Pseudonymisation en recherche clinique et données de vie réelle : clé, rôles et risques

La recherche clinique repose sur des données qui identifient des personnes : dossiers médicaux, comptes rendus d'hospitalisation, résultats biologiques, imagerie. Elle s'appuie aussi de plus en plus sur des données de vie réelle, réutilisées à partir du soin pour des études observationnelles, des registres ou l'évaluation des produits de santé. La technique qui permet de travailler sur ces informations sans exposer les patients, tout en gardant un chemin contrôlé pour revenir vers eux, c'est la pseudonymisation.

Un rappel s'impose : des données pseudonymisées restent des données personnelles au sens du RGPD (article 4, point 5, et considérant 26). Ce qui change, c'est le niveau de risque. Les lignes directrices 01/2025 du Comité européen de la protection des données sur la pseudonymisation insistent sur ce point et sur le fait que son efficacité dépend de qui peut accéder aux informations supplémentaires.

Pseudonymiser n'est pas anonymiser

Un essai ou une cohorte requiert le plus souvent la pseudonymisation : il faut chaîner les visites, remonter les événements indésirables au centre ou informer le patient d'une découverte importante. Notre glossaire détaille la notion de pseudonymisation.

Le cadre français : loi Informatique et Libertés et méthodologies de référence

En France, les traitements de données de santé à des fins de recherche, d'étude ou d'évaluation relèvent d'un régime spécifique de la loi Informatique et Libertés. Ils doivent soit être conformes à une méthodologie de référence (MR) homologuée par la CNIL, soit faire l'objet d'une autorisation. Les principales sont :

• MR-001 : recherches impliquant la personne humaine avec recueil du consentement ;
• MR-003 : recherches dans le domaine de la santé sans recueil du consentement (les MR-001 et MR-003 ont été republiées par la CNIL en 2026) ;
• MR-004 : recherches n'impliquant pas la personne humaine, études et évaluations, notamment la réutilisation de données, avec une finalité d'intérêt public et un enregistrement préalable dans le répertoire public tenu par la Plateforme des données de santé (Health Data Hub).

La logique de pseudonymisation est au cœur de ces méthodologies : les participants sont désignés par une identité codée, et seuls les professionnels du lieu de recherche conservent la table de correspondance entre ce code et l'identité réelle. Les promoteurs ne reçoivent en principe que des données indirectement identifiantes. S'y ajoutent le règlement (UE) 536/2014 sur les essais cliniques et, pour la réutilisation secondaire à l'échelle européenne, le règlement (UE) 2025/327 sur l'espace européen des données de santé, applicable de façon progressive.

La table de correspondance et la séparation des rôles

Concrètement, pseudonymiser revient à scinder les données en deux : le jeu de recherche, où l'identité est remplacée par un code, et les informations supplémentaires (table de correspondance ou clé cryptographique) qui permettent de revenir en arrière. Toute la sécurité repose sur la garde de cette seconde partie.

• Gardien de la table distinct de l'équipe d'analyse : investigateur du centre, entrepôt de données de santé, tiers de confiance.
• Codes sans signification : aléatoires ou issus d'une fonction cryptographique à clé secrète. Pas d'initiales associées à la date de naissance, ni de numéro de dossier tronqué.
• Pseudonymes propres à chaque étude, pour empêcher le chaînage de jeux de données sans passer par le gardien.
• Accès restreint, chiffrement et traçabilité de chaque réidentification et de son motif.
• Procédure documentée pour les cas où il faut revenir vers le patient, par exemple pour une découverte fortuite cliniquement significative.

Là où la réidentification revient

Remplacer un nom par un code est la partie simple. Le vrai risque tient aux quasi-identifiants et surtout au texte libre.

Le risque s'évalue sur l'ensemble du jeu transmis et sur ce que le destinataire peut raisonnablement croiser, pas document par document. Voir notre fiche sur la réidentification.

Check-list pour votre protocole

Pseudonymiser des documents cliniques avec Anonimatum

Une grande partie des données de vie réelle arrive sous forme de documents : comptes rendus, dossiers numérisés, courriers d'adressage, cahiers d'observation. Anonimatum permet une pseudonymisation cohérente : chaque patient, soignant ou établissement reçoit le même substitut dans tout le document et, avec le même identifiant de projet, dans tous les documents de l'étude. Les dates peuvent être décalées du même nombre de jours dans tout le projet pour préserver les intervalles, et la table d'équivalences est conservée chiffrée : seul son gardien peut revenir en arrière. Cela correspond à la séparation des rôles, l'équipe qui pseudonymise gardant la table et les chercheurs ne recevant que les documents transformés.

La détection combine une IA propre (noms, adresses, dates, organisations) et des motifs (courriels, téléphones…), complétés par vos propres expressions régulières pour un numéro de dossier ou un identifiant patient local. Les documents numérisés passent par l'OCR, et tout est traité sur des serveurs situés dans l'Union européenne, sans envoi à des API externes de modèles de langage. En savoir plus sur l'anonymisation des dossiers médicaux.