Réidentification de données anonymes

Définition

La réidentification consiste à retrouver l'identité de personnes dans un jeu de données dont les identifiants directs ont été retirés, en le recoupant avec d'autres sources. Elle montre qu'« anonyme » décrit une opération effectuée sur un fichier, et non une propriété stable de ce fichier une fois qu'il circule.

Comment ça fonctionne

Retirer un nom ne supprime pas ce qui distingue. Il reste des attributs — un code postal, une tranche d'âge, une profession, des horaires, des trajets — dont la combinaison peut ne correspondre qu'à très peu de personnes, parfois à une seule. Il suffit alors de disposer d'une seconde source où ces mêmes attributs figurent avec un nom : une fuite, un annuaire, un profil public, un registre ouvert. Le recoupement rend le nom. Les données de déplacement illustrent bien le mécanisme : sans aucun identifiant, un trajet répété entre deux points aux mêmes heures désigne une personne, parce que peu de gens dorment à un endroit et travaillent à un autre selon exactement ce rythme. La conséquence pratique pour un lecteur est de ne pas traiter « anonymisé » comme une garantie définitive — c'est une réduction du risque, dont la valeur dépend de ce qui existe ailleurs, aujourd'hui et plus tard.

Pourquoi ça marche

Le mot « anonyme » rassure, et l'on ne pense pas qu'une commune, un âge et des horaires suffisent à désigner une personne. Le recoupement a lieu plus tard, ailleurs, sans que rien ne vous prévienne.

Sur quoi cette attaque s'appuie

Comprendre ces ressorts vaut mieux que retenir cent fiches : c'est ce qui permet de reconnaître une arnaque que personne n'a encore décrite.

Signaux d'alerte

• Service qui affirme collecter des données « anonymes » sans dire lesquelles ni à quelle finesse
• Étude ou jeu de données publié avec des attributs précis : commune, âge exact, profession
• Application de santé, de sport ou de trajet dont vous ne savez pas ce qu'elle publie ou partage
• Résultat qui vous concerne visiblement dans un ensemble présenté comme anonyme
• Historique de position conservé et partageable, souvent activé par défaut

Comment vérifier

Cherchez, dans la politique de confidentialité, non pas le mot « anonyme » mais la liste de ce qui est collecté et la finesse retenue : une commune plutôt qu'un département, une date de naissance plutôt qu'une tranche d'âge, une position plutôt qu'une zone. C'est cette finesse qui décide de la possibilité de recoupement, pas l'adjectif employé.

Les questions à se poser, dans l'ordre

1. 1

   Une application partage-t-elle par défaut vos trajets, horaires ou position ?

   Si oui : Limitez le partage, ou masquez le début et la fin de vos parcours.

2. 2

   Un service promet-il l'anonymat sans dire ce qu'il collecte, ni avec quelle précision ?

   Si oui : Fournissez le moins de précision possible : zone plutôt que position, tranche d'âge plutôt que date.

3. 3

   Vous reconnaissez-vous dans des données présentées comme anonymes ?

   Si oui : Demandez le retrait à l'organisme, et saisissez la CNIL faute de réponse.

Que faire

Limitez la précision que vous fournissez lorsque le service le permet : position approchée plutôt qu'exacte, tranche d'âge plutôt que date, historique désactivé. Vérifiez ce que publient par défaut les applications de sport, de santé et de déplacement, où le partage est souvent actif sans demande explicite.

Si c'est déjà arrivé

Vous pouvez demander à l'organisme l'accès aux données vous concernant, leur effacement, et vous opposer à leur traitement ; la CNIL est l'autorité de recours si la demande reste sans réponse. Sur un jeu de données déjà publié, l'effacement des copies n'est pas atteignable — la démarche utile est d'obtenir le retrait à la source et de réduire ce que vous alimentez ensuite.

• Les premiers gestes, dans l'ordre : la checklist d'urgence
• L'assistant « J'ai cliqué » : les gestes après un site piégé, dans l'ordre

Pour que ça ne se reproduise pas

• Désactivez l'historique de position quand il ne vous sert pas.
• Vérifiez ce que publient par défaut les applications de sport, de santé et de trajet.
• Lisez ce qui est collecté, pas le mot « anonyme ».

Questions fréquentes

« Anonymisé » n'est donc pas une garantie ?

C'est une garantie relative, qui dépend de ce qui existe ailleurs. Un jeu de données réellement impossible à réidentifier aujourd'hui peut cesser de l'être demain, si une autre source apparaît et permet le recoupement. Le terme décrit un traitement, pas un état définitif.

Que puis-je faire concrètement ?

Agir sur la finesse plutôt que sur le principe : une position approchée, une tranche d'âge, un historique désactivé réduisent considérablement l'unicité de votre combinaison d'attributs — et c'est cette unicité, non la présence de votre nom, qui rend la réidentification possible.

Attaques liées

• Moissonnage de données (scraping)
• Exposition de données personnelles
• Traçage publicitaire abusif
• Revente de données personnelles

Sources officielles

• Cybermalveillance.gouv.fr — Assistance et signalement