Anonymisation

Un jeu de données n'est anonymisé que lorsque personne parmi ceux qui le détiennent ne peut raisonnablement réidentifier les personnes qu'il contient. Supprimer les identifiants évidents, comme les noms et les numéros d'identification, ne suffit pas, car le reste d'un enregistrement peut encore décrire une personne réelle. Les enregistrements contenant des données sensibles exigent le contrôle le plus strict.

Les régulateurs et les organismes de normalisation jugent cela au regard du contexte complet. Ils se demandent quelles autres sources de données existent, qui pourrait les combiner et quel effort une réidentification demanderait. Supprimer un nom tout en conservant une combinaison rare de code postal, de date de naissance et de genre est un moyen bien connu d'échouer à ce test, car cette combinaison peut à elle seule isoler une personne dans des registres publics.

Quatre techniques couvrent la plupart des cas. Ne les confondez pas avec le masquage de données, qui cache des valeurs sans forcément supprimer la possibilité d'identifier des personnes.

Des modèles formels comme la k-anonymité, la l-diversité et la confidentialité différentielle donnent à ces techniques une garantie mesurable. Par exemple, la k-anonymité garantit que chaque combinaison de quasi-identifiants correspond à au moins k personnes dans le jeu de données.

Les deux termes sont souvent confondus, mais la réglementation les traite très différemment. La pseudonymisation remplace les valeurs identifiantes par des substituts cohérents, par exemple un identifiant client associé à un jeton. Une clé distincte peut inverser le processus : les données restent donc des données personnelles, simplement protégées.

L'anonymisation supprime cette possibilité. Il n'existe ni clé ni voie légitime de retour vers la personne. C'est pourquoi les données pseudonymisées relèvent toujours du droit de la protection des données, alors que des données réellement anonymisées n'en relèvent généralement pas.

L'anonymisation est un processus, et chaque étape réduit le risque. Commencez par la classification des données, qui qualifie chaque champ avant toute modification.

1. 1

   Définir la finalité

   Décidez qui recevra les données et pourquoi. La réponse détermine le niveau de détail qui peut être conservé.

2. 2

   Classer chaque champ

   Repérez les identifiants directs, les quasi-identifiants comme le code postal ou la date de naissance, et les attributs sensibles comme les diagnostics.

3. 3

   Appliquer les techniques

   Généralisez, supprimez ou agrégez les champs à risque, et retirez entièrement les identifiants directs.

4. 4

   Tester avec des données externes

   Demandez-vous si quelqu'un disposant d'autres jeux de données pourrait relier un enregistrement à une personne. Si oui, reprenez l'étape précédente avec des modifications plus fortes.

Avant d'anonymiser un jeu de données, il faut repérer ses identifiants. La console Anexet DLP intègre des thésaurus pour les numéros SSN, les cartes de crédit et les données financières, ainsi que des expressions régulières pour des valeurs comme les codes postaux et les comptes bancaires. Les deux captures ci-dessous montrent ces dictionnaires et ces motifs.

1 / 2

• 
• 

Les organisations utilisent l'anonymisation dans quatre situations courantes.

• Recherche et diffusion de données publiques. Les données de santé, de recensement et d'enquête sont anonymisées avant d'être publiées ou partagées en dehors de l'organisation qui les a collectées.
• Analytique et apprentissage automatique. Les données d'entraînement et les statistiques d'usage sont anonymisées afin d'étudier des tendances sans exposer les personnes.
• Conformité réglementaire. Les données réellement anonymes ne relèvent généralement plus des données personnelles au sens du RGPD.
• Conservation des données. Les anciens enregistrements gardent leur valeur statistique sans être rattachables à des individus, au lieu d'être supprimés.

Les attaques de réidentification ont montré à plusieurs reprises que des jeux de données présumés anonymes peuvent être démasqués par recoupement avec d'autres données en apparence sans rapport, comme des traces de localisation, des historiques d'achats ou des publications sur les réseaux sociaux. Le texte libre est le cas le plus difficile, car les noms et les lieux se cachent dans les données non structurées et sont faciles à manquer.

Le risque croît avec la richesse du jeu de données. Plus un enregistrement porte d'attributs, plus il est probable qu'une de leurs combinaisons soit unique à une personne. L'anonymisation est donc une évaluation continue du risque, et non une étape technique ponctuelle.

Commencez par les jeux de données dont la fuite causerait le plus de dommages, puis par les champs qui, combinés, forment une identité. Anonymisez-les en premier.

Un jeu de données qui passe le test aujourd'hui peut échouer l'an prochain, lorsque de nouvelles données publiques permettront de le recouper.

Pour aller plus loin : Comment protéger mes données personnelles ?; Utiliser le système DLP Anexet Ultimate pour la conformité au RGPD.