# Les besoins des démo-économistes en matière d'appariements sécurisés

Nathalie Picard, Benoît Riandey, Anne Solaz, Catherine Quantin

► To cite this version:

Nathalie Picard, Benoît Riandey, Anne Solaz, Catherine Quantin. Les besoins des démo-économistes en matière d'appariements sécurisés. Courrier des Statistiques, 2010, 129, pp.1-4. hal-05375876

HAL Id: hal-05375876

https://insee.hal.science/hal-05375876v1

Submitted on 21 Nov 2025

HAL is a multi-disciplinary open access
archive for the deposit and dissemination of sci-
entific research documents, whether they are pub-
lished or not. The documents may come from
teaching and research institutions in France or
abroad, or from public or private research centers.

L'archive ouverte pluridisciplinaire HAL, est
destinée au dépôt et à la diffusion de documents
scientifiques de niveau recherche, publiés ou non,
émanant des établissements d'enseignement et de
recherche français ou étrangers, des laboratoires
publics ou privés.

<figure><img src="image_1.png" /></figure>

Distributed under a Creative Commons Attribution 4.0 International License
# Les besoins des démo-économistes en matière d'appariements sécurisés

<figure><img src="image_2.png" /></figure>

Nathalie Picard*, Benoît Riandey**, Anne Solaz** et Catherine Quantin***

La pauvreté française en matière de panels socio-économiques incite les auteurs à faire une proposition audacieuse d'utilisation coordonnée sécurisée des fichiers administratifs et à appeler à un débat entre les institutions statistiques, le Cnis et la Cnil pour la mettre en œuvre.

Les économètres peinent à la recherche de données longitudinales sur les ménages. Hormis les panels européens récents des ménages (ECHP, European Community Household Panel 1994-2001 et EU-SILC, European Union Statistics on Income and Living Conditions à partir de 2001), les panels sont rares en France malgré quelques avancées récentes application par le rapport au Cnis de Stéfan Lollivier et Mylène Chaleix, notamment sur le changement d'échelle en cours de l'échantillon démographique permanent (EDP). Aussi les économètres sont-ils souvent conduits à utiliser des panels étrangers offrant de plus grands échantillons et de plus longues périodes de suivi, notamment les panels anglais BHPS (British Household Panel Survey), allemand GSOEP (German Socio-economic Panel) ou américains. Le panel PSID<fnref n="1" /> (Panel Study of Income Dynamics) du Michigan est l'exemple type de sources qui apportent sur les ménages et pour une très longue durée (depuis 1968) « tout ce que les chercheurs désirent savoir ». Certes, on peut débattre de la représentativité dans le temps de ces panels, mais leur durée autorise des études de long terme tant sur les carrières professionnelles et salariales que sur les parcours familiaux. Quant aux panels renouvelés par partie comme l'enquête

Emploi en France, ils ne permettent de disposer sur un ménage que de données à court terme (six trimestres pour l'enquête Emploi en continu). De plus, ces panels étrangers sont de taille suffisante pour permettre d'étudier des événements rares comme les conséquences du divorce ou du veuvage, ou la mobilité résidentielle de longue distance. Reproduire ce type d'études sur les parties françaises des panels européens (ECHP puis SILC) serait très vite limité par la petite taille des échantillons malgré leur suivi sur huit ans. Les chercheurs voudraient donc, dans le respect de la confidentialité, appairer données d'enquêtes ou de panels et sources administratives.

## PANEL STUDY OF INCOME DYNAMICS

<figure><img src="image_3.png" /></figure>

The CDS focuses on the children and caregivers within PSID families, collecting information on education, health, cognitive and behavioral development, and time use.

The PSID is a nationally representative longitudinal study of nearly 9,000 U.S. families. Following the same families and individuals since 1968, the PSID collects data on economic, health, and social behavior.

CHILD DEVELOPMENT SUPPLEMENT

<figure><img src="image_4.png" /></figure>

## Les panels de la statistique publique aujourd'hui

Il est assez facile d'imaginer l'enrichissement de panels d'individus pour les traitements précédents à l'aide de données administratives anonymisées. Mais il semble que ce soit plus difficile en France dès que l'on s'intéresse à l'entité du couple, contrairement aux pays disposant de registres de population<fnref n="2" />. Le couple est une entité qui varie au cours du temps, qui peut se former puis se dissoudre. Étudier par exemple les trajectoires professionnelles de couples n'a été possible en France qu'à partir des enquêtes disposant d'un calendrier retraçant de manière rétrospective l'histoire professionnelle et conjugale comme dans l'enquête Jeunes et Carrières 1997 ou Familles et Employeurs 2005. Mais ces enquêtes ont trois inconvénients : les biais liés aux problèmes de mémoire ; le fait de ne disposer au moment de l'enquête que des couples stables (n'ayant pas connu de séparation à ce jour) ; l'impossibilité d'obtenir en rétrospectif des données très précises sur les salaires. Enfin, n'utiliser que les seuls fichiers administratifs exhaustifs reste insuffisant pour observer les biographies professionnelles de couples.

Si l'échantillon démographique permanent décrit bien la composition du ménage, il ne semble pas pouvoir s'enrichir de la biographie professionnelle du conjoint. La requête des économistes n'est donc pas simple à satisfaire.

Le panel PSID (Panel Study of Income Dynamics) du Michigan est l'exemple type de sources qui apportent sur les ménages et pour une très longue durée (depuis 1968) « tout ce que les chercheurs désirent savoir ».

Source : Institut for social Research - University of Michigan

<footnote>* Université de Cergy-Pontoise, Ined et Ecole Polytechnique, ** Ined, *** CHU Dijon</footnote>

<footnote n="1">1. Pour plus d'informations sur le PSID, voir le site http://psidonline.isr.umich.edu/</footnote>

<footnote n="2">2. Voir le site de l'Insee pour une synthèse des types de recensement de populations http://www.insee.fr/fr/publics/default.asp?page=communication/recensement/particuliers/etranger.htm</footnote>
L'enquête Emploi en continu semble
donc l'unique source permettant de
répondre à ce besoin, mais seulement
dans une perspective de court terme
(six trimestres), perspective insuffi-
sante pour appréhender, par
exemple, une mesure longitudinale
des transferts publics et privés, sauf à
la prolonger par des années de
carrière observées dans les fichiers
administratifs. Cette piste ne prend
pas en compte la dynamique de la
composition du ménage. Faute de
registre de population et d'exhaustivi-
té du recensement, la source fiscale
semble la seule source administrative
exhaustive qui puisse rendre compte
des revenus sur plusieurs années,
malgré la réserve signalée ci-dessus
concernant les couples non mariés et
non pacés.

Marier enquête
et fichiers de l'emploi ?

Sur ce thème de l'emploi et plus
précisément du chômage, les statisti-
ciens publics opposent les qualités et
limites de ces deux types de sources :

- seule l'enquête Emploi permet de mesurer un taux de chômage au sens du BIT (Bureau international du travail) ainsi que l'emploi dit « inadéquat »<fnref n="3" />. L'enquête Emploi permet aussi de mener des analyses sociodémographiques fines grâce à la richesse du questionnaire. Cependant, l'analyse de l'emploi et du chômage au niveau local n'est pas possible avec cette source. De plus, le suivi individuel dans le temps est effectué sur une durée trop courte pour calculer les droits à prestations sociales ou analyser la dynamique de l'emploi au niveau individuel ;

- le recensement rénové de la popula-
tion et les fichiers administratifs four-
nissent quant à eux des estimations au
niveau local, par exemple par bassin
d'emploi, mais ne peuvent en
revanche prétendre à mesurer le taux
de chômage au sens du BIT, ni à une
analyse sociodémographique fine. Ils
ne disposent pas en effet des variables
et des questions nécessaires.

Les statisticiens publics s'accommo-
dent mal de cette incompatibilité et
de ces limites (Cnis). Un anthropo-
logue aurait immédiatement suggéré :
« Hé bien, mariez les ! ». C'est ce
qu'autoriserait un appariement sécu-
risé de l'enquête Emploi et de fichiers
administratifs de ce domaine.

Les appariements sécurisés entre
enquêtes et fichiers administratifs permettraient idéalement d'apporter
aux fichiers administratifs les concepts
mis en œuvre et la richesse informa-
tive des questionnaires d'enquêtes.
Ainsi pourrait-on répondre aux
demandes locales grâce à la mise en
œuvre des modèles d'estimation sur
les petits domaines que Pascal Ardilly
(voir bibliographie) a introduits dans la
statistique publique française.

La comparaison des fichiers adminis-
tratifs et des enquêtes ouvre encore
d'autres perspectives : si des données
contemporaines de l'Unedic et des
DADS (déclarations annuelles des
données sociales des employeurs)
étaient appariées aux données de
l'enquête Emploi, pourquoi ne pas
continuer à les apparier au fichier en
aval, c'est-à-dire après le sixième
trimestre quand le ménage est sorti de
la collecte par questionnaire ? L'en-
quête Emploi deviendrait alors une
sorte de panel administratif perma-
nent qui pourrait s'accroître de 9 000
ménages par trimestre (18 000 après
doublement de l'échantillon).

Explorons cette idée jusqu'au bout :
ne serait-il pas possible également
d'apparier ces données de manière
rétrospective sur une période de quel-
ques années antérieures ? Disposer
par exemple d'une description des
situations professionnelles dans les
cinq années qui précèdent serait une
information cruciale pour les écono-
mistes afin de simuler les prestations
publiques auquel l'individu pourrait
prétendre au moment où il est interro-
gé lors de l'enquête Emploi. Cette
information constituerait déjà une
bonne base d'analyse des transferts
en direction des familles.

Techniquement, on pourrait s'inspi-
rer de la solution appliquée par

l'Insee et la Drees (service statistique du ministère de la santé et des sports) pour l'appariement de l'enquête Santé-Handicap 2009 et des données d'assurance maladie : le recueil du NIR (numéro d'inscription au répertoire, couramment appelé numéro de sécurité sociale), autorisé par décret par le Conseil d'État, avait été mené après la collecte de l'enquête à partir du répertoire de l'état civil. Notons cependant que la saisie du NIR – immédiatement haché par cryptage irréversible par l'intéressé lui-même – donc parfaitement anonyme – aurait dispensé de cette lourde démarche.

Les techniques anonymes d'apparie-
ments sécurisés<fnref n="4" /> par hachage permet-
traient donc d'envisager le suivi
anonyme de carrières individuelles
en rapprochant les données des
DADS et celles de l'Unedic ou de
l'ex-ANPE. Ainsi les économistes
étofferaient leurs analyses de la
dynamique de l'emploi et de sa
recherche. Plus généralement,
l'usage du NIR dans la sphère sociale
ouvre en théorie une très large
palette de données appariables. Les
épidémiologistes l'ont bien compris
puisqu'ils marient leurs cohortes aux
fichiers d'emploi. Ainsi en sera-t-il
de la « Cohorte Constances » de
200 000 patients avec la plate-forme
Plastico destinée à gérer les apparie-
ments entre diagnostics dans les
centres de santé, consommations
médicales enregistrées par l'assu-
rance maladie, carrières (Caisse
nationale d'assurance vieillesse),
état civil (Insee) et causes de décès
(Inserm) ; autant dire un projet autre-
ment sensible et ambitieux que notre
proposition d'appariement dans le
domaine de l'emploi.

<footnote n="3">3. Un individu est en situation d'emploi « inadéquat » s'il ne peut pas optimiser sa productivité suite à des contraintes autres que la durée effective du travail telles que le faible niveau de rémunération, les mauvaises conditions matérielles, l'inadéquation formation-emploi, la difficulté d'accès au lieu du travail, etc.</footnote>

<footnote n="4">4. La première communication de Catherine Quantin proposant le transfert de ces méthodes de l'épidémiologie à la statistique publique date des Journées de méthodologie statistique de décembre 2000 ; les premières applications à la statistique publique (loi de 1951) par Alain Goy et la Depp datent de 2004 ; leur enseignement à l'Ensay est intervenu pour la première fois au printemps 2009.</footnote>
Une nouvelle architecture
des appariements

Dans sa mission protectrice, le
hachage des identifiants ne permet
que les appariements préalablement
définis à la mise en œuvre du projet.
Comment ne pas exclure technique-
ment un traitement ultérieur qui
aurait l'aval de la Cnil ?

Par exemple, pour la seule finalité
de recherche, les épidémiologistes
peuvent souhaiter apparier des
fichiers de recherche initialement
indépendants (par exemple une
recherche exhaustive sur le diabète
dans les fichiers d'assurance
maladie avec une recherche sur une
maladie aggravée par le diabète).
Mais le hachage d'emblée de l'iden-
tifiant avec deux clés différentes fait
obstacle à cet appariement.

Catherine Quantin propose une solution que la profession a approuvée et qui, si elle était adoptée, renouvellerait profondément la statistique administrative : l'identifiant santé est haché (de façon irréversible) dans toutes les études épidémiologiques avec la même clé, puis est crypté (de façon réversible) avec une clé spécifique à chaque recherche conservée par une autorité de gestion des clés émanant de la Cnil. Pour un appariement autorisé, le décryptage des identifiants permet de revenir à l'identifiant haché pour constituer le fichier joint.

Cette architecture, déjà mise en
œuvre pour la statistique de santé
suisse et par le service statistique de
l'Éducation nationale française sur la
base de l'identifiant sectoriel INE
(identifiant national des étudiants ou
élèves)<fnref n="5" /> est envisageable pour la
statistique publique à une grande
échelle : tout fichier administratif
transmis à la statistique publique le
serait avec son identifiant (le NIR
là où il existe) communément haché
et spécifiquement crypté, donc

anonyme mais appariable après
décryptage déclenché par l'autorité
de contrôle. La statistique administra-
tive française approcherait l'efficacité
de celle des pays nordiques férus
d'appariements, mais avec des procé-
dures sécurisées anonymes.

Certes, il ne s'agit pas de refuser le
maintien dans leur technique actuelle
des opérations menées à l'aide du NIR

en clair. Il n'y a pas lieu de compliquer
ce qui est autorisé et réalisé avec
souplesse, mais même ces panels
fondés sur le NIR pourraient de ce fait
bénéficier d'appariements avec des
fichiers anonymes qui ne leur sont pas
aujourd'hui autorisés.

Si l'on mettait en place la validation
des identifiants sectoriels (tel l'INE) à
l'aide du NIR haché (comme suggéré

Encadré - Articuler les thèmes au niveau du ménage

Trop souvent les économistes ne trouvent pas leur compte auprès des enquêtes sociodémographiques. Ils en déplorent fréquemment l'absence d'informations économiques essentielles comme le revenu, ou la faible qualité des informations économiques disponibles.

Les économistes réclament des informations essentielles sur la composition du ménage, l'emploi et les ressources, sur des panels de taille et de durée suffisantes, dans lesquels les mêmes individus seraient suivis dans le temps (par opposition aux pseudo-panels).

Plus précisément, les informations généralement manquantes ou incomplètes concernent par exemple :

- l'offre de travail (salaire, durée hebdomadaire) des différents membres d'un ménage, avec suivi des conjoints en cas de séparation et des «nouveaux» conjoints en cas de remise en couple après constitution du panel initial, avec continuité d'observation en cas de non emploi (chômage, inactivité) ;

- l'histoire démographique de l'individu tout au long de son cycle de vie, avec des renseignements sur ses conjoints successifs, ses enfants, leur éducation, etc.

- l'historique des différentes résidences des individus ;

- l'historique du patrimoine individuel/familial ;

- des panels de consommation renseignant sur les consommations de chaque membre du ménage.

L'idéal, si l'on s'autorise à imaginer un monde idéal du point de vue des statisticiens et des économètres, serait évidemment d'avoir toutes ces informations pour les mêmes individus. Mais, avec moins d'exigences et plus de réalisme, pouvoir déjà relier deux de ces domaines constituerait un pas en avant considérable.

Quand la collecte ne peut prendre l'extension rêvée, il faut se résoudre à mettre en
place une vision simplifiée sous certaines hypothèses, c'est-à-dire sous un modèle.
Ainsi, les modèles de micro-simulation permettent de prédire les déplacements, la
survie des populations, l'avenir des retraites, mais aussi les comportements de
consommation ou d'offre de travail.

Néanmoins, s'ils constituent un bon outil pour élaborer des projections, évaluer les transferts publics, ou simuler des politiques économiques, ils restent limités pour étudier les interactions entre différents domaines. Ils représentent donc plutôt un complément qu'un substitut à l'appariement.

Les individus effectuent tout au long de leur cycle de vie des choix ayant des implications à court, moyen et long termes sur eux-mêmes et sur les autres membres de leur famille, ce qui implique de considérer les décisions jointes au sein du ménage. Les appariements, s'ils permettaient de suivre sur une période assez longue les différents membres d'un ménage, pourraient, par exemple, permettre de mieux comprendre certains comportements complexes, en particulier parce qu'ils impliquent plusieurs acteurs ou plusieurs domaines. On peut penser par exemple aux choix de localisation des ménages, aux investissements immobiliers, aux décisions de fécondité, aux décisions conjointes d'offre de travail au cours du cycle de vie, aux transferts financiers au moment d'événements particuliers comme lors d'un départ d'un grand enfant, d'une séparation conjugale.

<footnote n="5">5. Cf. X. Hardy, « le projet FAERE », communication au séminaire Appariements sécurisés de la SfDs, le16 novembre 2009, site www.Sgds.asso- page groupe Statistique et Société</footnote>
en 2007), cette architecture sécurisée s'étendrait à l'ensemble des identifiants sectoriels. Bien sûr, la sécurité d'un identifiant haché n'apporte aucune garantie quant au caractère potentiellement indirectement nominatif du fichier par recoupement entre variables. Cette vigilance reste nécessaire.

## Engager une réflexion collective

La mise en œuvre d'une telle architecture constituerait une vraie révolution statistique. Elle supposerait et mériterait la reprise d'une concertation identique à celle menée en 1999 sur la transposition de la directive européenne du 24 octobre 1995 à l'initiative de la Commission de déontologie de la SFdS (Société française de statistique), avec le Cnis, la Cnil, l'Insee, les épidémiologistes et d'autres chercheurs, qui a abouti le 6 août 2004⁶. Ce groupe de travail s'est penché sur l'accès aux bases de sondages, mais il n'y fut jamais question de l'usage du NIR. C'est la Cnil qui prit l'initiative d'infléchir l'article 18 de la loi de 1978 en l'article 27 de celle de 2004 pour tenir compte des usages différenciés du NIR, affirmant régulièrement que le NIR haché n'est pas le NIR et ne relève donc pas de l'obligation d'un décret en Conseil d'État.

Confrontés au besoin de rapprocher les diagnostics et les dépenses de santé dans le respect du secret médical, les épidémiologistes réfléchissent donc avec la Cnil et la HAS (Haute

Autorité de santé) à leur accès au NIR sous un de ses avatars, avec toutes les garanties apportées par leur finalité à la fois médicale, statistique et scientifique.

L'enjeu mérite cette peine. L'article du *Courrier des statistiques* de mai 2007 apporte une vision renouvelée de la qualité et des mises en connexion des identifiants sectoriels<fnref n="7" />. Quand, au début des années 1980, la Cnil a imposé la sectorisation des identifiants, aucune solution n'a été apportée à leur validation ni à l'éventualité d'échanges entre secteurs. Les techniques actuelles permettent d'apporter une cohérence globale à cette politique.

En conclusion, la réflexion des démo-économistes sur l'insuffisance de données longitudinales disponibles les a conduits à réfléchir ambitieusement à des palliatifs, micro-simulations ou appariements sécurisés de/avec des sources administratives. Souhaitons que leurs demandes soient jugées nécessaires et raisonnablement réalistes pour qu'ils accèdent à de telles données.

Cette réflexion les a portés à envisager la relation, jamais antérieurement soulignée, entre appariements sécurisés d'enquête et de sources administratives avec les estimations sur petits domaines, validées par les estimations d'enquête des extensions régionales (enquête Santé 2000 ; enquête Logement récente).

En définitive, leurs échanges avec les épidémiologistes leur font espérer un système de données administratives anonymisées, mais systématiquement appariables après autorisation. Le devoir de guérir des médecins produit à nouveau des solutions d'une grande utilité pour la statistique publique. ■

## Bibliographie

* ✓ Ardilly P., « Panorama des principales méthodes d'estimation sur les petits domaines », Insee, *Méthodologie statistique*, n° M0602, cours du Cepe, septembre 2006.

* ✓ Chaleix M., Lollivier S., « Des panels pour les statistiques sociales », *Courrier des statistiques*, n° 113-114, p. 53-56, mars-juin 2005.

* ✓ Cnis, « Emploi, chômage, précarité. Mieux mesurer pour mieux débattre et mieux agir. Présentation du Rapport du groupe présidé par Jean-Baptiste de Foucauld », *Chroniques* n° 8, p. 1-6, octobre 2008 et *Rapport du Cnis*, n° 108, septembre 2008.

* ✓ Cnis, « Transcription en droit français de la directive européenne n°95/46/CE du 24 octobre 1995 », *Rapport du Cnis* n° 55, janvier 2000.

* ✓ Gensbittel M-H., Riandey B., Quantin C., « Appariements sécurisés : statisticiens ayez de l'audace ! », *Courrier des statistiques*, n° 121-122, p. 49-58, mai-décembre 2007.

* ✓ Goldberg M., Quantin C., Guéguen A., Zins M., "Bases de données médico-administratives et épidémiologie : intérêts et limites », *Courrier des statistiques*, n° 124, p. 59-70, mai-octobre 2008.

* ✓ Goy A., « L'appariement sécurisé de fichiers d'étudiants grâce au hachage des identifiants », *Courrier des statistiques*, n° 113-114, p. 23-32, mars-juin 2005 et *Journal de la Société française de statistique*, vol 146 n°3, 2005.

* ✓ Gravel, N, C. Hagneré, N. Picard, A. Trannoy (2001), « Une évaluation de l'impact incitatif et redistributif d'une réforme des minima sociaux », *Revue française d'économie*, vol. XVI, p. 125-167.

* ✓ Quantin C., « Méthodologie pour le chaînage de données sensibles tout en respectant l'anonymat : application au suivi des informations médicales », VIIe Journées de Méthodologie Statistique de l'Insee, session 3, décembre 2000 ou *Courrier des statistiques* n°113-114, juin 2005 et *Journal de la Société française de statistique*, vol 146 n°3, 2005.

* ✓ Quantin C., Fassa M., Coatrieux G., Riandey B., Trouessin G., Allaert F.A., « Chainage de bases de données anonymisées pour les études épidémiologiques multicentriques nationales et internationales : proposition d'un algorithme cryptographique », *Revue d'épidémiologie et de santé publique*, vol 57, p. 33-39, 2009.

* ✓ Vallet L. A., (2005), « L'apport des échantillons longitudinaux des personnes : deux expériences étrangères », *Courrier des statistiques*, n° 113-114, mars juin 2005.

<footnote n="6">6. Rappelons que c'est à la demande de ce groupe de travail que la transcription de la directive a incorporé la reconnaissance des garanties apportées par les finalités de statistique et de recherche scientifique ou historique (article 6 de la loi modifiée) et, plus difficilement d'ailleurs, la dispense pour l'Insee et les services statistiques ministériels de l'accord exprès pour le recueil des données sensibles après avis du Cnis (article 8, alinéa II.7). La communauté statistique doit être particulièrement reconnaissante à Gérard Lang pour avoir porté efficacement ces demandes au cours des longues négociations interministérielles.</footnote>

<footnote n="7">7. Les identifiants sectoriels créés à l'instigation de la Cnil pour les impôts et l'Éducation nationale ont souffert d'un grand nombre de doublons, un même contribuable ou étudiant pouvant être enregistré sous deux identifiants distincts. La validation de l'identifiant sectoriel pourrait se faire à partir des seuls NIR hachés.</footnote>