Identité numérique et santé : relier sans exposer
Un système de santé a besoin de savoir que deux dossiers concernent la même personne. Il n'a pas besoin, pour cela, de faire circuler partout le numéro d'identité national. Tout l'enjeu est de relier les données sans les exposer.
Un patient arrive aux urgences. Son dossier existe déjà à l’hôpital, sous un nom mal orthographié ; ses analyses récentes sont dans un laboratoire de ville, sous une date de naissance inversée ; son médecin traitant a un troisième dossier. Personne ne voit l’ensemble, et le traitement prescrit ignore une allergie connue. Le lien entre identité et santé commence là : identifier sans erreur la bonne personne. Mais il pose aussitôt une seconde question, plus politique : comment relier les données de santé d’une personne sans en faire un fichier que n’importe quelle administration pourrait croiser avec les siens ?
Deux exigences qui tirent en sens inverse
La sécurité des soins pousse à relier. Une erreur d’identification peut conduire à transfuser le mauvais sang, à opérer le mauvais patient, à classer un résultat dans le mauvais dossier. Les autorités sanitaires de nombreux pays traitent l’identification des patients comme une priorité de sécurité ; l’Organisation mondiale de la santé l’a inscrite parmi ses solutions pour la sécurité des patients dès 2007.
La protection des données pousse à cloisonner. Les données de santé font partie des données sensibles au sens du RGPD et des lois comparables. Si le dossier médical est indexé par le numéro national d’identité, celui qu’utilisent aussi le fisc, la police ou les employeurs, il suffit d’un accès ou d’une fuite pour relier l’état de santé d’une personne à tout le reste de sa vie administrative.
L’architecture d’identité d’un système de santé consiste à satisfaire les deux exigences à la fois. Plusieurs modèles existent ; aucun n’est neutre.
Trois modèles d’identifiant de santé
| Modèle | Principe | Avantage | Risque |
|---|---|---|---|
| Numéro national partagé | Le numéro d’identité national sert directement d’identifiant de santé | Simple, unique, déjà connu des patients | Clé de croisement universelle ; fuite à fort impact |
| Identifiant de santé distinct | Un numéro propre au secteur, attribué par une autorité sanitaire | Cloisonne la santé des autres secteurs | Doublons si l’attribution n’est pas adossée à une identité vérifiée |
| Identifiant sectoriel dérivé | Calculé à partir du numéro national par une fonction à sens unique, propre à la santé | Unicité garantie sans circulation du numéro national | Demande une autorité de dérivation fiable et une gouvernance des clés |
Les pays ont fait des choix différents. En France, l’identité nationale de santé (INS), dont le référencement est obligatoire depuis le 1er janvier 2021, repose sur le numéro d’inscription au répertoire des personnes physiques ; son usage est en revanche strictement limité au domaine de la santé et du médico-social, et l’identité doit être vérifiée par un téléservice avant d’être qualifiée. L’Autriche, à l’inverse, a bâti son identité électronique sur des identifiants sectoriels dérivés : chaque domaine de l’administration reçoit un identifiant différent pour la même personne, calculé de façon qu’on ne puisse pas remonter au numéro source ni passer d’un secteur à l’autre.
Le rapprochement, une fonction à part entière
Quel que soit le modèle, aucun système de santé ne part d’une page blanche. Il hérite de millions de dossiers créés sans identifiant fiable, avec des noms translittérés de plusieurs façons, des dates de naissance approximatives, des homonymes. Il faut donc un service de rapprochement des identités, souvent appelé index patient principal (master patient index).
Ce service compare les traits d’identité (noms, prénoms, date et lieu de naissance, sexe), propose des correspondances avec un score de confiance, et laisse à des personnes formées la décision de fusionner ou de séparer les dossiers douteux. Les profils d’interopérabilité de l’IHE, comme PIX et PDQ et leurs versions adaptées à FHIR, décrivent la façon dont les systèmes interrogent ce service et échangent des correspondances d’identifiants. La ressource Patient de HL7 FHIR permet de porter plusieurs identifiants pour une même personne, chacun avec son système d’origine.
Le rapprochement automatique ne doit jamais fusionner seul des dossiers incertains. Une fusion erronée mélange les antécédents de deux personnes ; elle est plus dangereuse qu’un doublon.
Cette fonction s’accompagne d’une organisation : l’identitovigilance. Des référents dans chaque établissement, des règles écrites de création d’une identité (vérification d’un document, saisie des traits stricts, interdiction des surnoms), des indicateurs (taux de doublons, collisions détectées) et une procédure de correction. Les meilleurs outils échouent sans elle.
Où intervient l’identité numérique du citoyen
Les portefeuilles d’identité numérique, que l’Union européenne prévoit de mettre à disposition de chaque citoyen fin 2026 dans le cadre du règlement eIDAS 2, et les identités numériques nationales ailleurs, changent une partie du problème. Ils permettent au patient de prouver son identité à distance, avec un niveau de garantie connu : pour accéder à son dossier, pour une téléconsultation, pour consentir à un partage.
Ils ne remplacent pas pour autant l’identifiant de santé. Le bon schéma est une articulation : l’identité numérique authentifie la personne ; le système de santé, après cette authentification, lui associe son identifiant sectoriel et lui ouvre ses données. Le numéro national n’a pas besoin de circuler au-delà de cette étape. Le portefeuille peut aussi, à terme, présenter des attestations précises (droits à l’assurance maladie, statut vaccinal) sans divulguer le reste, selon le principe de minimisation.
Le règlement européen sur l’espace européen des données de santé (EHDS), entré en vigueur le 26 mars 2025, ajoute une dimension transfrontière : les patients devront pouvoir accéder à leurs données et les partager avec des professionnels d’autres États membres, ce qui suppose des mécanismes d’identification interopérables entre pays.
Décisions à prendre, dans l’ordre
- Choisir le modèle d’identifiantNuméro national, identifiant distinct ou identifiant dérivé : la décision est juridique autant que technique. Elle doit être prise avec l’autorité de protection des données et inscrite dans un texte.
- Adosser l’identifiant à une identité vérifiéeUn identifiant de santé attribué sans vérification produit des doublons. Le lien avec l’état civil ou le registre de population doit être défini, avec ses exceptions (nouveau-nés, personnes sans papiers, urgences).
- Mettre en place l’index patient et l’identitovigilanceOutil de rapprochement, règles de saisie, référents, procédure de fusion et de séparation.
- Définir qui peut voir quoiLe dossier médical n’expose pas l’identifiant national ; les accès sont tracés ; les traitements secondaires (recherche, statistiques) utilisent des données pseudonymisées.
- Relier l’authentification citoyenneAccepter l’identité numérique nationale pour l’accès du patient, sans en faire l’identifiant du dossier.
Ces choix engagent le système de santé pour des décennies. Ils se préparent avec les juristes, les directions des systèmes d’information hospitaliers et l’autorité d’identité. Notre expertise en identité numérique accompagne précisément ce travail d’architecture, et notre guide sur le dossier patient partagé en décrit l’usage clinique.
Questions fréquentes
Pourquoi ne pas utiliser simplement le numéro national d'identité dans les dossiers médicaux ?
Parce qu'il devient alors une clé qui permet de relier les données de santé à toutes les autres bases (fiscales, sociales, policières). Plusieurs pays préfèrent un identifiant propre à la santé, ou dérivé du numéro national par une fonction à sens unique, pour empêcher ces croisements tout en garantissant l'unicité.
Qu'est-ce que l'identitovigilance ?
C'est l'organisation et les règles qui garantissent qu'un patient est correctement identifié à chaque étape de sa prise en charge : création de l'identité, vérification sur un document, détection et fusion des doublons, correction des erreurs. Elle mobilise des référents dans les établissements.
Un portefeuille d'identité numérique remplace-t-il la carte de santé ?
Pas en soi. Le portefeuille permet au patient de prouver qui il est et de s'authentifier à distance. L'identifiant de santé reste nécessaire pour relier ses données médicales. Les deux peuvent se compléter : l'identité numérique vérifie la personne, le système de santé lui associe son identifiant sectoriel.