# Appariements sécurisés et statistique (2000-2011) : une décennie d'expériences

Michel-Henri Gensbittel, Benoît Riandey

<figure><img src="image_1.png" /></figure>

## To cite this version:

Michel-Henri Gensbittel, Benoît Riandey. Appariements sécurisés et statistique (2000-2011) : une décennie d'expériences. Courrier des Statistiques, 2011, 131, pp.1-7. hal-05347124

HAL Id: hal-05347124

https://insee.hal.science/hal-05347124v1

Submitted on 4 Nov 2025

HAL is a multi-disciplinary open access archive for the deposit and dissemination of scientific research documents, whether they are published or not. The documents may come from teaching and research institutions in France or abroad, or from public or private research centers.

L'archive ouverte pluridisciplinaire HAL, est destinée au dépôt et à la diffusion de documents scientifiques de niveau recherche, publiés ou non, émanant des établissements d'enseignement et de recherche français ou étrangers, des laboratoires publics ou privés.

<figure><img src="image_2.png" /></figure>

Distributed under a Creative Commons Attribution 4.0 International License
# Appariements sécurisés et statistique (2000-2011) : une décennie d'expériences<fnref n="1" />

<figure><img src="image_3.png" /></figure>

Michel-Henri Gensbittel et Benoît Riandey, Université de Paris Sorbonne et Ined
Responsables du séminaire « Appariements sécurisés de la Société française de statistique »

En novembre 2010 s'est tenu un séminaire sur les appariements sécurisés organisé par la Société française de statistique (SFdS). C'est l'occasion ici de faire le point sur le recours à cette technique d'enrichissement des données statistiques au cours de la dernière décennie.

En décembre 2000, le professeur Catherine Quantin, épidémiologiste responsable du Département d'information médicale du CHU de Dijon, était invitée à présenter les techniques d'appariements sécurisés de fichiers administratifs aux Journées de méthodologie statistique de l'Insee. Le 16 novembre 2010, la Société française de statistique (SFdS) organisaît, comme chaque année, un séminaire afin de décrire les principales réalisations et les projets actuels de cet outil d'enrichissement des données statistiques (encadré 1). La décennie écoulée invite en effet à établir un rapport d'étape sur sa diffusion dans la statistique publique française alors que, parallèlement, le traitement des fichiers administratifs monte en puissance dans de nombreux pays, y compris la France. Les appariements sécurisés peuvent-ils contribuer vigoureusement à ce mouvement ?

Le symposium 2010 de Statistique Canada était centré sur les « interactions entre recensement, enquêtes et fichiers administratifs ». Tant pour des raisons de rigueur budgétaire qu'en raison d'une baisse des taux de réponse aux enquêtes, très marquée dans certains pays, les statisticiens publics voient l'avenir statistique beaucoup plus porté par l'exploitation des données administratives que

par les enquêtes spécifiques. Nos hôtes canadiens s'en font une obligation (Cloutier, 2010), les Néerlandais, une nécessité (Bethlehem, 2010). Plusieurs Etats membres de l'Union européenne ont décidé de recenser leur population à partir de registres : les Pays-Bas et l'ensemble des pays nordiques. Mais, plus largement, c'est la richesse des fichiers administratifs qui incite à ce développement, bien au-delà des statistiques démographiques : il s'agit d'utiliser simultanément et en toute légalité (encadré 2) les informations administratives individuelles issues de multiples sources comme les différents chapitres d'un questionnaire d'enquête.

Les exemples décrits dans l'article illustrent les potentialités de l'appariement de fichiers mais aussi la nécessité de sécuriser l'information et les limites et risques à maîtriser (encadré 3).

## Le potentiel des fichiers administratifs français

Le système statistique français bénéficie de l'existence de nombreux fichiers administratifs et en fait plus largement usage que dans le passé. Citons par exemple les fichiers d'emploi et de chômage, les données dites médico-administratives de l'assurance maladie, les sources fiscales et éducatives. Alain Goy (2005) a par exemple impulsé le premier usage de l'appariement déterministe dans la statistique publique française dans le vaste projet longitudinal Faere (dispo-

sitif de suivi de l'ensemble des trajets scolaires au sein des principaux systèmes de formation). Tous ces fichiers administratifs constituent des gisements riches de données statistiques concernant les ménages. Par ailleurs, dans la sphère des entreprises, l'Insee a récemment mis en œuvre le programme Resane (refonte des statistiques annuelles d'entreprises)<fnref n="2" /> dont un des objectifs principaux est de recourir davantage aux sources administratives, en particulier aux fichiers fiscaux et aux DADS (déclarations annuelles de données sociales) (Brion, 2011).

## L'exemple des données de l'assurance maladie

Depuis 1998, avec le dispositif classique du tiers de confiance (encadré 1), l'Irdes (Institut de recherche et de documentation en économie de la santé) apparie son enquête Santé - Protection sociale avec les données de l'assurance maladie, et prochainement avec des données des assurances complémentaires (projet expérimental Monaco). Depuis cette date, le système d'information de l'assurance maladie a fait l'objet d'une profonde évolution.

Présenté par F. Lenormand dans *Le Courrier des statistiques* (2005), le système d'information de l'assurance maladie repose sur une base de données, le SNIIR-AM (système national inter-régimes d'information de l'assurance maladie). Cette base rassemble l'ensemble des rembourse-

<footnote n="1">1. Les propos tenus dans cet article n'engagent que leurs auteurs, qui remercient particulièrement Catherine Quantin dont les idées et l'expérience pratique ont alimenté leur réflexion.</footnote>

<footnote n="2">2. Pour un rappel de la signification des sigles, voir annexe 1</footnote>
## Encadré 1 - Appariements sécurisés : de quoi s'agit-il ?

**Objectif** : enrichissement, à des fins statistiques, de l'information concernant des individus par rassemblement des informations contenues sur eux dans des fichiers administratifs ou médicaux différents (ou des versions successives des mêmes fichiers, constituant un histoire), comportant des éléments d'identification communs.

**Contraintes** : le fichier statistique résultant des appariements ne doit contenir que des données anonymes, qui ne sont donc plus des données à caractère personnel soumises aux obligations de la loi de 1978. Un identifiant peut être attribué à chaque individu, à condition qu'il ne permette pas de retrouver son identité. Il fait alors bénéficier le statisticien de tous les avantages des fichiers nominatifs, en respectant toutes les règles de confidentialité.

**Limites** : l'enrichissement des données concernant des individus permet plus facilement, même si les fichiers ne comportent pas d'identifiant direct, des inférences sur leur identité par recoupement d'informations, ou leur identification indirecte, dans des tableaux publiés par exemple. Il faut donc fixer des règles de sécurité dans l'accès aux fichiers, et des limites concernant le détail des données publiées (encadré 3).

**Enjeux** : relier entre elles des informations, même sensibles, avec l'accord de la Cnil, pour constituer des bases de données statistiques autrement inaccessibles ; éviter la multiplication d'enquêtes coûteuses ou difficiles à réaliser, en mobilisant des informations déjà existantes, mais se trouvant dans des fichiers administratifs et/ou des fichiers d'enquêtes non reliés entre eux.

**Outils** : de longue date, sous l'appellation appariement en tiers de confiance, l'opération d'appariement sécurisé a été confiée à des tiers de confiance (hommes ou robots) chargés de gérer des tables de correspondance confidentielles entre les différents identifiants. On parlera de procédure en double aveugle quand le tiers de confiance transforme les identifiants sans avoir accès à l'ensemble des informations à rassembler sur la même personne. Personne ne dispose ainsi des identifiants et de l'ensemble des informations sur cette personne.

Depuis une quinzaine d'années, diverses méthodes cryptographiques dispensent du lourd détour par un tiers de confiance : si le cryptage n'est qu'un outil de transport et de stockage sécurisés de l'information (car il est réversible), le **hachage** (du fait de son caractère irréversible) permet de transformer définitivement en un code secret les éléments d'identification contenus

dans les différents fichiers avant leur transmission pour appariement. Le fichier transmis est donc déjà anonymisé. Concrètement, le hachage transforme, après le choix d'une clef, un identifiant en une suite absconse de caractères ne laissant rien deviner de la variable initiale. À la différence du cryptage, la connaissance simultanée de l'algorithme de hachage, de la clef et de l'identifiant haché ne permet pas de reconstituer l'identifiant d'origine. Ainsi les informations relatives à la même personne dans les différents fichiers se verront toujours attribuer le même identifiant haché dès lors qu'on aura utilisé la même clé de hachage, ce qui permet leur appariement. Au contraire, en l'ignorance de cette clé, l'identifiant haché serait tout autre ; l'appariement serait donc impossible, ce qui empêche toute intrusion d'un tiers indésirable.

L'appariement peut être déterministe en présence d'un identifiant commun fiable, ou probabiliste en l'absence d'identifiant ou en présence d'un identifiant de qualité incertaine. L'appariement probabiliste a été introduit il y a fort longtemps par l'article fondateur de Felligi et Sunter en 1969. Il repose sur l'évaluation de la probabilité que deux enregistrements correspondent à la même personne au vu de leurs variables communes

ments des différents régimes d'assurance maladie effectués pour chaque affilié. À ces informations anonymes et individualisées par patient s'ajoutent les diagnostics d'affection de longue durée et les informations économiques et médicales d'hospitalisation du PMSI (programme de médicalisation du système d'information).

L'appariement entre données de remboursement du SNIIR-AM et données hospitalières du PMSI est assuré par leur identifiant commun anonyme Foin<fnref n="3" />, fondé sur le NIR

haché (parfois appelé « numéro de Sécurité sociale ») de l'assuré ouvrant droit. C'est l'exemple type de l'appariement déterministe fondé sur un identifiant commun aux fichiers à apparier. Ce système devrait connaître une évolution majeure en 2012 grâce à la diffusion complète de la carte Vitale2 : son actuel identifiant Foin s'appuierait alors non plus sur le NIR de l'assuré ouvrant droit, mais sur le NIR du bénéficiaire, qu'il soit adulte ou enfant. Les informations enregistrées relatives à un bénéficiaire le seraient alors sous un identifiant stable ne dépendant plus de son statut d'assuré direct ou non.

Le respect nécessaire et effectif de l'anonymat est cause d'une difficulté cruciale pour les hospitaliers : celle d'accéder ultérieurement au statut vital de leur ancien patient et à son

éventuelle de cause décès comme l'aurait permis le NIR en clair en tant qu'identifiant du répertoire de l'état civil. En effet, quelle évaluation un service hospitalier peut-il faire de sa pratique s'il ignore le décès de ses patients ? Les travaux en cours au Cépi-DC<fnref n="4" /> devraient y remédier.

La difficulté d'assurer simultanément la stricte confidentialité des informations médicales et l'efficacité du système d'information pour la santé publique a déjà fait en 2009 l'objet du rapport du Haut conseil en santé publique. Le conseil s'est inquiété de la lourdeur entraînée par la nécessité d'un recours à un décret en Conseil d'État pour tout usage du NIR en

<footnote n="3">3. L'identifiant Foin est constitué à partir des trois informations (NIR, date de naissance du patient, sexe du patient) par deux hachages (irréversibles) successifs. Il en résulte une chaîne de 512 bits pouvant être représentée en 16 caractères alphanumériques tels que bqweb8jksxafvuh. Cet identifiant est muet et impossible à mémoriser.</footnote>

<footnote n="4">4. Centre épidémiologique des causes de décès de l'Inserm (Institut national de la santé et de la recherche médicale)</footnote>
épidémiologie. Il avait aussi regretté l'obstacle aux appariements utiles à la politique de santé publique que pourrait induire l'introduction de l'identifiant national de santé (INS). En effet, dans sa version définitive, l'INS sera totalement indépendant de l'identifiant Foin, ce qui empêche un appariement sécurisé par hachage de l'identifiant. À l'occasion du grand débat sur le dossier médical personnel (DMP), la Cnil avait en effet décidé que l'identifiant du DMP ne serait pas le NIR pour éviter que les employeurs qui ont l'usage du NIR ne risquent d'accéder à des informations médicales confidentielles relatives à leurs salariés ou aux bénéficiaires. Or les épidémiologistes et économistes de la santé insistent sur l'intérêt public de pouvoir rapprocher les dépenses de santé du SNIIR-AM² ou du PMSI avec des diagnostics médicaux qu'ignore le SNIIR-AM. Leurs demandes ont été entendues par la Cnil et le ministère de la Santé, et la conservation d'une table de correspondance entre INS et NIR est prévue, probablement à la Cnav (Caisse nationale de l'assurance vieillesse) qui gère déjà le répertoire RNIAM de l'assurance maladie. Ainsi seront efficacement articulées les différentes bases relatives à la santé publique tout en assurant la confidentialité de ces informations sensibles.

## Les appariements liés aux DADS et aux fichiers de la Cnav

Le fichier des DADS (déclaration annuelle de données sociales) est une source d'information de plus en plus complète sur l'emploi. Il fait l'objet de nombreuses demandes d'appariements sous ses diverses formes : le panel au 1/12e des DADS est apparié par l'Insee avec l'échantillon démographique permanent ; la Dares, le service statistique du ministère du Travail, l'a récemment apparié au fichier historique des demandeurs d'emploi (Le Barbanchon et Sédillot,

## Encadré 2 - Appariements sécurisés : points de repère juridiques

Les fichiers administratifs constituent des sources statistiques précieuses, mais éparses. L'article 6 de la loi Informatique et Libertés fixe les conditions de leur traitement pour une finalité statistique ou de recherche scientifique ou historique.

Le NIR (souvent appelé « numéro de sécurité sociale ») a été créé pour apparier efficacement ces fichiers. C'est en raison même de son efficacité que son usage a été fortement réglementé par la loi Informatique et Libertés et la Cnil.

Le cadre juridique de l'usage du NIR est aujourd'hui particulièrement contrai-gnant. Les articles 25 et 27 de la loi Informatique et libertés établissent que les appariements :

- sont mis en œuvre sur simple déclara-tion à la Cnil pour des traitements opérés sans recours au NIR sur des fichiers dont les finalités relèvent d'intérêts publics identiques ou dont les finalités privées principales sont identiques ;

- sont mis en œuvre après autorisation de la Cnil pour des traitements opérés sans recours au NIR sur des fichiers dont les finalités relèvent d'intérêt publics différents ou dont les finalités privées

principales sont différentes ou si leurs données sont des données sensibles ;

- sont mis en œuvre après avis motivé de la Cnil et autorisation par décret en Conseil d'État pour des traitements recourant au NIR.

La procédure de prise du décret en Conseil d'État est, de fait, très lourde et incertaine en termes de délais.

En raison de ces contraintes, les épidémiologistes et les statisticiens de la sécurité sociale et de l'assurance maladie ont été les premiers, en France, dans les années 1990, à rechercher et à trouver des solutions. Celles-ci, tout en garantissant l'anonymat de données personnelles souvent très sensibles, permettaient de constituer par appariement des données statistiques nouvelles d'un intérêt considérable. Les techniques utilisées (hachage) ont reçu l'ap-probation de la Cnil qui en a encouragé l'usage, notamment lors de sa délibération du 25 mai 2000 relative au projet d'Observatoire du revenu minimum d'insertion (RMI) à Paris, présenté par le Centre de recherche pour l'étude et l'observation des conditions de vie (Credoc).

2011). Cette demande d'appariement est fréquente de la part des épidémiologistes, souvent à travers les fichiers longitudinaux de la Cnav. En témoingent la future cohorte Constance (Goldberg, 2008) et le projet Hygie de l'Irdes (Debrand, 2010). La vaste cohorte Constance (200 000 individus) sera constituée à partir d'un échantillon de salariés et anciens salariés du régime général fourni par la Cnav. Leur historique professionnel sera apparié grâce à la plate-forme sécurisée Plastico (Iresp, 2010), avec leurs données d'assurance maladie et des données médicales recueillies auprès de ces panélistes dans les centres d'examen de santé de l'assurance maladie. De même, la base Hygie est issue d'un échantillon de salariés et anciens salariés du régime général tiré dans le fichier de la Cnav, dont les historiques professionnels ont été appariés avec les données d'indemnités journalières de l'assurance maladie (d'où son nom phonétique d'Hygie). Ainsi

l'Irdes analyse-t-il les déterminants des arrêts de travail au vu de l'histoire professionnelle des salariés sans mettre en place aucune enquête complémentaire.

L'élargissement du champ des DADS aux fonctionnaires de l'État, aux salariés des particuliers et bientôt aux indépendants en fera le fichier complet des actifs occupés en France, une source irremplaçable pour suivre année par année le cheminement professionnel d'une cohorte. Il est donc naturel de penser à cette source pour suivre anonymement l'insertion professionnelle d'une génération de sortants du système d'enseignement bien identifiés grâce aux systèmes de gestion de l'Éducation nationale et de l'Enseignement supérieur, mais dont le suivi par enquête est toujours difficile compte tenu des aléas de la collecte (mobilité géographique, non-réponse élevée, etc.). Les enquêtes réalisées par les universités sur les

<footnote n="5">5. L'assurance maladie ne connaît que les diagnostics d'affections de longue durée et ceux des séjours hospitaliers (grâce au PMSI), mais ignore ceux de la médecine de ville et des consultations hospitalières.</footnote>
sortants de master seraient bien adaptées à une telle méthodologie. L'architecture de ces enquêtes peut être repensée en tenant compte des possibilités offertes par la technique de l'appariement. Par exemple, l'appariement avec les fichiers des DADS et avec le fichier historique des demandeurs d'emploi FH de Pôle emploi<fnref n="6" /> tendrait à combler une partie du vide laissé par les actifs non répondants, permettrait la réduction de la variance des estimations et, par surcroît, apporterait des données complémentaires sur les répondants. C'est la même logique d'enrichissement que celle qui est à l'œuvre pour les enquêtes ménages de l'Insee à l'aide des fichiers de déclaration des revenus fiscaux. Bien entendu, ce rapprochement n'est pas sans présenter des difficultés et des limites comme le décrit l'article de Thomas Le Barbanchon et Béatrice Sédillot : en particulier, une partie de la population ne figure ni aux DADS ni au fichier historique des demandeurs d'emploi, ainsi qu'une part des variables (par exemple sur l'opinion à l'égard des études suivies et leur rôle dans l'insertion professionnelle). Le recours aux fichiers administratifs n'efface donc pas l'utilité de l'enquête.

## Quelle gestion des identifiants ?

Chaque grande institution gérant des fichiers administratifs a un identifiant propre ; par exemple, le NIR est l'identifiant de l'emploi et des prestations sociales, l'INE, celui de l'Éducation nationale. En décidant de la mise en place de ces identifiants spécifiques, la Cnil n'a pas prévu de passerrelles entre eux. Son objectif était bien d'interdire strictement l'utilisation d'un identifiant inter-administratif des personnes physiques. Le Conseil constitutionnel a nuancé ce point de vue en validant l'utilisation du NIR par le ministère des Finances pour les deux seules fonctions de validation de l'identifiant sectoriel (éviter d'enregistrer un même contribuable

sous deux numéros distincts) et de passerelle inter-institutionnelle. Á titre d'exemple, dans la plupart des cas, les familles allocataires n'ont plus à justifier de leurs revenus auprès de leur caisse d'allocations familiales pour obtenir des prestations sous condition de ressources, car le service des impôts transmet directement à la CAF cette information personnalisée de part et d'autre par le NIR. Ainsi malgré l'usage général de l'identifiant spécifique des impôts, la présence du NIR au ministère des finances permet de faire passer les

informations fiscales aux institutions sociales désignées par la loi.

Une décision analogue aurait apporté beaucoup de facilités au service statistique de l'Education nationale dont l'identifiant sectoriel INE a pareillement souffert d'un grand nombre de doublons. Mais comme nous l'écrivions dans *Le Courrier des statistiques* en 2007, les évolutions techniques permettent de respecter le dispositif impulsé par la Cnil tout en levant ses obstacles pour les statisticiens. Une technique s'est imposée

## Encadré 3 - Appariements de fichiers administratifs : limites et risques

L'usage de tout fichier administratif comporte des limites et des risques dont il ne sera pas fait état présentement, mais seulement de ceux spécifiques aux appariements.

### Limites liées aux appariements

L'appariement entre fichiers permet de remédier à la spécialisation de ces fichiers mais n'est possible que dans des conditions administratives et techniques très précises, notamment de traitement anonyme. La technique des appariements sécurisés résout la contradiction entre devoir rapprocher les informations d'une même personne et ne pas avoir le droit d'identifier cette personne. Ces appariements sont loin de réussir à 100 % :

- les identifiants peuvent présenter des doublons (étudiants inscrits dans deux écoles avec un numéro personnel INE différent) ;

- l'identifiant peut être manquant dans un fichier pour une fraction des individus (fichier du bac) ;

- l'identifiant peut être instable (ayant droit de l'assurance maladie devenant assuré en son nom propre) ;

- variables identifiantes communes aux deux fichiers en nombre insuffisant ;

- erreur d'enregistrement des identifiants ou des variable identifiantes.

L'appariement ne relève pas d'une simple commande informatique mais constitue une tâche souvent laborieuse, impliquant des retours manuels aux données de base pour correction d'erreurs.

### Risques liés aux fichiers et à leur appariement

Qu'on recoure à un tiers de confiance ou à une technique de hachage (irréversible) de l'identifiant, il s'agit toujours de substituer à un nom ou à un identifiant un

pseudonyme secret. L'enjeu est que ce secret soit inviolable.

### Le risque peut intervenir à deux niveaux :

- les informations présentes dans le fichier croisées entre elles permettent d'isoler la personne concernée (par exemple une profession rare dans une commune rurale). Ce risque est inhérent à tout fichier : l'absence ou le secret de l'identifiant ne suffit pas à garantir l'anonymat de l'information. Mais ce risque est accru par appariement de fichiers par l'addition des informations spécifique à chaque fichier ;

- quoique l'algorithme de hachage soit très robuste, beaucoup plus que le simple chiffrement, la sécurité du dispositif exige certaines précautions d'organisation pour éviter toute réidentification des données. Il faut se prémunir contre la constitution malhonnête d'une table de correspondance par le donneur du fichier « haché ». On doit également se prémunir contre une « attaque par dictionnaire » d'un détenteur de la clé de hachage. Celle-ci consiste à hacher les identifiants de toute une liste jusqu'à ce qu'on retrouve dans le fichier reçu un identifiant haché supposé secret. La précaution habituelle consiste de la part du receveur à hacher une seconde fois l'identifiant avec une nouvelle clé inconnue du donneur (double hachage). Une autre précaution consiste à fractionner la clé de hachage entre plusieurs détenteurs (partiels) du secret pour éviter un usage incontrôlé de la clé de hachage. Tout maniement de fichier, administratif ou non, apparié ou non, exige le respect de précautions adaptées, éventuellement définies par un cadre réglementaire et faisant l'objet de contrôles.

<footnote n="6">6. Cf. l'article de Thomas Le Barbanchon et Béatrice Sédillot dans ce même numéro. Ce fichier relie les épisodes de chômage des personnes inscrites aujourd'hui ou dans le passé dans cette agence.</footnote>
au cours de la décennie : le recours à un NIR haché (voir encadré 1) et donc anonyme, suffisant pour ces fonctions statistiques. Le hachage permet, en effet, de réaliser des appariements statistiques de fichiers de façon anonyme : il transforme, après le choix d'une clef, un identifiant en une suite absconse de caractères ne lui ressemblant plus en rien. À la différence du cryptage, la connaissance simultanée de l'algorithme de hachage, de la clef et de l'identifiant haché ne permet pas de reconstituer l'identifiant d'origine. On n'est pas pour autant à l'abri de toute attaque mais on s'en prémunit couramment par un double hachage de l'identifiant, formant double barrière à l'égard des intrusions (encadré 3).

Cette technique du hachage pourrait faciliter les appariements évoqués ci-dessus. Ainsi les universités pourraient hacher toutes de la même façon (avec même algorithme et même clef) les numéros de sécurité sociale des étudiants de master pour ménager la possibilité d'un appariement anonyme avec le fichier des DADS, où le NIR serait traité de la même façon. L'insertion professionnelle d'un échantillon anonyme de sortants de l'éducation pourrait être observée sans identification des personnes ni collecte par enquête auprès d'eux. Pour les plus jeunes et pour les filières lycéennes, le système reste à étudier : les bases de données du second degré ont un identifiant spécifique (INE) et la passerelle avec les DADS serait plus complexe à mettre en place car le NIR personnel de l'élève est inconnu de l'administration scolaire. Il ne peut donc y être haché en vue du repérage futur de l'itinéraire professionnel du jeune dans un fichier anonymisé des DADS ou du chômage doté du même NIR haché. L'appariement de la Dares entre les DADS et le fichier historique FH des demandeurs d'emploi aurait été simplifié si les fichiers DADS et FH avaient été préalablement dotés du NIR haché de la personne avec la même clef. L'appariement anonyme aurait alors été facilité sans recourir à un tiers de confiance. Cet exemple illustre bien l'efficacité qu'il y aurait à

penser en amont au potentiel d'appariements offerts par le NIR haché.

## Une proposition

La procédure d'appariement utilisant cette technique de hachage imaginée par Catherine Quantin (Quantin, Fassa 2009) et David-Olivier Jaquet-Chiffelle (Quantin, Jaquet-Chiffelle 2011) est un peu plus élaborée pour des motifs de contrôle et de sécurité. Elle consiste à hacher (de façon irréversible) le NIR dans tous les fichiers où il figure en utilisant une clé commune et à le crypter ensuite (de façon réversible) avec une clé secrète spécifique à chaque opération. Après approbation d'une instance de régulation, détentrice des clés, on revient au seul NIR haché pour opérer l'appariement anonyme. C'est une technique d'avenir qui peut être mise en œuvre par l'introduction d'un NIR haché dans les fichiers administratifs. Du fait de sa régulation et du cryptage, elle permet une grande souplesse sous le contrôle de la Cnil. Outre l'appariement des fichiers administratifs entre eux, on est souvent conduit à enrichir un fichier d'enquête à partir de données administratives identifiées par le NIR ou, mieux, le NIR haché. Dans une enquête en face à face, une solution pourrait consister à demander à l'enquêté de saisir lui-même sur l'ordinateur d'enquête son NIR avec sa clé (pour en vérifier la validité) et à le hacher immédiatement avant que l'enquêteur ne reprenne la main. Une telle solution serait très pertinente pour enrichir ou prolonger un fichier d'enquête avec des données des DADS et du fichier historique des demandeurs d'emploi. Nathalie Picard (2010) suggérait que, en l'absence de gros panels de longue durée en France, on puisse prolonger ainsi l'enquête Emploi à partir de données administratives. Il faudrait pour cela obtenir de l'enquêté qu'il saisisse son NIR, qui serait immédiatement haché, au cours de l'entretien final, qui se tient en face à face, comme le premier entretien de l'enquête.

Enfin les statisticiens souhaitent parfois accéder à des informations que les entreprises ou les administrations n'ont pas le droit d'introduire

dans le fichier administratif traité. Les appariements sécurisés permettent de surmonter cette limite. Nous en proposons trois exemples.

Dans le cadre du Comedd (comité pour la mesure de la diversité et l'évaluation des discriminations), Catherine Quantin (Quantin, Riandey, 2010) suggérait que l'auto-évaluation de politique antidiscriminatoire d'une entreprise puisse être menée tout en maintenant l'interdiction qui lui est faite de collecter les caractéristiques sensibles prêtant aux discriminations. Il faudrait pour cela que les nouveaux salariés remplissent un questionnaire sensible (immédiatement crypté et identifié par leur NIR haché) et le remettent à un prestataire extérieur en situation de tiers de confiance. Ultérieurement à la demande de l'entreprise, le prestataire apparierait ces questionnaires avec un extrait du fichier historique du personnel (s'il existe) identifié par le NIR haché<fnref n="7" /> avec le même algorithme et la même clef. Ainsi le traitement serait conduit à l'extérieur de l'entreprise qui ne recevrait que le résultat statistique de l'audit dont elle est demandeuse. Dans cette opération, le cryptage immédiat du questionnaire sensible auto-administré sur ordinateur a garanti la confidentialité de la saisie ; le hachage (irréversible) de l'identifiant a assuré l'anonymat de l'analyse réalisée chez le prestataire.

Ce dispositif pourrait d'ailleurs être mis en œuvre par des administrations publiques : bien des administrations s'interdisent ou se voient interdire la collecte d'informations indispensables au traitement statistique. Tel est le cas, par exemple, de la « Base élève » des écoles maternelles ou primaires : la crainte d'un détournement de ces

<footnote n="7">7. Le Comedd a retenu une solution beaucoup plus simple, mais réductrice de ce dispositif : le questionnaire sensible serait soumis aux seuls salariés encore présents dans l'entreprise au moment de l'audit, après extraction d'un extrait de carrière, sans donc recours au NIR. C'était passer sous silence l'effet des discriminations sur les sorties de l'entreprise, qu'elles soient dues à des licenciements, démissions, invalidités, certains décès. Seul un fichier historique permet de measure ces éventuelles discriminations grâce à une collecte prospective et non rétrospective. En l'absence de ce fichier historique, ne serait réalisable que cette seule solution simplifiée.</footnote>
fichiers à l'extérieur de l'Éducation nationale a conduit les enseignants et les parents d'élèves à faire écarter les informations relatives à l'origine nationale de l'enfant et à sa langue maternelle. Or, ces informations sont nécessaires à l'évaluation statistique du service rendu par l'Éducation nationale aux familles d'origine étrangère. Seul un appariement par collecte auto-administrée sur ordinateur semble pouvoir pallier cette carence statistique. Encore faudrait-il rétablir la confiance par une communication convaincante car aucune technique, aussi sécurisée soit-elle, ne peut lutter contre les inquiétudes présentes derrière un refus de répondre légitime dès lors que la réponse n'est pas une obligation légale.

## Bilan et perspectives

En plus de dix ans, les techniques d'appariement sécurisé n'ont pas encore fait florès dans notre statistique publique. Mais leur enseignement aux statisticiens de l'Enrai encore tout récent (depuis le printemps 2010) n'a pas encore pu contribuer à leur pleine diffusion. Leur développement pionnier en épidémiologie et en économie médicale atteste qu'elles sont particulièrement appropriées au traitement des données sensibles, notamment celles qu'identifie la loi Informatique et Libertés. Par exemple, les travaux des accidentologues et criminologues français sont fortement pénalisés de ne pas pouvoir accéder à certaines informations. En effet, contrairement aux informations relevant de l'article 8 de la loi (origines « raciales ou ethniques», opinions politiques ou religieuses...), les données personnelles relatives aux infractions et condamnations font l'objet d'une protection supplémentaire (article 9 de la loi) et ne sont pas communica-bles, même avec l'accord exprès de l'intéressé. Or le rapport Caresche-Pandraud relatif à la création d'un observatoire de la délinquance (2003) recommandait de pouvoir suivre un délit depuis la plainte ou le procès-verbal jusqu'au jugement ultime. Cet objectif n'est probablement pas concevable sans un système d'information fondé sur un identifiant anonyme et des appariements sécuri-

## Bibliographie

* ✓ Bethlehem J., 2010, « Statistiques sans enquêtes ? Le passé, présent et futur de la collecte des données aux Pays-Bas », Symposium 2010, Statistique Canada.

* ✓ Brion Ph., 2011, « Esane, le dispositif rénové de production des statistiques annuelles d'entreprises », *Courrier des statistiques* n° 130.

* ✓ Caresche Ch., Pandraud R., 2003, *Sur la création d'un observatoire de la délinquance*, ministère de la justice; ministère de la Défense, ministère de l'Intérieur, Documentation française.

* ✓ Cloutier M., 2010, « Une vision stratégique pour l'utilisation des données administratives à Statistique Canada », Symposium 2010, Statistique Canada.

* ✓ Debrand Th., 2010, *HYGIE, système d'information sur les indemnités journalières*, www.irdes.fr/hygie

* ✓ Gensbittel M.H., Riandey B. et Quantin C., 2007, « Appariements sécurisés : statisticiens ayez de l'audace ! », *Courrier des statistiques* n°121-122.

* ✓ Goldberg M., Quantin C., Guéguen A. et Zins M., 2008, « Bases de données médico-administratives et épidémiologie : intérêts et limites », *Courrier des statistiques* n° 124.

* ✓ Goy A., 2005, « L'appariement sécurisé des fichiers d'étudiants grâce au hachage des identifiants », *Courrier des statistiques* n° 113-114.

* ✓ Guillerm M., 2009, *L'appariement de fichiers pour le suivi des étudiants*, Formation continue diplômante des attachés, Mémoire professionnel (Premier appariement probabiliste de la statistique publique).

* ✓ Haut Conseil de la santé publique, 2009, « Les systèmes d'information pour la santé publique », novembre 2009, www.hcsp.fr/docpdf/avisrapports/hcspr20091111_sisp.pdf.

* ✓ Iresp, 2010, *Projet Plastico*. Propositions pour la mise en place d'une plateforme scientifique et technique d'aide à la gestion de cohortes et de grandes enquêtes de santé publique. Rapport pour l'Institut de recherche en santé publique, avril 2010, rapport rédigé par Marcel Goldberg (INSERM U1018) www.iresp.net/ims/mutualisation/100419170822_rapport-plastico-avr.pdf.

* ✓ Le Barbanchon Th. et Sédillot B., 2011, « L'appariement expérimental entre le fichier historique des demandeurs d'emploi et les DADS : premier bilan et perspectives », *Courrier des statistiques* n° 131.

* ✓ Lenormand F., 2005, « Le système d'information de l'assurance maladie », *Courrier des statistiques* n° 113-114.

* ✓ Picard N., Quantin C., Riandey B. et Solaz A., 2010, « Les besoins des économistes en matière d'appariements sécurisés », *Courrier des statistiques* n°129.

* ✓ Poulain M., Perrin N., Singleton A., 2006. « Towards Harmonized European Statistics on International Migration », THESIM, PUL.

* ✓ Quantin C., Fassa M., Coatrieux G., Riandey B., Trouessin G., Allaert FA., 2009, « Chaînage de données anonymisées pour les études épidémiologiques multicentriques nationales et internationales : proposition d'un algorithme cryptographique », *Journées de méthodologie statistique de l'Insee* ».

* ✓ Quantin C., Jaquet-Chiffelle DO., Coatrieux G, Fassa M., Allaert F.A., 2011, « Medical record search engines, using pseudonymised patient identity: an alternative to centralised medical records », *International Journal of Medical Informatics* », 2011 ; 80 : e6-e11.

* ✓ Quantin C., Riandey B., Benoit A-M. et Cohen O., 2009, « Proposition à l'intention du COMEDD d'un dispositif sécurisé de suivi statistique de la diversité dans les entreprises à l'attention des entreprises signataires de la Charte de la diversité », in Héran F., (2010) *Inégalités et discriminations. Pour un usage critique et responsable de l'outil statistique*. Rapport du comité pour la mesure de la diversité et l'évaluation des discriminations (COMEDD). Texte imprimé. http://lesrapports.ladocumentationfrancaise.fr/BRP/104000077/0000.pdf.

* ✓ SFdS, Comptes rendus des séminaires Appariements sécurisés de 2008, 2009 et 2010, http://www.sfdss.asso.fr/114-Developpement_de_lusage_des_appariements_securises : Groupe Statistique et Société. Activités et événements.

sés. Les limites des enquêtes sur le risque routier pourraient probablement être dépassées par des appariements anonymes avec les fichiers d'infractions ou d'assurance.

Qu'il s'agisse de ces données très sensibles ou tout simplement de faciliter le traitement des données administratives, les besoins d'appariements sécurisés efficaces vont croître. Leur prise en compte appelle deux types de mesures : l'anticipation du système statistique en faveur d'un

hachage systématique du NIR avec la mise en place d'une instance de coordination des identifiants ; la formation d'ingénieurs à ces techniques<fnref n="8" />, en particulier dans le cadre de la formation permanente car c'est la formule la mieux adaptée pour apporter ces connaissances aux utilisateurs les plus concernés. ■

<footnote n="8">8. Pour en revenir au Symposium 2010 de Statistique Canada, mentionnons qu'il était précédé par un cours sur la méthodologie des appariements.</footnote>
Annexe - Sigles utilisés

✓ **Cépi-DC** : Centre épidémiologique des cau-
ses de décès (INSERM).

✓ CnamTS : Caisse nationale d'assurance maladie des travailleurs salariés.

✓ Cnav : Caisse nationale d'assurance vieillesse.

✓ Cnil : Commission nationale de l'information-tique et des libertés.

✓ Cnis : Conseil national de l'information sta-
tistique.

✓ **Comedd** : Comité pour la mesure de la diversité et l'évaluation des discriminations.

✓ **Credoc** : Centre d'étude et de documenta-
tion sur les conditions de vie.

✓ **DADS** : Déclaration annuelle des données sociales, ancienne Déclaration annuelle des salaires des employeurs vers les institutions sociales Unédic, Cnav...

✓ **Dares** Direction de l'animation de la re-

cherche, des études et des statistiques du minist-
tère du travail.

✓ **Drees** : Direction de la recherche, des études et de la statistique du ministère de la Santé et des Solidarités.

✓ **Ensai** : École nationale de la statistique appliquée et de l'information.

✓ Faere : Fichier anonyme d'étude et de re-
cherché sur l'éducation.

✓ **Foin** : Fonction d'occultation des informa-
tions nominatives du SNIIR-AM et PMSI.

✓ **HSCP** : Haut Conseil de la santé publique.

✓ **Hygie** :Base de l'Irdes sur les indemnités journalières.

✓ **INE** : Identifiant national des étudiants/élèves.

✓ **INS** : Identifiant national de santé.

✓ **Insee** : Institut national de la statistique et des études économiques.

✓ **Inserm** : Institut national de la santé et de la recherche médicale.

✓ **Irdes** : Institut de recherche et de documenta-
tion en économie de la santé.

✓ **Iresp** : Institut de recherche en santé publique.

✓ **NIR** : Numéro d'inscription au répertoire national d'identification des personnes physiques, le Rnipp.

✓ **ONDRP** : Observatoire national de la délin-
quance et des réponses pénales.

✓ **PMSI** : Programme médicalisé du système d'information (des hôpitaux et cliniques).

✓ **RMI** : ex-Revenu minimum d'insertion.

✓ **RNIAM** : Répertoire national inter-régimes de l'assurance maladie.

✓ **SNIIR-AM** : Système national inter-régimes d'information de l'assurance maladie.