Anonymiser le dossier médical informatisé (DPI) pour partage hors soins – Anonymisation conforme au RGPD selon CSP L1111-7 ; RGPD art. 9
Le dossier médical informatisé (DPI) regroupe l'ensemble des données identifiantes d'un patient — antécédents, diagnostics, traitements, résultats — soumises au secret professionnel (CSP L1110-4) et au régime des données de santé de l'article 9 du RGPD. L'anonymisation irréversible de l'identité permet de partager ce dossier hors contexte de soins sans que le RGPD continue de s'appliquer. Le DPI est un ensemble structuré de données de santé relevant de l'article 9 du RGPD, applicable en droit français depuis le 25 mai 2018, et du secret professionnel prévu à l'article L1110-4 du Code de la santé publique (loi n° 2002-303 du 4 mars 2002).
Quand cela s'applique
Ce flux s'applique lorsqu'un établissement de santé, un éditeur de logiciel médical ou un chercheur souhaite extraire des données du DPI à des fins d'enseignement, de benchmarking ou de recherche non clinique, sans maintenir la possibilité d'identifier les patients.
Comment anonym.legal s'en occupe
- Exportez le DPI depuis le système d'information hospitalier (SIH) au format HL7 FHIR, CDA ou CSV structuré.
- Téléversez le fichier dans anonym.legal ; le moteur détecte automatiquement les identifiants directs (nom, INS, date de naissance, adresse, numéro de téléphone, adresse e-mail).
- Chaque identifiant direct est supprimé ou remplacé par un token sans lien avec l'identité réelle — cette opération est irréversible, distincte de la pseudonymisation.
- Les quasi-identifiants (âge précis, code postal, pathologies rares) sont généralisés ou supprimés pour réduire le risque de réidentification.
- Les données cliniques (codes CIM-10, actes CCAM, médicaments) sont conservées pour préserver la valeur analytique.
- Un rapport de transformation liste chaque champ traité, la technique appliquée et le niveau de risque résiduel estimé.
- Le fichier anonymisé est exporté ; si un hébergeur tiers est impliqué dans le traitement, assurez-vous qu'il détient la certification HDS prévue à l'article L1111-8 CSP.
Ce que vous fournissez
- Export DPI au format HL7 FHIR JSON, CDA R2, CSV ou XML structuré
- Inventaire des champs identifiants directs et indirects
- Finalité du partage (enseignement, benchmarking, recherche secondaire)
- Seuil de risque de réidentification accepté par le responsable de traitement
Limites & précautions
- L'anonymisation irréversible fait sortir les données du champ du RGPD, mais ne supprime pas les obligations éthiques ou déontologiques vis-à-vis des patients.
- La généralisation des quasi-identifiants peut réduire l'utilité statistique pour les pathologies rares ou les populations très ciblées.
- Le moteur ne contrôle pas la conformité du SIH source ni la licéité de l'export initial — la base légale pour l'accès aux données reste la responsabilité de l'établissement.
- Les données textuelles libres (notes cliniques) nécessitent une relecture manuelle complémentaire après traitement automatique.
- Le dossier médical source reste soumis à la durée légale de conservation fixée à vingt ans par le Code de la santé publique, y compris lorsqu'une version anonymisée est produite en parallèle.
- Pour référence, le RGPD est applicable en droit français depuis le 25 mai 2018 et prévoit une amende pouvant atteindre 4 % du chiffre d'affaires mondial (art. 83).
- La durée de conservation du dossier médical est fixée à vingt ans par l'article R1112-7 du Code de la santé publique (décret n° 2006-6 du 4 janvier 2006).
FAQ
Quelle est la différence entre anonymisation et pseudonymisation pour un DPI ?
La pseudonymisation remplace l'identité par un pseudonyme réversible — les données restent des données à caractère personnel soumises au RGPD. L'anonymisation irréversible supprime tout lien avec l'identité réelle ; les données sortent alors du champ du RGPD. Pour un partage hors soins sans besoin de réidentification, seule l'anonymisation au sens strict est pertinente. Ce principe découle directement de l'article 9 du RGPD, en vigueur depuis le 25 mai 2018.
La certification HDS est-elle obligatoire pour l'hébergement du DPI anonymisé ?
Une fois les données irréversiblement anonymisées, elles ne constituent plus des données de santé à caractère personnel ; l'obligation HDS prévue à l'article L1111-8 CSP ne s'applique plus à leur hébergement. Toutefois, si le processus d'anonymisation lui-même implique un tiers hébergeur traitant les données avant anonymisation, la certification HDS reste requise pour cet hébergeur. Ce régime de certification, en vigueur depuis 2018, a remplacé l'ancien agrément ministériel.
Faut-il une AIPD avant d'anonymiser un DPI en masse ?
Oui. L'extraction et le traitement en masse de données de santé (catégorie spéciale, art. 9 RGPD) constituent un traitement à risque élevé au sens de l'article 35 RGPD. Une analyse d'impact sur la protection des données (AIPD) doit être conduite par le responsable de traitement avant de déployer ce flux à grande échelle. Un manquement grave à ces obligations expose l'établissement à une amende pouvant atteindre 4 % de son chiffre d'affaires annuel mondial (art. 83 RGPD).