protégées ont touché plus de 176 millions de patients. Une fois qu’un jeu de données « anonymisé » fuite, quiconque détient d’autres données sur vous peut tenter la combinaison.
Le compromis
La réponse classique au risque de réidentification consiste à retirer davantage : dates plus grossières, régions plus larges, moins de champs. Mais chaque champ retiré retire aussi de la valeur scientifique, et la réponse institutionnelle dominante (durcir encore les contrôles d’accès) a aggravé le problème d’accès pour la recherche sans corriger sa cause structurelle. On demande à un seul mécanisme de fournir à la fois la confidentialité et la valeur de recherche ; il ne fournit pleinement ni l’une ni l’autre.
L’alternative : le consentement plutôt que l’anonymisation
Il existe une autre façon de rendre les données de santé utilisables pour la recherche : ne pas prétendre qu’elles ne sont pas personnelles. Garder le dossier entier, sous le contrôle de la personne, et faire passer la recherche par un consentement explicite et révocable, avec chaque accès journalisé.
Health Data Safe est construite ainsi : les données restent sous le contrôle du patient sur une infrastructure open source, l’accès d’un chercheur exige un consentement limité dans le temps et lié à une finalité, et chaque accès est journalisé avec l’identité de l’accédant et le périmètre consulté. Rien n’est retiré du dossier, qui garde toute sa valeur scientifique ; la protection vient de la gouvernance.
Voir Fonctionnement pour la mécanique, ou les lois qui protègent les données de santé en Europe.