Comptes rendus médicaux : pourquoi le texte libre est le vrai défi de l'anonymisation

Dans beaucoup d’établissements de santé, l’anonymisation des données structurées est un sujet déjà bien avancé.

Les identifiants des patients sont remplacés dans les tables, les dates sont décalées, les colonnes sensibles sont traitées.

Mais une grande partie de l’information médicale n’est pas dans des colonnes.

Elle est dans les comptes rendus : hospitalisation, consultation, examen, courrier de sortie.

Et c’est là que les identités restent en clair.

Pourquoi les données structurées ne suffisent pas

Un entrepôt de données de santé rassemble deux types de contenus.

D’un côté, des données structurées : un patient, une date de séjour, un code de diagnostic, un résultat de laboratoire.

De l’autre, des documents rédigés par les soignants, le plus souvent en PDF.

Les premières se pseudonymisent colonne par colonne.

Les seconds échappent à cette logique : le nom du patient n’est pas dans une case, il est dans une phrase.

Résultat : un jeu de données peut sembler protégé, alors que les documents joints contiennent encore toutes les identités.

Où se cachent les identités dans un compte rendu

Un compte rendu contient bien plus de données identifiantes qu’on ne le pense.

Dans le texte rédigé :

• le nom du patient, parfois sous plusieurs formes (« M. Dupont », « Jean Dupont », « le patient Dupont ») ;
• les noms des médecins, des internes, des infirmiers ;
• les correspondants : médecin traitant, spécialiste, établissement d’origine ;
• les dates précises : entrée, sortie, intervention, naissance ;
• l’adresse, le téléphone, parfois le numéro de sécurité sociale.

Dans la mise en page :

• l’en-tête du service, avec le nom du chef de service ;
• le pied de page, avec les coordonnées du secrétariat ;
• les modèles propres à chaque service, qui changent d’un document à l’autre.

Un seul oubli suffit à rendre un document identifiant.

Pourquoi les méthodes classiques échouent

1. Rechercher et remplacer à la main.
   Sur des milliers de comptes rendus, c’est impossible à faire de façon fiable.
2. Chercher une liste de noms de patients.
   Les soignants, les correspondants et les variantes d’écriture passent à travers.
3. Chercher des motifs (dates, numéros, adresses).
   Cela fonctionne pour les formats réguliers, mais un nom propre n’a pas de format : il faut comprendre la phrase pour savoir qu’il s’agit d’une personne.
4. Cacher le texte sous un rectangle noir.
   Le texte reste dans le PDF : une recherche ou un copier-coller suffit à le faire réapparaître. Nous l’expliquons dans notre page sur l’anonymisation des PDF.

Ce que doit faire une anonymisation de comptes rendus

1. Lire le contexte, pas seulement des listes.
   Le moteur de détection reconnaît une personne, un lieu ou une date dans une phrase, même quand le nom n’apparaît nulle part ailleurs.
2. Traiter tout le document.
   Le texte rédigé, mais aussi les en-têtes, les pieds de page et les éléments propres à chaque modèle de service.
3. Faire disparaître la donnée du fichier.
   Dans un PDF, la zone sensible est réellement supprimée, pas recouverte. Le document garde sa mise en page, mais l’information n’existe plus dans le fichier.
4. Garder le contenu médical intact.
   Le diagnostic, le traitement et l’évolution restent lisibles : c’est ce qui donne sa valeur au document pour la recherche, l’enseignement ou les tests.
5. Traiter des dossiers entiers, puis les nouveautés.
   Un établissement produit des comptes rendus chaque jour : le traitement reprend automatiquement les nouveaux documents d’un dossier.
6. Laisser une trace.
   Chaque traitement produit un rapport d’audit : types de données détectées, méthode appliquée, nombre d’éléments traités. C’est ce document que le DPO pourra présenter.

Anonymiser ou pseudonymiser des comptes rendus ?

Pseudonymiser permet de suivre un même patient dans tout un projet.

C’est utile en recherche, mais les données restent des données personnelles de santé, soumises au RGPD.

Anonymiser de façon effective fait sortir les données du champ du RGPD.

À une condition : qu’aucune réidentification ne soit possible par des moyens raisonnables.

En santé, ce point demande une vigilance particulière.

L’information médicale elle-même peut suffire à retrouver une personne : une maladie rare, une petite commune, une date d’intervention précise.

Le choix de la méthode et l’analyse de ce risque se font avec votre DPO, en fonction de l’usage prévu.

Pour aller plus loin, lisez notre guide sur l’anonymisation et la pseudonymisation.

Pourquoi le faire sur les serveurs de l’établissement

Les données de santé font partie des catégories particulières de données du RGPD et sont couvertes par le secret médical.

Les envoyer à un service en ligne pour les anonymiser crée exactement le transfert que l’on cherche à éviter.

Un outil installé dans l’établissement traite les comptes rendus là où ils se trouvent déjà.

Aucun document ne sort, et seule la copie anonymisée est ensuite utilisée.

Comment vérifier le résultat

Avant de diffuser un lot de comptes rendus anonymisés, trois contrôles simples :

1. Rechercher dans plusieurs documents le nom d’un patient et d’un soignant connus : aucun résultat ne doit apparaître.
2. Sélectionner et copier une zone anonymisée d’un PDF : rien ne doit en ressortir.
3. Relire un échantillon de chaque modèle de service, en-têtes et pieds de page compris.

Le rapport d’audit complète ces contrôles : il garde la trace de ce qui a été traité, document par document.