L'anonymisation de données (a fortiori personnelles) consiste à modifier le contenu ou la structure de ces données afin de rendre très difficile ou impossible la « ré-identification » des personnes (physiques ou morales) ou des entités concernées (ce qui implique de bien définir ce que signifie dans ce cadre le concept d’identifiabilitéHull SC, Wilfond BS (2008), What does it mean to be identifiable. Am J Bioeth. 2008 Oct; 8(10):W7-8 (lien, sans résumé) ). Les anglophones parlent aussi parfois de De-Identification (DE-ID)Neamatullah, I., Douglass, M. M., Lehman, L.-W. H., Reisner, A., Villarroel, M., Long, W. J., Szolovits, P., Moody, G. B., Mark, R. G., and Clifford, G. D. (2008). Automated de-identification of free-text medical records. BMC Medical Informatics and Decision Making , 8.
Le choix d'anonymiser des données résulte souvent d'un compromis déontologique, juridique et éthique, entre une volonté ou une obligation de protéger les individus et leurs données personnelles. L'anonymisation est en particulier employée pour la diffusion et le partageHappe, A., Burgun, A., & Brémond, M. (2000). Le partage de l’information: une étape indispensable pour accroître l’efficience de notre système de santé. L'informatique au service du patient: Comptes rendus des huitièmes Journées Francophones d'informatique Médicale, Marseille, 30 et 31 mai 2000, 12, 101 (Lien vers Google Livre) de données jugées d'intérêt public, comme les données ouvertes (open data).
L'utilisation de données anonymisées soulève encore des questions juridiques et éthiques car elle peut aussi être une ou un frein à la recherche médicale, Al‐Shahi R, Warlow C. Using patient‐identifiable data for observational research and audit. BMJ 2000. 3211031–1032.1032. De même, de nombreuses exceptions à cette règle (par exemple pour certaines données médicales, concernant la défense ou la sécurité intérieure) sont intégrées dans le droit des pays démocratiques. Cette utilisation s'accompagne parfois d'une limite à la durée de conservation.
Histoire Si la notion de confidentialité des données personnelles — en particulier médicales – remonte à HippocrateEdelstein L. (1943) The Hippocratic Oath, Text, Translation and Interpretation. VII. The Johns Hopkins Press; MD, USA: 1943. voir page 64, le stockage et traitement informatique à large échelle de données personnelles ont récemment bouleversé cette question.
Les États-Unis et les États membres de l'Union européenne se sont peu à peu doté d'une législation nationale ou supranationale sur la protection de la confidentialité des données, y compris des données informatisées (en Europe depuis la Directive 95/46/CE sur la protection des données personnelles) qui a imposé aux États membres d'harmoniser leur législation en la matière avant le , y compris concernant le transfert de données vers des pays hors-Union européenne par exemple (enjeu important puisque pour des raisons de coûts, le traitement ou l'exploitation de certaines données peuvent être externalisés et délocalisés hors d'Europe).
La directive européenne ne concerne que les données non anonymisées et stipule que l'utilisation de « données anonymes » ne relève pas de sa compétence : selon le considérant 26 de la directive, . ce qui a été confirmé et précisé par la jurisprudence en Angleterre et au Pays de Galles (arrêt de la Cour d'appel). Les premiers textes (nationaux ou européens) étaient peu précis sur la manière dont il faut anonymiser les données nominatives ou personnelles.
Pour certaines données, l'anonymisation nécessite encore le consentement des personnes concernées, et de manière générale, le fait de se réserver la possibilité de désanonymiser la donnée avant un certain délai (au moyen d'une ou plusieurs clés de déchiffrement en général) devrait aussi requérir le consentement préalable des personnes concernées.
On cherche maintenant à améliorer la sécurité des transferts de données sans freiner les flux de transferts ni entraver les besoins légitimes de circulation de données à grain fin (ce qui peut par exemple être crucial pour la médecine à distance)Agrawal R, Johnson C. (2007), Securing electronic health records without impeding the flow of information ; Int J Med Inform. 2007 May-Jun; 76(5-6):471-9. (résumé).
Enjeux de l'anonymisation Les enjeux sont à la fois éthiques, juridiques, informationnels et de bonne gouvernanceGraeme Laurie, Nayha Sethi Eur J (2014), Towards Principles-Based Approaches to Governance of Health-related Research using Personal Data Risk Regul. Author manuscript; available in PMC 2014 January 9. Published in final edited form as: Eur J Risk Regul. 2013 January 1; 4(1): 43–57. PMCID:PMC3885861 (résumé)Nayha Sethi, Graeme T. Laurie (2013), Delivering proportionate governance in the era of eHealth: Making linkage and privacy work together ; Med Law Int. 2013 June; 13(2-3): 168–204. doi: 10.1177/0968533213508974 PMCID:PMC3952593 (résumé).
En outre, des enjeux nouveaux sont nés de l'apparition de l'Internet qui a augmenté l'accès à l'information, permis à des personnes d'offrir aux autres - parfois inconsidérément ou en étant mal informé des risques - des éléments de sa vie privée (via les blogs et forums, ou pages personnelles par exemple), rendant plus difficile le « droit à l'oubli ». Des efforts sont faits depuis les années 1990 au moins pour informer les patients de l'utilisation possible de leurs données médicales ou de certaines données plus ou moins personnelles, et de leur droit à la vie privée. Ces efforts doivent être renforcés par une réglementation européenne unifiée a estimé le parlement européen en 2013-2014 et selon la vice-présidente Viviane Reding (commissaire à la Justice de l'UE) Commission européenne (2014) Progress on EU data protection reform now irreversible following European Parliament vote, Strasbourg, 12 mars 2014.
Dans certains contextes ou pour des raisons personnelles, une personne peut souhaiter l'anonymat (ou pouvoir utiliser un pseudonyme, ou refuser que son nom soit cité, son visage montré, etc.). L'anonymat est obligatoire quand la loi impose de protéger certaines données personnelles ou données sensibles en les anonymisant, ce qui peut permettre une certaine réutilisation de données d'intérêt public et général (bien commun), sans menacer la personne.
La pseudo-anonymisation provisoire (en réalité, un masquage de l'identité de son auteur) d'une copie d'examen permet à l'examinateur de moins être influencé par le nom, la classe ou la nationalité de l'élève.
Selon le contexte, l'anonymisation d'un personne dans un débat, un reportage, etc. lui permet d'échapper à d'éventuelles représailles, à une stigmatisation ou simplement à un accès non souhaitable à sa vie privée, mais elle peut en revanche parfois nuire à la crédibilité de cette personne ou à la qualité (en termes de précision) de l'information. L'anonymisation d'une donnée contenant des éléments personnels diminue parfois la valeur de cette donnée du point de vue statistique, de sa pertinence ou de son utilité pour la Recherche.
L'anonymisation des fichiers d'enquêtés produits lors de sondages d'opinion est une opération qui peut revêtir un sens sociologique. La sociologue Emmanuelle Zolesio suggère aux sociologues qui analysent des données anonymisées de ne pas envisager l'anonymisation de façon déconnectée du reste de l'analyse des entretiens. Pour les cas où l'enquêteur , il existe des méthodes pour anonymiser des données dans les cas où les enquêtés se connaissent et peuvent se reconnaître malgré les changements de noms faits par l'enquêteurEmmanuelle Zolesio (2011), Anonymiser les enquêtés. Interrogations ?, . <halshs-00739600> (résumé).
Des enjeux particuliers concernent la lutte contre le spam cibléCommission européenne (2006) Protecting privacy and fighting spam ; Fact sheet 24 (January 2006), PDF, 2 pages , la protection des données de santé et plus généralement biomédicales (dont code génétique), avec par exemple l'établissement de registres du cancer, de registres de maladie, de cartographie épidémiologique, etc. Dans ce domaine, la recherche médicale ou écoépidémiologique, ou les organismes de santéBrown P. Health bodies defend their right to access patient data. BMJ 2002. 3241236, ont parfois impérativement besoin de données permettant d'identifier le patient (et l'obligation systématique de passer par le consentement à utilisation de données personnelles par chaque patient induirait un biais important d'interprétation de la donnée et peut être un frein à la rechercheVerity C, Nicoll A (2002), Consent, confidentiality, and the threat to public health Surveillance. BMJ. 3241210–1213.1213 Iversen A, Liddell K, Fear N. et al. (2006) Consent, confidentiality, and the Data Protection Act. BMJ. 332165–169.169Morrow J. Data protection and patient's consent. BMJ 2001. 322549 Warlow CP, Al-Shahi R. (2000), Differentiating between audit and research. Undue protection of patient confidentiality jeopardises both research and audit BMJ. 2000-03-11 ; 320(7236):713 (lien, sans résumé)). Les utilisateurs de ces données sont alors soumis à des prescriptions particulières. Dans certains pays l'obligation de confidentialité est encore renforcée pour certaines maladies (ex : maladies sexuellement transmissibles).
Enjeux légaux Dans le cadre des diffusions de certaines données publiques contenant des informations privées, et notamment dans le cadre de l'open data (données ouvertes), certaines données doivent obligatoirement être « anonymisées » pour leur réutilisation par des tiers, selon les lois en vigueurLes collectivités peuvent-elles refuser la mise à disposition de données ?, interview d'Anne Josso, secrétaire générale adjointe de la CADA, La gazette des communes, Dossier « Open data », consulté 2011/05/04.
Un enjeu permanent est de mettre à jour la réglementation et les bonnes pratiques, et de préciser ses interprétations possibles Strobl J, Cave E, Walley T (2000), Data protection legislation : interpretation and barriers to research. BMJ . 321890–892.892 alors que les possibilités informatiques de croiser des données issues de l'Internet évoluent rapidement. Les contrôleurs de données sont également particulièrement concernés.
Le cas particulier des maladies à déclaration obligatoire Les déclarations de certaines maladies (dites « maladies à déclaration obligatoire » ou MDO) sont anonymisées de manière irréversible (SIDA/VIH par exemple en France) afin de protéger au mieux les patients, tout en permettant d'améliorer la veille sanitaire, la prévention et les études épidémiologiques.
Le cas particulier des données de génomique Avec les progrès et la diminution des coûts de l'analyse génétique, émergent de nouveaux enjeux de bioéthique Lowrance WW, Collins FS (2007), Ethics. Identifiability in genomic research ; Science. 3 août 2007 ; 317(5838):600-2. : à quel point une donnée anonyme est anonyme ? s'interrogeaient en 2012 Harald Schmidt Shawneequa CallierHarald Schmidt, Shawneequa Callier (2012), How anonymous is ‘anonymous’? Some suggestions towards a coherent universal coding system for genetic samples ; J Med Ethics. Author manuscript ; J Med Ethics. 2012 May; 38(5): 304–309. En ligne le 16 février 2012 ; doi:10.1136/medethics-2011-100181 (résumé), et d'autresMisha Angrist (2012) Eyes wide open: the personal genome project, citizen science and veracity in informed consent, Per Med. Author manuscript; available in PMC 2012 February 9. Published in final edited form as: Per Med. 2009 November; 6(6): 691–699. doi: 10.2217/pme.09.48 PMCID:PMC3275804. De plus le génome d'une personne contient aussi des informations a priori personnelles sur ses ascendants. Déjà en 2008, des acteurs du secteur de la génomique tels Greenbaum et al. se demandaient en 2008 si l'anonymat génétique n'est pas déjà perduGreenbaum D, Du J, Gerstein M. (2008), Genomic anonymity: have we already lost it? Am J Bioeth. 2008 Oct; 8(10):71-4..