Brevet FR3078420A1 — publié le 20190830

Procédé de ré-identification d'un objet d'informations médicales, procédé de dé-identification d'un objet d'informations médicales, dispositifs, équipement de communication et programmes d'ordinateur associés 1. Domaine de l'invention Le domaine de l'invention est celui du transfert de données médicales, telles que des images, entre un site clinique et un site non clinique. Plus précisément l'invention concerne l'identification par le site clinique d'une image résultant d'un traitement réalisé au sein du site non clinique sur une image d'origine anonynnisée et reçue dans un objet conteneur d'informations médicales. L'invention peut notamment, mais non exclusivement, s'appliquer à des objets conteneurs d'informations médicales, dont le format est spécifié par une norme internationale, comme par exemple le standard DICOM (pour « Digital Imaging and Communications in Medicine », en anglais). 2. Présentation de l'art antérieur Le standard DICOM, reconnu comme norme internationale par l'ISO (pour « International Standard Organisation », en anglais), permet d'échanger des images sous forme numérique, en maintenant en permanence un lien entre ces images elles-mêmes et des informations associées (nom du patient, type d'examen, nom de l'organe visible sur l'image, etc.), appelées nnétadonnées. Cette norme décrit un objet d'informations médicales, ou conteneur, comprenant notamment : - la ou les images; - des nnétadonnées associées à ces images, comprenant : o des nnétadonnées non identifiantes, telles que par exemple les dimensions de l'image ; o des nnétadonnées dites identifiantes, comme par exemple un identifiant de l'image dans l'objet. Ces nnétadonnées identifiantes comprennent des nnétadonnées de rattachement de l'objet d'informations médicales à des données patient, telle que le nom du patient ou sa date de naissance, ou encore un identifiant d'étude ou enfin un identifiant de série ou de séquence d'images, auxquelles appartient l'image. 2 En relation avec la Figure 1, on a représenté un exemple d'objet A, dit principal, comprenant dans un champ d'information intitulé « données pixel » (pour « PixelData », en anglais), une image I de cerveau acquise par un équipement d'Imagerie par Résonance Magnétique (IRM). Cette image est de taille 512x512 comme indiqué dans les nnétadonnées non identifiantes contenues dans les 5 champs intitulés lignes (pour « Rows », en anglais) et colonnes (pour « Colunnns », en anglais). Ces champs appartiennent à une séquence SINIA de champs d'informations non identifiantes. L'objet A comprend un identifiant IDA de cette image contenu dans le champ intitulé « SOPInstanceUID » et aussi des nnétadonnées de rattachement MRA, telles que le nom du patient « Paul Smith », contenu dans le champ intitulé « PatientNanne » ou l'identifiant de ce patient 10 « 269893002715 » contenu dans le champ « PatientID ». L'image appartient à une séquence ou série d'images, qui fait elle-même partie d'une étude ou examen. On notera que les nnétadonnées identifiantes IDA + MRA telles que l'identifiant d'étude (pour « StudyInstanceUID » en anglais) qui stocke la valeur « 1.2.250.59.57.123.1 » , l'identifiant de série dans l'étude (pour « SeriesInstanceUID », en anglais) qui stocke la valeur « 1.2.250.59.57.123.1.2 » 15 ou encore le champ correspondant au numéro d'image IDA dans la série (pour « SOPInstanceUID », en anglais) qui stocke la valeur « 1.2.250.59.57.123.1.2.6 », n'identifient pas directement le patient, mais permettent de remonter jusqu'à lui. Ce sont donc des nnétadonnées de nature à l'identifier. Au sein du site clinique, l'accès à l'objet principal A est sécurisé et les valeurs des nnétadonnées identifiantes sont stockées en clair dans l'objet conteneur A, dans une séquence de champs 20 d'informations non chiffrées SINCA. En revanche, avant tout transfert en dehors du site clinique, par exemple vers un environnement de recherche, l'objet A doit être dé-identifié. L'opération de dé-identification, connue de l'homme de métier et par exemple spécifiée dans la section « E.3.10 Retain Safe Private Option » de la norme DICOM « PS 3.15 Security and System 25 Management Profiles », consiste à créer un objet d'informations médicales A', dit dé-identifié, comprenant son propre identifiant d'image IDA, dans le champ intitulé « SOPInstanceUID ». On recopie les informations contenues dans les champs non identifiants de l'objet A, comme l'image I et ses dimensions dans la séquence d'informations non identifiantes SINIA,. En ce qui concerne les nnétadonnées identifiantes IDA et MRA de l'objet A, elles sont chiffrées puis stockées dans un champ d'information dédié de l'objet A'. 3 Dans l'exemple de la Figure 1, il s'agit d'une séquence de champs de chiffrées SICA, (pour « EncryptedAttributesSequence », en anglais) de l'objet A' dans lequel on stocke les nnétadonnées chiffrées relatives à toutes les nnétadonnées identifiantes et de rattachement de l'objet A, telles que le nom, la date de naissance du patient ou le numéro d'étude, de série ou d'image. 5 Les champs de la séquence SINCA, correspondant à ces nnétadonnées identifiantes sont remplis dans l'objet A' par des valeurs factices MRA'. En relation avec la Figure 1, on note par exemple que la valeur factice « 2.25.6724567144245 » a été écrite dans le champ « Numéro d'image » et que la valeur factice « Tria1123 » remplace le véritable nom du patient dans le champ « Nom du Patient ». Une fois cette opération de dé-identification de l'objet A effectuée, l'objet dé-identifié A' peut être 10 transmis via un réseau de communication à un site non clinique, tel que par exemple un environnement de recherche, sans risque de divulgation des informations personnelles du patient. En relation avec la Figure 2, on a représenté un équipement de communication CSE d'un site clinique apte à communiquer avec un équipement de communication NCSE d'un site non clinique, par exemple un site de recherche, par l'intermédiaire d'un réseau de télécommunications RT, par 15 exemple Internet, et d'une connexion sécurisée par un protocole de transfert sécurisé tel que le protocole HTTPS (pour « Hypertext Transfer Protocol Secure », en anglais). L'équipement CSE dé-identifie l'objet A comprenant l'image I en un objet A', qu'il transmet à l'équipement NCSE. Selon la norme DICOM par exemple, l'objet A' peut être échangé entre les deux équipements, soit en mode « push » en utilisant par exemple un service DICOMweb intitulé STOW (pour « STore Over the 20 Web », en anglais), soit en mode « pull », à l'aide d'un service DICOMweb intitulé WADO (pour « Web Access to DICOM Object », en anglais). De façon alternative, les objets sont échangés via des services DIMSE (pour « DICOM Message Service Elennent », en anglais) intitulé C-Store en mode push et C-Move en mode pull, qui utilisent une connexion TCP/IP (pour « Transmission Control Protocol / Internet Protocol », en anglais). 25 Une fois que l'équipement NCSE a récupéré l'objet dé-identifié A', il le traite par exemple en lui appliquant un ou plusieurs traitements d'images d'un module MTI. On entend par traitement d'images toute opération sur une image numérique destinée à en améliorer la qualité ou à en extraire de l'information utile, par exemple au diagnostic d'une pathologie. Il peut s'agir par exemple d'un 30 traitement de suivi de cible qui cherche à segmenter le contour d'un organe et à le suivre dans une séquence d'images. 4 On suppose qu'une image dérivée I' est obtenue. Elle comprend donc un résultat du ou des traitements réalisés. Par exemple, cette image I' comprend le contour segmenté d'un organe ou une prédiction de localisation d'une tumeur cancéreuse. Elle est encapsulée dans un nouvel objet conteneur B', puis retransmise vers le site clinique à destination de l'équipement CSE, par 5 l'intermédiaire du réseau RT et à l'aide d'un des services précédemment évoqués. Cet objet B' comprend des nnétadonnées identifiantes parmi lesquelles un identifiant d'image IDB, (SOPInstanceUID) qui lui est propre. Il comprend aussi des nnétadonnées MRA, héritées de l'objet A' d'entrée, que le module de traitement d'images MTI est généralement agencé pour recopier dans les champs correspondants de la séquence SINC de l'objet B'. Il s'agit notamment des champs « Nom 10 du patient » comprenant la valeur factice « John Doe », « identifiant d'étude » comprenant la valeur factice « 2.25.237892542171 » et « identifiant de séries » comprenant la valeur factice « 2.25.5679909786302 ». On notera que l'identifiant IDA, de l'image d'origine I dans l'objet dé-identifié A' n'est généralement pas recopié dans l'objet B' au cours de cette opération. A son retour dans le site clinique, l'objet B' comprenant l'image dérivée I' doit être ré-identifié en 15 vue d'être rattaché au dossier patient concerné. En relation avec la Figure 3, on a représenté de façon schématique une opération de ré-identification de l'objet dé-identifié A' par le site clinique, connue de l'homme de métier. Elle consiste à déchiffrer les nnétadonnées identifiantes MRA stockées dans le champ SICA, et à les recopier dans la séquence SINC qui leur est réservé. 20 En revanche, l'application de cette opération de ré-identification à l'objet dérivé B' pose problème, du fait que sa séquence de champs d'informations chiffrées SICB, est vide et ne comprend donc pas de nnétadonnée identifiante chiffrée associée à l'image d'origine I. En effet, cette séquence ne peut être créée que par le site clinique qui ne connaît pas l'objet dérivé B'. En effet, un module de traitement d'images MTI n'est généralement pas agencé pour conserver les 25 nnétadonnées chiffrées contenues dans l'objet dé-identifié d'entrée A' et les recopier dans l'objet de sortie B'. En outre, dans le cas où le ferait, il créerait un objet incohérent du fait que l'identifiant d'image chiffré (SOPInstanceUID) serait celui de l'image d'origine I et ne correspondrait pas à l'image dérivée I'. Il en résulterait une ré-identification erronée de l'objet A au lieu de l'objet B, et donc un remplacement de l'objet principal A par l'objet dérivé B côté site cliniques, avec des risques 30 importants pour le patient. 5 Face à ce problème, le standard DICOM a proposé, dans sa section PS3-15 E.3.9, une solution qui consiste à considérer que certaines nnétadonnées comme l'identifiant d'étude, de séquence d'images ou d'image ne sont pas à proprement parler identifiantes et qu'elles peuvent être maintenues en clair dans l'objet A' dé-identifié. De la sorte, et pourvu que le module de traitement d'image puisse les 5 propager, l'objet de sortie B' comprenant l'image dérivée en hérite, ce qui permet ensuite de rattacher l'image dérivée à l'image d'origine lors de la ré-identification côté site clinique. Néanmoins cette solution n'est pas satisfaisante en termes d'anonynnisation car les identifiants d'étude, de séquence d'images ou d'image, identiques entre le site clinique et le site de recherche, permettent à un utilisateur averti sans être expert de retrouver le patient concerné. Le standard 10 DICOM a décrit ces risques mais les estime limités. Avec les avancées de la recherche translationnelle, qui consiste à donner accès au clinicien en charge du suivi d'un patient, à des résultats de recherche produits à partir des données de ce patient, ce problème de rattachement de l'objet conteneur d'une image dérivée d'une image d'origine aux données du patient se pose de plus en plus fréquemment. 15 3. Objectifs de l'invention L'invention vient améliorer la situation. L'invention a notamment pour objectif de pallier ces inconvénients de l'art antérieur. Plus précisément, un objectif de l'invention est de proposer une solution qui permette à un 20 site clinique de rattacher automatiquement un objet d'information médicale créé en dehors de ce site, aux données d'un patient, tout en respectant la sécurité des informations personnelles transférées et en restant conforme à un format d'objet d'information médical standardisé. 4. Exposé de l'invention 25 Ces objectifs, ainsi que d'autres qui apparaîtront par la suite, sont atteints à l'aide d'un procédé de ré-identification d'un objet d'informations médicales, dit objet dérivé, reçu par un équipement d'un site clinique en provenance d'un équipement d'un site non clinique via un réseau de communication, ledit objet comprenant une image dérivée d'une image d'origine et au moins une première nnétadonnée de rattachement d'un objet dé-identifié comprenant l'image d'origine, ledit procédé 30 comprenant les étapes suivantes : 6 Obtention de la au moins une première nnétadonnée dans un champ d'informations non chiffré de l'objet dérivé; Obtention d'au moins une deuxième nnétadonnée de rattachement d'un objet principal comprenant l'image d'origine, ladite au moins une deuxième nnétadonnée étant contenue 5 dans un champ d'information chiffré correspondant d'un deuxième objet d'informations médicales dé-identifié comprenant en outre la au moins une première nnétadonnée dans un champ d'informations non chiffrées; Création d'un objet dérivé ré-identifié comprenant ladite image dérivée, à partir de la au moins une deuxième nnétadonnée obtenue. 10 L'invention propose une ré-identification d'un objet conteneur d'une image dérivée de l'image d'origine, issu d'un environnement non clinique anonynnisé. Elle est mise en oeuvre par un équipement d'un site clinique, qui récupère l'association entre au moins une première nnétadonnée d'identification associée à l'image d'origine en dehors du site clinique et contenue dans l'objet dérivé reçu et au moins une deuxième nnétadonnée d'identification associée à l'image d'origine dans le site 15 clinique et disponible sous forme chiffrée. Selon l'invention, cette association est stockée dans un deuxième objet conteneur, issu du site clinique, et accessible à l'équipement du site clinique sous forme dé-identifiée. L'invention s'appuie sur une approche tout-à-fait nouvelle et inventive de la ré-identification, qui consiste à ré-identifier une image dérivée d'une image d'origine, à partir des nnétadonnées 20 d'identification stockées dans deux objets conteneurs distincts. Contrairement à l'art antérieur, qui prend le parti de ne pas chiffrer certaines nnétadonnées d'identification de l'image d'origine dans l'objet dé-identifié transmis au site non clinique, l'invention rattache automatiquement une image dérivée reçue à un dossier patient sans modifier le format des objets conteneurs et sans compromis sur la sécurité des données personnelles. 25 Selon un aspect de l'invention, l'étape de création de l'objet dérivé ré-identifié comprend : - Un déchiffrement de la au moins une deuxième nnétadonnée obtenue; - Une recopie de la au moins une deuxième nnétadonnée déchiffrée dans un champ d'information non chiffré de l'objet dérivé correspondant à celui de la au moins une première nnétadonnée ; et - Une recopie de l'image dérivée dans l'objet dérivé ré-identifié. 7 De cette manière, on reconstruit un objet d'informations médicales conforme aux objets créés par le site clinique. Selon un aspect de l'invention, l'étape d'obtention d'au moins une deuxième métadonnée comprend une réception du deuxième objet d'informations médicales dé-identifié en provenance de 5 l'équipement du site non clinique et une comparaison de métadonnées contenues dans des champs d'informations non chiffrés du deuxième objet d'informations médicales dé-identifié avec la au moins une première métadonnée, la deuxième au moins une métadonnée étant obtenue, lorsqu'une correspondance entre la au moins une première métadonnée et la au moins une deuxième métadonnée est trouvée. 10 Selon cette première option, les autres objets d'informations médicales transmises par le même site non clinique sont examinés pour rechercher s'ils contiennent la au moins une métadonnée associée à l'image dérivée. Si c'est le cas, les champs chiffrés sont déchiffrés pour extraire la au moins une deuxième métadonnée permettant d'identifier l'image d'origine. Par exemple, le deuxième objet peut être transmis en mode push par le site non clinique, selon une requête de type « STOW » telle que 15 spécifiée par la norme DICOM. Un avantage est que le site clinique reçoit directement, sans action volontaire de sa part, les deux objets nécessaires à la ré-identification de l'image dérivée. Selon une deuxième option, l'étape d'obtention comprend en outre l'émission d'une requête de transmission d'un deuxième objet d'informations médicales dé-identifié à l'équipement de 20 communication du site non clinique, la requête comprenant la au moins une première métadonnée. Selon une variante, c'est le site clinique qui requiert en mode « pull » l'émission par le site non clinique d'un deuxième objet médical dé-identifié comprenant la au moins une première métadonnée. La au moins une première métadonnée permet d'identifier l'objet demandé dans la requête émise. Un avantage est que le site non clinique n'envoie le deuxième objet au site clinique que lorsqu'il en 25 fait la demande, ce qui évite de générer du trafic inutile. Selon une troisième option, l'étape d'obtention comprend l'émission d'une requête d'extraction de la au moins une deuxième métadonnée stockée dans un champ d'information chiffrée correspondant du deuxième objet d'information médicales, ladite requête comprenant la au moins une première métadonnée. 8 De la sorte, le site clinique ne requiert du site non clinique que la au moins une deuxième métadonnée chiffrée, plutôt que l'intégralité du deuxième objet. Un avantage est d'économiser de la bande passante en limitant la quantité de données échangées au minimum. Selon un autre aspect de l'invention, le deuxième objet d'informations médicales dé-identifié 5 comprend l'image d'origine. Un avantage de ce mode de réalisation est sa simplicité de mise en oeuvre. Il n'est pas créé d'objet conteneur supplémentaire pour stocker l'association entre les métadonnées de l'image d'origine. Le site non clinique garde en mémoire l'objet conteneur dé-identifié de l'image d'origine et le renvoie ou bien en extrait la au moins une deuxième métadonnée chiffrée. 10 Selon encore un autre aspect de l'invention, le deuxième objet d'informations médicales dé-identifié est un objet d'informations médicales, dit accessoire de l'objet principal, qui comprend au moins une métadonnée de référence à un identifiant de l'image d'origine dans un champ d'informations chiffrées et ne comprend pas d'image. 15 Ce type d'objet d'informations médicales sert à transporter un pointeur sur une image ou instance d'une séquence d'images stockée dans un autre objet, afin de l'étiqueter ou d'y associer des commentaires. Selon la norme DICOM par exemple, il s'agit d'un objet de type « Sélection d'objet Clé » ou KOS (pour « Key Object Selection », en anglais). Un premier avantage est qu'il ne comprend pas de données image (pour « pixel data », en anglais) et évite de ce fait un deuxième transfert 20 inutile de l'image d'origine entre les deux sites ou bien, dans le cas de l'extraction, la nécessité pour le site non clinique de stocker l'objet conteneur de l'image d'origine une fois l'image dérivée produite. Un deuxième avantage est qu'il comprend nativement une référence à l'image d'origine dans son objet conteneur. Cette référence peut être mise à profit, dans un mode de réalisation particulier pour rattacher l'image dérivée directement et automatiquement à l'objet conteneur de l'image d'origine. 25 Selon une variante, cet objet comprend plusieurs références à des images d'une même séquence ou série d'images ou même à plusieurs séquences d'une même série. Ces références sont alors stockées dans des champs d'informations chiffrées distincts, avantageusement dans l'ordre de la séquence d'images. Un avantage est que ce seul et même objet accessoire est porteur de l'association de métadonnées nécessaire à la ré-identification de toutes les images dérivées des images d'origine 30 issue de la séquence. De la sorte, les ressources de transmission et stockage sont économisées. 9 Selon encore un autre aspect de l'invention, l'objet dérivé comprend en outre une métadonnée comprenant une référence à un identifiant de l'image d'origine dans l'objet principal dé-identifié, le procédé comprend l'obtention d'un identifiant de l'image d'origine dans un champ d'information chiffré correspondant du deuxième objet, l'étape de ré-identification de l'objet dérivé comprend le 5 déchiffrement de ladite métadonnée et la recopie de la métadonnée déchiffrée dans un champ de référence à l'image d'origine dans l'objet dérivé (B) ré-identifié. Ce mode de réalisation s'applique dans le cas où le traitement d'image appliqué à l'image d'origine par le site non clinique recopie l'identifiant de l'image d'origine dans l'objet dé-identifié A' dans un champ de référence de l'objet dérivé qu'elle produit. Cette métadonnée supplémentaire permet la 10 récupération de l'identifiant de l'image d'origine stocké sous forme chiffrée dans le deuxième objet. Un avantage est que l'image dérivée peut être directement et automatiquement rattachée à l'image d'origine. Selon encore un autre aspect de l'invention, l'étape d'obtention d'au moins une deuxième métadonnée comprend l'obtention d'une séquence de métadonnées chiffrées, l'étape de 15 déchiffrement déchiffre au moins une deuxième métadonnée dite supplémentaire d'un champ de ladite séquence qui ne correspond pas à un champ d'une dite première métadonnées (MRB,) et l'étape de recopie ladite deuxième métadonnée supplémentaire dans le champ correspondant non chiffré de l'objet dérivé ré-identifié lorsque au moins une première métadonnée extraite de l'objet dérivé reçu comprend un lien d'inclusion qui la rattache à ladite deuxième métadonnée supplémentaire. 20 Les métadonnées de rattachement s'incluent entre elles. Par exemple un identifiant ou un nom de patient peut donner lieu à une ou plusieurs études, une étude inclut une ou plusieurs séries lesquelles incluent une ou plusieurs images ou instances. L'invention exploite ce lien d'inclusion pour « récupérer » des métadonnées de rattachement supplémentaires de l'objet dérivé ré-identifié, qui ont pu être perdues lors du traitement réalisé par le site non clinique. Toutefois, pour éviter toute 25 erreur qui pourrait être dommageable au patient, elle n'ajoute dans l'objet dérivé ré-identifié que les métadonnées déchiffrées issues du deuxième objet qui incluent une métadonnée présente dans l'objet dérivé B' reçu, comme par exemple le nom du patient, lorsqu'on dispose de l'identifiant d'étude. Un avantage est l'enrichissement des métadonnées de l'objet dérivé ré-identifié. L'invention concerne également un dispositif de ré-identification d'un objet d'informations médicales 30 dé-identifié, dit objet dérivé dé-identifié, reçu par un équipement de communication d'un site clinique en provenance d'un équipement d'un site non clinique via un réseau de communication, ledit objet comprenant une image dérivée d'une image d'origine et au moins une première métadonnée de 10 rattachement d'un objet d'information médicales dé-identifié, dit objet principal dé-identifié, comprenant l'image d'origine dans un champ d'informations non chiffré, ledit dispositif étant caractérisé en ce qu'il comprend une machine de calcul dédiée à ou configurée pour : Obtenir la au moins une première métadonnée dans le champ d'informations non chiffré de 5 l'objet dérivé dé-identifié ; Obtenir au moins une deuxième métadonnée de rattachement d'un objet principal comprenant l'image d'origine, ladite au moins une deuxième métadonnée étant contenue dans un champ d'information chiffrée d'un deuxième objet d'informations médicales dé- identifié comprenant la au moins une première métadonnée dans un champ d'informations 10 non chiffrées; Création d'un objet dérivé comprenant ladite image dérivée à partir de la au moins une deuxième métadonnée obtenue. Ce dispositif est adapté pour mettre en oeuvre le procédé de ré-identification d'un objet dérivé selon l'un quelconque des modes particuliers de réalisation définis ci-dessus. Il pourra bien sûr 15 comporter les différentes caractéristiques relatives au procédé selon l'invention. Ainsi, les caractéristiques et avantages de ce dispositif sont les mêmes que ceux du procédé de ré-identification, et ne sont pas détaillés plus amplement. Selon un mode particulier de réalisation de l'invention, un tel dispositif est compris dans un équipement du site clinique, par exemple un ordinateur ou PC (pour « persona! computer », en 20 anglais), une tablette, un téléphone intelligent (pour « smartphone », en anglais) ou tout autre équipement terminal disposant de moyens de connexion au site clinique. L'invention concerne aussi un procédé de dé-identification d'un objet d'informations médicales, dit objet principal par un équipement de communication d'un site clinique en vue de sa transmission à un équipement d'un site non clinique via un réseau de communication, ledit objet 25 comprenant une image d'origine et au moins une première métadonnée identifiante dans au moins un champ d'informations non chiffrées, ledit procédé comprenant les étapes suivantes : Création d'un objet principal dé-identifié comprenant l'image d'origine, ladite création comprenant : o le chiffrement de la au moins une première métadonnée et le stockage de la au moins 30 une première métadonnée chiffrée dans au moins un champ d'information chiffrée dudit objet ; o l'obtention d'au moins une deuxième métadonnée distincte de la première métadonnée et son stockage dans le au moins un champ d'informations non chiffré 11- de l'objet principal dé-identifié, à la place de la au moins une première métadonnée Création d'un objet d'informations médicales, dit objet accessoire de l'objet principal, comprenant la au moins une première métadonnée de rattachement de l'objet principal dans 5 un champ d'information non chiffrée, au moins une métadonnée de référence à l'image d'origine dans un champ d'information non chiffrée et ne comprenant pas d'image ; Création d'un objet accessoire dé-identifié, ladite création comprenant : o Le chiffrement de la au moins une métadonnée de référence ; o La recopie de la au moins une métadonnée de référence chiffrée dans un champ 10 d'information chiffrée correspondant de l'objet accessoire dé-identifié; o La recopie de la au moins une première métadonnée chiffrée de l'objet principal dé-identifié dans au moins un champ d'information chiffré de l'objet accessoire dé-identifié ; et o La recopie de la au moins une deuxième métadonnée dans le au moins un champ 15 d'information non chiffrée correspondant de l'objet accessoire dé-identifié . L'invention propose ainsi une dé-identification d'un objet principal conteneur d'une image d'origine qui maintient une association entre les premières métadonnées identifiantes associées l'image d'origine dans l'objet principal A et des deuxièmes métadonnées, de valeurs factices, qui les remplacent dans l'objet principal dé-identifié. 20 Dans ce mode de réalisation de l'invention, cette association est stockée dans un objet conteneur supplémentaire, accessoire de celui de l'image d'origine, qui respecte les contraintes de format normatives. Ce conteneur ne contient pas d'image, il est donc de petite taille et peu coûteux à transmettre vers le site clinique. Ce deuxième conteneur anonymisé est avantageusement transmis avec celui de l'image d'origine 25 vers l'équipement de destination du site non clinique, de façon à maintenir l'association de métadonnées à proximité du conteneur dé-identifié de l'image d'origine. Il permet d'éviter un stockage local de cette association au niveau du site clinique, qui n'est pas autorisé pour des raisons de confidentialité. En particulier, le site clinique n'est pas autorisé à stocker une copie de l'objet conteneur dé-identifié de l'image d'origine qu'il a transmis à un site non clinique. 30 L'invention s'appuie donc sur une approche tout-à-fait nouvelle et inventive de la dé-identification d'informations médicales, qui va à l'encontre de l'art antérieur, pour permettre de préserver le lien entre les métadonnées associées à l'image dans le conteneur d'origine et dans le conteneur 12 anonymisé, sans compromis sur la protection des données personnelles ni modification du format normatif du conteneur d'images. Selon un aspect de l'invention, la au moins une deuxième métadonnée identifiante est stockée dans une mémoire locale suite à l'étape de dé-identification de l'objet principal. 5 De cette manière, on dispose de la ou les valeurs de deuxième métadonnée factice lors de la dé- identification de l'objet accessoire (KOS'). De façon alternative, la au moins une deuxième métadonnée est obtenue par application d'une fonction de hashage à la au moins une première métadonnée identifiante et cette fonction est appliquée au cours des étapes de dé-identification respectives de l'objet principal et de l'objet 10 accessoire. Un avantage est qu'il n'est pas nécessaire de stocker les deuxièmes métadonnées entre les deux étapes de création, puisque la fonction de hashage garantit d'obtenir la reproductibilité de l'opération. De façon correspondante, l'invention concerne également un dispositif de dé-identification d'un objet d'informations médicales, dit objet principal par un équipement d'un site clinique en vue de sa 15 transmission à un équipement d'un site non clinique via un réseau de communication, ledit objet comprenant une image d'origine et au moins une première métadonnée associée, ledit dispositif comprenant une machine de calcul dédiée à ou configurée pour : Créer un objet principal dé-identifié comprenant : o le chiffrement de la au moins une première métadonnée identifiante et le stockage 20 de la au moins une première métadonnée chiffrée (dans au moins un champ d'information dudit objet ; o la recopie de la au moins une deuxième métadonnée dans le au moins un champ d'informations non chiffré de l'objet principal dé-identifié; o le stockage de la au moins une image dans l'objet principal dé-identifié ; 25 Créer un objet d'informations médicales, dit accessoire de l'objet principal, comprenant la au moins une première métadonnée identifiante de l'objet principal dans un champ d'information non chiffrée et ne comprenant pas d'image ; -Créer un objet -accessoire dé-identifié, comprenant : o chiffrer la au moins une métadonnée de référence ; 30 o recopier la au moins une métadonnée de référence chiffrée dans un champ d'information chiffrée correspondant de l'objet accessoire dé-identifié; 13 o recopier la au moins une première métadonnée chiffrée de l'objet principal dé-identifié dans au moins un champ d'information chiffré de l'objet accessoire dé-identifié ; et o recopier la au moins une deuxième métadonnée dans le au moins un champ 5 d'information non chiffrée correspondant de l'objet accessoire dé-identifié. Ce dispositif est adapté pour mettre en oeuvre le procédé de dé-identification d'un objet principal selon l'invention tel que défini ci-dessus. Il pourra bien sûr comporter les différentes caractéristiques relatives au procédé selon l'invention. Ainsi, les caractéristiques et avantages de ce dispositif sont les mêmes que ceux du procédé de dé-identification, et ne sont pas détaillés 10 plus amplement. Selon un mode particulier de réalisation de l'invention, un tel dispositif est compris dans un équipement de communication du site clinique, par exemple un ordinateur ou PC (pour « personal computer », en anglais), une tablette, un téléphone intelligent (pour « smartphone », en anglais) ou tout autre équipement terminal disposant de moyens de connexion au site clinique. 15 Selon l'invention, un tel équipement de communication est apte à émettre et recevoir un objet d'information médicales dans ou d'un réseau de communication et il comprend le dispositif de ré-identification d'un objet d'informations médicales qui vient d'être décrit. Avantageusement, il comprend en outre un dispositif de dé-identification d'un objet d'informations médicales selon l'invention qui vient d'être décrite. 20 L'invention concerne aussi un programme d'ordinateur comportant des instructions pour la mise en oeuvre des étapes d'un procédé de ré-identification d'un objet d'informations médicales tel que décrit précédemment, lorsque ce programme est exécuté par un processeur. 25 L'invention concerne aussi un programme d'ordinateur comportant des instructions pour la mise en oeuvre des étapes d'un procédé de dé-identification d'un objet d'informations médicales tel que décrit précédemment, lorsque ce programme est exécuté par un processeur. Ces programmes peuvent utiliser n'importe quel langage de programmation. Ils peuvent être téléchargés depuis un réseau de communication et/ou enregistrés sur un support lisible par 30 ordinateur. 14 L'invention se rapporte enfin à des supports d'enregistrement, lisible par un processeur, intégrés ou non au dispositif de ré-identification et au dispositif de dé-identification selon l'invention, éventuellement amovible, mémorisant un programme d'ordinateur mettant en oeuvre les procédés de ré-identification et de dé-identification selon l'invention, tels que décrits précédemment. 5 5. Liste des figures D'autres avantages et caractéristiques de l'invention apparaîtront plus clairement à la lecture de la description suivante d'un mode de réalisation particulier de l'invention, donné à titre de simple exemple iliustratif et non limitatif, et des dessins annexés, parmi lesquels : 15 la figure 1 décrit de façon schématique une opération de dé-identification d'un objet d'informations médicales A en un objet d'informations médicales A' dé-identifié selon l'art antérieur ; - la figure 2 illustre de façon schématique les échanges entre un équipement de communication 5 d'un site clinique et un équipement de communication d'un site non clinique selon l'art antérieur ; - la figure 3 décrit de façon schématique une opération de ré-identification d'un objet d'informations médicales A' en un objet d'informations médicales A selon l'art antérieur ; - la figure 4 illustre de façon schématique les étapes d'un procédé de ré-identification d'un 10 objet d'informations médicales dé-identifié dérivé, selon l'invention ; les figures 5 à 7 détaillent de façon schématique l'étape d'obtention d'une association entre au moins une nnétadonnée de rattachement extraite de l'objet dérivé et une nnétadonnée de rattachement chiffrée à partir d'un deuxième objet médical dé-identifié selon trois variantes de réalisation de l'invention ; 15 - la figure 8 illustre de façon schématique un objet d'informations médicales accessoire d'un autre objet médical ; - la figure 9 décrit les étapes d'un procédé de dé-identification d'un objet d'informations médicales selon un premier mode de réalisation de l'invention ; - la figure 10 illustre un exemple de dé-identification selon ce premier mode de réalisation de 20 l'invention ; - la figure 11 illustre un exemple de ré-identification d'un objet dérivé selon ce premier mode de réalisation de l'invention, lorsque le deuxième objet est l'objet accessoire KOS' ; - la figure 12 illustre un exemple de ré-identification d'un objet dérivé selon ce premier mode de réalisation de l'invention, lorsque le deuxième objet est l'objet principal A' ; 25 - la figure 13 décrit le procédé de ré-identification d'un objet d'informations médicales selon un deuxième mode de réalisation de l'invention ; - la figure 14 illustre un exemple de ré-identification d'un objet dérivé selon ce deuxième mode de réalisation de l'invention, lorsque le deuxième objet est l'objet principal A'; - la figure 15 illustre un exemple de ré-identification d'un objet dérivé selon ce deuxième mode 30 de réalisation lorsque le deuxième objet est l'objet accessoire KOS'; et 16 la figure 16 décrit de façon schématique la structure matérielle d'un dispositif de dé-identification d'un objet d'informations médicales et la structure matérielle d'un dispositif de ré-identification d'un objet d'informations médicales selon un mode de réalisation de l'invention. 5 6. Description d'un mode de réalisation particulier de l'invention L'invention concerne la ré-identification par un site clinique d'un objet d'informations médicales, reçu d'un site non clinique et comprenant une image dérivée d'une image d'origine, cette image d'origine ayant été initialement transférée par le site clinique au site non clinique dans un 10 objet d'informations médicales dé-identifié. Le principe de l'invention repose sur l'utilisation d'une association de nnétadonnées contenue dans un deuxième objet d'informations médicales, lui aussi disponible au niveau du site non clinique. Dans la suite, on désigne par champs de nnétadonnées correspondants des champs qui ne sont pas forcément désignés par le même nom ou intitulé, mais sont sensiblement équivalents en ce qu'ils 15 contiennent des nnétadonnées de même type. Par exemple, on considère qu'un champ d'identification d'une image dans un objet, intitulé par exemple « SOPInstanceUID » selon la norme DICOM, correspond à un champ de référence à l'identification d'une image dans un objet, intitulé par exemple « ReferencedSOPIntanceUID », selon la même norme. En relation avec la Figure 4, on décrit les étapes d'un procédé de ré-identification d'un objet dérivé 20 B' selon un premier mode de réalisation de l'invention. Ce procédé est destiné à être mis en oeuvre suite à l'obtention de l'objet dérivé B' par un équipement de communication CSE du site clinique. Au cours d'une étape El, l'objet dérivé B' est obtenu. Il est reçu d'un équipement de communication NCSE du site non clinique. Cet objet a été créé par le site non clinique pour contenir une image dérivée I'. Il ne comprend pas de nnétadonnées chiffrées car il n'a pas subi de dé-identification côté 25 site clinique. Cette réception déclenche en E2 une lecture de la séquence de champs d'informations non chiffrées SINCB, de l'objet B', qui comprend notamment au moins une première nnétadonnée de rattachement MRB, telle que le nom du patient ou sa date de naissance ou encore un identifiant d'étude et/ou un identifiant de séries dans cette étude. On rappelle que cette séquence comprend nécessairement une nnétadonnée d'identification IDB, de l'image dérivée I' contenue dans l'objet B', 30 qu'elle est contenue dans un champ d'identification d'image (pour « SOPInstanceUID", en anglais), 17 et qu'elle n'est pas considérée comme une nnétadonnée de rattachement, car elle est propre à l'image dérivée I'. En E3, on obtient une association entre la au moins une première nnétadonnée de rattachement et au moins une deuxième nnétadonnée de rattachement chiffrée MR2,,h, ladite association étant 5 contenue dans un deuxième objet d'informations médicales dé-identifié disponible au niveau du site non clinique. En E4, on créé un objet dérivé ré-identifié comprenant l'image dérivée, à partir de la au moins une deuxième nnétadonnée de rattachement obtenue. Plusieurs variantes de réalisation de cette étape d'obtention E3 sont envisagées. Elles vont 10 maintenant être présentées en relation avec les Figures 5 à 7. Selon une première variante, en relation avec la Figure 5, l'étape d'obtention E3 comprend une réception E31 d'un deuxième objet d'informations médicales C' en provenance de l'équipement NCSE. En E32, la séquence de champs non chiffrés SINC de l'objet C' est lue et au moins une nnétadonnées de rattachement MRc, qu'elle contient est extraite. En E33, la au moins une nnétadonnée de 15 rattachement MRc, est comparée à la au moins une nnétadonnée de rattachement MRB, de l'objet dérivé B' à ré-identifier. Avantageusement, chacune des premières nnétadonnées MRB, de l'objet B' est comparée à toutes les nnétadonnées MRc, de l'objet C' dans le but de trouver une correspondance. Si une correspondance est établie en E34, alors on considère que l'objet C' et l'objet B' sont liés à un 20 même dossier patient et on va lire la ou les nnétadonnées de rattachement chiffrées MRC,ch contenues dans la séquence de champs chiffrés SIC de l'objet C'. En E35, elles sont déchiffrées. Ces nnétadonnées de rattachement déchiffrées MRc sont de nature à identifier un patient, une étude et/ou encore une série associée à l'image d'origine I, à partir de laquelle l'image dérivée I' a été obtenue. Sinon, si aucune correspondance n'a pu être établie, alors on se met en attente de réception d'un 25 autre objet médical dé-identifié en provenance de l'équipement de communication NCSE. On notera que si l'objet B' ne comprend qu'une première nnétadonnée MRB, ou qu'une sous-partie des nnétadonnées de la séquence SINCB,, alors la précision du rattachement dépend du type des nnétadonnées disponibles. Par exemple, si une seule nnétadonnée MRB, est disponible et qu'il s'agit de l'identifiant de la série d'images, alors le rattachement de l'image dérivée I' sera précis. En 18 revanche, si la seule nnétadonnée disponible est l'identifiant d'étude, on pourra remonter à l'étude dont est issue l'image d'origine I mais on ne peut pas garantir que le rattachement à la série identifiée par la nnétadonnée correspondante du deuxième objet soit correct. Selon une deuxième variante, en relation avec la Figure 6, l'obtention comprend l'émission d'une 5 requête E30' d'obtention d'un deuxième objet d'informations médicales C' à destination de l'équipement de communication NCSE. Cette requête comprend au moins une nnétadonnée de rattachement MRB, extraites de l'objet B'. En réponse, un deuxième objet dé-identifié C' est reçu en E31'. Il comprend dans sa séquence SINc, la au moins une nnétadonnée MRB, transmise dans la requête. En E32', la au moins une nnétadonnée de rattachement chiffrée correspondante contenue 10 dans la séquence de champs SICc, est lue puis déchiffrée en E4. Ce mode de réalisation correspond à la mise en oeuvre d'une transmission en mode pull, par exemple à l'aide d'un message de type WADO tel que spécifié par la norme DICOM. On notera que, selon cette deuxième variante, si l'objet B' ne comprenait qu'une seule nnétadonnée de rattachement, par exemple le nom du patient, ou une sous-partie des nnétadonnées de 15 rattachement de la séquence SINC, alors la réponse à la requête pourrait comprendre plusieurs objets C' au sein desquels il conviendrait d'en choisir un. Dans un tel cas, seules les nnétadonnées relatives au « patient », telles que son identifiant, son nom ou sa date de naissance pourront être correctement initialisées, à partir des nnétadonnées d'un de ces objets C' et une solution pour obtenir un objet B conformément ré-identifié serait de créer une nouvelle étude, à laquelle le rattacher. 20 Selon une troisième variante, en relation avec la Figure 7, l'obtention comprend l'émission E31" d'une requête d'obtention d'au moins une nnétadonnée de rattachement chiffrée associée à au moins une nnétadonnée de rattachement MRB, extraite de l'objet dérivé B'. Avantageusement, elle comprend au moins le type de la nnétadonnée de rattachement comprenant l'identifiant de l'étude à laquelle se rapporte l'image d'origine I et dont dérive l'image I'. Sur réception en E31" d'au moins une 25 nnétadonnée chiffrée MRc,ch répondant à la requête, elle est transmise à l'étape E4 de déchiffrement. Ce mode de réalisation correspond à la mise en oeuvre d'une transmission sélective, d'une ou plusieurs nnétadonnées plutôt que d'un objet entier, en mode pull, par exemple à l'aide d'un message de type WADO sélectif, tel que spécifié par la norme DICOM. Les nnétadonnées chiffrées MRc,ch reçues comprennent au moins la nnétadonnée chiffrée de même 30 type que celle spécifiée dans la requête. Toutefois, on notera que cette requête d'extraction partielle de l'objet C', permet généralement d'extraire l'intégralité de sa séquence chiffrée SICc'. 19 Dans l'exemple de la Figure 4, l'étape E4 comprend en El un déchiffrement de la ou les nnétadonnées MRc obtenues. Dans le cas où l'intégralité de la séquence SICc, est déchiffrée, au moins la nnétadonnée correspondant à celle requise est extraite de la séquence déchiffrée. Dans le cas où il s'agit de l'identifiant de l'étude, d'autres nnétadonnées de rattachement, telles que l'identifiant du 5 patient, son nom ou sa date de naissance peuvent avantageusement être extraites pour être ensuite ajoutées à l'objet ré-identifié B. En effet, il existe un lien d'inclusion entre ces nnétadonnées, qui garantit que l'identifiant d'étude ne peut être rattaché qu'à un seul identifiant de patient. De la sorte, si jamais l'identifiant de patient n'a pas été reporté par le module de traitement de l'image d'origine I dans l'objet dérivé créé B', il peut être récupéré lors de sa ré-identification, sans risque d'erreur de 10 rattachement. Au contraire, si l'identifiant de série n'est pas disponible dans les nnétadonnées MRB,, l'identifiant de série déchiffré issu de la séquence SICc, ne doit pas être recopié dans l'objet dérivé ré-identifié B, car l'étude en question peut inclure plusieurs séries et on ne peut pas garantir que l'identifiant de série obtenu corresponde à la série dont est réellement issue l'image d'origine I. En E42, les nnétadonnées déchiffrées extraites sont recopiées dans les champs correspondants de la 15 séquence de nnétadonnées non chiffrées SINCB de ce nouvel objet. L'image dérivée I' est copiée en E43 dans le champ correspondant du nouvel objet B. On obtient ainsi un objet dérivé B comprenant l'image dérivée I' qui est rattaché par au moins une nnétadonnée MRc au dossier patient dont est issue l'image d'origine I. En outre, si le site non clinique dispose en mémoire de plusieurs objets C' comprenant la au moins 20 une nnétadonnée de rattachement MRA, spécifiée dans la requête, alors plusieurs options sont envisagées. Selon une première option, la réponse comprend un des objets C' ou la séquence de nnétadonnées chiffrées SICc, d'un des objets C' répondant à la requête, ce qui permet de récupérer au moins la ou les nnétadonnées chiffrées correspondant aux nnétadonnées de rattachement MRA' requises. Selon une deuxième option, tous les objets C' répondant à la requête ou bien toutes les 25 séquences chiffrées sont transmises dans la réponse. Selon l'invention, le deuxième objet C' qui vient d'être présenté, porteur de l'association entre au moins une nnétadonnée de rattachement non chiffrée de l'objet dérivé B' et au moins une nnétadonnée de rattachement chiffrée MRA,ch de l'objet principal A', peut-être de différents types. Selon une première variante, le deuxième objet C' est l'objet A'. Un avantage est que cet objet A' 30 est le résultat de la dé-identification de l'objet A comprenant l'image d'origine I. Il est nécessairement transmis au site non clinique en vue du traitement de l'image I et comprend dans sa séquence de 20 champs chiffrés SIC toutes les nnétadonnées de rattachement de l'image I, telles que l'identifiant d'étude et l'identifiant de série auxquelles l'image d'origine appartient. Selon une deuxième variante, le deuxième objet C' est un objet, dit accessoire KOS', distinct de A', qui ne contient pas d'image, mais au moins une référence ou pointeur sur l'image d'origine I de 5 l'objet principal A. Par exemple, cet objet est de type « Sélection d'Objet Clé » (pour « Key Object Selection », en anglais), comme spécifié dans la norme DICOM (P53-3 « A.35.4 Key Object Selection Document IOD »). La référence à l'image I de l'objet A est stockée dans une nnétadonnée de référence à une instance, intitulée « ReferencedSOPInstanceUID », dans un champ d'information chiffrée de la séquence SICKos,. Ce format d'objet a été prévu par la norme pour étiqueter ou 10 « flagger » une ou plusieurs images d'une même série voire d'une même étude. Selon l'invention, son usage est détourné pour stocker l'association entre les nnétadonnées de rattachement non chiffrées de l'objet B' issues de l'objet A' et les nnétadonnées de rattachement correspondantes chiffrées de l'objet A', issues de l'objet A. En relation avec la Figure 8, on a représenté un exemple d'objet accessoire KOS' selon l'invention. 15 Il comprend une telle association entre A' et A. Un avantage de cet objet accessoire est sa petite taille, du fait qu'il ne contient pas d'image. Ceci présente un intérêt particulier dans les premier et deuxième modes de réalisation de l'invention, selon lesquels le deuxième objet C' est transmis dans son intégralité du site non clinique au site clinique. On notera que cet objet accessoire KOS' est issu du site clinique et qu'il a nécessairement été 20 transmis par l'équipement CSE à l'équipement NCSE du site non clinique dans une étape préalable. Un avantage supplémentaire important est que ce type d'objet peut contenir de multiples références à d'autres objets, par exemple les références aux objets conteneurs de plusieurs images d'une même série ou de plusieurs séries d'une même étude, et que dans le cas, fréquent, où les opérations de dé-identification, traitement et ré-identification concernent toutes les images d'une série ou de 25 plusieurs séries au sein d'une même étude, un seul objet KOS permet de gérer la ré-identification de l'ensemble des objets dérivés du traitement. En relation avec la Figure 9, on décrit maintenant un procédé de dé-identification d'un objet principal porteur d'une image d'origine I selon cette deuxième variante du premier mode de réalisation de 30 l'invention. On dispose côté site clinique d'un objet principal A, comprenant l'image I stockée dans une séquence de champs de nnétadonnées non identifiantes SINIA, un identifiant d'image IA et au moins une nnétadonnée de rattachement MRA. 21 La Figure 10 illustre de façon schématique la structure de l'objet principal A et des autres objets A', KOS et KOS' créés à partir de l'objet principal A selon ce mode de réalisation de l'invention. Une première phase de ce procédé englobant les étapes Ti à T3 concerne la création de l'objet 5 accessoire KOS. En Ti, on crée un nouvel objet KOS, dit accessoire de l'objet A. Il possède un identifiant d'image IDKos qui lui est propre. En T2, on extrait l'identifiant IDA de l'image I dans l'objet A et les nnétadonnées de rattachement MRA de l'objet principal A et on les stocke temporairement dans une mémoire locale Ml. On recopie les nnétadonnées de rattachement MRA dans les champs correspondants de la séquence SINCKos de l'objet KOS. En T3, on recopie l'identifiant d'image IDA 10 dans le champ de la nnétadonnée de référence à une instance de l'objet accessoire KOS, intitulé « ReferencedSOPInstanceUID ». Par exemple, ce champ appartient à une séquence SRNCKos de champs de nnétadonnées de référence non chiffrées qui fait suite à la séquence SINCKos. On note que l'objet KOS ainsi créé ne contient pas d'image, mais comprend un pointeur sur l'image I de l'objet A. 15 Au cours d'une deuxième phase englobant les étapes T4 à T9, on réalise une dé-identification de l'objet A, connue de l'homme de métier. En T4, on crée un nouvel objet A'. Il comprend un identifiant d'image IDA, qui lui est propre. En T5, on extrait de l'objet A ou bien on lit dans la mémoire Ml, l'identifiant IDA de l'image I dans l'objet A et les nnétadonnées de rattachement MRA qui lui sont associées. En T6, elles sont chiffrées selon une méthode connue, par exemple basée sur une clé 20 publique. Les nnétadonnées chiffrées IDA,ch et MRA,ch sont recopiées en T7 dans une séquence de champs chiffrés SICA, de l'objet A'. Avantageusement elles sont stockées temporairement dans une mémoire locale M2 pour un usage ultérieur. En T8, on obtient au moins une nnétadonnée de rattachement MRA, pour l'objet dé-identifié A', de valeur factice. Par exemple, sa valeur est obtenue de façon aléatoire ou bien par le moyen d'une fonction de hashage, de façon connue de l'homme de 25 métier et par exemple selon la technique SHA1 spécifiée dans le document RFC3174 de l'organisme de normalisation IETF (pour « Internet Engineering Task Force », en anglais), par Eastlake et al. en septembre 2001. Dans les deux cas, le format de la valeur obtenue doit être conforme à celui de la nnétadonnée MRA,. On note que dans le cas où la valeur de la nnétadonnée MRA, est obtenue aléatoirement, elle est 30 stockée temporairement dans une mémoire locale M3 pour un usage ultérieur, ce qui n'est pas nécessaire lorsqu'on a recours à une fonction de hashage. En T9, on recopie la ou les valeurs obtenues dans le ou les champs non chiffrés correspondants de la séquence SINCA, de l'objet dé-identifié A'. 22 Au cours d'une troisième phase, on dé-identifie l'objet accessoire KOS. En T11, on crée un nouvel objet accessoire KOS'. Il possède un identifiant d'image IKos- qui lui est propre. En T12, on extrait l'identifiant d'image IKOS, de l'objet KOS, les nnétadonnées de rattachement MRA de la séquence SINCKos et la nnétadonnée RefIDA=IDA de référence à l'image d'origine I de la séquence SRNCKos ou 5 bien on les lit dans la mémoire M1 et on les chiffre à l'aide d'une clé publique, de façon connue en soi. De façon alternative, on peut aussi récupérer les nnétadonnées IDA,ch et MRA,ch déjà chiffrées au cours de l'étape T7, pourvu qu'elles aient été stockées par exemple dans la mémoire M2. En T13, on recopie l'identifiant d'image chiffré IKos,ch et les nnétadonnées chiffrées MRA,ch dans la séquence de champs chiffrés SICKos, de l'objet accessoire KOS'. En T14, on recopie la nnétadonnée 10 RéfiDKos, ADA,ch dans un champ correspondant d'une séquence de nnétadonnées de référence chiffrées SRCKos,. En T15, on obtient les nnétadonnées de rattachement MRA, stockées dans la séquence de champs non chiffrés SINCA, de l'objet A' et on les recopie dans les champs correspondants de la séquence SINCKos,. Selon une première option, on va lire leurs valeurs directement dans l'objet dé-identifié A', ce qui implique que cet objet n'ait pas encore été transmis 15 à l'équipement NCSE du site non clinique. En effet, cet objet ne peut pas être stocké en mémoire dans le site clinique qui n'a pas vocation à le faire pour des objets dé-identifiés, destinés à un environnement de recherche. Selon une deuxième option, les nnétadonnées MRA' ont été temporairement stockées dans une mémoire M3 et sont lues directement dans cette mémoire. On note que, dans ce cas, elles seront effacées une fois que le procédé n'en aura plus besoin. 20 On obtient ainsi un objet dé-identifié KOS' qui contient une association entre des nnétadonnées de rattachement MRA de l'objet A, stockées sous forme chiffrée dans la séquence de champs chiffrés SICKos, et des nnétadonnées de rattachement MRA' de l'objet A', stockées dans la séquence de champs non chiffrées SINCKos,. Il est donc à la fois accessoire des objets principaux A et A'. En T16, les deux objets dé-identifiés A' et KOS' sont transmis à l'équipement de communication 25 NCSE du site non clinique. On notera qu'ils peuvent être transmis indépendamment l'un de l'autre, de façon non simultanée. Selon une variante, le site clinique prévoit de transmettre au site non clinique plusieurs images II., avec N entier supérieur ou égal à 2, de la même série d'images à laquelle appartient l'image = I. Dans ce cas, un seul objet KOS' peut être avantageusement exploité pour transporter 30 l'association de nnétadonnées nécessaire à la ré-identification d'objets dérivés de A et d'autres images de la série, selon l'invention. Le procédé qui vient d'être décrit est adapté de la façon suivante : 23 - L'objet accessoire KOS créé au cours de la première phase, inclut une référence réfIlDii, réfIDI2, réfIDIN à chacune des images I,I2,...IN dans la séquence SRNCKos. Par exemple, elles sont stockées les unes à la suite des autres selon l'ordre des images dans la séquence; - Les objets Al, A2, AN sont dé-identifiés au cours de la deuxième phase comme déjà décrit 5 en relation avec la Figure 9 ; - L'objet accessoire KOS' est dé-identifié au cours de la troisième phase comme déjà décrit. Les références réfIlDii, réfIDI2, réfIDIN sont chiffrées et recopiées dans les champs correspondants de la séquence SRCKos,. Les identifiants IDA,i, IDA,2...IDA,N sont recopiés dans les champs correspondants de la séquence de nnétadonnées non chiffrées SRNCKos,. Les 10 nnétadonnées M RA' étant communes à toutes les images de la séquence, l'étape T9 de recopie de ces nnétadonnées de l'objet A' dans la séquence de nnétadonnées non chiffrées SINCKos' est inchangée. L'objet dé-identifié KOS' et les N objets dé-identifiés A1,,A2,...AN, peuvent être transmis ensemble ou séparément, en une ou plusieurs opérations de transfert, en utilisant par exemple le service STOW, 15 qui a été évoqué précédemment. En relation avec la Figure 11, on détaille maintenant un premier exemple de mise en oeuvre du procédé de ré-identification d'un objet B' dérivé de l'objet A', selon le premier mode de réalisation de l'invention et reçu par un équipement CSE du site clinique en provenance d'un équipement NCSE 20 du site non clinique, décrit en relation avec les figures 4 à 7. L'objet dérivé B' a été produit par un module de traitement d'images MTI du site non clinique. Il contient une image I' résultant de ce traitement. L'objet B' est reçu par l'équipement CSE du site clinique, ce qui déclenche la mise en oeuvre du procédé de traitement selon l'invention, qui vise à rattacher l'image I' à un objet d'informations médicales d'un patient hébergé par le site clinique. Plus 25 précisément, il s'agit de ré-identifier l'objet B' en créant un objet B comprenant l'image dérivée I' et des nnétadonnées de nature à rattacher l'image I au dossier patient dont est issue l'image I. Selon l'invention, ce rattachement est réalisé à partir d'un deuxième objet, dit C', disponible au niveau du site non clinique. Comme déjà évoqué en relation avec les figures 4 à 7, ce deuxième objet C' peut être effectivement reçu par l'équipement CSE ou bien il est rendu disponible côté site 30 non clinique et l'équipement CSE requiert l'extraction de certaines nnétadonnées qu'il contient. Dans l'exemple de la Figure 11, on considère que cet objet C' est l'objet accessoire dé-identifié KOS' précédemment décrit en relation avec la figure 8 et qu'il a été reçu par l'équipement CSE. Les nnétadonnées de rattachement MRB, stockées dans la séquence non chiffrée SINCB, de l'objet B' sont lues. 24 Dans cet exemple, elles comprennent un identifiant d'étude, un identifiant de série, un identifiant de patient, un nom de patient et une date de naissance du patient. L'équipement CSE extrait les nnétadonnées MRKos, stockées dans la séquence non chiffrée SINCKos' de l'objet KOS' et les compare aux nnétadonnées MRB,. Si elles correspondent, c'est-à-dire si les 5 valeurs des nnétadonnées MRB, se retrouvent dans les champs correspondants MRKos,, alors l'objet KOS' est considéré comme accessoire de l'objet A issu du site clinique et contenant l'image d'origine I à partir de laquelle l'image I' a été produite. Un déchiffrement des nnétadonnées stockées dans la séquence de champs chiffrés SICKos, de l'objet KOS' est alors mis en oeuvre. Il s'appuie sur une technique connue en soi qui repose sur l'utilisation d'une clé privée associée à la clé publique utilisée 10 pour chiffrer les nnétadonnées, par exemple selon la méthode AES (pour « Advance Encryption Standard », en anglais) décrite dans le document RFC3268 de Chown, publié en juin 2002, par l'IETF. Les nnétadonnées déchiffrées comprennent un identifiant IDA de l'image dérivée I issue de l'objet A et des nnétadonnées MRKos,. Selon l'invention, ces nnétadonnées contiennent les valeurs des 15 nnétadonnées MRA associées à l'image d'origine I et issues de l'objet principal A qui contient cette image. Un objet B est créé. Les nnétadonnées MRA déchiffrées correspondant à celles présentes dans la séquence SINCB, sont donc recopiées dans les champs correspondants de la séquence SICB. L'image I' est recopiée dans le champ SINI de l'objet B. L'identifiant IDA identifie l'image d'origine I, mais il ne peut être associé à aucune nnétadonnée de l'objet dérivé B'. En effet le champ 20 correspondant « SOPInstanceUID » de l'objet B' comprend un identifiant de l'image dérivée I' attribué par le site non clinique à l'objet B'. On ne peut donc pas savoir si l'image dérivée I' résulte du traitement de cette image I ou d'une autre image de la série. Il en résulte qu'on ne peut pas exploiter cette nnétadonnée IDA. En revanche, vu qu'on on dispose ici de l'identifiant de série, l'invention permet de rattacher l'image 25 I' directement et automatiquement à la série dont est issue l'image I. On comprend que ce rattachement est le plus précis qui puisse être obtenu à partir des nnétadonnées de rattachement MRA obtenues dans cet exemple. Comme déjà évoqué, dans le cas où l'identifiant d'étude est présent dans les nnétadonnées de rattachement MRB,, mais pas l'identifiant de série, l'invention rattache l'image dérivée de l'objet B' à 30 l'étude identifiée par l'identifiant d'étude chiffré de l'objet C', de façon à éviter toute erreur. La Figure 12 illustre un deuxième exemple de mise en oeuvre du procédé de ré-identification d'un objet B' dérivé de l'objet A' à partir d'un objet C' qui correspond à l'objet A'. Comme précédemment décrit, l'objet A' associe par nature des premières nnétadonnées de rattachement non chiffrées MRA, 25 à des deuxièmes nnétadonnées de rattachement chiffrées MRA. Le procédé de ré-identification selon l'invention s'applique de façon similaire au cas précédent et ne sera pas décrit plus avant. De façon similaire, si l'identifiant de série IDSA est une nnétadonnée de rattachement disponible dans l'objet dérivé B', alors l'invention permet un rattachement direct et automatique de l'objet B ré-identifié à 5 la série dont est issue l'image I. En relation avec les Figures 13, 14 et 15, on décrit maintenant un deuxième mode de réalisation de l'invention. On suppose maintenant que le module de traitement d'image MTI du site non clinique est agencé pour stocker, dans un champ de l'objet dérivé B', la valeur de la nnétadonnée IDA, 10 d'identification de l'image d'origine I dans l'objet dé-identifié A'. Par exemple, cette valeur, qu'on désignera par réfIDA, est stockée dans un champ de référence à un identifiant d'image de l'objet dérivé B', par exemple intitulé « ReferencedSOPInstanceUID » dans la norme DICOM. 15 En relation avec la Figure 13, sur réception de l'objet B', l'équipement de communication CSE du site clinique, déclenche la mise en oeuvre du procédé de traitement qui vient d'être décrit en relation avec les Figures 4 à 7. Selon ce deuxième mode de réalisation, l'étape E' est similaire à l'étape El déjà décrite. L'étape E2' d'obtention de nnétadonnées contenues dans l'objet dérivé B' comprend non seulement l'extraction déjà décrite des nnétadonnées MRB, de la séquence SINCB, de l'objet B', mais 20 aussi celle de la nnétadonnée supplémentaire réfIDA, stockée dans le champ « ReferencedSOPInstanceUID » d'une séquence de nnétadonnées de référence non chiffrées SRNCB,. Au cours de l'étape E3', le procédé de ré-identification obtient l'association entre les nnétadonnées de rattachement MRB,, réfIDA, extraites et des nnétadonnées chiffrées MRA,ch de l'objet A contenues dans des champs correspondants d'une séquence de champs chiffrés SICc' objet C'. 25 En relation avec la Figure 14, lorsque l'objet C' est l'objet A', alors la nnétadonnée supplémentaire réfIDA, de l'objet B' correspond à la valeur de la nnétadonnée stockée dans le champ non chiffré « SOPInstanceUID », qui comprend l'identifiant IDA, de l'image I dans l'objet A'. Cette nnétadonnée supplémentaire de l'objet B' est donc avantageusement comparée en E2' aux nnétadonnées de champs correspondants de la séquence de champs SINCc, de l'objet C' comme décrit en relation avec 30 les Figures 5 et 6, ou encore spécifiée dans une requête d'extraction sélective des nnétadonnées chiffrées de l'objet A' comme décrit en relation avec la Figure 7. En E3', on obtient les nnétadonnées chiffrées MRA, ch stockées dans la séquence SICA, de l'objet A'. Dans ce cas, le champ correspondant à celui de la nnétadonnée supplémentaire réfIDA, est le champ SOPInstanceUID de la séquence chiffrée SICA, de l'objet A' qui comprend l'identifiant d'image d'origine IDA,ch dans l'objet principal A. 26 En E4', les nnétadonnées obtenues sont déchiffrées. En E5', l'objet B est créé avec un champ « ReferencedSOPInstanceUID ». En E6', les nnétadonnées MRA déchiffrées de même type que les nnétadonnées MRB, sont recopiées dans les champs correspondants de la séquence SINCB. En E7' l'identifiant IDA est recopié dans le champ « ReferencedSOPInstanceUID » de l'objet B. 5 En relation avec la Figure 15, lorsque l'objet C' est l'objet KOS', la nnétadonnée supplémentaire réfIDA, extraite en E2' de l'objet dérivé B' ne trouve pas de correspondance en E3' avec la nnétadonnée stockée dans le champ non chiffré « SOPInstanceUID » de l'objet KOS', qui comprend dans ce cas l'identifiant IDKos, de l'image I' dans l'objet KOS', mais avec celle du champ non chiffré « ReferencedSOPInstanceUID » de la séquence de nnétadonnées de référence SRNCKos'. 10 La présence de cette nnétadonnées supplémentaire réfIDA, dans l'objet B' déclenche au niveau de l'étape E4' le déchiffrement du champ IDA identifiant l'image A dans la séquence SICKos de l'objet C', en plus des champs correspondants aux nnétadonnées de rattachement MRB, issues de l'objet KOS'. Ainsi, suite à la création de l'objet B en E4, l'étape E5 recopie non seulement les nnétadonnées MRA déchiffrées dans les champs correspondants de la séquence de champs non chiffrés SINCB de l'objet 15 B, mais aussi l'identifiant d'image d'origine IDA à la place de la nnétadonnée réfIDA, dans le champ « referencedSOPInstanceUID » de la séquence SRNCB de l'objet B. Les étapes E5' à E7' sont inchangées. De la sorte, avec l'invention, l'objet dérivé porteur de l'image se trouve directement automatiquement rattaché à l'image d'origine I. 20 On notera que l'invention qui vient d'être décrite, peut être mise en oeuvre au moyen de composants logiciels et/ou matériels. Dans cette optique, les termes « module » et « entité », utilisés dans ce document, peuvent correspondre soit à un composant logiciel, soit à un composant matériel, soit encore à un ensemble de composants matériels et/ou logiciels, aptes à mettre en oeuvre la ou les 25 fonctions décrites pour le module ou l'entité concerné(e). En relation avec la Figure 16, on présente maintenant un exemple de structure simplifiée d'un dispositif 100 de ré-identification d'un objet d'informations médicales comprenant une image dérivée d'une image d'origine selon l'invention. Le dispositif 100 met en oeuvre le procédé de ré-identification d'un objet d'informations médicales dérivé selon l'invention qui vient d'être décrit en 30 relation avec les figures 4 à 8. Cette figure 16 illustre seulement une manière particulière, parmi plusieurs possibles, de réaliser les algorithmes détaillés ci-dessus. En effet, la technique de l'invention se réalise indifféremment sur une machine de calcul reprogrannnnable (un ordinateur PC, un processeur DSP 27 ou un nnicrocontrôleur) configurée pour exécuter un programme comprenant une séquence d'instructions, ou sur une machine de calcul dédiée (par exemple un ensemble de portes logiques comme un FPGA ou un ASIC, ou tout autre module matériel). Dans le cas où l'invention est implantée sur une machine de calcul reprogrannnnable, le 5 programme correspondant (c'est-à-dire la séquence d'instructions) pourra être stocké dans un médium de stockage amovible (tel que par exemple une disquette, un CD-ROM ou un DVD-ROM) ou non, ce médium de stockage étant lisible partiellement ou totalement par un ordinateur ou un processeur. Par exemple, le dispositif 100 comprend une unité de traitement 110, équipée d'un 10 processeur pl, et pilotée par un programme d'ordinateur Pgl 120, stocké dans une mémoire 130 et mettant en oeuvre le procédé de selon l'invention. A l'initialisation, les instructions de code du programme d'ordinateur Pgi 120 sont par exemple chargées dans une mémoire RAM avant d'être exécutées par le processeur de l'unité de traitement 110. Le processeur de l'unité de traitement 110 met en oeuvre les étapes du procédé 15 décrit précédemment, selon les instructions du programme d'ordinateur 120. Dans cet exemple de réalisation de l'invention, le dispositif 100 comprend une machine de calcul reprogrannnnable ou une machine de calcul dédiée, apte à et configurée pour : Obtenir OBT. MRA' la au moins une première nnétadonnée MRA, dans le champ d'informations non chiffré de l'objet dérivé ; 20 Obtenir OBT. MRA,ch au moins une deuxième nnétadonnée MRA,ch contenue dans un champ d'information chiffré (correspondant) d'un deuxième objet d'informations médicales dé-identifié A', KOS', ledit deuxième objet comprenant en outre la au moins une première nnétadonnée (MRA,) dans un champ d'informations non chiffrées; Créer CREA. B un objet dérivé B comprenant l'image dérivée I', à partir de la au moins une 25 deuxième nnétadonnée. Avantageusement, la machine de calcul est configurée pour mettre en oeuvre les modes de réalisation de l'invention qui viennent d'être décrits en relation avec les Figures 4 à 15. En particulier, elle est en outre apte à mettre en oeuvre les modes « pull » et « pull sélectif » décrits en relation avec les figures 6 et 7. Elle est aussi apte à traiter n'importe quel type de deuxième 30 objet, pourvu qu'il contienne l'association requise entre les première et deuxième nnétadonnées. Elle est enfin apte, lorsque l'objet dérivé dé-identifié B' comprend en outre une nnétadonnée comprenant 28 une référence à un identifiant réfIDA, de l'image d'origine I, obtenir un identifiant de l'image d'origine IDA dans un champ d'information chiffré du deuxième objet, à déchiffrer ladite nnétadonnée et à recopier la nnétadonnée déchiffrée dans un champ de référence à l'image d'origine de l'objet dérivé B créé. 5 Le dispositif 100 comprend en outre une unité M1 140 de stockage, telle qu'une mémoire, par exemple de type mémoire tampon (pour « buffer », en anglais), apte à stocker par exemple les deuxièmes nnétadonnées MRA, dont les valeurs factices sont recopiées dans les champs non chiffrés de la séquence SINC de l'objet dé-identifié A', en vue de leur utilisation pour la dé-identification de l'objet KOS, accessoire de l'objet A. 10 Ces unités sont pilotées par le processeur p..1 de l'unité de traitement 110. De façon avantageuse, un tel dispositif 100 peut être intégré à l'équipement de communication CSE du site clinique ou à tout autre équipement connecté à ce dernier au sein du site clinique. Le dispositif 100 est alors agencé pour coopérer au moins avec les modules suivants de l'équipement de communication CSE : 15 - un module E/R d'émission/réception de données, par l'intermédiaire duquel un objet d'informations médicales dé-identifié est reçu à ou transmis d'un site non clinique; et - un module de stockage MS d'objets d'informations médicales, tels que par exemple l'objet principal A. L'équipement de communication CSE comprend en outre un dispositif 200 de dé- 20 identification d'un objet d'informations médicales comprenant une image d'origine, dont on présente maintenant un exemple de structure simplifiée. Dans le cas où l'invention récupère l'association entre les nnétadonnées de rattachement de l'objet A et de l'objet A' dans l'objet A', le dispositif 200 met en oeuvre un procédé de dé-identification classique, connu de l'homme de métier. 25 Dans le cas où l'invention récupère cette association dans un objet accessoire KOS', le dispositif 200 met en oeuvre le procédé de dé-identification selon l'invention qui vient d'être décrit en relation avec la figure 11. Par exemple, le dispositif 200 comprend une unité de traitement 210, équipée d'un processeur p2, et pilotée par un programme d'ordinateur Pg2 220, stocké dans une mémoire 230 et 29 mettant en oeuvre le procédé de selon l'invention. A l'initialisation, les instructions de code du programme d'ordinateur Pgi 220 sont par exemple chargées dans une mémoire RAM avant d'être exécutées par le processeur de l'unité de traitement 210. Le processeur de l'unité de traitement 210 met en oeuvre les étapes du procédé 5 décrit précédemment, selon les instructions du programme d'ordinateur 220. Dans cet exemple de réalisation de l'invention, le dispositif 200 comprend une machine de calcul reprogrannnnable ou une machine de calcul dédiée, apte à et configurée pour : Créer un objet principal dé-identifié A' comprenant l'image d'origine I, comprenant : o Chiffrer la au moins une première nnétadonnée MRA et stocker la au moins une 10 première nnétadonnée chiffrée MRA,ch dans au moins un champ d'information chiffrée SICA, dudit objet ; o Obtenir au moins une deuxième nnétadonnée MRA, distincte de la première nnétadonnée et la stocker dans le au moins un champ d'informations non chiffré SINCA, de l'objet dé-identifié A', à la place de la au moins une première nnétadonnée 15 mRA ; Créer un objet d'information médicale KOS, dit accessoire de l'objet principal A, comprenant la au moins une première nnétadonnée identifiante MRA)de l'objet principal A et ne comprenant pas d'image ; Créer un objet accessoire dé-identifié KOS', ladite création comprenant : 20 o Le chiffrement de la au moins une nnétadonnée de référence réfIDA ; o La recopie de la au moins une nnétadonnée de référence chiffrée dans un champ d'information chiffrée SRCKos, correspondant de l'objet accessoire dé-identifié KOS'; o La recopie de la au moins une première nnétadonnée chiffrée MRA,ch de l'objet principal dé-identifié A' dans au moins un champ d'information chiffré SICKos, de 25 l'objet accessoire dé-identifié KOS'; et o La recopie de la au moins une deuxième nnétadonnée MRA, dans le au moins un champ d'information non chiffrée correspondant SINCKos, de l'objet accessoire dé-identifié KOS'. Le dispositif 200 comprend en outre une unité M2 240 de stockage, telle qu'une mémoire, par 30 exemple de type mémoire tampon (pour « buffer », en anglais), apte à stocker par exemple la au moins une deuxième nnétadonnée MRA, dont les valeurs factices sont recopiées dans les champs non 30 chiffrés de la séquence SINC de l'objet dé-identifié KOS', et la au moins une première nnétadonnée chiffrée MRA,ch de l'objet principal dé-identifié A'. Ces unités sont pilotées par le processeur p.2 de l'unité de traitement 210. De façon avantageuse, un tel dispositif 200 peut être intégré à l'équipement de communication 5 CSE du site clinique ou à tout autre équipement connecté à ce dernier au sein du site clinique. Le dispositif 200 est alors agencé pour coopérer au moins avec les modules suivants de l'équipement de communication CSE : - un module E/R d'émission/réception de données, par l'intermédiaire duquel un objet d'informations médicales dé-identifié est reçu à ou transmis d'un site non clinique; et 10 - un module de stockage MS d'objets d'informations médicales, tels que par exemple l'objet principal A ou l'objet dérivé B. Grâce à ses bonnes performances et à sa simplicité de mise en oeuvre, l'invention qui vient d'être décrite facilite le rattachement automatique à un dossier patient d'un site clinique d'une image 15 dérivée d'un traitement effectué en dehors de ce site sur une image d'origine anonynnisée de ce patient. Elle garantit un échange interopérable et sécurisé des informations de santé entre le site clinique et le site non clinique, qui respecte les libertés fondamentales des patients. Il va de soi que les modes de réalisation qui ont été décrits ci-dessus ont été donnés à titre purement indicatif et nullement limitatif, et que de nombreuses modifications peuvent être facilement 20 apportées par l'homme de l'art sans pour autant sortir du cadre de l'invention. REVENDICATIONS1- Procédé de ré-identification d'un objet d'informations médicales, dit objet dérivé dé-identifié (B'), reçu par un équipement (CSE) d'un site clinique en provenance d'un équipement (NCSE) d'un site non clinique via un réseau de communication (RT), ledit objet (B') comprenant une image (I') dérivée d'une image d'origine (I) et au moins une première métadonnée (MRA,) de rattachement d'un objet d'informations médicales, dit objet principal dé-identifié (A') comprenant l'image d'origine (I), ledit procédé étant caractérisé en ce qu'il comprend les étapes suivantes : Obtention (E2) de la au moins une première métadonnée (MRA,) dans un champ d'informations non chiffré (SINCB,) de l'objet dérivé dé-identifié (B') ; Obtention (E3) d'au moins une deuxième métadonnée (MRA,ch) de rattachement d'un objet principal (A) comprenant l'image d'origine, ladite au moins une deuxième métadonnée étant contenue dans un champ d'information chiffré (SICc,) correspondant d'un deuxième objet d'informations médicales dé-identifié (C', A', KOS'), ledit deuxième objet comprenant en outre la au moins une première métadonnée (MRA,) dans un champ d'informations non chiffrées (SINCc); Création (E4) d'un objet dérivé (B), comprenant ladite image dérivée (I') à partir de la au moins une deuxième métadonnée (MRA,ch) obtenue, 2- Procédé de ré-identification d'un objet d'informations médicales, selon la revendication 1, caractérisé en ce que l'étape de création comprend : o Un déchiffrement (E41) de la au moins une deuxième métadonnée (MRA,ch) obtenue; o Une recopie (E42) de la au moins une deuxième métadonnée déchiffrée (MRA) dans un champ d'information non chiffré (SINCB) de l'objet dérivé ré-identifié (B) correspondant à celui de la au moins une première métadonnée; et o Une recopie (E43) de l'image dérivée (I') dans l'objet dérivé (B). Procédé de ré-identification selon l'une des revendications 1 ou 2, caractérisé en ce que l'étape d'obtention (E3) d'au moins une deuxième métadonnée comprend une réception (E31) du deuxième objet d'informations médicales dé-identifié (C', A', KOS') en provenance de l'équipement d'un site non clinique (NCSE) et une comparaison (E32) de métadonnées contenues dans des champs d'informations non chiffrés du deuxième objet d'informations médicales dé-identifié avec la au moins une première métadonnée (MRA,), la deuxième au moins 32 une métadonnée (MRA, ch) étant obtenue, lorsqu'une correspondance entre la au moins une première métadonnée et la au moins une deuxième métadonnée est trouvée. 4- Procédé de ré-identification selon la revendication 3, caractérisé en ce que l'étape d'obtention (E3') comprend en outre l'émission (E30) d'une requête de transmission du deuxième objet 5 d'informations médicales dé-identifié (C', A', KOS') à l'équipement de communication (NCSE), la requête comprenant la au moins une première métadonnée (MRA,). 5- Procédé de ré-identification selon l'une des revendications 1 ou 2, caractérisé en ce que l'étape d'obtention (E3") comprend l'émission (E31") d'une requête d'extraction de la au moins une deuxième métadonnée d'un champ d'informations chiffrées du deuxième objet d'information 10 médicales dé-identifié (A', KOS'), ladite requête comprenant la au moins une première métadonnée (MRA'). 6- Procédé de ré-identification selon l'une des revendications précédentes, caractérisé en ce que le deuxième objet d'informations médicales dé-identifié (A') comprend l'image d'origine (I). 15 7- Procédé de ré-identification selon l'une des revendications 1 à 4, caractérisé en ce que le deuxième objet d'informations médicales dé-identifié est un objet d'informations médicales (KOS'), dit objet accessoire de l'objet principal dé-identifié (A'), qui comprend au moins une métadonnée de référence à l'image d'origine (réfIDA) dans un champ d'informations chiffrées et 20 ne comprend pas d'image. 8- Procédé de ré-identification selon l'une des revendications précédentes, caractérisé en ce que, l'objet dérivé dé-identifié (B') comprenant en outre une métadonnée comprenant une référence (réfIDA,) à un identifiant (IDA) de l'image d'origine (I) dans l'objet principal dé-identifié (A'), le 25 procédé comprend l'obtention (E2') d'un identifiant de l'image d'origine (IDA) dans un champ d'information chiffré (SINCc) correspondant du deuxième objet, l'étape de ré-identification de l'objet dérivé dé-identifié (B') comprend le déchiffrement (E4') de ladite métadonnée et la recopie (E6') de la métadonnée déchiffrée dans un champ de référence (réfIDA) à l'image d'origine dans l'objet dérivé (B) ré-identifié. 30 9- Procédé de ré-identification selon l'une des revendications précédentes, caractérisé en ce que, l'étape d'obtention (E3) comprend l'obtention d'une séquence de deuxièmes métadonnées chiffrées (SICc), l'étape de déchiffrement (E4) déchiffre au moins une deuxième métadonnée dite supplémentaire d'un champ de ladite séquence qui ne correspond pas à un champ d'une 33 dite première métadonnées (MR/r) et l'étape (E5) recopie ladite deuxième métadonnée supplémentaire dans le champ correspondant non chiffré de l'objet dérivé (B) lorsque au moins une première métadonnée extraite de l'objet dérivé dé-identifié (B') reçu comprend un lien d'inclusion qui la rattache à ladite deuxième métadonnée supplémentaire. 5 10- Dispositif (200) de ré-identification d'un objet d'informations médicales dé-identifié (BI dit objet dérivé dé-identifié (B'), reçu par un équipement de communication d'un site clinique (CSE) en provenance d'un équipement (NCSE) d'un site non clinique via un réseau de communication (RT), ledit objet comprenant une image dérivée (I') d'une image d'origine (I) et au moins une 10 première métadonnée (MRA,) de rattachement d'un objet d'information médicales dé-identifié, dit objet principal dé-identifié (A'), comprenant l'image d'origine (I) dans un champ d'informations non chiffré, ledit dispositif étant caractérisé en ce qu'il comprend une machine de calcul dédiée à ou configurée pour : Obtenir (OBT. MRA,) la au moins une première métadonnée (MRA,) dans le champ 15 d'informations non chiffré de l'objet dérivé dé-identifié (B') ; Obtenir (OBT. MRA,, MRA,ch) au moins une deuxième métadonnée (MRA,ch) de rattachement d'un objet principal (A) comprenant l'image d'origine, ladite au moins une deuxième métadonnée étant contenue dans un champ d'information chiffrée d'un deuxième objet d'informations médicales dé-identifié (C', A', KOS') comprenant la au moins une première 20 métadonnée (MRA,) dans un champ d'informations non chiffrées (SINCc); Création (CREA. B) d'un objet dérivé (B) comprenant ladite image dérivée (I') à partir de la au moins une deuxième métadonnée (MRA,ch) obtenue. 11- Procédé de dé-identification d'un objet d'informations médicales, dit objet principal (A), par un 25 équipement de communication d'un site clinique (CSE) en vue de sa transmission à un équipement d'un site non clinique (RSE) via un réseau de communication, ledit objet comprenant une image d'origine (I) et au moins une première métadonnée de rattachement (MRA) dans au moins un champ d'informations non chiffré (SINCA), ledit procédé comprenant les étapes suivantes : 30 Création d'un objet principal dé-identifié (A') comprenant l'image d'origine (I), ladite création comprenant : o le chiffrement (T6) de la au moins une première métadonnée (MRA) et le stockage (T7) de la au moins une première métadonnée chiffrée (MRA,ch) dans au moins un champ d'information chiffrée (SICA,) dudit objet 34 o l'obtention (T8) d'au moins une deuxième métadonnée (MRA) distincte de la première métadonnée et son stockage dans le au moins un champ d'informations non chiffré (SINCA) de l'objet principal dé-identifié (A'), à la place de la au moins une première métadonnée (MRA) ; 5 caractérisé en ce qu'il comprend en outre les étapes suivantes : Création d'un objet d'informations médicales (KOS), dit objet accessoire de l'objet principal (A), comprenant la au moins une première métadonnée (MRA) de rattachement de l'objet principal (A) dans un champ d'information non chiffrée (SINCK0s), au moins une métadonnée de référence à l'image d'origine (réfIDA) dans un champ d'information non chiffrée (SRNCKos) 10 et ne comprenant pas d'image ; Création d'un objet accessoire dé-identifié (KOS'), ladite création comprenant : o Le chiffrement de la au moins une métadonnée de référence (réfIDA) ; o La recopie de la au moins une métadonnée de référence chiffrée (réfIDA,ch) dans un champ d'information chiffrée (SRCK0s) correspondant de l'objet accessoire dé- 15 identifié (KOS'); o La recopie de la au moins une première métadonnée chiffrée (MRA,,h) de l'objet principal dé-identifié (A') dans au moins un champ d'information chiffré (SICK0s) de l'objet accessoire dé-identifié (KOS'); et o La recopie de la au moins une deuxième métadonnée (MRA) dans le au moins un 20 champ d'information non chiffrée correspondant (SINCK0s) de l'objet accessoire dé- identifié (KOS'). 12- Dispositif (200) de dé-identification d'un objet d'informations médicales, dit objet principal (A) par un équipement d'un site clinique (CSE) en vue de sa transmission à un équipement d'un site 25 non clinique (RSE) via un réseau de communication, ledit objet comprenant une image d'origine (I) et au moins une première métadonnée associée (MRA), ledit dispositif comprenant une machine de calcul dédiée à ou configurée pour : Créer un objet principal dé-identifié (A') comprenant : o le chiffrement de la au moins une première métadonnée identifiante (MRA) et le 30 stockage de la au moins une première métadonnée chiffrée (MRA,ch) dans au moins un champ d'information (SICA) dudit objet ; o la recopie de la au moins une deuxième métadonnée (MRA) dans le au moins un champ d'informations non chiffré (SINCA') de l'objet principal dé-identifié (A') ; o le stockage de la au moins une image (I) dans l'objet principal dé-identifié (Al caractérisé en ce qu'il est en outre apte à : Créer un objet d'informations médicales (KOS), dit accessoire de l'objet principal (A), comprenant la au moins une première métadonnée identifiante (MRA) de l'objet principal (A) dans un champ d'information non chiffrée (SINCK0s) et ne comprenant pas d'image ; 5 Créer un objet accessoire dé-identifié (KOS'), comprenant : o chiffrer la au moins une métadonnée de référence (réfIDA) ; o recopier la au moins une métadonnée de référence chiffrée dans un champ d'information chiffrée (SRCKos,) correspondant de l'objet accessoire dé-identifié (KOS'); 10 o recopier la au moins une première métadonnée chiffrée (MRA,ch) de l'objet principal dé-identifié (A') dans au moins un champ d'information chiffré (SICKos,) de l'objet accessoire dé-identifié (KOS'); et o recopier la au moins une deuxième métadonnée (MRA,) dans le au moins un champ d'information non chiffrée correspondant (SINCKos') de l'objet accessoire dé-identifié 15 (KOS'). 13- Equipement de communication (CSE) d'un site clinique apte à émettre et recevoir un objet d'information médicales dans ou d'un réseau de communication (RT), caractérisé en ce qu'il comprend un dispositif de ré-identification d'un objet d'informations médicales selon la 20 revendication 10. 14- Equipement de communication selon la revendication 14, caractérisé en ce qu'il comprend en outre un dispositif de dé-identification d'un objet d'informations médicales selon la revendication 12. 15- Programme d'ordinateur (Pgl, Pg2) comportant des instructions pour la mise en oeuvre du procédé selon l'une quelconque des revendications 1 à 9 et 11, lorsque ledit programme est exécuté par un processeur. 25 30