k-anonymat

Le principe

Le k-anonymat part d'une observation simple : retirer les noms ne suffit pas. Un fichier contenant l'âge, le code postal et la profession reste souvent réidentifiable, car ces colonnes se combinent en profils rares. La méthode consiste à généraliser ou à regrouper les valeurs jusqu'à ce que chaque profil corresponde à un minimum de k personnes. Le paramètre k est fixé par le responsable du traitement, en fonction du risque accepté et de la sensibilité des données concernées.

La mise en œuvre touche les colonnes dites quasi-identifiantes : date de naissance, lieu, sexe, situation familiale, catégorie socioprofessionnelle. On remplace une date précise par une année, un code postal par un secteur, un métier par une famille. Ces transformations dégradent l'information, ce qui est le prix de la protection. Le choix se fait donc avec les futurs utilisateurs du fichier, pour ne pas détruire l'utilité analytique en voulant trop protéger. Un fichier trop généralisé ne sert plus à rien, un fichier trop précis expose ; l'équilibre se cherche avec ceux qui exploiteront les données.

Les limites

Le k-anonymat protège contre l'identification directe, pas contre toutes les inférences. Si un groupe de k personnes partage une caractéristique sensible, l'appartenance au groupe révèle cette caractéristique sans identifier personne. C'est le défaut d'homogénéité. De même, comparer deux versions d'un fichier publié à des dates différentes peut révéler une information par différence. Ces attaques ne demandent pas de moyens considérables et elles sont documentées depuis longtemps dans la littérature sur la protection des données. Elles justifient de ne pas s'y fier seul et de documenter les limites de la méthode retenue.

Le choix du paramètre ne garantit rien en soi. Un k élevé sur des données très détaillées peut laisser des groupes homogènes ; un k faible sur des données grossières peut suffire. La protection dépend de la distribution réelle des valeurs, des données auxiliaires disponibles et de la finalité de la publication. D'autres approches, comme la diversification ou le bruit différentiel, traitent des risques que le k-anonymat ne couvre pas. Les combiner relève d'une analyse, pas d'un réglage.

Ce que cela impose en pratique

Avant de publier un fichier, il faut inventorier les données auxiliaires accessibles : registres publics, annuaires professionnels, réseaux sociaux, fichiers commerciaux. La réidentification se fait presque toujours en croisant une publication avec une autre source. Cette étape, souvent négligée, conditionne le niveau de protection réel. Elle doit être refaite à chaque nouvelle version, car l'environnement de données change plus vite que les fichiers publiés et un jeu jugé sûr il y a quelques années peut ne plus l'être. Cette analyse se consigne et se conserve avec le fichier publié.

Le cadre juridique européen ne cite pas le k-anonymat comme une méthode officielle, mais il exige une anonymisation effective, appréciée au cas par cas sous la responsabilité du responsable de traitement. La pseudonymisation, qui remplace les identifiants par des codes réversibles, ne constitue pas une anonymisation. Documenter la méthode, le paramètre retenu et l'analyse de risque permet de justifier les choix en cas de contrôle ou de réclamation. Un fichier agrégé sans précaution entre dans le même raisonnement. Le principe vaut aussi pour les extraits transmis à un prestataire, pas seulement pour les publications ouvertes au public.