Anonymiser sans compromettre : quand la protection des données de santé met la recherche à l’épreuve (étude Roche France)

Publié le vendredi 23 mai 2025 à 16h42

Comment protéger les patients sans sacrifier la valeur scientifique des données ? C’est la question à laquelle s’est attaquée Roche France, à travers une étude publiée dans PLOS Digital Health. En testant cinq méthodes d’anonymisation sur un même jeu de données, les chercheurs ont évalué leur impact sur le risque de ré-identification… mais aussi sur la reproductibilité des analyses statistiques.

Une contribution essentielle au débat entre sécurité des données et de utilité scientifique

Dans un paysage numérique de plus en plus structuré autour de la donnée, les données de santé en vie réelle — ou Real World Data (RWD) — sont devenues une ressource stratégique. Elles nourrissent la recherche clinique, éclairent les politiques de santé, et permettent d’objectiver les usages et l’efficacité des traitements dans des conditions réelles. Mais cette richesse n’est pas sans contraintes. L’encadrement réglementaire, le RGPD en tête, impose une anonymisation rigoureuse pour toute réutilisation à des fins secondaires. Ce processus, destiné à protéger les individus, peut cependant altérer la donnée au point d’en compromettre la valeur scientifique. C’est précisément ce paradoxe que l’étude publiée par Roche France dans la revue PLOS Digital Health vient éclairer.

Conduite par l’équipe Real World Data de Roche France, cette étude analyse l’effet de cinq méthodes d’anonymisation sur un jeu de données médicales, en évaluant à la fois la capacité de ces techniques à réduire le risque de ré-identification et leur impact sur la qualité des résultats scientifiques produits. La publication marque une avancée significative sur une question rarement abordée avec autant de précision : jusqu’où peut-on aller pour garantir la protection de la vie privée, sans saboter l’exploitabilité de la donnée pour la recherche ?

Un test grandeur nature sur cinq méthodes d’anonymisation

L’expérimentation s’est appuyée sur un même corpus de données, passé au crible de cinq méthodes d’anonymisation distinctes. Chaque méthode a été évaluée selon deux axes : le niveau de protection apporté contre le risque de ré-identification d’un individu, et la préservation des caractéristiques statistiques essentielles pour mener des analyses robustes. Ce double regard — sécurité et utilité — permet de dépasser les visions purement techniques ou éthiques, pour entrer dans le cœur du compromis méthodologique.

Les résultats sont sans appel : toutes les méthodes testées permettent effectivement de réduire le risque d’identification. Certaines atteignent même un niveau de protection très élevé. Mais cet effort de sécurisation se paie souvent d’une dégradation de la qualité des analyses possibles. Dans les cas les plus extrêmes, les méthodes les plus sécurisantes introduisent une distorsion des données suffisante pour remettre en cause la reproductibilité des résultats. Cela signifie concrètement que les conclusions scientifiques tirées des données initiales ne tiennent plus une fois l’anonymisation appliquée — un constat lourd de conséquences pour la validité des études en vie réelle.

Un équilibre fragile entre éthique, réglementation et science :

Ce constat alimente un débat central : celui du compromis entre protection des données personnelles et rigueur scientifique. L’étude le rappelle clairement : plus on cherche à atteindre une anonymisation “absolue”, plus on altère les signaux présents dans les données, au risque de les rendre inutilisables. À l’inverse, des techniques plus modérées, qui préservent les dynamiques temporelles, les co-occurrences ou les micro-variations cliniques, laissent subsister un risque résiduel de ré-identification.

Dans ce contexte, il n’existe pas de solution universelle. Le choix de la méthode dépend du contexte de recherche, de la finalité de l’étude, des caractéristiques des données et du niveau de risque acceptable. Cette approche contextuelle appelle à un changement de paradigme : au lieu de rechercher une méthode parfaite, il faut concevoir l’anonymisation comme un processus de dialogue entre statisticiens, cliniciens, juristes et délégués à la protection des données. L’étude de Roche illustre cette maturité méthodologique, en plaçant la transparence et l’évaluation continue au cœur de sa démarche.

Le besoin criant de référentiels partagés :

L’un des apports les plus significatifs de cette étude réside dans la mise en lumière d’un angle mort majeur : l’absence de standards robustes pour comparer les méthodes d’anonymisation entre elles. Aujourd’hui, il n’existe pas de cadre commun qui permettrait aux chercheurs, industriels ou régulateurs d’évaluer objectivement les effets des transformations appliquées aux données. Chaque projet repose sur des métriques internes, rarement généralisables, et sur des arbitrages implicites parfois difficilement reproductibles.

Cette absence de standardisation freine la mutualisation des données, la reproductibilité des analyses, et surtout, la confiance dans les résultats. L’appel lancé par Roche à construire des référentiels clairs, à la fois techniques et éthiques, est donc particulièrement bienvenu. Il rejoint les débats actuels sur l’Espace Européen des Données de Santé (EHDS), sur la certification des plateformes de données ou encore sur la gouvernance des entrepôts hospitaliers.

L’expertise humaine, pilier invisible de l’anonymisation :

Au-delà des algorithmes et des procédures, l’étude insiste sur un point souvent sous-estimé : la valeur irremplaçable de l’expertise humaine. Car l’anonymisation ne peut être un processus purement automatique. Elle suppose une compréhension fine des données manipulées, de leurs usages, de leur sens clinique. C’est cette expertise — multidisciplinaire par essence — qui permet de détecter les biais, d’anticiper les erreurs d’interprétation, et de s’assurer que les transformations appliquées n’annulent pas l’intérêt même des données.

L’équipe de Roche le résume en une phrase : « Une anonymisation surveillée aide à identifier des écarts susceptibles de fausser l’interprétation des résultats. » Cette vigilance ne peut être assurée que par des professionnels capables de relier des enjeux techniques à des conséquences concrètes pour la recherche, la santé publique et l’éthique.