La suppression des noms et prénoms d’une base de données ne garantit pas mécaniquement l’anonymisation ni la pseudonymisation.
Dans le domaine médical, la distinction influence la protection des données, la confidentialité et la conformité au RGPD. Cette analyse mérite un repère synthétique, et conduit naturellement vers A retenir :
A retenir :
- Suppression des noms et prénoms, risque de pseudonymisation seulement
- Anonymisation véritable requérant irréversibilité et impossibilité de réidentification
- Pseudonymisation utile pour recherche santé, mesure complémentaire de sécurité
- Sécurité des informations et gouvernance, documentées et auditées régulièrement
Pseudonymisation en santé : principes et cas pratiques
Suite aux points listés, la pseudonymisation apparaît comme une mesure opérationnelle adaptée en santé. Elle protège l’identité tout en conservant l’utilité statistique des jeux de données cliniques.
Techniques de pseudonymisation adaptées aux données de santé
Ce volet détaille les techniques à envisager pour garantir la confidentialité des patients. Selon EDPB, la séparation des informations supplémentaires et le chiffrement restent des exigences centrales.
Mesures techniques clés :
- Séparation des clés et des pseudonymes
- Chiffrement asymétrique pour accès restreint
- Salage et hachage robustes
- Journalisation des accès et audits réguliers
Technique
Description
Réversibilité
Usage recommandé
Suppression noms/prénoms
Retrait des identifiants directs, sans séparation de clés
Souvent pseudonymisation
Prétraitement basique
Hachage simple
Transformation irréversible apparente, vulnérable aux tables
Potentiellement réversible via corrélations
Usage accompagné de salage
Hachage + salage
Renforce la résistance aux attaques par dictionnaire
Quasi irréversible si bien mis en œuvre
Traitements analytiques sécurisés
Chiffrement asymétrique
Clés séparées, contrôle d’accès strict
Réversible uniquement avec clé privée
Accès restreint et archivage
Exemples opérationnels en laboratoire et hôpital
Ce développement présente deux cas concrets, l’un en laboratoire et l’autre en hôpital universitaire. Selon EDPB, l’exemple du laboratoire montre l’intérêt d’un identifiant pseudonymisé attaché aux prélèvements.
« J’ai mis en place un système de QR codes pseudonymisés pour isoler les identités des échantillons. »
Claire D.
Conséquences juridiques : pseudonymisation vs anonymisation
À partir des cas pratiques, la portée juridique devient centrale pour les organisations responsables du traitement. Selon EDPB, la pseudonymisation n’exempte pas du respect des principes du RGPD et de la minimisation.
Statut juridique et obligations RGPD
Ce point distingue clairement le statut juridique des jeux de données et les obligations associées. Selon RGPD, les données pseudonymisées restent des données personnelles soumises aux règles applicables.
Type de données
Applicabilité RGPD
Réidentification possible
Exemple
Pseudonymisation
Oui
Oui, avec information supplémentaire
Code patient et registre séparé
Anonymisation
Non
Très improbable si irréversible
Données agrégées sans identifiants
Données identifiantes directes
Oui
Évidente
Nom, prénom, NSS
Données agrégées
Souvent non
Faible
Tranches d’âge et diagnostics agrégés
« En tant qu’administrateur, j’ai vu des projets bloqués faute d’anonymisation réelle. »
Pierre L.
Sanctions et jurisprudence
Ce segment rappelle les risques en cas de confusion entre anonymisation et pseudonymisation. Selon CNIL, des décisions passées ont sanctionné des traitements présentés comme anonymes alors qu’ils restaient pseudonymisés.
Sanctions et risques :
- Refus d’autorisation pour traitements
- Amendes administratives significatives
- Obligations de retrait et notification
- Blocage de projets de recherche
Mise en œuvre et gouvernance : sécuriser les traitements en santé
Au plan opérationnel, ces risques imposent une gouvernance stricte et documentée pour tous les acteurs de santé. Selon EDPB, la définition d’un domaine de pseudonymisation doit être formelle et justifiée.
Choix techniques et domaine de pseudonymisation
Ce point aborde le périmètre technique et les contrôles à mettre en place pour limiter les accès. Selon EDPB, séparer les informations supplémentaires et limiter les détenteurs de clés réduit fortement les risques de réidentification.
Bonnes pratiques opérationnelles :
- Définir domaine de pseudonymisation
- Séparer informations supplémentaires
- Contrôles d’accès stricts
- Audits et AIPD réguliers
« En tant que DPO, j’ai rédigé des procédures pour séparer systématiquement les clés et les pseudonymes. »
Marc D.
Gouvernance documentaire et relations avec la CNIL
Ce volet précise l’importance des preuves documentées pour répondre aux autorités et sécuriser les projets. Selon CNIL, la démonstration d’une anonymisation effective requiert des évaluations et une veille face aux techniques de réidentification.
- Registre des traitements actualisé
- Analyses d’impact documentées
- Procédures d’accès et traçabilité
- Plan de surveillance des risques
« L’anonymisation réelle demande des choix techniques et juridiques cohérents, pas seulement la suppression des champs nominaux. »
Anne R.
Source : CEPD/EDPB, « Lignes directrices 01/2025 portant sur la pseudonymisation », EDPB, 16 janvier 2025 ; CNIL, « L’anonymisation de données personnelles », CNIL, 19 mai 2020 ; CNIL, « Délibération SAN-2024-013 », CNIL, 5 septembre 2024.
