Données de santé et RGPD : protéger les patients avant tout partage

Diagnostics, traitements, résultats biologiques, parcours de soins : les données de santé décrivent ce que les personnes ont de plus intime.

Le RGPD leur réserve donc un régime à part.

La question n’est pas de cesser de les utiliser, mais de les utiliser sans exposer les patients.

Pourquoi les données de santé sont sensibles au sens du RGPD

L’article 9 du RGPD classe les données concernant la santé parmi les catégories particulières de données.

Leur traitement est interdit par principe, sauf dans les cas prévus par le texte, comme la prise en charge médicale ou la recherche encadrée.

Ce régime se traduit par des exigences concrètes.

1. Une finalité précise.
   Une donnée collectée pour soigner n’est pas librement réutilisable pour autre chose.
2. La minimisation.
   Chaque usage ne reçoit que les données dont il a réellement besoin.
3. Une sécurité adaptée au risque.
   Contrôle des accès, traçabilité, protection des copies.
4. Une analyse d’impact.
   L’article 35 l’exige quand le traitement présente un risque élevé, ce qui est fréquent avec des données de santé à grande échelle.

La CNIL rappelle que ce caractère particulièrement sensible appelle des garanties strictes sur la finalité, la sécurité et les accès.

Le risque de ré-identification en santé

Masquer le nom du patient ne suffit pas.

Prenons un jeu de données qui contient un âge précis, une pathologie rare, un établissement et une date d’intervention.

Pris séparément, ces éléments semblent anodins.

Combinés, ils peuvent désigner une seule personne.

Or la santé est un domaine où les cas rares sont fréquents, et plus un cas est rare, plus il est identifiable.

1. Les identifiants directs.
   Nom, numéro de patient, téléphone, adresse.
2. Les identifiants indirects.
   Dates précises, âge, établissement, commune.
3. Les informations rares.
   Une pathologie peu fréquente ou un parcours de soins singulier.

C’est pourquoi des données pseudonymisées restent des données personnelles au sens du RGPD (considérant 26).

Notre article sur le risque de ré-identification détaille comment le réduire.

Partager des données de santé pour la recherche

La recherche, les études et les projets d’IA en santé ont besoin de données riches.

Ils n’ont généralement pas besoin de l’identité des patients.

L’article 89 du RGPD encadre les traitements à des fins de recherche scientifique et prévoit des garanties, dont la minimisation et, lorsque c’est possible, la pseudonymisation.

1. Partir de la question de recherche.
   Elle fixe les variables utiles : diagnostics, durées, résultats, traitements.
2. Anonymiser les identités.
   Patients, proches, médecins : leurs noms et coordonnées n’apportent rien à l’analyse.
3. Réduire la précision quand c’est possible.
   Une tranche d’âge ou un mois peut suffire là où une date exacte exposerait le patient.
4. Garder la cohérence.
   Au sein d’un projet, un même patient garde le même identifiant constant d’un fichier Word, Excel ou CSV à l’autre et dans les tables, pour suivre un parcours sans le nommer.

Le risque d’un partage mal préparé n’est pas forcément une fuite : c’est un jeu de données qui en dit plus que nécessaire, comme l’a montré le cas DeepMind et Royal Free détaillé dans notre article IA et RGPD.

Le texte libre des comptes rendus : là où les données se cachent

Les colonnes d’une base sont souvent déjà traitées par les outils en place.

Les comptes rendus, eux, sont écrits en texte libre.

Un compte rendu d’hospitalisation contient le nom du patient, celui du médecin, des dates, une adresse, parfois le nom d’un proche, n’importe où dans le corps du texte.

Un traitement par colonnes ne les voit pas.

Il faut une détection qui lit le texte et reconnaît les personnes, les dates et les coordonnées dans les phrases, sans casser la mise en page du document.

Notre article sur l’anonymisation des comptes rendus médicaux en texte libre détaille la méthode.

Pourquoi traiter les données sur ses propres serveurs

Pour anonymiser, il faut d’abord lire les données en clair.

Si cette étape se fait chez un service extérieur, les données brutes quittent l’établissement avant même d’être protégées.

1. Moins de copies.
   Les données brutes restent sur vos serveurs ; seule la version anonymisée circule.
2. Une chaîne de responsabilité courte.
   Pas de sous-traitant de plus à encadrer pour la préparation des données.
3. Une maîtrise des accès.
   Les originaux restent réservés aux personnes habilitées.
4. Une trace de ce qui a été fait.
   Un rapport indique ce qui a été détecté et traité, utile pour l’analyse d’impact et les contrôles.

La maîtrise des données de santé ne se limite pas à leur lieu d’hébergement : elle se joue aussi dans les opérations de préparation et d’anonymisation.

Avec NymData

NymData s’installe sur vos serveurs et détecte les données personnelles des documents et des bases de santé, sans qu’elles en sortent :

1. Texte libre et tableaux.
   Comptes rendus en PDF, Word ou texte, exports Excel et CSV, bases PostgreSQL et MySQL.
2. Une méthode adaptée au format.
   Caviardage par rectangles opaques dans les PDF ; anonymisation par type ([PERSONNE]) ou identifiant constant dans les autres formats, pour qu’un même patient garde le même identifiant dans tout un projet.
3. Une liste blanche.
   Les termes à conserver, comme le nom de l’établissement, ne sont jamais anonymisés.
4. Originaux intacts et rapport d’audit.
   La sortie est écrite à part, et chaque traitement est documenté.

Voir notre page anonymisation des données de santé, ou demandez une démonstration.