Pièges à éviter lorsqu’on traite des données de santé anonymes
Dans la continuité du développement de son offre pédagogique, le Health Data Hub vous propose deux nouveaux guides traitant de l’anonymisation. Ces derniers vous donnent les clefs pour mieux comprendre ce que recouvre le concept d’anonymat et comment évaluer si les données que l’on souhaite utiliser sont bien réellement anonymes.
Lorsque les données sont parfaitement anonymes, les démarches nécessaires pour les traiter sont simples
Lorsque les données que vous souhaitez traiter sont parfaitement anonymes, c'est-à-dire qu’il est impossible d’identifier les personnes concernées par ces données, les dispositions du RGPD ne s’appliquent pas à votre traitement. Cela signifie qu’il n’est pas nécessaire de formaliser une demande d’autorisation à accéder et traiter les données auprès de la CNIL ou d’une autre instance.
Néanmoins, une confusion fréquente est faite entre la donnée anonyme et la donnée pseudonymisée. Une donnée simplement déidentifiée - c’est à dire dont les données directement nominatives ont été retirées - n’est pas toujours une donnée parfaitement anonyme !
Pour vous aider à comprendre les notions d’anonymisation et de pseudonymisation des données, nous vous proposons un premier guide. Enfin, il est également important de retenir que le fait de rendre anonymes des données initialement identifiantes constitue, en tant que tel, un traitement de données personnelles.
L’évaluation du caractère anonyme de données de santé, un prérequis de la responsabilité du porteur de projet
Il appartient au porteur de projet de s’assurer du caractère anonyme des données de santé qu’il souhaite traiter et de documenter l’analyse menée dans ce cadre. A cet effet, il pourra commencer par vérifier si les critères dégagés par le G29 (individualisation, corrélation, inférence) sont vérifiés. Dans le cas contraire, il s’agira alors d’évaluer le risque de réidentification du jeu de données que vous souhaitez réutiliser, et d’attester que le risque est bien nul.
Pour vous accompagner tout au long de cette démarche, le HDH propose un second guide sous la forme d’un document à renseigner qui peut ensuite être soumis à l’avis de votre délégué à la protection des données. En effet, cette analyse est de votre responsabilité et pourra difficilement faire l’objet d’une confirmation par une instance tierce.
Ces guides viennent compléter l’ensemble de la documentation mise à disposition du HDH pour aider les porteurs de projet et les responsables de données dans leur démarche d’accès à des données ou de partage de bases.