Article considérant 92

(92) Certaines catégories de données de santé électroniques peuvent rester particulièrement sensibles même lorsqu’elles sont anonymisées et donc à caractère non personnel, comme le prévoit déjà spécifiquement le règlement (UE) 2022/868. Même en cas d’utilisation de techniques d’anonymisation de pointe, il subsiste un risque résiduel que la capacité de réidentification soit ou devienne disponible, au-delà des moyens raisonnablement susceptibles d’être utilisés. Ce risque résiduel est présent en ce qui concerne les maladies rares, c’est-à-dire des affections entraînant une menace pour la vie ou une invalidité chronique ne touchant pas plus de cinq personnes sur dix mille dans l’Union, pour lesquelles le nombre limité de cas réduit la possibilité d’agréger intégralement les données publiées afin de préserver la vie privée des personnes physiques tout en maintenant un niveau de granularité approprié afin de rester significatif. Ce risque résiduel peut avoir une incidence sur différentes catégories de données de santé et peut conduire à la réidentification des personnes concernées à l’aide de moyens qui vont au-delà de ceux qui sont raisonnablement susceptibles d’être utilisés. Ce risque dépend du niveau de granularité, de la description des caractéristiques des personnes concernées, du nombre de personnes touchées, par exemple, dans le cas de données figurant dans les dossiers médicaux électroniques, les registres de maladies, les biobanques et les données générées par les personnes, lorsque l’éventail des caractéristiques d’identification est plus large, et de la combinaison possible avec d’autres informations, par exemple dans des zones géographiques très limitées, ou en raison de l’évolution technologique de méthodes qui n’étaient pas disponibles au moment de l’anonymisation. Une telle réidentification de personnes physiques susciterait une préoccupation majeure et risquerait de compromettre l’acceptation des règles relatives à l’utilisation secondaire prévues par le présent règlement. En outre, les techniques d’agrégation sont moins éprouvées pour les données à caractère non personnel contenant par exemple des secrets d’affaires, comme dans le cadre de la notification d’essais cliniques et d’investigations cliniques, et, en l’absence d’une norme internationale de protection suffisante, il est plus difficile de réprimer les violations des secrets d’affaires en dehors de l’Union. Par conséquent, pour ces catégories de données de santé, il subsiste un risque de réidentification après l’anonymisation ou l’agrégation, qui ne peut pas être raisonnablement atténué au départ. Cela relève des critères énoncés à l’article 5, paragraphe 13, du règlement (UE) 2022/868. Ces types de données de santé relèveraient donc de l’habilitation prévue à l’article 5, paragraphe 13, dudit règlement pour le transfert vers des pays tiers. Les conditions particulières prévues dans le cadre de l’habilitation énoncée à l’article 5, paragraphe 13, du règlement (UE) 2022/868 seront détaillées dans le cadre de l’acte délégué adopté au titre de cette habilitation, et doivent être proportionnées au risque de réidentification et tenir compte des spécificités des différentes catégories de données ou des différentes techniques d’anonymisation ou d’agrégation.