Consentement, dé-identification et limites des données anonymes

L'accroche : 42 patients, un tableur

En 2018, des chercheurs ont démontré qu'un jeu de données de santé « dé-identifié » couvrant un petit nombre de patients atteints d'une maladie génétique rare pouvait être ré-identifié en quelques minutes. La méthode : croiser les données de claims dé-identifiées avec un registre public de patients où des familles avaient volontairement partagé l'âge de leur enfant, sa pathologie et son État de résidence.

Pas de noms. Pas de numéros de sécurité sociale. Trois ou quatre détails indirects, superposés, ont suffi à désigner un foyer.

C'est le problème central de cette leçon : la dé-identification supprime les identifiants directs, mais elle ne supprime pas l'unicité. Et dans la real-world evidence (RWE, c'est-à-dire les insights cliniques tirés de données générées en dehors des essais cliniques traditionnels : claims, EHR, registres) en pharma, l'unicité est précisément ce dont les données de maladies rares abondent.

Ce que « dé-identifié » veut dire (et ne veut pas dire)

La dé-identification est un processus de suppression ou de modification d'éléments de données de sorte qu'un jeu de données ne soit plus raisonnablement rattachable à une personne précise. Cela ne signifie pas « impossible à ré-identifier ». Cela signifie « non raisonnablement identifiable compte tenu des méthodes actuelles et des données raisonnablement disponibles ».

Cette dernière clause pèse lourd. Les « données raisonnablement disponibles » changent chaque année, à mesure que davantage de jeux de données sont publiés, piratés ou vendus. Un jeu de données dé-identifié sans risque en 2020 peut être ré-identifiable en 2026 parce qu'un nouveau registre ou une nouvelle base génomique existe désormais et permet le rapprochement.

Deux cadres réglementaires fixent la barre différemment :

• HIPAA (États-Unis, Health Insurance Portability and Accountability Act, appliqué par l'Office for Civil Rights, OCR) propose deux voies de dé-identification admises :
• Safe Harbor : retirer 18 types d'identifiants précis (noms, dates plus fines que l'année, unités géographiques inférieures à l'État, etc.).
• Expert Determination : un statisticien qualifié certifie que le risque de ré-identification est « très faible », à l'aide de méthodes statistiques reconnues.
• Le RGPD (UE, Règlement général sur la protection des données, appliqué par les autorités nationales de protection des données et coordonné via le Comité européen de la protection des données) place la barre bien plus haut. Le RGPDRGPDRèglement de l'UE encadrant la collecte, le stockage et l'usage des données personnelles, avec des amendes indexées sur le chiffre d'affaires mondial.Voir la définition complète → distingue :
• Les données pseudonymisées (identifiants remplacés par des codes, mais ré-identification possible avec une clé distincte) restent des données à caractère personnel, pleinement dans le champ du RGPD.
• Les données anonymisées (ré-identification non raisonnablement possible par quiconque) sortent entièrement du champ du RGPD, mais les régulateurs interprètent ce standard de façon stricte, conformément aux orientations de l'EDPB et du Groupe de travail Article 29 sur l'anonymisation.

Conséquence pratique pour les équipes RWE : un jeu de données de claims dé-identifié selon le Safe Harbor HIPAAHIPAAHealth Insurance Portability and Accountability Act, loi américaine imposant la protection des données de santé (PHI). Violations : amendes jusqu'à 1,9M$ par catégorie de violation. pour une étude américaine reste très probablement une « donnée personnelle pseudonymisée » au sens du RGPD si des patients de l'UE sont concernés. Même fichier, statut juridique différent selon la juridiction.

Pourquoi les données de maladies rares constituent le cas le plus difficile

Les maladies rares (aux États-Unis, définies par l'Orphan Drug Act comme touchant moins de 200 000 personnes au niveau national ; dans l'UE, une prévalence n'excédant pas 5 sur 10 000) crcrLe pourcentage de visiteurs ou de prospects qui réalisent une action attendue (achat, inscription, formulaire de contact), calculé en divisant les conversions par le nombre total d'opportunités.Voir la définition complète →éent un risque structurel de ré-identification :

1. La petite taille de la population signifie que chaque patient apporte davantage de « poids identifiant » au jeu de données. Si une pathologie touche 300 personnes dans un État, connaître l'âge, le sexe et le comté réduit considérablement le vivier.
2. Le recouvrement avec des registres est fréquent. Les associations de patients (par exemple des fondations dédiées à une maladie) gèrent souvent des registres publics ou semi-publics dont les données d'inscription recoupent des champs de claims ou d'EHR : date de diagnostic, centre de traitement, parfois même les initiales du prénom dans des newsletters ou des pages de collecte de fonds.
3. Les attaques par rapprochement n'ont pas besoin d'un champ « nom ». Elles ont besoin d'assez de quasi-identifiants (attributs non identifiants isolément mais qui le deviennent combinés, comme le code postal, la date de naissance et le sexe) pour réduire l'ensemble d'anonymat à un seul élément.

C'est exactement le mécanisme de la scène d'ouverture. Des données de claims avec année de naissance, État et code de diagnostic rare, rapprochées d'un registre comportant âge, pathologie et localisation : l'ensemble d'anonymat n'est pas grand. Il est souvent égal à un.

Les vérifications pratiques : un workflow d'audit de dé-identification

Avant qu'un jeu de données RWE sur une maladie rare ne parte vers une équipe analytics ou une CROCROLe Conversion Rate Optimization (CRO) est la pratique systématique visant à augmenter le pourcentage d'utilisateurs qui réalisent une action souhaitée, en s'appuyant sur la data, les tests et la recherche utilisateur.Voir la définition complète → (contract research organization), effectuez ces vérifications :

1. Test de kkLe nombre moyen de nouveaux utilisateurs que chaque utilisateur existant génère par recommandation. Au-dessus de 1,0, la croissance s'auto-alimente et devient exponentielle.Voir la définition complète →-anonymat

Le k-anonymat signifie que chaque combinaison de quasi-identifiants du jeu de données correspond à au moins *k* autres enregistrements. Si k=1, cet enregistrement est unique et identifiable.

# Simplified k-anonymity check (pandas)
import pandas as pd

quasi_ids = ['birth_year', 'state', 'diagnosis_code', 'sex']
group_sizes = df.groupby(quasi_ids).size()

k_min = group_sizes.min()
unique_records = (group_sizes == 1).sum()

print(f"Minimum group size (k): {k_min}")
print(f"Number of unique (k=1) records: {unique_records}")

Pour les maladies rares, attendez-vous à des échecs fréquents. Correctif standard : généraliser les champs (année de naissance vers décennie de naissance, État vers région) jusqu'à ce que k atteigne un seuil acceptable, couramment k≥5 comme norme de travail dans l'industrie, même si aucun standard juridique unique ne fixe ce chiffre.

2. Évaluation du risque de rapprochement externe

Posez la question : quels registres publics ou semi-publics existent pour cette pathologie ? Les organisations de patients (par exemple la National Organization for Rare Disorders, NORD) tiennent des listes de registres de maladies actifs. Vérifiez si votre ensemble de quasi-identifiants recoupe de façon significative les champs que ces registres publient ou partagent avec leurs membres.

3. Revue du périmètre de consentement

Le consentement n'est pas binaire. Un patient peut avoir consenti à :

• L'usage de ses données pour le seul essai clinique d'origine.
• L'usage pour cet essai plus « de futures recherches connexes ».
• Un usage secondaire large, incluant des études RWE commerciales.

Le glissement du périmètre de consentement survient quand un jeu de données sous licence est réutilisé pour une analyse dépassant ce qu'autorisait le formulaire de consentement éclairé (ICF) d'origine. Aux États-Unis, cela est examiné au titre de la Common Rule (45 CFR 46) pour la recherche financée par l'État fédéral et par les Institutional Review Boards (IRB). Dans l'UE, les articles 6 et 9 du RGPD (données de catégorie particulière, dont les données de santé) exigent une base légale spécifique, et le « consentement large » pour de futures recherches est plus étroit que beaucoup ne le supposent.

Question d'audit pour tout projet RWE : la formulation du consentement couvre-t-elle réellement *ce* cas d'usage, avec *cette* granularité de données, partagée avec *ce* tiers ?

4. Data use agreement (DUA) et clauses d'interdiction de ré-identification

Les licences légitimes de données RWE (auprès de fournisseurs comme IQVIA, Komodo Health ou des agrégateurs de claims) incluent généralement des interdictions contractuelles de toute tentative de ré-identification. C'est un filet de sécurité juridique, pas technique. La revue contractuelle doit confirmer que le DUA restreint explicitement le rapprochement avec des jeux de données externes.

Gouvernance : à qui appartient ce risque ?

Dans un programme RWE pharma mature, le risque de dé-identification n'est pas la seule affaire du statisticien. Il se répartit sur trois fonctions :

• Data governance / bureau de la confidentialité : définit les seuils de k-anonymat acceptables, approuve les demandes de rapprochement avec des données externes, tient un registre des identifiants présents dans les jeux de données internes (afin que personne ne recombine accidentellement deux jeux « sûrs » en un jeu dangereux).
• Biostatistique / analytics RWE : réalise la dé-identification technique et les tests de risque de ré-identification, documente la méthodologie pour les soumissions réglementaires (le Framework for FDA's Real-World Evidence Program de la FDA traite des standards de fiabilité et de pertinence des données pour une RWE de qualité réglementaire).
• Juridique / affaires réglementaires : gère le périmètre de consentement, les DUA et les mécanismes de transfert transfrontalier (pour des données issues de l'UE transmises à des équipes analytics américaines, cela implique des clauses contractuelles types ou des garanties de transfert RGPD équivalentes).

Un mode de défaillance récurrent et bien réel : un jeu de données est techniquement dé-identifié et légalement sous licence, mais personne ne vérifie si un registre externe *nouvellement publié* crée désormais une voie de rapprochement qui n'existait pas lors de l'évaluation initiale du risque. La dé-identification est un jugement instantané, pas un état permanent. La bonne pratique est une réévaluation périodique, en particulier avant tout nouveau partenariat de données ou toute publication.

🎬 [VIDEO: "De-identification of Protected Health Information" - youtube.com - une revue détaillée des méthodes HIPAA Safe Harbor vs Expert Determination pour les équipes data santé]

Points clés à retenir

• Dé-identifié ne veut pas dire anonyme pour toujours. C'est un jugement de risque lié aux données de rapprochement disponibles à un moment donné, particulièrement fragile pour les maladies rares où les populations sont petites.
• HIPAA et RGPD ne placent pas la barre au même endroit. Des données légalement dé-identifiées pour un usage américain peuvent rester des données personnelles « pseudonymisées » et régulées au sens du RGPD si des personnes de l'UE sont concernées.
• Effectuez des tests de k-anonymat avant chaque diffusion externe ou chaque rapprochement, et traitez tout groupe k=1 ou à faible k comme un signal d'alerte de ré-identification exigeant généralisation ou suppression.
• Le périmètre de consentement est une contrainte réelle, pas de la paperasse. Vérifiez que l'ICF d'origine et l'approbation de l'IRB couvrent effectivement l'usage secondaire précis, le tiers précis et la granularité de données du projet RWE en cours.
• Traitez la dé-identification comme un audit récurrent, pas comme une certification unique. Nouveaux registres, nouveaux jeux de données publics et nouveaux outils de rapprochement pilotés par l'IA élèvent continuellement le risque de ré-identification au fil du temps.