Secret médical et pseudonymisation : le guide pratique de l'annotateur au quotidien

Beaucoup d'annotateurs débutent en pensant que le secret médical ne concerne que les soignants. C'est une erreur lourde de conséquences. Le secret médical, protégé par l'article L.1110-4 du Code de la santé publique et par l'article 226-13 du Code pénal, s'impose à toute personne qui, dans le cadre de son intervention, a connaissance d'informations relatives à la santé d'un patient.

En annotant un compte rendu d'hospitalisation, une coupe scanner ou un tracé d'ECG, vous prenez connaissance d'informations couvertes par ce secret. Vous en devenez de fait dépositaire. La divulgation, même involontaire, même à un proche « pour avoir un avis », constitue une violation. Le fait d'être indépendant et de travailler depuis chez vous ne réduit en rien cette obligation : elle vous suit, attachée à la donnée que vous manipulez.

Concrètement, cela veut dire qu'une conversation imprudente, un fichier oublié sur un cloud personnel ou un commentaire sur un cas « intéressant » peuvent vous exposer à des sanctions. La discrétion n'est pas une politesse, c'est une obligation légale qui pèse personnellement sur vous.

C'est la confusion la plus répandue, et la plus dangereuse. On vous transmet un dataset « anonymisé » et vous baissez la garde. Or, dans la quasi-totalité des projets d'annotation, les données sont pseudonymisées, ce qui est radicalement différent.

• L'anonymisation est irréversible : il devient impossible, par quelque moyen que ce soit, de réidentifier la personne. Une donnée véritablement anonyme sort du champ du RGPD.
• La pseudonymisation remplace les identifiants directs (nom, numéro de sécurité sociale) par un code, mais la réidentification reste possible via une table de correspondance détenue ailleurs. La donnée pseudonymisée reste une donnée personnelle de santé, pleinement soumise au RGPD et au secret médical.

Traiter une donnée pseudonymisée comme si elle était anonyme est l'erreur de jugement la plus fréquente — et celle qui transforme une négligence en violation de données de santé.

La règle pratique est simple : tant que personne ne vous a remis une attestation formelle d'anonymisation irréversible, considérez chaque donnée comme identifiante et appliquez le plus haut niveau de précaution.

Le danger le plus sournois ne réside pas dans les champs « nom » et « prénom », qui sont en général expurgés. Il réside dans les identifiants résiduels que l'expurgation automatique laisse passer. Apprenez à les repérer :

• Les métadonnées d'images médicales. Un fichier d'imagerie embarque des champs descriptifs pouvant contenir nom du patient, date de naissance, identifiant d'établissement. Une image « visuellement anonyme » peut être bavarde dans ses métadonnées.
• Le texte incrusté dans l'image. Sur certaines captures, le nom du patient ou la date d'examen est gravé en surimpression dans un coin du cliché.
• Les données rares dans un compte rendu. Une pathologie exceptionnelle associée à une ville et une date précise peut suffire à réidentifier une personne, même sans nom.
• Les numéros résiduels. Numéro de dossier, identifiant patient interne, référence d'examen oubliés dans le corps d'un texte.

Votre rôle n'est pas de réaliser la pseudonymisation à la place du client, mais de signaler immédiatement tout identifiant que vous repérez dans les données reçues. Ce signalement est à la fois une obligation et une protection : il documente votre diligence.

La protection du secret médical se joue dans des gestes répétés chaque jour. Voici un protocole concret et tenable :

1. Travailler uniquement dans l'environnement fourni. Pas d'export, pas de copie locale, pas de stockage personnel. La donnée ne sort jamais de la plateforme sécurisée du client.
2. Cloisonner le poste. Session dédiée, écran non visible par des tiers, verrouillage automatique. Chez soi comme en coworking, personne ne doit pouvoir lire par-dessus votre épaule.
3. Bannir les outils grand public. Aucun compte rendu ne se colle dans un traducteur, un correcteur ou un assistant IA en ligne. C'est une fuite directe vers un tiers.
4. Signaler tout identifiant résiduel. Dès que vous repérez une donnée identifiante oubliée, prévenez le responsable de traitement par écrit.
5. Ne jamais commenter un cas à l'extérieur. Même anonymisé en apparence, un cas « marquant » raconté à un proche peut suffire à une réidentification.
6. Sécuriser le matériel. Chiffrement du disque, mises à jour, mots de passe robustes. Votre matériel informatique est le coffre-fort physique du secret.

Même avec une discipline irréprochable, le risque zéro n'existe pas. Un ransomware qui chiffre votre poste, un identifiant résiduel qui passe entre les mailles, un vol d'ordinateur : la rupture de confidentialité peut survenir malgré vous. C'est là qu'interviennent deux protections complémentaires.

La RC Pro avec volet atteinte à la confidentialité couvre les manquements involontaires au secret médical et les frais de défense associés si votre responsabilité est recherchée. C'est votre protection juridique face à une mise en cause.

La couverture Cyber agit sur le terrain technique et opérationnel : prise en charge de l'analyse forensique, de la remédiation, de la gestion de crise et de l'accompagnement à la notification réglementaire. Sur des données de santé, où chaque heure compte et où la notification est encadrée, cet appui est décisif.

Ensemble, ces deux garanties transforment un incident potentiellement fatal pour un indépendant en épreuve gérable. Pour un panorama complet des risques propres à ce métier, consultez la fiche annotateur de données médicales.