Anonymisation

Si la notion de confidentialité des données personnelles — en particulier médicales – remonte à Hippocrate[6], le stockage et traitement informatique à large échelle de données personnelles ont récemment bouleversé cette question.

Les États-Unis et les États membres de l'Union européenne se sont peu à peu doté d'une législation nationale ou supranationale sur la protection de la confidentialité des données, y compris des données informatisées (en Europe depuis la Directive 95/46/CE sur la protection des données personnelles) qui a imposé aux États membres d'harmoniser leur législation en la matière avant le 24 octobre 1998, y compris concernant le transfert de données vers des pays hors-Union européenne par exemple (enjeu important puisque pour des raisons de coûts, le traitement ou l'exploitation de certaines données peuvent être externalisés et délocalisés hors d'Europe).

La directive européenne ne concerne que les données non anonymisées et stipule que l'utilisation de « données anonymes » ne relève pas de sa compétence : selon le considérant 26 de la directive, « les principes de la protection des données ne s'appliquent pas aux données rendues anonymes d'une manière telle que la personne concernée n'est plus identifiable ». ce qui a été confirmé et précisé par la jurisprudence en Angleterre et au Pays de Galles (arrêt de la Cour d'appel). Les premiers textes (nationaux ou européens) étaient peu précis sur la manière dont il faut anonymiser les données nominatives ou personnelles.

Pour certaines données, l'anonymisation nécessite encore le consentement des personnes concernées, et de manière générale, le fait de se réserver la possibilité de désanonymiser la donnée avant un certain délai (au moyen d'une ou plusieurs clés de déchiffrement en général) devrait aussi requérir le consentement préalable des personnes concernées.

On cherche maintenant à améliorer la sécurité des transferts de données sans freiner les flux de transferts ni entraver les besoins légitimes de circulation de données à grain fin (ce qui peut par exemple être crucial pour la médecine à distance)[7].

Les enjeux sont à la fois éthiques, juridiques, informationnels et de bonne gouvernance[8] - [9].

En outre, des enjeux nouveaux sont nés de l'apparition de l'Internet qui a augmenté l'accès à l'information, permis à des personnes d'offrir aux autres - parfois inconsidérément ou en étant mal informé des risques - des éléments de sa vie privée (via les blogs et forums, ou pages personnelles par exemple), rendant plus difficile le « droit à l'oubli ». Des efforts sont faits depuis les années 1990 au moins pour informer les patients de l'utilisation possible de leurs données médicales ou de certaines données plus ou moins personnelles, et de leur droit à la vie privée. Ces efforts doivent être renforcés par une réglementation européenne unifiée a estimé le parlement européen en 2013-2014 et selon la vice-présidente Viviane Reding (commissaire à la Justice de l'UE) « La protection des données se fait en Europe. De solides règles de protection des données doivent être la marque de l'Europe. Après des scandales d'espionnage des données mondiales par les Américains, la protection des données est plus que jamais un facteur de compétitivité... »[10].

Dans certains contextes ou pour des raisons personnelles, une personne peut souhaiter l'anonymat (ou pouvoir utiliser un pseudonyme, ou refuser que son nom soit cité, son visage montré, etc.). L'anonymat est obligatoire quand la loi impose de protéger certaines données personnelles ou données sensibles en les anonymisant, ce qui peut permettre une certaine réutilisation de données d'intérêt public et général (bien commun), sans menacer la personne.

La pseudo-anonymisation provisoire (en réalité, un masquage de l'identité de son auteur) d'une copie d'examen permet à l'examinateur de moins être influencé par le nom, la classe ou la nationalité de l'élève.

Selon le contexte, l'anonymisation d'un personne dans un débat, un reportage, etc. lui permet d'échapper à d'éventuelles représailles, à une stigmatisation ou simplement à un accès non souhaitable à sa vie privée, mais elle peut en revanche parfois nuire à la crédibilité de cette personne ou à la qualité (en termes de précision) de l'information. L'anonymisation d'une donnée contenant des éléments personnels diminue parfois la valeur de cette donnée du point de vue statistique, de sa pertinence ou de son utilité pour la Recherche.

L'anonymisation des fichiers d'enquêtés produits lors de sondages d'opinion est une opération qui peut revêtir un sens sociologique. La sociologue Emmanuelle Zolesio suggère aux sociologues qui analysent des données anonymisées de ne pas envisager l'anonymisation de façon déconnectée du reste de l'analyse des entretiens. Pour les cas où l'enquêteur « offre un retour à ses enquêtés en leur faisant lire les résultats de sa recherche », il existe des méthodes pour anonymiser des données dans les cas où les enquêtés se connaissent et peuvent se reconnaître malgré les changements de noms faits par l'enquêteur[11].

Des enjeux particuliers concernent la lutte contre le spam ciblé[12], la protection des données de santé et plus généralement biomédicales (dont code génétique), avec par exemple l'établissement de registres du cancer, de registres de maladie, de cartographie épidémiologique, etc. Dans ce domaine, la recherche médicale ou écoépidémiologique, ou les organismes de santé[13], ont parfois impérativement besoin de données permettant d'identifier le patient (et l'obligation systématique de passer par le consentement à utilisation de données personnelles par chaque patient induirait un biais important d'interprétation de la donnée et peut être un frein à la recherche[14] - [15] - [16] - [17]). Les utilisateurs de ces données sont alors soumis à des prescriptions particulières. Dans certains pays l'obligation de confidentialité est encore renforcée pour certaines maladies (ex : maladies sexuellement transmissibles).

De telles données sont de plus en plus utilisées dans de nombreux domaines (Recherche, statistique, gestion administrative, études de marché...), Ces données appartiennent par exemple aux catégories suivantes :

• données de santé (notamment pour les données sensibles ou pour les grands jeux de données où le consentement des patients (éventuellement décédés ou en incapacité) ne peut être demandé ;
• données sur la consommation des ménages (consommations domestiques d'énergie et d'eau notamment) ;
• données judiciaires et sur certaines décisions de justice[33] ;
• données de recensements démographiques ;
• données de commerce électronique ;
• données issues de certains votes électroniques ;
• données sur le niveau de vie et le patrimoine personnel ou familial ;
• données sur les facteurs de réussite scolaire[34] et d'examens ;
• données sociologiques psychologiques sur la personne (adulte, enfant, handicapé, etc.) ;
• données sur les violences familiales[35] ;
• données sur le suicide[36] ;
• données d'intérêt statistique ;
• certaines données d'intérêt commercial…

Parfois, il faut interdire toute possibilité de ré-identification, ce qui implique un processus irréversible d'anonymisation, par une méthode ayant prouvé sa robustesse aux inférences[37] - [38] - [39] (par inférence on entend ici la reconstitution illégale de données confidentielles non directement accessibles, par le moyen de recherche et mise en correspondance de plusieurs données légitimement accessibles, révélant certaines informations sur une personne. Le type d'inférence concerné peut être inductif, déductif, abductif ou probabiliste[40] ;

Des moyens sophistiqués semblent néanmoins pouvoir dans certains cas au moins permettre non pas une ré-identification certaine mais d'établir des probabilités que telle personne corresponde à un certain jeu de données[41]. Des logiciels permutant certaines valeurs des tables de données (de manière que les données personnelles deviennent fausses, sans que la statistique globale soit faussée) et/ou introduisant aléatoirement du bruit peuvent rendre le recoupement a posteriori beaucoup plus difficile[30].

L'anonymisation de textes (ex : corpus de courriels, ou corpus de réponse à un questionnaire d'entretien…) ayant un coût significatif, les corpus anonymisés réutilisables sont assez rares[42].

Mesurer les évolutions de la perception du public concernant les procédures actuelles et les scénarios futurs d'usages secondaires et partagés de données personnelles, dans le domaine de la santé notamment (et leurs conditions d'usage), est important pour cadrer ou faire évoluer les structures éthiques et juridiques de surveillance de l'utilisation de ces données (ex CNIL en France).

Au début des années 2000, la plupart des citoyens européens font généralement confiance aux fournisseurs de soins de santé pour traiter leurs données dans le respect de la confidentialité : selon un sondage Eurobaromètre, 84 % des citoyens de l'UE ont déclaré qu'ils faisaient confiance à la profession médicale pour cela, mais seulement 42 % des sondés connaissaient la nécessité de fournir leur accord pour que quelqu'un puisse utiliser leurs renseignements personnels, de même pour leur droit à s'opposer à certains usages de ces données[48].

Diverses enquêtes d'opinion ou études scientifiques montrent que, depuis l'avènement de l'informatisation des données, le public est au début des années 2000 prêt à accepter l’informatisation des dossiers médicaux[49], mais en restant de manière générale, et avec peu de distinction selon l'origine géographique, ethnique ou le sexe, très soucieux de la protection de la vie privée et des données personnelles. Ainsi en 2014, « Neuf Européens sur dix (92%) disent qu'ils sont préoccupés par les applications mobiles (App) susceptibles de collecter leurs données sans leur consentement »[10] et « Sept Européens sur dix sont préoccupés par l'utilisation potentielle que les entreprises peuvent faire de l'information divulguée »[10].

Selon une étude nord-américaine publiée en 2013, plus qu'à l'utilisateur ou à la nature plus ou moins sensible de l'information partagée, le public interrogé souhaitait d'abord et surtout savoir ce qui sera spécifiquement fait avec ces données personnelles.

Une autre étude de 2013 montre que le « grain » d'anonymisation (degré de floutage en quelque sorte) est aussi un souci pour le public[50]

Concernant la santé, alors que l'informatisation de la médecine se développe rapidement[51], le public admet l'importance de l'accès à la donnée non anonymisée au personnel médical responsable des soins primaires, et au patient lui-même, mais il est soucieux d'une bonne anonymisation de ces données quand elles doivent faire l'objet d'usages secondaires[52]. La propriété de l'information médicale n'est pas toujours claire[53].

Une enquête de 2004 basée sur des groupes de discussion mêlant du personnel médical et quelques personnes non-personnel de santé de « community health councils » anglais a montré qu'on ne pouvait pas a priori présumer l'acceptabilité par le public anglais d'une utilisation du contenu du dossier médical sans consentement préalable du patient. Tous soutenaient la recherche à partir de ces données, mais tout en se montrant préoccupées par les risques de diffusion indue à partir de la collecte de données faites à partir des dossiers médicaux sans consentement du patient (collecte vécue comme un manque de respect induit par la perte de contrôle du patient sur ces données). Dans les groupes interrogés lors de cette étude, l'accès aux données personnelles par des organismes externes non autorisés était une crainte communément émise. Et les informateurs-clés s'y sont montrés plus critiques vis-à-vis des scénarios et moins bien accepter les risques de dérives[54].

L'anonymisation doit donc être prise en compte, en amont dans la planification des soins et des politiques médicales[55] et les procédures d'essais cliniques, de médicaments notamment[56] et lors de la constitution de bases de données destinées à la recherche médicale[57].

L'anonymisation peut être attaquée par des attaques comme l'attaque par individualisation[58].