NOTES et DOCUMENTS LIMSI N o : Septembre Guide d annotation Anonymisation de comptes rendus cliniques. Cyril Grouin

Transcription

1 NOTES et DOCUMENTS LIMSI N o : Septembre 2013 Guide d annotation Anonymisation de comptes rendus cliniques Cyril Grouin

2

3 Guide d annotation Anonymisation de comptes rendus cliniques Cyril Grouin 24 septembre 2013 Introduction Présentation Ce guide reprend les principales lignes directrices qui ont conduit, d une part à réaliser le corpus de référence anonymisé, et d autre part à configurer les outils d anonymisation des comptes rendus médicaux dans le cadre du projet Akenaton 1. Les méthodes d anonymisation employées dans le cadre de ce projet pour produire les différentes anonymisations ont été présentées dans [Grouin et al., 2009b, Grouin et al., 2009a] pour les approches à base de règles et dans [Grouin et Zweigenbaum, 2011] pour les approches hybrides à base de règles et par apprentissage. La comparaison des différentes approches et la production de l outil d anonymisation Medina 2 sont présentées dans mon travail de thèse [Grouin, 2013]. Ce guide tient compte des évolutions qui ont été retenues après la fin du projet, pour poursuivre cette thématique d anonymisation. Le guide a été réutilisé en dehors du projet dans d autres procédures d annotation de corpus anonymisé, par exemple dans [Névéol et al., 2013]. Définitions L anglais distingue la «désidentification» (de-identification) comme le processus consistant à repérer les éléments appartenant à des catégories prédéfinies (noms, prénoms, adresses, âges, etc.) de l «anonymisation» (anonymization) comme le processus allant au-delà de la désidentification et qui consiste à masquer également les éléments qui, pris isolément n ont aucun pouvoir identifiant, mais en combinaison avec d autres données permettent cette réidentification. Dans les deux cas, l objectif recherché consiste à ne pas pouvoir remonter jusqu à une personne à partir d un document clinique. 1 Eléments à anonymiser 1.1 Situation en France En France, il n existe pas de liste précise indiquant les éléments devant faire l objet d une anonymisation, en particulier dans le cas des comptes rendus médicaux. La CNIL incite toutefois à procéder à des travaux de chiffrement des données dans le cas d anonymisation voulue irréversible. L anonymisation de données n entre pas complètement dans ce cas de figure, puisque seules des portions de texte à l intérieur d un compte rendu médical doivent faire l objet d une telle anonymisation. 1 Automated Knowledge from medical records in Association with a Telecardiology Observation Network, Numéro de financement ANR-07-TecSan Medical Information Anonymization 1

4 1.2 Situation aux États-Unis Aux Etats-Unis, 18 identifiants (Personnal Health Information) ont été définis dans le cadre du Health Insurance Portability and Accountability Act 3 : 1. Noms. 2. Toute subdivision géographique plus petite qu un Etat. 3. Tout élément de date (sauf les années) et les âges (si supérieurs à 90 ans). 4. Numéro de téléphone. 5. Numéro de télécopie. 6. Adresses de messagerie électronique. 7. Numéro de sécurité sociale. 8. Numéro de dossier médical. 9. Numéro de mutuelle. 10. Numéro de compte. 11. Numéro de carte d identité (permis de conduire). 12. Numéro d immatriculation et identifiants du véhicule. 13. Références d appareillage et numéro de série. 14. Adresses Internet. 15. Adresses IP. 16. Identifiants biométriques. 17. Photographies. 18. N importe quel autre identifiant ou caractéristique unique permettant l identification (cicatrice, tatouage, etc.). 2 Principes Nous avons retenu les principes suivants lors des phases d annotation du corpus de référence : L anonymisation est effectuée au moyen de balises XML typantes (chaque balise renvoie au type sémantique de l entité anonymisée). Le type d annotation retenue consiste à encadrer l entité à anonymiser par des balises typantes ouvrante et fermante. Toute anonymisation doit être effectuée avec un empan maximal (si plusieurs entités successives relèvent d une seule catégorie deux prénoms qui se suivent, un numéro de rue suivi du type et du nom de voie, alors elles seront rassemblées sous une seule balise), sauf dans le cas défini au point suivant. Le formatage du texte d origine doit être préservé. En conséquence, si deux entités relevant d une même catégorie se trouvent, pour la première en fin de ligne et pour la seconde en début de ligne suivante, toutes deux seront anonymisées séparément. Les signes de ponctuation collant une entité et non constitutifs de l entité, ne sont pas inclus dans l empan de l anonymisation (une entité suivie d une virgule). Aucune espace ne doit être ajoutée autour de la ponctuation. En revanche, la ponctuation à l intérieur d une entité ou constitutive de l entité (le point d abréviation dans l initiale d un prénom, le séparateur entre jour, mois et année dans une date, le tiret dans un nom ou prénom composé) est intégrée dans la balise d anonymisation. 3 HIPAA : 2

5 3 Catégories La liste des éléments traités lors des travaux d anonymisation dans le projet Akenaton ont été les suivants. Ils sont inspirés des catégories définies par le HIPAA et résultent d une analyse des documents composant le corpus. Certains types d entité, initialement envisagés comme devant faire l objet d une anonymisation, ne l ont finalement pas été. Le maintien de ces catégories n induit pas nécessairement une réidentification mais il permet un meilleur accès au sens dans le processus futur d extraction d informations. 3.1 Personnes Nom. Le nom de famille correspondant à une personne (patient, membre de la famille du patient, médecin traitant, chirurgien, interne, personnel de l hôpital, etc.). Les noms de famille donnés à des salles opératoires ou des hôpitaux n entrent pas dans cette catégorie. Le déclencheur (M., Mme, Melle) n est pas intégré dans la portée de l anonymisation. Professeur H. POEHEI, Professeur H. <nom>poehei</nom>, Hervé LE BON, Hervé <nom>le BON</nom>, Madame Pimentel Gisèle, Madame <nom>pimentel</nom> Gisèle, Prénom. Le prénom d une personne (mêmes catégories de personnes et mêmes exceptions que ci-dessus). Professeur H. POEHEI, Professeur <prenom>h.</prenom> POEHEI, Monsieur Marc-André Senten, Monsieur <prenom>marc-andré</prenom> Senten, Madame Pimentel Gisèle, Madame Pimentel <prenom>gisèle</prenom>, Monsieur John F. Kennedy Monsieur <prenom>john F.</prenom> Kennedy Remarque : Dans le premier exemple, le point est constitutif de l entité anonymisée (point d abréviation de l initiale du prénom), il est intégré dans la portée de l anonymisation ; dans le troisième exemple, la virgule qui suit le prénom n est pas constitutive de l entité, elle n est donc pas intégrée dans la portion anonymisée. Remarque : Les initiales de second prénom doivent être anonymisées dans la même portion que celle du premier prénom, quatrième exemple. 3.2 Lieux Hôpital. Le nom de l hôpital (au sens large : clinique, maison de jour, maison de retraite, maison de repos), le nom d une salle d opération dans l hôpital, etc. Le déclencheur (clinique, hôpital, salle, unité, etc.) est intégré dans la portion anonymisée. à l Hôpital Cochin à <hopital>l Hôpital Cochin</hopital> Interne, unité Ch. Landron Interne, <hopital>unité Ch. Landron</hopital> Hôpital de Nantes <hopital>hôpital de Nantes</hopital> Remarque : L article précédent le déclencheur (généralement «l»), parce qu il est collé au déclencheur, doit être intégré dans la portion anonymisée (troisième exemple). Adresse. L adresse postale (numéro, type et nom de voirie, boîte postale, numéro d escalier et de bâtiment) du patient, du médecin traitant, de l hôpital. 9, rue de Saint-Malo Rennes <adresse>9, rue de Saint-Malo</adresse> Rennes 151 boulevard de l Hôpital, Bâtiment H, Paris <adresse>151 boulevard de l Hôpital, Bâtiment H</adresse>, Paris Code postal. Complémentaire de l adresse postale. 9, rue de Saint-Malo Rennes 9, rue de Saint-Malo <codepostal>35000</codepostal> Rennes 3

6 Ville. Nom de ville figurant dans une adresse postale. En revanche, un nom de famille correspondant à un nom de ville doit être annoté comme un nom. 9, rue de Saint-Malo Rennes 9, rue de Saint-Malo <ville>rennes</ville> Monsieur Jacques d Auvers Monsieur Jacques <nom>d Auvers</nom> 3.3 Données numériques Sont regroupées ici les données (essentiellement) numériques autres que le code postal et le numéro de voie dans les adresses postales. Les informations numériques relatives aux appareillages figurent dans la section suivante. Âge. Uniquement les âges si supérieur à 90 ans. 70 ans 70 ans 90 ans <age> 90 ans </age> Date. N importe quelle date (date de naissance, date d entrée ou de sortie, date d opération chirurgicale, etc.), y compris les années. Les dates relatives (depuis 20 ans), les durées (pendant 3 mois) ne sont pas anonymisées (quatrième et cinquième exemple). né le 1er mars 2004 né le <date>1er mars 2004</date> (29/09/57) (<date>29/09/57</date>) jusqu en 1998 jusqu en <date>1998</date> depuis 20 ans depuis 20 ans pendant 3 mois pendant 3 mois Les intervalles de dates sont regroupés en une seule portion (en réduisant au maximum la présence de mots outils) tandis que les conjonctions et disjonctions de dates seront séparés en deux portions. du 15 au 18 mars du <date>15 au 18 mars</date> les 15 et 16 avril les <date>15</date> et <date>16 avril</date>) en juin et en septembre 2005 en <date>juin</date> et en <date>septembre 2005</date> le 5 septembre 2004 et le 21 janvier 2005 le <date>5 septembre 2004</date> et le <date>21 janvier 2005</date> Numéro. N importe quel identifiant numérique unique relatif au patient ou à l équipe chirurgicale. Non trouvé dans le corpus. Sécurité sociale. Numéro de sécurité sociale, de mutuelle, etc., propres au patient <numero_ss> </numero_ss> Téléphone. Numéro de téléphone, de télécopie, extension téléphonique, numéro de poste, etc. Si deux extensions de numéro sont possibles, séparées par une conjonction, l ensemble est anonymisé sous une seule balise. Prise de RDV ou 01 Prise de RDV <telephone> ou 01</telephone> nous recontacter au nous recontacter au <telephone> </telephone> 3.4 Données médicales Info. Marque et type d appareillage (pacemaker, défibrillateur), numéro de série, etc. pacemaker double chambre de type ELA MEDICAL pacemaker double chambre de type <info>ela MEDICAL</info> pacemaker de marque ELA MEDICAL, de type BRIO DR 212. pacemaker de marque <info>ela MEDICAL</info>, de type <info>brio DR 212</info>. 4

7 une sonde de défibrillation de marque Guidant n o de série : SN une sonde de défibrillation de marque <info>guidant</info> n o de série : <info>sn </info> Conclusion Ce guide a été utilisé pour annoter des corpus de comptes rendus cliniques en français qui ont servi de référence pour évaluer les résultats produits dans différentes expériences d anonymisation automatique [Grouin, 2013]. À l usage, il apparaît que certains choix d annotation présentés dans ce guide méritent une mise à jour [Grouin et Zweigenbaum, 2013]. En premier lieu, la catégorie des adresses repose sur une définition humaine qu il est difficile de faire correspondre avec une conception purement informatique du fait des différentes formes possibles que peut prendre une adresse (une adresse classique, uniquement un lieudit, une combinaison des deux précédentes formes, etc.). D autre part, la distinction entre les noms et les prénoms ne semble pas pertinente dans la mesure où elle conduit à complexifier le processus d anonymisation qui doit distinguer ces deux catégories 4 alors que le résultat masquera le contenu de ce repérage. Dans certains cas, cette distinction se révèle impossible, du fait des choix d annotation présentés dans ce guide (ne pas modifier la tokénisation d origine). Il en est ainsi des initiales d une personne qui combinent l initiale du prénom avec celle du nom de famille en un seul token. Certaines approches (notamment dans le défi i2b consacré à la problématique de l anonymisation) reposent sur une distinction entre le patient et les membres de l équipe de soin [Uzuner et al., 2006, Uzuner et al., 2007]. Nous estimons, a posteriori, que ce choix est plus pertinent et que la distinction entre le patient et l équipe médicale est plus importante dans un texte anonymisé que celle effectuée entre un nom et un prénom. Une mise à jour de ce guide tenant compte de ces deux problématiques sera effectuée. References [Grouin, 2013] Grouin, C. (2013). Anonymisation de documents cliniques : performances et limites des méthodes symboliques et par apprentissage statistique. Thèse de Doctorat, UPMC, Paris, France. Cité pages 1 et 5. [Grouin et al., 2009a] Grouin, C., Rosier, A., Dameron, O., et Zweigenbaum, P. (2009a). Testing tactics to localize de-identification. Stud Health Technol Inform, 150: Cité page 1. [Grouin et al., 2009b] Grouin, C., Rosier, A., Dameron, O., et Zweigenbaum, P. (2009b). Une procédure d anonymisation à deux niveaux pour créer un corpus de comptes rendus hospitaliers. In Fieschi, M., Staccini, P., Bouhaddou, O., et Levis, C. (éditeurs), Risques, technologies de l information pour les pratiques médicales, chapitre XVII, pages Springer- Verlag, Nice, France. Cité page 1. [Grouin et Zweigenbaum, 2011] Grouin, C. et Zweigenbaum, P. (2011). Une approche à plusieurs étapes pour anonymiser des documents médicaux. RSTI RIA, 25: Cité page 1. [Grouin et Zweigenbaum, 2013] Grouin, C. et Zweigenbaum, P. (2013). Automatic deidentification of french clinical records: Comparison of rule-based and machine-learning approches. Stud Health Technol Inform, 192: Proc of MedInfo. Cité page 5. [Névéol et al., 2013] Névéol, A., Grouin, C., Darmoni, S. J., et Zweigenbaum, P. (2013). Désidentification d un corpus clinique pour le traitement automatique du français. In Proc of French SIG IMIA, Copenhagen, Denmark. Cité page 1. 4 Mais cette distinction peut également servir le processus d identification. Ainsi, un nom de famille absent des listes peut être identifié dans le voisinage d un prénom qui aura été précédemment reconnu. 5

8 [Uzuner et al., 2007] Uzuner, O., Luo, Y., et Szolovits, P. (2007). Evaluating the state-of-theart in automatic de-identification. J Am Med Inform Assoc, 14(5): Cité page 5. [Uzuner et al., 2006] Uzuner, O., Szolovits, P., et Kohane, I. (2006). i2b2 workshop on natural language processing challenges for clinical records. In AMIA Annu Symp Proc. Cité page 5. 6

9

10 Notes et Documents LIMSI N o : Septembre 2013 Auteurs (Authors) : C. Grouin Titre : Guide d annotation. Anonymisation de comptes rendus cliniques Title: Guidelines. Clinical Texts De-Identification Nombre de pages (Number of pages) : 8 Résumé : Ce guide reprend les principales lignes directrices qui ont conduit, d une part à réaliser le corpus de référence anonymisé, et d autre part à configurer les outils d anonymisation des comptes rendus médicaux dans le cadre du projet Akenaton. Les méthodes d anonymisation employées dans le cadre de ce projet pour produire les différentes anonymisations ont été présentées dans (Grouin et al., 2009a,b) pour les approches à base de règles et dans (Grouin et Zweigenbaum, 2011) pour les approches hybrides à base de règles et par apprentissage. La comparaison des différentes approches et la production de l outil d anonymisation Medina sont présentées dans mon travail de thèse (Grouin, 2013). Ce guide tient compte des évolutions qui ont été retenues après la fin du projet, pour poursuivre cette thématique d anonymisation. Mots clés : Comptes rendus cliniques, Anonymisation, Annotation de corpus Abstract : These guidelines highlight the main points that conducted, first to produce a reference annotated corpus, and second to configure the de-identification tools used in the project Akenaton. The de-identification methods used in this project are detailed in (Grouin et al., 2009a,b) for the rule-based approaches and in (Grouin et Zweigenbaum, 2011) for the hybrid approaches. The comparison of these approaches and the development of the Medina de-identification tool have been presented in my PhD thesis (Grouin, 2013). Those guidelines take into account the improvements done after the end of the project. Key words: Clinical Texts, De-Identification, Corpus Annotation