Oui, on peut anonymiser des images médicales sans perdre leur valeur diagnostique, à condition de retirer ou de protéger les identifiants sans modifier les pixels cliniquement utiles. La méthode doit être adaptée à la modalité, aux métadonnées et à l’usage prévu, puis vérifiée sur des images représentatives.
Ce que signifie anonymiser une image médicale
Une image médicale peut contenir des données identifiantes à plusieurs endroits. Les informations figurent dans les métadonnées du fichier, dans le nom de fichier ou dans le chemin de stockage, mais aussi parfois directement dans l’image sous forme de texte incrusté. Une radiographie peut, par exemple, afficher un nom ou une date dans une bordure. Retirer uniquement les champs visibles dans un logiciel ne suffit donc pas à garantir l’anonymisation.
Il faut distinguer l’anonymisation de la pseudonymisation. Dans une image pseudonymisée, les éléments directement identifiants sont remplacés par un code, mais une clé ou des informations conservées ailleurs permettent encore de rattacher le fichier à une personne. Une image véritablement anonymisée ne doit plus permettre cette réidentification par des moyens raisonnablement susceptibles d’être utilisés. Le niveau requis dépend du cadre juridique et de l’usage envisagé ; une dé-identification technique n’équivaut pas automatiquement à une anonymisation au sens légal.
Protéger l’identité sans toucher aux informations cliniques
Retirer les identifiants des métadonnées
Dans un fichier DICOM, l’identité du patient peut être enregistrée dans plusieurs attributs, notamment le nom, l’identifiant patient, la date de naissance ou les coordonnées de l’établissement. Certains champs moins évidents peuvent également révéler une identité ou un contexte de prise en charge. Une procédure robuste applique un profil de confidentialité documenté, examine les champs présents et traite aussi les objets associés, comme les séries secondaires, les rapports structurés ou les images de présentation.
La suppression doit être cohérente entre les fichiers d’une même étude. Remplacer le nom par un code stable peut faciliter le suivi d’un examen dans un projet, mais ce choix relève généralement de la pseudonymisation si une table de correspondance existe. Pour un partage externe, il faut aussi éviter les identifiants indirects : une combinaison rare de dates, d’établissement et de caractéristiques cliniques peut rendre une personne reconnaissable, même si son nom a disparu.
Repérer le texte incrusté dans les pixels
Les métadonnées ne sont pas la seule source de fuite. Des informations peuvent être intégrées directement dans les pixels, par exemple dans les marges d’une radiographie, sur une capture d’écran d’échographie ou dans une image exportée depuis une console. Un nettoyage des en-têtes ne les efface pas. Il faut donc rechercher les annotations visibles, manuellement ou avec des outils de détection, puis décider si elles peuvent être retirées sans masquer une région anatomique pertinente.
Un recadrage ou un masquage peut convenir lorsqu’un identifiant se trouve dans une marge sans intérêt diagnostique. En revanche, appliquer une zone noire sur une partie de l’anatomie peut supprimer un signe utile ou créer une ambiguïté. Le traitement doit être réversible tant que le contrôle qualité n’est pas terminé, et la version destinée au partage doit être comparée à l’original pour vérifier qu’aucune information clinique n’a été occultée.
Adapter la méthode à la modalité et à l’usage
Une même règle de suppression ne convient pas à toutes les images. Les radiographies et les scanners comportent souvent des annotations ou des régions périphériques à examiner. Les échographies peuvent inclure des données incrustées dans l’image et des boucles vidéo associées. En imagerie rétinienne ou dermatologique, l’image elle-même peut montrer des caractéristiques identifiantes, indépendamment de tout texte. Pour les examens en trois dimensions, il faut aussi considérer les reconstructions et les rendus dérivés, car une donnée identifiante peut subsister dans un objet secondaire.
L’objectif de l’anonymisation compte également. Une image préparée pour l’enseignement, un jeu de données de recherche et un transfert destiné à une analyse technique n’imposent pas nécessairement le même niveau de conservation des métadonnées. Le principe reste de ne garder que les éléments nécessaires à la finalité autorisée. Les paramètres qui influencent l’interprétation, comme l’orientation, l’espacement ou les caractéristiques d’acquisition, ne doivent pas être supprimés à l’aveugle : leur absence peut compromettre la lecture, la comparaison ou la reproductibilité.
| Élément à examiner | Risque pour la confidentialité | Précaution diagnostique |
|---|---|---|
| En-têtes DICOM | Nom, identifiant, dates ou établissement | Préserver les attributs techniques nécessaires à l’interprétation |
| Texte dans les pixels | Identifiant visible sur l’image | Ne pas masquer l’anatomie ni les repères utiles |
| Images et objets dérivés | Copie d’une donnée identifiante dans une série secondaire | Contrôler l’ensemble de l’étude et ses rendus |
| Dates et contexte clinique | Risque de réidentification indirecte | Conserver seulement la précision temporelle utile à l’analyse |
Vérifier que l’image reste interprétable
La validation ne doit pas se limiter à constater que les champs d’identité ont été supprimés. Il faut confirmer que les images s’ouvrent correctement, que les séries attendues sont présentes et que les paramètres nécessaires à leur affichage ou à leur analyse n’ont pas été altérés. Une comparaison visuelle avant et après traitement aide à repérer les recadrages excessifs, les annotations résiduelles et les défauts de conversion.
Pour un usage diagnostique ou une validation clinique, la qualité doit être appréciée par des professionnels compétents pour la modalité concernée. Ils peuvent vérifier que les structures anatomiques, les lésions, les repères d’orientation et les niveaux de détail pertinents restent visibles. Pour un corpus de recherche, l’évaluation peut également porter sur les tâches prévues : une image peut être suffisamment préservée pour entraîner un algorithme sur une région donnée, mais inadaptée à une autre analyse qui exige davantage de contexte.
Les contrôles doivent couvrir les cas difficiles, pas seulement les fichiers simples. Il est utile d’inclure des examens avec annotations, des séries multiples, des images exportées, des données dérivées et des formats provenant de différents appareils. Toute modification du logiciel, du profil de dé-identification ou du flux d’export peut changer le résultat ; il convient donc de documenter la procédure et de répéter les vérifications après un changement technique important.
Compromis entre confidentialité et valeur diagnostique
La difficulté consiste à réduire le risque de réidentification tout en conservant le contenu nécessaire à l’usage prévu. La suppression des dates exactes peut être pertinente pour certains partages, mais elle peut empêcher une analyse longitudinale si l’ordre des examens ou l’intervalle entre eux est essentiel. Une transformation temporelle cohérente peut préserver les écarts entre examens sans conserver les dates d’origine, à condition que cette opération soit autorisée et que son risque résiduel soit évalué.
De même, retirer le nom d’un établissement peut réduire les indices contextuels, mais les paramètres d’acquisition doivent rester disponibles si le protocole de recherche en dépend. Il n’existe donc pas de réglage universel garantissant à la fois une anonymisation complète et une valeur diagnostique intacte. Le bon niveau de transformation se définit à partir de la finalité, des risques de réidentification, des données conservées et des conséquences d’une perte d’information pour l’interprétation.
| Usage prévu | Priorité de confidentialité | Point de contrôle clinique |
|---|---|---|
| Enseignement | Éliminer les identifiants visibles et les métadonnées nominatives | Préserver les éléments nécessaires à la discussion du cas |
| Recherche sur des séries longitudinales | Réduire les identifiants et les dates directement exposées | Maintenir une chronologie exploitable lorsque le protocole le requiert |
| Développement d’outils d’analyse | Limiter les données au strict nécessaire pour le traitement | Vérifier la qualité des pixels et des paramètres utilisés par l’algorithme |
Mettre en place un processus contrôlé
Un processus fiable commence par l’inventaire des formats, des modalités et des destinations de partage. Il définit ensuite les champs à retirer ou transformer, le traitement des textes incrustés, les règles applicables aux dates et la gestion des identifiants de remplacement. Les opérateurs doivent savoir quelles informations techniques préserver et dans quels cas une validation humaine est obligatoire.
Avant diffusion, un contrôle automatisé peut rechercher des valeurs identifiantes dans les métadonnées, tandis qu’une inspection visuelle cible les informations inscrites dans les pixels. Un échantillonnage représentatif est utile pour vérifier le comportement du flux, mais les situations à risque élevé peuvent nécessiter une revue individualisée. Les journaux de traitement doivent documenter les opérations sans exposer eux-mêmes les données sensibles. Enfin, l’original doit rester séparé du fichier dé-identifié, avec des droits d’accès adaptés à la finalité.
FAQ
Supprimer le nom dans les métadonnées suffit-il à anonymiser une image ?
Non. Il faut aussi examiner les autres champs identifiants, les noms de fichiers, les objets associés et le texte éventuellement incrusté dans les pixels. Des informations indirectes peuvent également permettre une réidentification.
Le masquage des informations visibles réduit-il la qualité diagnostique ?
Pas nécessairement si le texte est situé dans une marge sans intérêt clinique. Si le masquage couvre une région anatomique ou un repère utile, il peut en revanche gêner l’interprétation. Chaque modification doit être contrôlée sur l’image finale.
Une image anonymisée peut-elle conserver les paramètres techniques ?
Oui, lorsqu’ils sont nécessaires à l’affichage, à la comparaison ou à l’analyse et qu’ils ne révèlent pas l’identité du patient. Leur conservation doit être évaluée au regard de la finalité et du risque de réidentification.
La pseudonymisation est-elle équivalente à l’anonymisation ?
Non. La pseudonymisation remplace des identifiants, mais une correspondance ou d’autres informations peuvent encore relier les données à une personne. L’anonymisation vise à empêcher cette réidentification selon les critères applicables.