Anonymisation RGPD

conformite

Définition

L'anonymisation des données constitue l'une des techniques permettant de faire sortir des données du champ d'application du RGPD. Des données véritablement anonymisées ne sont plus des données à caractère personnel et ne sont donc plus soumises aux obligations du règlement. Cette sortie du périmètre réglementaire représente un avantage opérationnel considérable pour les organisations qui peuvent ainsi traiter, partager et publier librement des données sans contrainte réglementaire. Cependant, l'anonymisation véritable est difficile à atteindre en pratique. Le G29 (avis 05/2014 sur les techniques d'anonymisation) a établi que des données ne peuvent être considérées comme anonymes que si elles résistent à trois types d'attaques : le singling out (impossibilité d'isoler un individu dans l'ensemble de données), le linking (impossibilité de relier deux enregistrements concernant la même personne dans des ensembles différents), et l'inference (impossibilité de déduire avec une probabilité significative la valeur d'un attribut d'un individu). Les techniques d'anonymisation comprennent : la généralisation (remplacer une valeur précise par une valeur moins précise, ex. : age exact → tranche d'âge), la suppression (retirer certains attributs ou enregistrements trop uniques), le bruit différentiel (differential privacy, ajouter un bruit statistique calibré aux données), le k-anonymat (garantir qu'un enregistrement ne peut pas être distingué de k-1 autres enregistrements), la l-diversité (s'assurer qu'un groupe de k enregistrements contient au moins l valeurs différentes pour chaque attribut sensible), et la t-closeness. En pratique, la plupart des ensembles de données anonymisés peuvent être réidentifiés avec une probabilité significative lorsqu'on les croise avec d'autres sources disponibles (données publiques, réseaux sociaux, informations contextuelles). Des études académiques ont démontré la réidentification de données présentées comme anonymes dans des domaines aussi divers que la santé, les transports et la consommation. La CNIL et le CEPD recommandent une évaluation rigoureuse et documentée avant de qualifier des données d'anonymisées. Une organisation qui qualifie à tort des données de pseudonymisées comme anonymes et cesse de les protéger au titre du RGPD s'expose à des sanctions significatives.

Définition et critères d'anonymisation

Des données sont anonymes, au sens du RGPD, si elles ne permettent plus l'identification d'une personne physique, directement ou indirectement, en tenant compte de tous les moyens raisonnablement susceptibles d'être utilisés. Le considérant 26 précise que l'évaluation doit tenir compte de l'ensemble des moyens disponibles, y compris le croisement avec d'autres sources.

Le G29 (avis 05/2014) a établi trois critères cumulatifs : résistance au singling out (on ne peut isoler un individu), au linking (on ne peut relier des enregistrements à la même personne dans des sources différentes), et à l'inference (on ne peut déduire la valeur d'un attribut avec forte probabilité). Ces critères sont exigeants et difficiles à satisfaire simultanément.

Techniques d'anonymisation

Les principales techniques : généralisation (remplacement de valeurs précises par des intervalles ou catégories), suppression d'attributs ou d'enregistrements trop identifiants, k-anonymat (chaque individu est indiscernable de k-1 autres), l-diversité (diversité des attributs sensibles dans chaque groupe), t-closeness (distribution des attributs sensibles proche de la distribution globale), et differential privacy (ajout de bruit statistique calibré permettant des requêtes agrégées sans réidentification individuelle).

La differential privacy, popularisée par Apple et Google pour leurs données analytiques, est considérée comme la technique la plus solide mathématiquement : elle garantit qu'aucune requête sur la base ne révèle d'information sur un individu particulier, tout en permettant des statistiques agrégées précises. Son implémentation requiert une expertise poussée en mathématiques et en cryptographie.

Risques de réidentification et précautions

De nombreuses études ont démontré la réidentification de données présentées comme anonymisées : la base de données Netflix (2006, réidentification par croisement avec IMDb), les dossiers médicaux du Massachusetts (1997, Latanya Sweeney), les données de géolocalisation de taxis new-yorkais. Ces exemples illustrent la fragilité des approches d'anonymisation naïves.

Avant de qualifier des données d'anonymisées, une évaluation formelle doit être réalisée et documentée : test des trois critères du G29, évaluation du risque de réidentification par croisement avec des sources externes disponibles, revue par un expert en protection des données. Cette évaluation doit être mise à jour lorsque de nouvelles sources de données potentiellement liantes deviennent disponibles.

Articles liés

Expert en cybersécurité offensive et intelligence artificielle. Pentest, audit et développement IA sur-mesure.

Services

Ressources

Projets & Outils

Contact

Nous contacter

Mentions légales Confidentialité Politique éditoriale Plan du site ⭐ Source préférée

Un projet cybersécurité ?

Expert dispo · Réponse 24h

Devis