Anonymisation

Pseudonymiser n'est pas anonymiser

Remplacer un nom par un identifiant est une pseudonymisation. Les données restent liées à une personne dès qu'on dispose de la table de correspondance, ou qu'un croisement avec un autre fichier permet de la retrouver. L'anonymisation visée est plus exigeante : le résultat ne doit plus permettre d'identifier qui que ce soit, y compris en combinant plusieurs sources disponibles par ailleurs. La nuance n'est pas théorique, elle décide du régime applicable aux données et des obligations qui pèsent sur celui qui les détient.

La différence a des conséquences juridiques et pratiques. Un jeu pseudonymisé reste une donnée personnelle, avec les obligations qui l'accompagnent, y compris la durée de conservation et les droits des personnes. Un jeu réellement anonymisé en sort. Mais l'anonymisation complète est difficile à démontrer, et un jeu anonymisé peut redevenir identifiant lorsqu'il est croisé avec un registre public, une liste d'adhérents ou un annuaire professionnel. Le croisement est l'ennemi principal, bien plus que la présence visible d'un nom dans une colonne.

Les techniques et leurs limites

Les approches courantes consistent à supprimer des champs, à généraliser — une date de naissance devient une tranche d'âge, une adresse devient une commune —, à ajouter du bruit ou à regrouper les enregistrements. Le k-anonymat impose qu'au moins k individus partagent les mêmes valeurs ; il protège contre l'identification directe, moins contre la déduction à partir d'attributs sensibles ou de combinaisons de champs réputés anodins pris séparément. Le k-anonymat ne dit rien non plus de la localisation, très identifiante dans un milieu insulaire où les communes sont petites.

Chaque technique a un coût. Trop de généralisation et le jeu ne sert plus à rien : un modèle entraîné sur des communes entières perd la finesse qui faisait l'intérêt du projet. La bonne question n'est pas comment tout masquer, mais quel niveau de détail est nécessaire à l'usage prévu, et quel risque résiduel on accepte en connaissance de cause. Cette décision se prend avec le métier, pas seul dans un service technique.

Ce qu'il faut documenter

Une anonymisation se prouve par un raisonnement écrit : quels champs ont été retirés ou transformés, quels croisements restent possibles, avec quelles autres sources, et pourquoi le risque est estimé acceptable. Ce document vaut mieux qu'une case cochée dans un contrat. Il permet de répondre à un client, à un prestataire ou à une autorité, et de refaire l'analyse quand les données évoluent ou que de nouvelles sources deviennent publiques.

Le piège le plus fréquent est le texte libre. Un commentaire de dossier, une note d'intervention, une transcription d'appel contiennent des noms, des lieux, des situations reconnaissables. Les traitements automatiques les repèrent mal, surtout dans un français régional ou un créole mêlé au propos. Sur ce type de contenu, une relecture par échantillon reste nécessaire avant tout usage large, même après un premier passage automatique. Un jeu de test de quelques dizaines de lignes suffit à révéler les cas les plus visibles.