L'anonymisation des données médicales est un processus qui consiste à supprimer ou à modifier les informations personnellement identifiables (PII) des données médicales tout en préservant leur utilité clinique. 

L'objectif principal de l'anonymisation est de préserver la confidentialité des patients et de respecter les réglementations en matière de protection des données. L’anonymisation doit permettre de rendre impossible, en pratique, toute identification de la personne par quelque moyen que ce soit et ce, de manière irréversible.

La complexité, voire la difficulté, de l’anonymisation est de préserver la pertinence des données tout en assurant un niveau de sécurité et confidentialité le plus élevé. 

Méthodologies d'anonymisation

Dans le cadre des données de santé, différentes méthodologies sont applicables :

Suppression

On supprime l'ensemble des informations d'identification sur la donnée d’origine. Aucun mécanisme ne permet de remonter à la donnée d’origine.

Substitution / généralisation

Par exemple, on généralise les dates de naissance en les remplaçant par une plage de valeurs ("1974" devenant [1970-1975]). La difficulté vient de la conservation de l’information ou de la statistique pertinente.

Pseudonymisation

On remplace un ensemble de tags par des valeurs nulles, ou sans aucun lien avec les valeurs d’origine ou selon un template. Par exemple : COHORTE_PAT_001 pour remplacer le nom du patient.

Perturbation

On introduit du bruit dans les données en modifiant des valeurs tout en préservant les statistiques générales. Par exemple : si une cohorte se comporte de 70% de patients entre 20-40 ans et 30 % de 40 ans et plus, il suffit de modifier les dates de naissance tout en conservant cette distribution.

Anonymisation des images DICOM

Concernant les images médicales au format DICOM, l’anonymisation consiste à utiliser un ensemble de mesures de manière à rendre impossible toute identification de la personne par quelque moyen que ce soit et ce, de manière irréversible. Ce qui consisterait à la suppression de la donnée image d’origine.

Dé-identification / Ré-identification des images DICOM

La dé-identification est une autre méthode qui, comme l'anonymisation, supprime les identifiants personnels d'un ensemble de données par la suppression ou le cryptage. La différence est qu'il est possible d'inverser le processus : c'est la ré-identification.

La ré-identification DICOM peut être nécessaire dans certaines situations cliniques ou de recherche où l'accès aux informations d'identification personnelles est crucial pour une prise en charge médicale adéquate ou pour des études longitudinales. Cependant, elle doit être effectuée avec prudence pour éviter tout risque pour la vie privée des patients et en conformité avec les réglementations sur la protection des données.

La question des données de santé est aussi encadrée juridiquement par le RGPD (Règlement Général sur la Protection des Données), que nous allons aborder maintenant.