Réidentification de données anonymes

Définition

La réidentification consiste à retrouver l'identité de personnes dans un jeu de données dont les identifiants directs ont été retirés, en le recoupant avec d'autres sources. Elle montre qu'« anonyme » décrit une opération effectuée sur un fichier, et non une propriété stable de ce fichier une fois qu'il circule.

Comment ça fonctionne

Retirer un nom ne supprime pas ce qui distingue. Il reste des attributs — un code postal, une tranche d'âge, une profession, des horaires, des trajets — dont la combinaison peut ne correspondre qu'à très peu de personnes, parfois à une seule. Il suffit alors de disposer d'une seconde source où ces mêmes attributs figurent avec un nom : une fuite, un annuaire, un profil public, un registre ouvert. Le recoupement rend le nom. Les données de déplacement illustrent bien le mécanisme : sans aucun identifiant, un trajet répété entre deux points aux mêmes heures désigne une personne, parce que peu de gens dorment à un endroit et travaillent à un autre selon exactement ce rythme. La conséquence pratique pour un lecteur est de ne pas traiter « anonymisé » comme une garantie définitive — c'est une réduction du risque, dont la valeur dépend de ce qui existe ailleurs, aujourd'hui et plus tard.

Sur quoi cette attaque s'appuie

Comprendre ces ressorts vaut mieux que retenir cent fiches : c'est ce qui permet de reconnaître une arnaque que personne n'a encore décrite.

Signaux d'alerte

• Service qui affirme collecter des données « anonymes » sans dire lesquelles ni à quelle finesse
• Étude ou jeu de données publié avec des attributs précis : commune, âge exact, profession
• Application de santé, de sport ou de trajet dont vous ne savez pas ce qu'elle publie ou partage
• Résultat qui vous concerne visiblement dans un ensemble présenté comme anonyme
• Historique de position conservé et partageable, souvent activé par défaut

Comment vérifier

Cherchez, dans la politique de confidentialité, non pas le mot « anonyme » mais la liste de ce qui est collecté et la finesse retenue : une commune plutôt qu'un département, une date de naissance plutôt qu'une tranche d'âge, une position plutôt qu'une zone. C'est cette finesse qui décide de la possibilité de recoupement, pas l'adjectif employé.

Que faire

Limitez la précision que vous fournissez lorsque le service le permet : position approchée plutôt qu'exacte, tranche d'âge plutôt que date, historique désactivé. Vérifiez ce que publient par défaut les applications de sport, de santé et de déplacement, où le partage est souvent actif sans demande explicite.

Si c'est déjà arrivé

Vous pouvez demander à l'organisme l'accès aux données vous concernant, leur effacement, et vous opposer à leur traitement ; la CNIL est l'autorité de recours si la demande reste sans réponse. Sur un jeu de données déjà publié, l'effacement des copies n'est pas atteignable — la démarche utile est d'obtenir le retrait à la source et de réduire ce que vous alimentez ensuite.

Questions fréquentes

« Anonymisé » n'est donc pas une garantie ?

C'est une garantie relative, qui dépend de ce qui existe ailleurs. Un jeu de données réellement impossible à réidentifier aujourd'hui peut cesser de l'être demain, si une autre source apparaît et permet le recoupement. Le terme décrit un traitement, pas un état définitif.

Que puis-je faire concrètement ?

Agir sur la finesse plutôt que sur le principe : une position approchée, une tranche d'âge, un historique désactivé réduisent considérablement l'unicité de votre combinaison d'attributs — et c'est cette unicité, non la présence de votre nom, qui rend la réidentification possible.

Attaques liées

• Moissonnage de données (scraping)
• Exposition de données personnelles
• Traçage publicitaire abusif
• Revente de données personnelles

Sources officielles

• Cybermalveillance.gouv.fr — Assistance et signalement