Informations Agrégées

Les informations agrégées sont des données issues de nombreuses personnes, appareils ou enregistrements, combinées en une synthèse : un total, une moyenne, un comptage, une part ou une tendance. Le résultat décrit un groupe, pas une personne. Un rapport indiquant combien de tickets chaque équipe a clôturés la semaine dernière est agrégé ; la liste des tickets individuels qui le sous-tend ne l'est pas.

L'agrégation réduit le niveau de détail et on la confond souvent avec l'anonymisation. Les deux notions se recoupent sans se confondre : l'agrégation change le niveau auquel les données sont présentées, alors que l'anonymisation affirme que personne ne peut être identifié. Une synthèse peut satisfaire la première et échouer sur la seconde.

L'agrégation est un court processus, dont la dernière étape est celle que les équipes sautent. Contrairement au masquage des données, qui cache des valeurs à l'intérieur d'un enregistrement, l'agrégation abandonne l'enregistrement comme unité de sortie.

1. 1

   Collecter

   Rassemblez des enregistrements issus d'une ou plusieurs sources : journaux, formulaires ou capteurs.

2. 2

   Regrouper

   Répartissez les enregistrements selon une dimension choisie : équipe, région, semaine ou catégorie.

3. 3

   Synthétiser

   Appliquez une fonction à chaque groupe : comptage, somme, moyenne, minimum ou maximum.

4. 4

   Supprimer

   Masquez ou fusionnez les groupes trop petits pour protéger les personnes qu'ils contiennent.

5. 5

   Contrôler

   Avant de partager, vérifiez que le résultat ne comporte pas de combinaisons menant à une seule personne.

Les agrégats sont partout, car ils répondent aux questions de pilotage sans exposer chaque cas. Le droit de la vie privée les traite avec prudence : le CCPA, par exemple, exclut de sa définition des informations personnelles les informations agrégées sur les consommateurs, c'est-à-dire des données sur un groupe dont les identités individuelles ont été retirées. Des outils d'analyse comme les logiciels d'analyse de la main-d'œuvre reposent sur la même idée.

En sécurité, l'agrégation a un second sens, qui joue dans la direction opposée. Des informations anodines prises isolément peuvent devenir sensibles une fois réunies : un nom, un poste, un bureau et un agenda de déplacements dessinent un portrait qu'aucun d'eux ne dessine seul. Les guides de sécurité parlent de risque d'agrégation.

La conséquence pratique est que la classification d'une synthèse n'est pas automatiquement inférieure à celle de ses sources. Un rapport qui combine de nombreuses sources peut mériter le niveau de son information sensible la plus critique ; son auteur doit donc se demander ce qu'il révèle dans son ensemble, et pas seulement ce que contient chaque colonne.

On suppose souvent qu'une fois les enregistrements résumés, la question de la vie privée est réglée. Ce n'est pas le cas, car les synthèses peuvent fuiter par la manière dont elles sont construites :

Les garde-fous courants sont une taille minimale de groupe en dessous de laquelle les résultats sont masqués ou fusionnés, l'arrondi et, dans les contextes plus stricts, l'ajout de bruit statistique, connu sous le nom de confidentialité différentielle.

• Petits groupes : une moyenne d'équipe calculée sur une ou deux personnes est presque un enregistrement personnel
• Différenciation : deux rapports qui ne diffèrent que d'une personne révèlent la valeur de cette personne
• Recoupement : une synthèse combinée à des données externes peut désigner quelqu'un
• Valeurs extrêmes : la valeur la plus haute ou la plus basse d'un groupe renvoie à la personne qui la détient
• Publications répétées : une série de synthèses détaillées peut servir à reconstituer les lignes d'origine

Les trois termes décrivent des choses différentes, et les confondre conduit à de fausses déclarations de conformité. Une coche à la troisième ligne signifie « peut », pas « toujours ».

Une bonne part de ce que montre la console est agrégée. Les widgets de tableau de bord et les rapports du module Anexet Activity fournissent classements, parts et tendances pour le suivi de la productivité et du temps de travail au lieu d'un flux d'événements isolés. La première vue regroupe les incidents par niveau de risque ; la seconde est la configuration d'un widget qui classe les utilisateurs selon une métrique choisie.

1 / 2

• 
• 

Fixez le plus petit groupe que vos rapports peuvent décrire, consignez-le par écrit et vérifiez chaque nouveau tableau de bord ou export à l'aune de cette règle. Protégez les enregistrements sources autant que les synthèses qui en sont tirées, et qualifiez une synthèse d'après ce qu'elle pourrait révéler combinée à d'autres, non d'après son air inoffensif prise seule.

L'agrégation est un bon réglage par défaut quand les résultats sont largement diffusés. C'est un choix de conception qui exige une règle, pas une garantie.