Définition
Pseudonymiser consiste à retirer d'un jeu de données les éléments qui désignent directement une personne — nom, prénom, numéro de dossier, adresse, numéro de téléphone — et à les remplacer par un identifiant sans signification propre. La correspondance entre le code et la personne existe toujours, mais elle est conservée séparément, avec ses propres protections.
Le RGPD définit explicitement la pseudonymisation et la présente comme une mesure de sécurité appropriée. Il précise dans le même mouvement que les données pseudonymisées restent des données à caractère personnel, puisque la ré-identification demeure possible.
Pseudonymisation et anonymisation : la confusion coûteuse
| Pseudonymisation | Anonymisation | |
|---|---|---|
| Ré-identification | Possible, par la table de correspondance | Impossible, y compris par le responsable |
| Statut juridique | Donnée personnelle — le régime complet s'applique | Hors du champ de la protection des données |
| Réversibilité | Voulue et maîtrisée | Aucune, par construction |
| Usage en recherche | La règle : le suivi longitudinal l'exige | Rare : anonymiser détruit souvent l'utilité |
Pourquoi retirer les noms ne suffit pas
Un jeu peut ne contenir aucun nom et rester ré-identifiable par recoupement. C'est particulièrement vrai en clinique, où la combinaison de quelques attributs suffit souvent à désigner une personne dans un service donné.
- Les dates précises. Date de naissance, date d'intervention et date de sortie forment ensemble un identifiant quasi unique.
- Les valeurs rares. Une pathologie peu fréquente, un âge extrême, une profession inhabituelle.
- Le texte libre résiduel. Un compte rendu mentionne souvent le prénom, la fonction d'un proche, ou un détail de contexte que le traitement automatique n'a pas retiré.
- La petite taille des groupes. Un croisement qui isole deux patients désigne ces deux patients.
D'où les mesures complémentaires habituelles : réduire la granularité des dates, regrouper les catégories rares, et supprimer les effectifs trop faibles dans toute sortie agrégée.
En pratique, dans une étude
- Séparer dès l'origine. La table de correspondance vit ailleurs que le jeu de travail, avec des accès distincts.
- Pseudonymiser avant toute sortie. Tout ce qui quitte l'infrastructure — export, envoi à un service externe, transmission à un collaborateur — passe par le traitement.
- Traiter aussi le texte libre. Les identifiants directs y sont fréquents et échappent à un simple masquage de colonnes.
- Journaliser les accès à la table de correspondance. C'est le point le plus sensible du dispositif.
- Définir une durée. La table de correspondance n'a pas vocation à survivre indéfiniment à l'étude.
Cadres applicables
Le RGPD pour les traitements relevant du droit de l'Union ; au Maroc, la loi 09-08 et la CNDP pour les traitements de données personnelles, y compris de santé. ICH E6(R3) traite la confidentialité des données des participants dans le cadre des bonnes pratiques cliniques.