# Appariements sécurisés: statisticiens, ayez de l'audace!

Michel-Henri Gensbittel, Benoît Riandey, Catherine Quantin

► To cite this version:

Michel-Henri Gensbittel, Benoît Riandey, Catherine Quantin. Appariements sécurisés: statisticiens, ayez de l'audace!. Courrier des Statistiques, 2007, 121-122, pp.49-55. hal-05462446

HAL Id: hal-05462446

https://insee.hal.science/hal-05462446v1

Submitted on 16 Jan 2026

HAL is a multi-disciplinary open access
archive for the deposit and dissemination of sci-
entific research documents, whether they are pub-
lished or not. The documents may come from
teaching and research institutions in France or
abroad, or from public or private research centers.

L'archive ouverte pluridisciplinaire HAL, est
destinée au dépôt et à la diffusion de documents
scientifiques de niveau recherche, publiés ou non,
émanant des établissements d'enseignement et de
recherche français ou étrangers, des laboratoires
publics ou privés.

<figure><img src="image_1.png" /></figure>

Distributed under a Creative Commons CC BY 4.0 - Attribution - International License
# Appariements sécurisés : statisticiens, ayez de l'audace !

<figure><img src="image_2.png" /></figure>

Michel-Henri Gensbittel, Benoît Riandey et Catherine Quantin*

Avec succès, la statistique publique s'est attachée à valoriser les fichiers administratifs pour s'éviter des coûts de collecte importants, mais de nombreux statisticiens publics n'ont pas encore évalué l'importance des opportunités ouvertes par l'évolution du cadre juridique et des techniques. Le mot appariement suscite leur plus grande prudence, alors que les techniques anonymes sécurisées leur permettent d'enrichir enquêtes, panels et fichiers administratifs avec des données administratives issues d'autres institutions. Pour utiliser une image, il s'agit, à partir de données administratives multiples, de créer un fichier statistique aussi diversifié que les chapitres d'un questionnaire d'enquête, de bénéficier de la sécurité des fichiers anonymes tout en menant des appariements avec des données de grande sensibilité. La Commission nationale de l'informatique et des libertés (Cnil) encourage les statisticiens à suivre cette voie tracée par les épidémiologistes.

**Avertissement** : les propositions émises dans cet article n'engagent que les trois auteurs, en particulier en ce qui concerne les applications potentielles des appariements sécurisés et les instances qui en contrôleraient la mise en œuvre sous le contrôle de la Commission nationale de l'informatique et des libertés (Cnil). Nous remercions particulièrement Sophie Vulliet-Tavernier, directrice du service juridique de la Cnil, pour sa lecture attentive de cet article et ses encouragements à agir dans cette voie.

En 2005, le dossier spécial « Panels et appariements sécurisés », paru dans le *Courrier des statistiques* (n° 113-114) suggérait que certaines techniques, mises au point par les épidémiologistes, soient utilisées par la statistique officielle, pour qui elles seraient d'un grand secours.

Ces techniques d'appariements sécurisés reposent sur une forme particulière de cryptage (cryptage irréversible ou *hachage*), appliquée aux identifiants (numéro d'inscription au répertoire ou NIR, par exemple) ou éléments d'identification (nom, prénom, date ou lieu de naissance, adresse par exemple) contenus dans des fichiers. Ce sont les fichiers dont les identifiants ou éléments d'identification communs ont été *hachés* qui sont alors appariés.

Deviennent ainsi réalisables, en toute légalité et dans de très bonnes conditions de sécurité, nombre d'opérations délicates : dénombrements anonymes (Quantin, 2005), caractérisations sécurisées de populations sensibles ou appariements sécurisés de sources couvertes par un impérieux

secret statistique, notamment panels anonymisés et fichiers administratifs sensibles. La primauté de cette idée revient d'ailleurs à la Cnil lors de sa délibération du 25 mai 2000 relative à l'observatoire du revenu minimum d'insertion (RMI) à Paris.

S'affranchissant de la hantise qu'accompagnait le mot « appariement », la Cnil a fait valoir au Centre de recherche pour l'étude et l'observation des conditions de vie (Credoc) que les épidémiologistes, notamment à Dijon, avaient mis au point des méthodes sans risque pour la confidentialité, absolument utilisables pour les statistiques inter-institutionnelles sur le RMI. Le mérite, beaucoup plus modeste, des deux premiers auteurs de cet article a été de diffuser l'idée, dans les canaux de la Société française de statistique (SFdS) et avec l'appui chaleureux de la Cnil, que ce qui est bon pour l'analyse du RMI l'est aussi pour toute la statistique administrative inter-institutionnelle. C'est le message même de cet article.

Travailler ainsi sur des données anonymes mais néanmoins dotées d'un

<figure><img src="image_3.png" /></figure>

<footnote>* Michel-Henri Gensbittel est statisticien, ingénieur de recherche à l'université Paris 1 et, depuis septembre 2007, responsable de la plateforme d'insertion professionnelle de Paris Centre Universités (regroupant les universités Paris 1, Paris 5 et Paris 7) (mhgens@univers Paris1.fr). Benoît Riandey est ingénieur statisticien à l'Institut national d'études démographiques (Ined) (riandey@ined.fr). Catherine Quantin est professeur au Centre hospitalo-universitaire (CHU) de Dijon, où elle dirige le service de biostatistique et d'informatique médicale (catherine.quantin@chu-dijon.fr).</footnote>
identifiant fait bénéficier le statisticien de tous les avantages des fichiers nominatifs, à l'exception de l'identification de la personne. Les données manipulées ne sont plus des données personnelles soumises aux obligations de la loi de 1978. Par exemple, le NIR haché n'est plus un NIR à proprement parler, dont l'usage aurait nécessité un décret en Conseil d'État. Les droits d'opposition, d'accès et de rectification de la personne concernée ne sont pas requis pour ces données anonymisées pour lesquelles on serait d'ailleurs dans l'impossibilité technique de les satisfaire. Nous reviendrons sur les précautions à prendre dont n'exonèrent pas ces techniques, pour se prémunir de risques connus : l'identification par croisement d'un grand nombre de variables et les « attaques par dictionnaire » (cf. infra).

Arriver à dénombrer sans double compte et de façon anonyme les nouveaux cas de séropositivité et caractériser le type de contamination (hétérosexuelle, homosexuelle ou par injection) présente des similitudes frappantes avec le fait d'arriver à dénombrer les pacs et caractériser de façon anonyme l'orientation sexuelle du couple pacsé : l'obligation de confidentialité pour cette information individuelle très sensible et l'impératif statistique d'échapper à un sous-dénombrement causé par des refus. Le dénombrement des Pacs par orientation sexuelle des pacsés était a priori beaucoup plus simple

que celui des séropositifs, qui est compliqué par les doublons induits par la répétition des tests sanguins et très sensible car la contamination peut trouver sa cause dans une pratique toxicomane illégale. Mais ce sont les épidémiologistes qui ont trouvé une solution satisfaisant à toutes ces exigences, tandis que l'absence de statistiques des Pacs (au-delà de leur comptage élémentaire) a fait obstacle à la caractérisation qualitative des bénéficiaires de la loi de 1999. Il appartiendra à des historiens juristes, que nous ne sommes pas, d'investiguer sur les causes de cette lacune durable de la statistique publique, mais c'est un message fort de cet article que d'affirmer que même pour un sujet aussi politiquement sensible, il existait une solution absolument sécurisée plus féconde encore que la solution apportée par la révision de cette loi le 6 août 2004 et qui devra peut-être la compléter. Nous y reviendrons.

Quant aux appariements de fichiers, constatons que l'assurance maladie (Lenormand, 2005) a résolument ouvert le chemin avec l'EPAS<fnref n="1" />, le RNIAM<fnref n="2" /> et le SNIIR-AM<fnref n="3" />, dont on attend l'appariement annoncé avec le PMSI<fnref n="4" /> (cf. annexe 1). Même si la mise en œuvre en est longue et laborieuse, c'est une avance notoire sur les autres secteurs de la sécurité sociale ou de la statistique officielle. Néanmoins, la statistique publique prend conscience progressivement<fnref n="5" /> du fait que, sans réduire les exigences de sécurité, la technique lui permet d'envisager plus sereinement les appariements.

En témoignent les premières applications du service statistique de l'Éducation nationale (Goy, 2005), le bulletin du Conseil national de l'information statistique (Cnis), *Chroniques*, daté de décembre 2006 relatif à la complémentarité entre enquêtes statistiques et sources administratives et l'afflux de soixante personnes au cours d'appariements sécurisés de la SFdS. Dans un contexte d'argent public rare, les enquêtes coûteuses ne peuvent être faites sans examen préalable des possibilités offertes par les fichiers administratifs disponibles,

que l'on peut au besoin compléter et utiliser efficacement comme support.

Néanmoins, malgré ce frémissement positif, la directrice du service juridique de la Cnil n'en a pas moins clos, lors de cette formation, son intervention sur le cadre juridique des appariements sécurisés par cette incitation : « Statisticiens, ayez de l'audace ! ».

À nouveau, c'est du côté de la santé que reviennent quelques grands débats. Les principes, les positions de fond sont inchangés, mais les nouvelles techniques permettent des solutions audacieuses porteuses des garanties appropriées. Comparons le climat et les solutions du débat sur l'usage du NIR à la Direction générale des impôts à la fin des années 1990 et celui qui accompagne la mise en œuvre de l'identifiant national de santé à l'occasion de l'émergence de l'ambitieux dossier médical personnel, le DMP. Sans minimiser la dissemblance des finalités ni les difficultés du projet, mais en remarquant la sensibilité commune des données, on constate qu'il en ressort une doctrine commune génératrice d'une révolution potentielle de la statistique administrative.

La crainte d'appariements incontrôlés avait contraint la statistique administrative à la politique du guichet, c'est à dire à ne connaître de l'administré que ce qui est pertinent, non excessif pour le traitement administratif à ce guichet. Une interprétation de la convention de 1981 du Conseil de l'Europe, aujourd'hui jugée trop étroite par le législateur, interdisait alors de recueillir une donnée supplémentaire à seule finalité statistique (comme par exemple le fait de recueillir une information permettant de vérifier l'absence de discrimination dans le fonctionnement de cette administration<fnref n="6" />). En fait, il est licite de recueillir des informations dans le cadre d'extensions de finalités légimes (statistique, recherche, lutte contre les discriminations...) et les appariements sécurisés permettent de rapprocher de façon anonyme, et sans accès possible par l'administration, des données administrati-

<footnote n="1">1. Échantillon permanent des assurés sociaux.</footnote>

<footnote n="2">2. Répertoire national inter-régimes de l'assurance maladie.</footnote>

<footnote n="3">3. Système national d'information inter-régimes de l'assurance maladie.</footnote>

<footnote n="4">4. Programme médicalisé du système d'information (hospitalière).</footnote>

<footnote n="5">5. Lors des cours donnés par la SFdS sur les appariements sécurisés en novembre 2006, le secteur de la santé représentait encore plus de la moitié des institutions présentes et des participants.</footnote>

<footnote n="6">6. Son article 5c stipulait que « les données à caractère personnel faisant l'objet d'un traitement automatisé sont adéquates, pertinentes et non excessives par rapport aux finalités pour lesquelles elles sont enregistrées ». La loi du 6 août 2004, modifiant la loi Informatique et Libertés, nuance cette restriction en ajoutant « ou pour les traitements ultérieurs ». Parmi ceux-ci, figurent les traitements statistiques, de recherche scientifique ou historique puisque, par cette même loi, ils sont reconnus compatibles avec la finalité de recueil.</footnote>
ves issues de « guichets » différents. L'information statistique administrative s'enrichit ainsi comme les différents chapitres d'un questionnaire d'enquête se complètent mutuellement et ceci, dans le respect de la confidentialité stricte.

Pour réduire le risque de ces appartements incontrôlés, la Cnil avait défini une doctrine de sectorisation des identifiants. Cependant, le caractère protecteur de cette politique n'altait pas sans créer des difficultés. Les deux principales sont clairement apparues pour les identifiants SPI (simplification des procédures d'imposition) des impôts et INE (identifiant national étudiant) de l'Éducation nationale : l'absence de validation de l'identifiant auprès du RNIPP7 générait une armée de doublons : l'identifiant ne garantissait pas l'identification unique du contribuable ou de l'étudiant. De plus, la communication entre institutions s'avérait impossible lorsqu'elle était nécessaire et autorisée.

## L'identifiant national de santé

Nous reviendrons sur l'examen des solutions mises en œuvre et de leurs éventuelles limites pour d'abord examiner comment ce débat est réapparu rénové à l'occasion de la mise en place du dossier médical personnel. La loi de santé publique du 13 août 2004 met en avant la conviction que des progrès importants pour la santé publique rendent nécessaire une coordination rigoureuse des soins. Ce débat est également très présent au niveau international (Quantin, 2007). Des expériences de DMP se mettent en place à l'étranger (Bourquard, 2007).

Cette coordination des soins suppose un échange d'informations sur le patient et donc une identification commune de ce patient (Quantin, 2005). Aussi, le ministère de la Santé a-t-il étendu le débat de l'identifiant du DMP à l'ensemble des identifiants des fichiers de santé. Il a préconisé que, pour une raison d'efficacité en

santé publique, le NIR soit l'identifiant unique de tous les fichiers de santé ; la protection des données du DMP serait acquise par un renforcement des sécurités d'accès aux données et une pénalisation sévère de toute infraction à l'accès.

Cette position est apparue très dangereuse aux associations de patients représentées par le Collectif interassociatif sur la santé, comme à la Ligue des droits de l'Homme. Elles ont donc demandé que l'identifiant national santé (INS) qui, au départ, s'appelait le numéro identifiant santé (NIS), soit distinct du NIR qui, lui, resterait attaché à la seule fonction du remboursement des dépenses de maladie. La Cnil a rempli sa mission d'arbitrage. Elle a estimé en effet que la spécificité du NIR et des données de santé excluait le choix du NIR en tant qu'INS, mais qu'un « NIR crypté de façon irréversible par hachage » satisferait à la fois aux exigences fonctionnelles et protectrices, puisque, comme on l'a dit plus haut, l'identifiant ainsi changé et comprimé par une fonction mathématique de hachage ne peut pas être restauré (il n'existe pas de fonction mathématique inverse, ce que le terme de hachage illustre bien).

C'est la position que les épidémiologistes, l'Académie des sciences et l'Académie de médecine avaient préconisée pour le DMP (Quantin, 2006), mais cette fois étendue à tous les fichiers de santé. L'avenir nous dira ce qu'il en est.

## Vers une instance de coordination des identifiants ?

Les conditions par lesquelles sera réalisée cette extension sont du plus grand intérêt pour les statisticiens. Il serait judicieux de s'inspirer du Data Matching Agency (DMA) australien (Trouessin, 1999b). Cette agence, en coordination étroite avec l'autorité de contrôle, affecte à chaque individu un identifiant par secteur concerné. Elle gère et protège la table de correspondance entre chaque identifiant sectoriel et le numéro national. C'est

précisément l'instance qui a manqué en France lors de la mise en place des identifiants sectoriels SPI et INE.

La question aujourd'hui posée pour les fichiers de santé est la suivante : le même NIR haché sera-t-il présent dans le DMP et tous les fichiers hospitaliers ? Ou bien, au contraire, ces identifiants ne seront-ils pas distincts, obtenus par hachage à partir de clés distinctes fournies par une instance de coordination des identifiants (ICI), qu'il faudrait alors créer sous une forme ou une autre et placer sous le contrôle strict de la Cnil ?

C'est cette seconde solution, proche du nouveau modèle belge, que les épidémiologistes (représentés par C. Quantin) ont évoquée lors de leur audition par la Cnil.

Le lien entre l'identifiant de santé utilisé par les professionnels de santé et celui du dossier médical ne pourrait donc se faire que par une telle instance de coordination, détentrice des clés de hachage. De même, le rapprochement entre les données anonymes d'assurance maladie ou hospitalières avec celles du dossier médical ne pourrait être réalisé que par l'intermédiaire de cette instance8.

Cette solution est en pleine harmonie avec la décision du Conseil constitutionnel relatif à l'amendement Brard qui, en 1999, a réintroduit le NIR à la Direction générale des impôts dans un but de coordination fiscale. Le SPI demeurait l'identifiant sectoriel des impôts. Le NIR ne se voyait confier que deux missions : assurer l'identification unique du contribuable ; permettre la transmission d'informations fiscales aux administrations sociales pour la gestion des allocations sous plafond de ressources.

<footnote n="7">7. Répertoire national d'identification des personnes physiques.</footnote>

<footnote n="8">8. Toutefois, pour que le dernier rapprochement soit possible, il conviendrait que le numéro d'anonymat MAGIC de la procédure FOIN (utilisée par le PMSI et le SNIIR-AM, cf. annexe 1) évolue vers le hachage séparé des trois champs d'identification (numéro de sécurité sociale, date de naissance, sexe) et que le NIR du bénéficiaire remplace celui de l'ouvrant droit, c'est-à-dire le numéro de sécurité sociale de ce dernier, conformément à la diffusion en cours de la carte Vitale 2.</footnote>
L'innovation apportée par les épidémiologistes est la substitution d'une simple clé de chiffrement (ou de hachage) à la table de correspondance, soit une information plus facile à cantonner.

Revenons aux limites de la solution retenue pour les fichiers d'élèves ou d'étudiants. La Cnil était soucieuse que ne soit pas produit un fichier d'élèves contenant l'INE au niveau national et a limité cette possibilité aux académies. Par ailleurs, bien que la direction englobant le service statistique du ministère de l'Éducation nationale, la DEPP<fnref n="9" />, ait été autorisée à constituer un fichier national d'étudiants contenant l'INE (puisque l'administration de l'enseignement supérieur relève du niveau national), elle n'a pas été autorisée à le diffuser.

Ainsi, en dehors de panels de dimension limitée, on ne pouvait pas suivre l'ensemble de la carrière scolaire ou universitaire d'un individu. Le hachage des identifiants, suggéré en 2003 à la DEPP lors d'un premier cours de la SFdS, lui a permis de diffuser aux universités un fichier national anonyme leur permettant, par appariement d'années successives, de tracer les trajectoires inter-universitaires de leurs étudiants.

Un projet est à l'étude à la DEPP pour construire, en utilisant le même procédé de hachage des identifiants, un fichier national sécurisé d'élèves et d'étudiants, de l'école primaire à l'enseignement supérieur. Le progrès de la connaissance statistique en serait extraordinaire puisque serait effacée toute rupture d'information entre cycles d'études et académies, et ceci dans le respect de la vie privée des élèves et des étudiants.

Cette application trouve encore deux limites : l'une, temporaire, tient au fait que l'identifiant INE n'est pas encore déployé dans l'ensemble du secteur éducatif. Le second demeure une question de logique : le hachage ne permet pas de rapprocher les données d'un étudiant qui aurait été

enregistré avec deux INE différents. Le repérage des doublons ne peut se faire qu'à partir de l'identification certifiée par l'état civil ou le RNIPP, comme pour le SPI fiscal.

## Valider un identifiant sectoriel : une voie nouvelle et simple

Cette critique peut aujourd'hui être heureusement dépassée grâce à la technique de hachage, sans même faire appel à une instance de coordination des identifiants. L'intervention d'une telle instance est superflue pour seulement repérer les doublons, c'est-à-dire les multiples identifiants correspondant à un même individu.

L'unicité du NIR a été validée une fois pour toutes par le répertoire d'état civil, le RNIPP. Cet acquis peut être mis à profit sans l'établissement d'une table de correspondance NIR-identifiant sectoriel ; prenons à nouveau le cas des étudiants : imaginons que sur une console, l'étudiant en cours d'inscription saisisse son nouvel INE et le valide par sa clé de contrôle, puis qu'il saisisse son NIR en aveugle (comme un mot de passe) et le valide par la clé de son NIR. Dès la saisie, son NIR serait haché avec une clé de cryptage unique pour ce secteur. La paire INE - NIR haché serait stockée sur un fichier centralisé de la DEPP. L'apparition en double du NIR haché dans la table signale le doublon et apparie les deux INE jumeaux.

L'instance de coordination des identifiants n'est donc pas indispensable pour valider un identifiant sectoriel, mais seulement pour rendre possibles les transferts autorisés entre les différents secteurs. La DEPP n'a donc pas besoin de mobiliser le RNIPP ou son substitut pour valider ses identifiants INE.

Pour reprendre l'exemple fiscal, le NIR est utile au fisc pour informer les caisses d'allocations familiales du revenu fiscal de l'allocataire, mais serait superflu pour seulement repérer que deux identifiants SPI correspondent au même contribuable : un NIR

haché à sa saisie sur internet suffirait. Cette voie nouvelle de validation des identifiants sectoriels n'avait probablement jamais été repérée. Son caractère très général plaide pour le développement de la politique de la Cnil des appariements sectoriels, qui trouve là une grande cohérence en appui à son efficacité protectrice.

## Apparier avec ou sans identifiant commun

La technique précédente permet le fonctionnement correct d'un identifiant sectoriel, mais fait obstacle à l'échange intersectoriel ; c'est bien son but. C'est donc sa limite. Seule la fourniture par la personne de son NIR ou le passage par le RNIPP permet l'appariement de données entre les secteurs qui ont été délimités par la décision fondatrice de la Cnil relative au cantonnement du NIR : les passerelles, ou plutôt les ponts-levis, ici proposés, n'ont pas de caractère rétroactif.

Néanmoins, l'appariement sécurisé restera envisageable à partir des fichiers nominatifs de chacun des secteurs, par exemple par hachage avec la même clé d'appariement des nom, prénom et date de naissance. La « phonétisation » des noms accroît la probabilité d'appariement ; le hachage séparé de ces éléments et l'appariement probabiliste accroissent l'efficacité de la procédure, en limitant le nombre de vérifications par le producteur des enregistrements dont l'appariement aurait échoué (Quantin, 2005).

Laissant là cette réflexion sur les identifiants, revenons à la question des appariements. Le cours de la SFdS du 16 novembre 2006 avait évoqué beaucoup d'applications potentielles.

## Comprendre les discordances. Tester les concordances

Il arrive que des dénombrements administratifs divergent : par exemple, de façon inexpliquée, l'effec-

<footnote n="9">9. Direction de l'évaluation, de la prospective et de la performance.</footnote>
tif d'une profession médicale selon l'administration et selon l'ordre de la profession. Ou bien, deux statistiques peuvent sembler convergentes (par exemple, celle des nouveaux titres de séjour et celle du nombre des immigrés reçus par l'Agence nationale d'accueil des étrangers et des migrations, ANAEM, ex-Office des migrations internationales) sans qu'on soit certain d'avoir compté les mêmes personnes. Sans rapprocher nominativement les fichiers nominatifs, mais seulement des extraits anonymisés par hachage, on peut dénombrer les convergences des deux sources, caractériser leurs divergences et établir une statistique consolidée. Cette technique dispense donc de travailler sur des fichiers nominatifs ; au gain de sécurité s'ajoute une économie de négociations et de démarches administratives.

## Aller au-delà des appariements nominatifs

Certains appariements sont menés par voie nominative ou en utilisant le NIR tel quel ; c'est le cas de l'échantillon inter-régimes des retraités, de celui des cotisants à la retraite, ou encore de celui des bénéficiaires des minima sociaux. Pourquoi, à leur égard, penser à utiliser des appariements sécurisés ? Très simplement pour accéder à d'autres sources : par exemple, pour évaluer l'état de santé des bénéficiaires du RMI. Des procédures s'imposeront évidemment pour éviter la « réidentification » des personnes de la part des institutions productrices des sources nominatives.

## Permettre l'appariement de données sensibles

Les épidémiologistes ont compté ou caractérisé des populations sensibles. Les appariements sécurisés sont la seule voie rendant envisageables des rapprochements plus larges : revenus des ménages comprenant un handicapé, état de santé d'une sous-population... Pour les épidémiologistes, il est tout à fait essentiel d'accéder de façon efficace et sécurisée au statut

vital des anciens patients, sans même connaître leur lieu de naissance. Dans cette situation, en 2006, I. Fournel a eu recours avec succès aux techniques de hachage.

Nous avons évoqué combien la statistique des pacs et ruptures de pacs aurait été enrichie en toute sécurité par le recours à ces techniques. Destinée à évaluer la loi de 1999 légalisant les unions homosexuelles, la statistique du pacs, sept ans plus tard, n'avait encore fourni aucune indication de la part des unions homo ou hétérosexuelles ainsi légalisées. La loi du 6 août 2004 modificatrice de la loi Informatique et Libertés assignait aux greffes des tribunaux quelques comptages anonymes de l'orientation sexuelle des pacsés classés par âge, soit une opération élémentaire de la statistique. Ce comptage décentralisé, encore assez élémentaire, est initié au cours de l'année 2007. La loi de 2004 reconnaît ainsi la légitimité de mesurer l'accueil réservé au pacs, respectivement par les couples hétérosexuels et homosexuels dénombrés. Fort heureusement, une étude rétrospective menée par extraction exhaustive de tous les pacs et ruptures de pacs depuis l'origine va, dans les prochaines semaines, compler cette lacune statistique pour la période antérieure à l'année 2007. Il restera à déterminer si notre proposition très sécurisée et parcimonieuse garde seulement une valeur pédagogique ou facilitera la poursuite de cette démographie des pacs, si heu-reusement reconstituée après sept années blanches<fnref n="10" /> (Carrasco, 2007).

Forts du serment d'Hippocrate, et donc de la nécessité de savoir pour pouvoir un jour guérir, les épidémiologistes avaient précédé leurs collègues statisticiens sur ce sujet en mettant en œuvre rapidement une statistique sans double compte des séropositifs VIH sida. Les statisticiens de l'Institut de veille sanitaire ont appliqué ces méthodes aux statistiques de toutes les maladies à déclaration obligatoire. Leur application au pacs sous la forme d'une simple table cryptée alimentée par les greffes aurait permis de maintenir automatiquement un fichier anonyme de pacs et ruptures de pacs appariées, à jour. Ce dispositif ne mettrait en œuvre aucun traitement de données personnelles – au sens de la loi de 1978 – par la statistique publique.

Ces données sensibles sont l'occasion de rappeler qu'avoir sécurisé l'identifiant ne résout pas tout risque de divulgation si les précautions usuelles sont oubliées : le croisement de variables multiples détaillées, géolocalisées, d'un fichier peuvent permettre une identification indirecte, que l'identifiant soit haché ou non ; c'est encore plus vrai lorsqu'on enrichit le nombre des variables d'un fichier à l'occasion d'un appariement. Ce contrôle est aisé pour les pacs et ruptures de pacs pour lesquels aucune information géographique, professionnelle ni date complète n'a lieu d'être. S'ajoutent des protections à l'égard des risques d'attaque par dictionnaire (lorsque le détenteur de la clé de hachage crypte l'identifiant d'une personne cible pour découvrir son identifiant et le retrouver dans la base). La parade à ce risque consiste à toujours pratiquer un double hachage avec deux clés distinctes et secrètes : en amont dans l'administration (le greffe), en aval à l'entrée du fichier central. S'ajoutent des règles organisationnelles qui protègent des collusions et bouclent la chaîne de sécurité.

<figure><img src="image_4.png" /></figure>

Source : Los Alabamos National Security 2006, LCC, droits réservés

<caption>Coupe transversale du virus du sida</caption>

<footnote n="10">10. En termes d'analyse démographique, il s'agit notamment de mesurer la fréquence des ruptures des différents types de pacs par durée écoulée depuis le pacs.</footnote>
À nouveau, la Cnil a repris son message à l'occasion de ses Dix recommandations pour la mesure de la diversité (Cnil, 2007). Convaincue de la nécessité de telles mesures statistiques pour lutter contre les discriminations et très attentive à la protection de la vie privée des personnes susceptibles de subir des discriminations, la Cnil a procédé à une consultation approfondie et émis des recommandations très précises. En points 8 et 9, elle préconise le recours à un tiers de confiance et les techniques de cryptage. En prônant le hachage et la mise en place de l'instance de coordination des identifiants (ICI), nous nous situons bien dans le sillage de la Cnil.

Dans un autre domaine, le rapport Caresche-Pandraud, à l'origine de la création de l'Observatoire national de la délinquance, voit se réaliser une autre de ses recommandations essentielles, le chaînage des informations entre les plaintes déposées dans les commissariats et leur traitement par la justice. Certes, le groupe de travail sur le chaînage n'a pas encore achevé ses travaux, mais on imagine déjà les progrès de l'information statistique qui résulteront de ce décloisonnement. On serait surpris qu'à terme, de telles bases de données statistiques longitudinales ne bénéficient pas de la protection des techniques de hachage. Ce serait en tout cas la condition qui ouvrirait aux

chercheurs criminologues l'accès en toute sécurité à ces données si sensibles et par le fait même rigoureusement confinées.

D'autres exemples ont été évoqués. L'enquête MARC<fnref n="11" /> a suivi pendant plusieurs années les prises de risque de jeunes conducteurs (Got, 2007). L'information recueillie est restée purement déclarative. L'Inrets, la direction de la sécurité et de la circulation routières et les compagnies d'assurance avaient saisi l'intérêt scientifique d'apparier ces données d'enquêtes avec des données de sinistres détenues par les assureurs co-financeurs de l'enquête ou les données d'infraction.

Cette idée est restée à l'état de regret car de telles données nominatives ne pouvaient légalement être rapprochées, y compris même avec l'accord exprès du sujet. La seule voie possible réside dans les appariements sécurisés par leur garantie de l'anonymat total. Une réflexion est engagée en ce sens sur les prises de risques des cyclomotoristes.

De façon plus évidente, le rapport Chaleix-Lollivier auprès du Cnis avait préconisé une amplification des travaux à partir de panels et de fichiers administratifs. Cette recommandation est en cours de réalisation avec le prochain démarrage de la cohorte d'enfants ELFE<fnref n="12" /> associée à l'échantillon démographique permanent de l'Insee. Les concepteurs de la cohorte n'envisagent pas que les données épidémiologiques collectées dans ce cadre ignorent la protection des appariements sécurisés. L'organisation fractionnée de leur base de données envisagée, avec un jeu multiple d'identifiants gérés par un tiers de confiance, préfigure la mise en œuvre la plus accomplie d'une ICI en France, rôle que la Caisse nationale d'assurance vieillesse (Cnav) est appelée à jouer de façon essentielle, non seulement pour le RNIAM, mais pour l'identifiant national de santé.

Plus précisément, on voit l'intérêt d'un identifiant à composante familiale<fnref n="13" /> qui associe à l'identifiant de l'enfant celui de chacun de ses parents. Son intérêt est évident pour les recherches sur les maladies génétiques rares, recherches nécessairement internationales. D'où l'idée de cet identifiant familial européen (Quantin, 2005) qui bénéficierait de toutes les sécurités développées dans cet article, grâce aux techniques de hachage des identifiants qui permettent de construire des généalogies anonymes. Il permet aussi de renouer avec la dimension généalogique souvent oubliée par la démographie. En témoigne l'expérience engagée en commun sur un sujet aussi sensible que l'enfance en danger par l'ONED<fnref n="14" /> et HC Forum (cf. annexe 2).

## Conclusion

L'apport potentiel des appariements sécurisés à la statistique publique est aujourd'hui reconnu, mais son application n'est encore qu'exceptionnellement en œuvre dans le périmètre de la loi de 1951. Des projets sont en gestation. La différence de culture avec ces techniques plus informatiques que statistiques a constitué un frein, mais les opérateurs spécialisés existent pour soutenir les services statistiques. Souhaitons que, prochainement, les formations initiales ou permanentes diffusent ce savoir. Sans attendre cette décision qui lui échappe, la SFdS<fnref n="15" /> a prolongé en 2007 le cours du 16 novembre 2006 à la même date par un séminaire annuel ouvert à tous sur les appariements sécurisés pour y débattre d'expérience et de projet. ■

<footnote n="11">11. Enquête Mobilité, attitude, risque, comportement de l'Institut national de la recherche sur les transports et leur sécurité (Inrets), la Fédération française des sociétés d'assurance et la Direction de la sécurité et de la circulation routières du ministère des Transports.</footnote>

<footnote n="12">12. Étude longitudinale française depuis l'enfance. Ce travail associe l'Ined, l'Inserm, l'InVS, la Drees, la Cnaf, la Depp et la DGS.</footnote>

<footnote n="13">13. Brevet déposé en septembre 2004 – n° 0409584 – QUANTIN, COHEN.</footnote>

<footnote n="14">14. Observatoire national de l'enfance en danger.</footnote>

<footnote n="15">15. Site internet : www.sfds.asso.fr, groupe statistique et société.</footnote>
Bibliographie

Dossier spécial « panels et appariements sécurisés », *Courrier des statistiques* n° 113-114, juin 2005 et *Journal de la Société française de statistique*, vol 146 n° 3, 2005, notamment les quatre articles suivants :

– Quantin C., Gouyon B, Allaert F.A., Cohen O, « Méthodologie pour le chaînage de données sensibles tout en respectant l'anonymat : application au suivi des informations médicales ».

– Goy A. « L'appariement sécurisé des fichiers d'étudiants grâce au hachage des identifiants ».

– Lenormand F. « Le système d'information de l'assurance maladie ».

– Chaleix M. et Lollivier S. « Des panels pour les statistiques sociales ».

Bourquard K (2007) « DMP : Situation Internationale » *Pratiques et organisations des soins*, n° 1, CNAMTS.

Carrasco V. (2007), « Le pacte civil de solidarité : une forme d'union qui se banalise », Infostat Justice n° 97.

Cnil (2001) « 21ᵉ rapport d'activité 2000. Délibération n° 00-031 du 25 mai 2000 ». La Documentation française.

Cnil (2007), « Mesure de la diversité et protection des données personnelles. Les dix recommandations de la Cnil ». Lettre INFOCNIL, mai 2007.

Cnis (2006), Chroniques n° 5, « Enquêtes statistiques et sources administratives : une complémentarité à exploiter ».

Festy P. (2001), « Pacs, l'impossible bilan », *Populations et sociétés* n° 369 (www.ined.fr, rubrique Publications).

Fournel I., (à paraître dans la *Revue d'épidémiologie et de santé publique*), « Détermination du statut vital par chaînage entre des données hospitalières et les données de mortalité nationales anonymisées ».

Got C, Delhomme P. et Lassarre S. (2007) « La mortalité routière en France peut encore diminuer », *Populations et sociétés* n° 434.

Quantin C, Allaert FA, Gouyon B, Cohen O (2005), "Proposal for the creation of a European healthcare identifier. Stud Health Technol Inform, 116:949-54.

Quantin C., Guinot C., Tursz A., Salomez J.-L., Rogier C., Salamon R. (2006), « Le traitement épidémiologique du Dossier Médical Personnel au service des malades », *Revue épidémiologique de Santé Publique*, n° 54.

Quantin C., Cohen O, Riandey B., Allaert F.A. (2007) "Unique Patient Identifier : a world wide review" *International Journal of Medical Informatics*.

Trouessin G., Allaert FA (1997) "FOIN : a nominative information occultation function, MIE 3, pp 196-200.