1. À propos de l'anonymisation
L'anonymisation est un ensemble de techniques permettant de transformer des données afin qu'elles ne puissent plus permettre d'identifier une personne, directement ou indirectement, compte tenu des moyens raisonnablement susceptibles d'être utilisés pour tenter une réidentification.
Cette notion est particulièrement importante dans la protection des données, la cybersécurité, la recherche scientifique, les statistiques, les systèmes d'information et le partage de jeux de données.
Une organisation peut, par exemple, souhaiter transmettre des données à des chercheurs afin de réaliser des statistiques sans révéler l'identité des personnes présentes dans la base de données.
Exemple de données personnelles
| Nom | Âge | Ville | Profession | Salaire |
|---|---|---|---|---|
| Ahmed El Amrani | 37 | Oujda | Ingénieur | 14500 |
| Salma Benali | 29 | Rabat | Professeure | 9800 |
| Karim Alaoui | 43 | Casablanca | Technicien | 11000 |
Dans cet exemple, les noms permettent une identification directe. Cependant, supprimer uniquement la colonne contenant les noms n'est pas nécessairement suffisant. La combinaison de l'âge, de la ville et de la profession pourrait parfois permettre une identification indirecte.
Objectifs de l'anonymisation
- protéger la vie privée ;
- réduire les risques liés à la divulgation de données ;
- permettre certaines analyses statistiques ;
- faciliter le partage de données lorsque cela est approprié ;
- réduire les possibilités de réidentification ;
- limiter les conséquences d'une éventuelle fuite de données.
Anonymisation et pseudonymisation
Il est essentiel de distinguer l'anonymisation de la pseudonymisation. Dans une pseudonymisation, les identifiants directs sont remplacés par des pseudonymes, mais une réidentification peut rester possible à l'aide d'informations supplémentaires conservées séparément.
Dans une anonymisation véritablement efficace, l'objectif est que la personne ne soit plus identifiable par des moyens raisonnablement susceptibles d'être utilisés. Remplacer simplement un nom par un numéro ne suffit donc généralement pas à garantir l'anonymat.
2. Données personnelles et risques de réidentification
Avant d'anonymiser un jeu de données, il faut identifier les informations pouvant contribuer à l'identification d'une personne. Toutes les données ne présentent pas le même niveau de risque.
Identifiants directs
Les identifiants directs sont des informations permettant d'identifier directement une personne.
- nom et prénom ;
- numéro d'identité ;
- adresse électronique nominative ;
- numéro de téléphone personnel ;
- adresse postale précise ;
- identifiant personnel unique.
Quasi-identifiants
Un quasi-identifiant est une information qui ne permet pas nécessairement d'identifier seule une personne, mais qui peut devenir identifiante lorsqu'elle est combinée avec d'autres informations.
Selon le contexte, il peut s'agir par exemple de :
- l'âge ;
- la date de naissance ;
- la profession ;
- la commune ;
- le code postal ;
- le sexe ;
- certaines informations géographiques.
Exemple de réidentification indirecte
Supposons qu'une base de données ne contienne aucun nom, mais indique qu'une personne est âgée de 64 ans, exerce une profession très rare et habite une petite commune. Si une source extérieure permet de déterminer qu'une seule personne correspond à ces caractéristiques, une réidentification peut devenir possible.
Le risque dépend donc non seulement du contenu du fichier, mais également des données auxiliaires susceptibles d'être disponibles ailleurs.
Données sensibles
Certaines informations nécessitent une attention particulière en raison des conséquences potentielles d'une divulgation. Les données médicales, biométriques ou certaines informations financières en sont des exemples. L'anonymisation doit donc être adaptée à la nature des données et au contexte dans lequel elles seront utilisées.
Principe de minimisation
La minimisation des données consiste à ne conserver ou traiter que les informations réellement nécessaires à l'objectif poursuivi. Une donnée inutile pour l'analyse peut souvent être supprimée plutôt que transformée.
3. Principales techniques d'anonymisation
Il n'existe pas une technique unique adaptée à tous les jeux de données. Plusieurs méthodes peuvent être combinées en fonction du contexte, de la nature des informations et du niveau de risque de réidentification.
Suppression
La suppression consiste à retirer certaines informations, notamment les identifiants directs qui ne sont pas nécessaires à l'analyse.
Par exemple :
1 2 3 4 5 6 7 8 9 | Avant : Nom : Ahmed El Amrani Age : 37 Ville : Oujda Profession : Ingénieur Après : Age : 37 Ville : Oujda Profession : Ingénieur |
Sortie :
1 | Le nom a été supprimé, mais les informations restantes doivent encore être évaluées afin de déterminer le risque de réidentification. |
Masquage
Le masquage remplace une partie d'une valeur par des caractères génériques. Il peut être utile lorsqu'une partie seulement de l'information doit rester visible.
Par exemple :
1 2 | Avant : salma.benali@example.com Après : s***********@example.com |
Sortie :
1 | Une partie de l'adresse est masquée. |
Le masquage ne garantit pas à lui seul une anonymisation complète. Il doit être évalué avec les autres informations disponibles.
Généralisation
La généralisation consiste à remplacer une valeur précise par une catégorie plus large. Elle permet de conserver une information utile pour les statistiques tout en réduisant sa précision.
Par exemple :
1 2 3 4 | Age exact : 37 Tranche d'âge : 30-39 Adresse : 12 rue Exemple, Oujda Localisation généralisée : Région de l'Oriental |
Sortie :
1 | Les informations précises ont été remplacées par des catégories plus générales. |
Agrégation
L'agrégation consiste à publier des résultats portant sur des groupes plutôt que sur des individus. Au lieu de fournir le salaire de chaque personne, une organisation peut par exemple publier le salaire moyen d'un groupe suffisamment large.
Perturbation
La perturbation consiste à modifier certaines valeurs de manière contrôlée afin de réduire le risque de divulgation tout en préservant certaines propriétés statistiques du jeu de données.
K-anonymat
Le k-anonymat vise à faire en sorte que chaque combinaison de quasi-identifiants soit partagée par au moins k individus dans le jeu de données considéré. Si k = 5, chaque combinaison retenue devrait correspondre à au moins cinq personnes dans ce modèle.
Le k-anonymat est une technique importante, mais il possède des limites et ne garantit pas à lui seul une protection contre toutes les formes de réidentification ou d'inférence.
4. Anonymiser des données avec Python
Python peut automatiser certaines opérations de transformation des données. Les exemples suivants utilisent uniquement la bibliothèque standard afin de présenter les principes fondamentaux.
Masquer une adresse électronique
Le programme suivant conserve la première lettre du nom de l'utilisateur et le domaine, puis remplace les autres caractères par des astérisques. Il illustre une technique de masquage, qui ne doit pas être confondue automatiquement avec une anonymisation irréversible.
1 2 3 4 5 | email = "salma.benali@example.com" utilisateur, domaine = email.split("@", 1) email_masque = utilisateur[0] + "*" * (len(utilisateur) - 1) + "@" + domaine print("Original :", email) print("Masqué :", email_masque) |
Sortie :
1 2 | Original : salma.benali@example.com Masqué : s***********@example.com |
Généraliser l'âge
Au lieu de conserver un âge exact, nous pouvons le remplacer par une tranche de dix ans. Cette technique réduit la précision de l'information tout en conservant son intérêt pour certaines analyses statistiques.
1 2 3 4 5 6 | age = 37 debut = (age // 10) * 10 fin = debut + 9 tranche = str(debut) + "-" + str(fin) print("Age exact :", age) print("Tranche :", tranche) |
Sortie :
1 2 | Age exact : 37 Tranche : 30-39 |
Supprimer les identifiants directs
L'exemple suivant représente une personne par un dictionnaire Python. Nous créons une nouvelle version ne contenant plus le nom et l'adresse électronique. Cette opération constitue une étape de minimisation, mais les données restantes doivent encore être évaluées pour déterminer si elles permettent une identification indirecte.
1 2 3 4 5 6 7 8 9 10 11 12 13 | personne = { "nom": "Ahmed El Amrani", "email": "ahmed@example.com", "age": 37, "ville": "Oujda", "profession": "Ingénieur" } donnees_reduites = { "age": personne["age"], "ville": personne["ville"], "profession": personne["profession"] } print(donnees_reduites) |
Sortie :
1 | {'age': 37, 'ville': 'Oujda', 'profession': 'Ingénieur'} |
Cette sortie montre pourquoi la simple suppression du nom n'est pas nécessairement suffisante : la combinaison âge + ville + profession peut encore être distinctive.
Généraliser plusieurs personnes
Le programme suivant généralise l'âge de plusieurs personnes et supprime leurs noms. Il montre comment préparer des données moins précises pour une utilisation statistique.
1 2 3 4 5 6 7 8 9 10 11 12 | personnes = [ {"nom": "Ahmed", "age": 37, "ville": "Oujda"}, {"nom": "Salma", "age": 32, "ville": "Oujda"}, {"nom": "Karim", "age": 44, "ville": "Rabat"} ] for personne in personnes: debut = (personne["age"] // 10) * 10 fin = debut + 9 print({ "age": str(debut) + "-" + str(fin), "ville": personne["ville"] }) |
Sortie :
1 2 3 | {'age': '30-39', 'ville': 'Oujda'} {'age': '30-39', 'ville': 'Oujda'} {'age': '40-49', 'ville': 'Rabat'} |
Agréger des données
Lorsque les informations individuelles ne sont pas nécessaires, l'agrégation peut être préférable. Le programme suivant calcule uniquement le salaire moyen d'un groupe au lieu de publier chaque salaire individuellement.
1 2 3 4 | salaires = [9000, 11000, 12500, 10500, 12000] moyenne = sum(salaires) / len(salaires) print("Nombre de personnes :", len(salaires)) print("Salaire moyen :", moyenne) |
Sortie :
1 2 | Nombre de personnes : 5 Salaire moyen : 11000.0 |
Le résultat agrégé contient moins d'informations sur chaque individu. Il faut néanmoins tenir compte de la taille du groupe et du contexte : des statistiques portant sur des groupes très petits peuvent encore révéler des informations.
5. Limites et bonnes pratiques de l'anonymisation
L'anonymisation ne consiste pas simplement à supprimer les noms d'un tableau. Le principal défi est le risque de réidentification obtenu en combinant plusieurs informations.
Le risque de croisement des données
Une base apparemment anonyme peut parfois être rapprochée d'une autre source de données. La combinaison de plusieurs attributs peut alors permettre de retrouver l'identité d'une personne.
Supposons par exemple qu'un jeu de données contienne :
- âge : 61 ans ;
- ville : petite commune ;
- profession : profession rare.
Si une source publique indique qu'une seule personne de cette commune possède cette combinaison de caractéristiques, la suppression du nom n'a pas empêché la réidentification.
Attention à la pseudonymisation
Remplacer un nom par un identifiant tel que UTILISATEUR-001 est généralement une forme de pseudonymisation si une information supplémentaire permet de retrouver la personne correspondante.
La pseudonymisation reste une mesure de sécurité utile, mais elle ne doit pas être présentée automatiquement comme une anonymisation complète.
Hachage et anonymisation
Le hachage d'un identifiant ne garantit pas nécessairement son anonymisation. Lorsqu'un espace de valeurs est prévisible, un attaquant peut parfois calculer les empreintes de nombreuses valeurs possibles et effectuer des comparaisons.
Il faut donc éviter de considérer automatiquement une adresse électronique, un numéro de téléphone ou un autre identifiant simplement haché comme une donnée véritablement anonyme.
Évaluer l'utilité et la confidentialité
Plus une donnée est transformée, moins elle risque généralement d'identifier une personne, mais elle peut également perdre de son utilité. L'anonymisation recherche donc un équilibre entre protection de la vie privée et utilité des données.
Bonnes pratiques
- identifier les données directement identifiantes ;
- identifier les quasi-identifiants ;
- supprimer les informations inutiles ;
- généraliser les informations trop précises ;
- privilégier les données agrégées lorsque cela suffit ;
- évaluer les possibilités de croisement avec des sources externes ;
- tester le risque de réidentification ;
- documenter les transformations appliquées ;
- réévaluer le risque lorsque de nouvelles données deviennent disponibles ;
- protéger également les données avant et pendant leur anonymisation.
Anonymisation et chiffrement
L'anonymisation et le chiffrement répondent à des objectifs différents. Le chiffrement transforme des données afin qu'elles ne puissent être lues sans la clé appropriée, mais les données peuvent être récupérées lorsque la clé est disponible. Une anonymisation effective vise au contraire à empêcher l'identification des personnes dans les données transformées.
| Technique | Objectif principal | Réversibilité |
|---|---|---|
| Anonymisation | Empêcher l'identification | Vise à ne pas permettre la réidentification par des moyens raisonnables |
| Pseudonymisation | Réduire le lien direct avec l'identité | Réidentification possible avec des informations supplémentaires |
| Chiffrement | Protéger la confidentialité du contenu | Réversible avec la clé appropriée |
6. À retenir
L'anonymisation consiste à transformer des données afin d'empêcher l'identification d'une personne, directement ou indirectement, compte tenu des moyens raisonnablement susceptibles d'être utilisés pour une réidentification.
La suppression du nom et du prénom n'est généralement pas suffisante. Des quasi-identifiants tels que l'âge, la localisation et la profession peuvent parfois être combinés pour retrouver une personne.
Plusieurs techniques peuvent être utilisées : suppression, masquage, généralisation, agrégation et méthodes plus avancées telles que le k-anonymat. Plusieurs techniques sont souvent combinées.
Il est également essentiel de distinguer l'anonymisation de la pseudonymisation. Remplacer un nom par un identifiant ne rend pas nécessairement les données anonymes si la personne peut encore être retrouvée à l'aide d'informations supplémentaires.
Le hachage et le chiffrement ne doivent pas non plus être automatiquement assimilés à l'anonymisation. Ils répondent à des objectifs différents et peuvent laisser subsister des possibilités d'identification.
Enfin, l'anonymisation doit être considérée comme une démarche fondée sur le risque de réidentification. Il faut tenir compte des données publiées, des informations externes disponibles et des évolutions technologiques susceptibles de modifier ce risque.
Auteur : Younes Derfoufi
Lieu de travail : CRMEF OUJDA
Site Web : www.tresfacile.net
Chaine YouTube : https://www.youtube.com/user/InformatiquesFacile
Me contacter : https://www.tresfacile.net/me-contacter/
