Anonymiser le dossier médical informatisé (DPI) pour partage hors soins – Anonymisation conforme au RGPD selon CSP L1111-7 ; RGPD art. 9
Le dossier médical informatisé (DPI) regroupe l'ensemble des données identifiantes d'un patient — antécédents, diagnostics, traitements, résultats — soumises au secret professionnel (CSP L1110-4) et au régime des données de santé de l'article 9 du RGPD. L'anonymisation irréversible de l'identité permet de partager ce dossier hors contexte de soins sans que le RGPD continue de s'appliquer.
Quand cela s'applique
Ce flux s'applique lorsqu'un établissement de santé, un éditeur de logiciel médical ou un chercheur souhaite extraire des données du DPI à des fins d'enseignement, de benchmarking ou de recherche non clinique, sans maintenir la possibilité d'identifier les patients.
Comment anonym.legal s'en occupe
- Exportez le DPI depuis le système d'information hospitalier (SIH) au format HL7 FHIR, CDA ou CSV structuré.
- Téléversez le fichier dans anonym.legal ; le moteur détecte automatiquement les identifiants directs (nom, INS, date de naissance, adresse, numéro de téléphone, adresse e-mail).
- Chaque identifiant direct est supprimé ou remplacé par un token sans lien avec l'identité réelle — cette opération est irréversible, distincte de la pseudonymisation.
- Les quasi-identifiants (âge précis, code postal, pathologies rares) sont généralisés ou supprimés pour réduire le risque de réidentification.
- Les données cliniques (codes CIM-10, actes CCAM, médicaments) sont conservées pour préserver la valeur analytique.
- Un rapport de transformation liste chaque champ traité, la technique appliquée et le niveau de risque résiduel estimé.
- Le fichier anonymisé est exporté ; si un hébergeur tiers est impliqué dans le traitement, assurez-vous qu'il détient la certification HDS prévue à l'article L1111-8 CSP.
Ce que vous fournissez
- Export DPI au format HL7 FHIR JSON, CDA R2, CSV ou XML structuré
- Inventaire des champs identifiants directs et indirects
- Finalité du partage (enseignement, benchmarking, recherche secondaire)
- Seuil de risque de réidentification accepté par le responsable de traitement
Limites & précautions
- L'anonymisation irréversible fait sortir les données du champ du RGPD, mais ne supprime pas les obligations éthiques ou déontologiques vis-à-vis des patients.
- La généralisation des quasi-identifiants peut réduire l'utilité statistique pour les pathologies rares ou les populations très ciblées.
- Le moteur ne contrôle pas la conformité du SIH source ni la licéité de l'export initial — la base légale pour l'accès aux données reste la responsabilité de l'établissement.
- Les données textuelles libres (notes cliniques) nécessitent une relecture manuelle complémentaire après traitement automatique.
FAQ
Quelle est la différence entre anonymisation et pseudonymisation pour un DPI ?
La pseudonymisation remplace l'identité par un pseudonyme réversible — les données restent des données à caractère personnel soumises au RGPD. L'anonymisation irréversible supprime tout lien avec l'identité réelle ; les données sortent alors du champ du RGPD. Pour un partage hors soins sans besoin de réidentification, seule l'anonymisation au sens strict est pertinente.
La certification HDS est-elle obligatoire pour l'hébergement du DPI anonymisé ?
Une fois les données irréversiblement anonymisées, elles ne constituent plus des données de santé à caractère personnel ; l'obligation HDS prévue à l'article L1111-8 CSP ne s'applique plus à leur hébergement. Toutefois, si le processus d'anonymisation lui-même implique un tiers hébergeur traitant les données avant anonymisation, la certification HDS reste requise pour cet hébergeur.
Faut-il une AIPD avant d'anonymiser un DPI en masse ?
Oui. L'extraction et le traitement en masse de données de santé (catégorie spéciale, art. 9 RGPD) constituent un traitement à risque élevé au sens de l'article 35 RGPD. Une analyse d'impact sur la protection des données (AIPD) doit être conduite par le responsable de traitement avant de déployer ce flux à grande échelle.