Ouvrir un fichier apparié revenus–arrêts de travail sans permettre la réidentification
La direction souhaite ouvrir aux chercheurs un fichier apparié individu par individu entre les revenus fiscaux et les arrêts de travail pour 2019-2022, soit 2,3 millions de personnes. Le fichier contiendrait l'âge en années, le sexe, la commune de résidence, le revenu imposable et le nombre de jours d'arrêt. Un laboratoire demande la commune de résidence en clair pour étudier les déserts médicaux. La CNIL a déjà refusé une version précédente contenant le mois de naissance. Le service juridique rappelle que la commune rurale de moins de 500 habitants est souvent identifiante, surtout croisée avec le revenu. Le chercheur argue que sans commune, l'étude perd son intérêt. Vous devez arbitrer entre valeur scientifique et protection des données.
1. Analyser le risque de réidentification et proposer une solution technique qui préserve l'étude.
Read the worked answer
Le croisement commune rurale (moins de 500 habitants) × âge × sexe × revenu × jours d'arrêt crée des cellules quasi uniques : dans une commune de 300 habitants, quelques personnes seulement ont un revenu donné et un arrêt long. Même sans nom, un registre électoral ou une connaissance locale permet la réidentification. Le mois de naissance a déjà été refusé pour cette raison. Solution : ne pas diffuser la commune en clair. Recoder la géographie en typologie (bassin de vie, EPCI, densité, distance au service de santé), ou fournir un indice d'accessibilité agrégé. Si l'étude exige une maille fine, passer par un accès sécurisé à distance avec requêtes contrôlées et seuils de sortie (au moins 5 individus par cellule, arrondi, bruit différentiel). Une version synthétique peut être mise à disposition pour le développement des programmes. L'objectif scientifique (déserts médicaux) reste atteignable avec une maille EPCI et des indicateurs d'accessibilité.
2. Rédiger l'argumentaire à destination du chercheur et la décision.
Read the worked answer
Argumentaire : « Votre question sur l'effet de l'offre de soins sur les arrêts est pertinente et financée. La commune en clair n'est pas indispensable : les déserts médicaux se définissent par l'accessibilité aux soins, que nous pouvons calculer à l'échelle de l'EPCI ou du bassin de vie. Nous proposons un fichier avec la commune recodée en 5 classes de densité et un indice d'accessibilité, accessible en salle sécurisée. Les sorties seront contrôlées (seuil de 5). Si vous maintenez le besoin de la commune, une demande motivée à la CNIL sera instruite, mais le calendrier sera de plusieurs mois. » Décision : pas de commune en clair dans le fichier ; accès sécurisé ; seuils ; réunion de cadrage sous 10 jours. On ne cède pas sur la demande brute, mais on offre une alternative qui préserve la recherche.