Anonymisation des données.

La définition.

Le RGPD décrit l’anonymisation dans son considérant 26 : ses règles ne s’appliquent pas aux informations qui ne concernent plus une personne identifiée ou identifiable, compte tenu de tous les moyens raisonnablement utilisables pour l’identifier. La CNIL le dit plus court : l’anonymisation rend impossible toute identification, par quelque moyen que ce soit, et de manière irréversible.

Anonymiser n’est pas pseudonymiser.

Remplacer « Claire Fontaine » par « Personne 1 » ou par un faux nom, c’est pseudonymiser. La donnée reste personnelle : une table de correspondance, ou un simple recoupement, permet de revenir à la personne. Le RGPD définit la pseudonymisation à son article 4 et la traite toujours comme une donnée personnelle.

Les trois tests.

La CNIL, après les autorités européennes, retient trois critères. Un jeu de données qui les remplit est a priori anonyme.

• Individualisation : on ne peut plus isoler une personne.
• Corrélation : on ne peut plus relier entre eux des ensembles de données qui concernent la même personne.
• Inférence : on ne peut plus déduire, de façon quasi certaine, une information sur une personne.

Quand les trois ne sont pas parfaitement remplis, il faut démontrer que le risque de réidentification est négligeable.

Les deux familles de techniques.

Elles s’appliquent d’abord aux jeux de données, une fois retirés les identifiants directs : nom, adresse, téléphone, numéro de sécurité sociale, IBAN.

• La randomisation : on rend les valeurs moins exactes en gardant la répartition d’ensemble. Un bruit ajouté à un âge, des valeurs permutées entre lignes. Elle protège surtout de l’inférence.
• La généralisation : on change l’échelle pour qu’une valeur soit partagée par plusieurs personnes. Une date de naissance devient une année, une commune devient un département. Le k-anonymat en est la forme mesurée : chaque combinaison de valeurs doit se retrouver chez au moins k personnes.

Sur un document, ce que ça veut dire.

Un contrat, un compte rendu ou un courrier n’est pas un tableau : on ne généralise pas une phrase. On supprime les identifiants directs, puis on regarde ce qui reste. Une date de naissance, un poste unique, une commune, un nombre d’enfants : ce sont eux qui réidentifient. Un document caviardé n’est anonyme que si ces indices ont disparu aussi.

Ce que fait Anoni, et ce qu’il ne fait pas.

Anoni repère sur votre poste les données personnelles d’un document en français. Il les supprime pour de bon (caviardage) ou les remplace de façon réversible (pseudonymisation). Le panneau « Ré-identification » signale les indices qui restent, avec un niveau de risque. Anoni ne décide pas à votre place qu’un document est anonyme : le panneau le dit lui-même, « Un indice, pas une garantie. À vous de juger. » Pour un fichier de données, CSV ou base SQLite, il travaille colonne par colonne.