Le k-anonymat expliqué : principe, exemple et limites

Identifiants directs et quasi-identifiants

Un identifiant direct désigne une personne à lui seul : nom et prénom, numéro de sécurité sociale (NIR), numéro de dossier patient, adresse électronique. Un quasi-identifiant n’identifie personne isolément, mais le fait en combinaison : date de naissance, code postal, sexe, profession, nationalité, date d’hospitalisation. Retirer les identifiants directs ne rend pas une table anonyme s’il reste des quasi-identifiants croisables avec une autre source, comme un annuaire, un profil professionnel ou un article de presse locale. Ce croisement est le cœur de la réidentification.

Les autres colonnes sont souvent des attributs sensibles (diagnostic, salaire, sanction) : précisément ce que l’on veut étudier et ce qui ne doit être rattaché à personne.

Comment l’obtenir : généralisation et suppression

• Généralisation : remplacer une valeur par une valeur moins précise. L’âge 34 devient « 30-39 » ; le code postal 69003 devient « 690** » ; la date de naissance complète se réduit à l’année.
• Suppression : retirer des valeurs ou des lignes encore uniques après généralisation, par exemple le seul patient de 97 ans d’une petite commune.
• Choix de k : aucun texte ne fixe de valeur. Plus k est élevé, plus le risque baisse et plus la précision se perd ; tout dépend du mode de diffusion et des personnes qui accéderont aux données.

Exemple avec une table fictive

On part de quatre patients fictifs avec nom, code postal, âge, sexe et diagnostic. On supprime les noms, on généralise le code postal et l’âge et on masque le sexe. Le résultat est 2-anonyme : chaque combinaison de quasi-identifiants apparaît deux fois.

Regardez les deux dernières lignes : impossible de savoir laquelle correspond à votre voisine marseillaise de 45 ans, mais vous savez désormais qu’elle est diabétique, puisque les deux lignes partagent le même diagnostic. C’est l’attaque par homogénéité : le k-anonymat seul n’empêche pas la divulgation.

l-diversité et t-proximité

Deux raffinements ont été proposés pour combler cette faille. La l-diversité (Machanavajjhala et al., 2006) impose que chaque groupe de lignes équivalentes contienne au moins l valeurs bien représentées de l’attribut sensible. La t-proximité (Li, Li et Venkatasubramanian, 2007) va plus loin : la distribution de l’attribut sensible dans chaque groupe ne doit pas s’écarter de plus d’un seuil t de sa distribution dans toute la table.

L’avis 05/2014 du groupe de travail « Article 29 » sur les techniques d’anonymisation range ces trois approches parmi les techniques de généralisation et conclut qu’aucune n’est infaillible. La CNIL reprend ces trois critères d’évaluation (individualisation, corrélation, inférence) dans ses ressources sur l’anonymisation.

Les limites du k-anonymat

• Tout dépend de la liste de quasi-identifiants. Si un attaquant connaît une donnée non prévue, comme la profession ou la date exacte d’un accident, la garantie disparaît.
• Il se dégrade avec le nombre de colonnes. Avec des dizaines d’attributs, former des groupes de k lignes exige une généralisation telle que les données perdent leur intérêt.
• Il ne couvre pas les diffusions successives. Deux versions k-anonymes d’une même base, publiées à quelques mois d’écart, peuvent être recoupées.
• Ce n’est pas une norme juridique. Le RGPD ne mentionne pas le k-anonymat ; son considérant 26 demande d’apprécier l’ensemble des moyens raisonnablement susceptibles d’être utilisés pour identifier une personne.

Tableaux et documents en texte libre

Le k-anonymat a été conçu pour des bases de données et des tableurs aux colonnes homogènes. Pour une liste de patients ou un registre de dossiers, raisonner en classes d’équivalence a du sens : anonymisez le fichier Excel colonne par colonne, puis vérifiez quelles combinaisons restent uniques.

Un jugement, un compte rendu médical ou un courriel, c’est autre chose : pas de colonnes, des informations identifiantes mêlées au récit. L’essentiel est de repérer et supprimer les identifiants directs (noms, NIR, adresses, téléphones, immatriculations), puis de relire le contexte : fonctions uniques, dates très précises, faits rares ou renvois qui trahissent la personne même si son nom est occulté. Un dossier médical anonymisé qui mentionne encore « la seule chirurgienne de l’hôpital local » désigne toujours quelqu’un.

Anonimatum est pensé pour ce second cas : il détecte par IA et par motifs les noms, dates, adresses, montants et numéros d’identité dans les PDF, Word, Excel et autres formats, et vous laisse valider chaque proposition avant une occultation irréversible. Choisir quel détail de contexte supprimer reste une décision humaine ; l’outil se charge du travail mécanique.