Anonymisation, définition de la CNIL : un traitement qui rend impossible, en pratique, toute identification de la personne, par quelque moyen que ce soit et de manière irréversible. La pseudonymisation, elle, remplace le nom ou le prénom par un alias ou un numéro. Elle reste donc réversible, et les données restent personnelles.
Anonymisation définition : comment savoir si vos données sont vraiment anonymes
Selon la CNIL, les autorités européennes de protection des données retiennent trois critères. Un jeu de données n’est anonyme que s’il les passe tous :
- L’individualisation : impossible d’isoler une personne dans le jeu de données.
- La corrélation : impossible de relier ce jeu à un autre jeu qui concerne la même personne.
- L’inférence : impossible de déduire, de façon quasi certaine, une information nouvelle sur une personne.
Par exemple, la CNIL cite une base de CV où un numéro remplace seulement les noms. On peut encore isoler chaque personne : cette base relève donc de la pseudonymisation, et non de l’anonymisation.
Les deux familles de techniques d’anonymisation
D’abord, la randomisation modifie les attributs pour les rendre moins précis, tout en gardant la répartition d’ensemble. Ensuite, la généralisation change l’échelle d’une donnée : l’année de naissance remplace la date complète. Enfin, supprimez les valeurs rares, car un âge de cent ans suffit souvent à retrouver quelqu’un.
Ce que l’anonymisation change pour le RGPD
Ainsi, au-delà de sa définition, l’anonymisation a une portée pratique. Le RGPD n’impose pas d’anonymiser. En revanche, des données vraiment anonymes sortent de son champ : vous pouvez alors les garder au-delà de la durée de conservation. À l’inverse, des données pseudonymisées restent soumises au RGPD. Notre guide sur la protection des données personnelles précise ce qui reste une donnée personnelle, et notre guide AIPD explique comment évaluer le risque de réidentification.
Le cas pratique d’origine : pseudonymiser ou anonymiser un fichier
La pseudonymisation et l’anonymisation sont deux méthodes différentes de protection de la vie privée des individus nous allons voir la différence entre pseudonymisation et l’anonymisation.
L’anonymisation consiste à supprimer toutes les informations personnelles d’un ensemble de données pour qu’il ne soit plus possible d’identifier les individus. Par exemple, si nous avons une base de données contenant les noms, les adresses et les numéros de téléphone de clients d’une entreprise, nous pouvons anonymiser les données en supprimant les noms et les adresses pour ne laisser que les numéros de téléphone. Ainsi, les individus ne peuvent plus être identifiés par leurs noms ou leurs adresses.
La pseudonymisation, en revanche, consiste à remplacer les informations personnelles d’un ensemble de données par des pseudonymes ou des identifiants. Par exemple, si nous avons une base de données contenant les noms, les adresses et les numéros de téléphone de clients d’une entreprise, nous pouvons pseudonymiser les données en remplaçant les noms par des pseudonymes ou des codes uniques, tout en conservant les adresses et les numéros de téléphone. Ainsi, les individus peuvent toujours être identifiés par leurs adresses ou leurs numéros de téléphone, mais pas par leurs noms.
Un exemple sur un fichier de patients
Voici un exemple de pseudonymisation et d’anonymisation pour les mêmes données:
Supposons que nous avons une base de données contenant les informations suivantes sur des patients d’un hôpital:
| Nom | Date de naissance | Maladie |
|---|---|---|
| Tom | 01/01/1980 | Diabète |
| Jane | 15/06/1975 | Cancer du sein |
| John | 22/09/1992 | Grippe |
Pour anonymiser les données, nous pourrions supprimer les noms et remplacer les dates de naissance par des âges approximatifs, comme ceci:
| Age | Maladie |
|---|---|
| 40 | Diabète |
| 45 | Cancer du sein |
| 30 | Grippe |
Pour pseudonymiser les données, nous pourrions remplacer les noms par des pseudonymes, comme ceci:
| Pseudonyme | Date de naissance | Maladie |
|---|---|---|
| Patient 1 | 01/01/1980 | Diabète |
| Patient 2 | 15/06/1975 | Cancer du sein |
| Patient 3 | 22/09/1992 | Grippe |
Dans cet exemple, la pseudonymisation nous permet de conserver les dates de naissance des patients, ce qui peut être utile pour des analyses médicales, tout en protégeant leur vie privée en utilisant des pseudonymes au lieu de leurs noms réels.
Différence entre pseudonymisation et l’anonymisation
La pseudonymisation
Il existe différents types de pseudonymisation, chacun avec ses propres caractéristiques et utilisations. Voici une liste non exhaustive des types de pseudonymisation :
- Pseudonymisation basée sur le hachage : cette méthode utilise une fonction de hachage pour créer un pseudonyme unique à partir de données personnelles. La fonction de hachage prend en entrée les données personnelles et produit un code de hachage qui est ensuite utilisé comme pseudonyme. Cette méthode est réversible, ce qui signifie qu’il est possible de retrouver les données d’origine à partir du pseudonyme si l’on connaît la clé de hachage.
- Pseudonymisation par substitution : cette méthode consiste à remplacer les données personnelles par des valeurs pseudonymes générées aléatoirement ou par des codes uniques. Par exemple, un identifiant aléatoire ou un code unique pourrait remplacer un nom.
- Pseudonymisation par chiffrement : cette méthode utilise des algorithmes de chiffrement pour transformer les données personnelles en données chiffrées. Le chiffrement garantit que les données ne peuvent être lues que par des personnes ayant accès à la clé de chiffrement.
- Pseudonymisation basée sur les tokens : cette méthode utilise des tokens uniques pour remplacer les données personnelles. Les tokens sont des identifiants aléatoires générés pour chaque donnée personnelle, tels que les noms ou les adresses e-mail. On peut ensuite utiliser les tokens à la place des données personnelles.
- Pseudonymisation par perturbation : cette méthode consiste à ajouter du bruit ou de la perturbation aux données personnelles afin de rendre leur analyse plus difficile. Par exemple, les données de géolocalisation peuvent être perturbées en ajoutant une petite quantité de bruit aléatoire aux coordonnées.
Chacune de ces méthodes présente ses avantages et ses inconvénients, et leur choix dépend des objectifs de pseudonymisation, des risques de réidentification et des réglementations en vigueur.
Avantages et limites de chaque méthode de pseudonymisation
| Méthode de pseudonymisation | Avantages | Inconvénients |
|---|---|---|
| Hachage | Facile à implémenter ; Produit des pseudonymes uniques ; Réversible avec la clé de hachage. | Réversible avec la clé de hachage ; Risque de collision (deux données différentes produisant la même clé de hachage). |
| Substitution | Facile à implémenter ; Produit des pseudonymes uniques ; Ne nécessite pas de clé de déchiffrement. | Risque de réidentification avec des données auxiliaires ; Risque de pseudonymes non-uniques. |
| Chiffrement | Produit des pseudonymes uniques ; Garantit la confidentialité des données ; Réversible avec la clé de chiffrement. | Nécessite une clé de chiffrement ; Risque de réidentification si la clé est compromise ; Peut être coûteux à mettre en œuvre. |
| Tokens | Facile à implémenter ; Produit des pseudonymes uniques ; Ne nécessite pas de clé de déchiffrement. | Risque de réidentification avec des données auxiliaires ; Risque de pseudonymes non-uniques. |
| Perturbation | Facile à implémenter ; Peut empêcher la réidentification ; Ne nécessite pas de clé de déchiffrement. | Peut altérer la qualité des données ; Peut réduire la précision des analyses. |
Notons que ces avantages et inconvénients peuvent varier en fonction du contexte et de la réglementation en vigueur.
L’anonymisation
il existe différents types d’anonymisation, chacun avec ses propres caractéristiques et utilisations. Voici une liste non exhaustive des types d’anonymisation :
- Anonymisation globale : cette méthode consiste à supprimer toutes les données personnelles d’un jeu de données. Cette méthode est utile lorsque les données ne sont plus nécessaires ou lorsqu’elles ne sont plus utilisées.
- Anonymisation par suppression : cette méthode consiste à supprimer certaines données personnelles du jeu de données. On peut supprimer les données qui ne sont pas nécessaires afin de réduire les risques de réidentification.
- Anonymisation par généralisation : cette méthode consiste à remplacer les données personnelles par des données agrégées ou généralisées. Par exemple, les données de géolocalisation peuvent être généralisées en remplaçant les coordonnées précises par des coordonnées approximatives.
- Anonymisation par perturbation : cette méthode consiste à ajouter du bruit ou de la perturbation aux données personnelles afin de rendre leur analyse plus difficile. Par exemple, les données de géolocalisation peuvent être perturbées en ajoutant une petite quantité de bruit aléatoire aux coordonnées.
- Anonymisation par pseudonymisation : cette méthode consiste à remplacer les données personnelles par des pseudonymes. Les pseudonymes sont des identifiants aléatoires générés pour chaque donnée personnelle, tels que les noms ou les adresses e-mail. On peut ensuite utiliser les pseudonymes à la place des données personnelles.
- Anonymisation différentielle : cette méthode consiste à ajouter une petite quantité de bruit aux données personnelles afin de garantir que les individus ne peuvent pas être identifiés dans le jeu de données. Cette méthode est souvent utilisée pour protéger les données personnelles sensibles, comme les données de santé.
Chacune de ces méthodes présente ses avantages et ses inconvénients, et leur choix dépend des objectifs d’anonymisation, des risques de réidentification et des réglementations en vigueur.
Avantages et limites de chaque méthode d’anonymisation
| Méthode | Avantages | Inconvénients |
|---|---|---|
| Anonymisation globale | Supprime toutes les données personnelles | Perte totale de l’utilité des données |
| Anonymisation par suppression | Permet de conserver certaines données | Risque de réidentification des individus |
| Anonymisation par généralisation | Permet de conserver certaines informations | Perte de précision et d’information |
| Anonymisation par perturbation | Protège les données personnelles | Risque de perte de qualité et d’information |
| Anonymisation par pseudonymisation | Permet de conserver l’utilité des données | Risque de réidentification si les pseudonymes sont dévoilés |
| Anonymisation différentielle | Protège les données personnelles | Risque de perte de précision |
Il faut noter que les avantages et les inconvénients varient selon les objectifs d’anonymisation, les types de données à anonymiser, les risques de réidentification et les réglementations en vigueur. Le choix de la méthode d’anonymisation doit être fait en fonction de ces facteurs pour garantir une protection adéquate des données personnelles.
