Glossaire · Glossaire · Risques
Réidentification : quand des données « anonymes » désignent à nouveau quelqu’un
Équipe Anonimatum
En bref
La réidentification consiste à rattacher de nouveau à une personne précise des données que l’on croyait anonymes ou pseudonymisées, en général en les croisant avec d’autres sources via des quasi-identifiants ou le contexte.
On parle de réidentification lorsqu’une personne parvient à savoir à qui se rapportent des données publiées ou partagées comme anonymes. Le nom n’a pas besoin d’apparaître : une combinaison de caractéristiques (âge, commune, profession, une date) peut désigner une seule personne et être croisée avec une autre source.
C’est le risque qui détermine si des données sont réellement anonymisées. Selon le considérant 26 du RGPD, les informations anonymes sortent du champ du règlement, mais il faut tenir compte de l’ensemble des moyens raisonnablement susceptibles d’être utilisés pour identifier une personne : coût, temps nécessaire et technologies disponibles.
Quasi-identifiants et attaques par croisement
Une attaque par croisement (linkage attack) associe un fichier « anonymisé » à un autre fichier nominatif qui partage certains champs. Si les deux contiennent date de naissance, sexe et code postal, il suffit de rapprocher les lignes identiques. Ces champs inoffensifs isolément mais identifiants ensemble sont des quasi-identifiants, d’où des techniques comme le k-anonymat.
Deux études publiées illustrent l’ampleur du phénomène :
- Sweeney (2000), à partir du recensement américain de 1990, a estimé qu’environ 87 % de la population des États-Unis était probablement unique sur trois attributs seulement : code ZIP à cinq chiffres, sexe et date de naissance complète.
- Rocher, Hendrickx et de Montjoye (2019), dans Nature Communications, ont construit un modèle statistique selon lequel 99,98 % des Américains seraient correctement réidentifiés dans n’importe quel jeu de données comportant 15 attributs démographiques, même publié sous forme d’échantillon.
La leçon n’est pas que l’anonymisation est impossible, mais que supprimer le nom ne suffit presque jamais.
Individualisation, corrélation, inférence
L’avis 05/2014 du groupe de travail « Article 29 » propose trois critères pour évaluer toute technique d’anonymisation, repris par la CNIL :
- Individualisation : peut-on isoler l’enregistrement d’une personne ? Le seul dossier d’une femme de 61 ans dans un village est individualisé même sans nom.
- Corrélation : peut-on relier au moins deux enregistrements concernant la même personne, dans un même jeu ou entre plusieurs jeux ? Un identifiant pseudonyme stable d’une publication à l’autre le permet.
- Inférence : peut-on déduire avec une probabilité significative la valeur d’un attribut à partir d’autres ? Si tous les agents d’un service ont reçu la même sanction, chacun est exposé.
Ce qui trahit une personne dans un document
Dans les jugements, rapports, procès-verbaux ou courriels, le risque ne se loge pas dans des colonnes mais dans le récit et dans le fichier lui-même. Voici les oublis les plus fréquents :
| Indice | Exemple fictif | Que faire |
|---|---|---|
| Contexte et fonctions uniques | « la directrice de la seule école de la commune » | Généraliser : « la direction d’un établissement scolaire » |
| Faits rares | Collision avec un camion de pompiers le 3 mars | Supprimer ou approximer la date et le détail singulier |
| Signatures et cachets | Signature scannée et cachet avec numéro d’inscription à l’Ordre | Occulter signature, cachet et QR codes de vérification |
| Métadonnées | Auteur du PDF et titre interne portant le nom du patient | Supprimer les métadonnées avant diffusion |
| Fausse occultation | Rectangle noir posé sur un texte encore copiable | Utiliser une occultation qui efface le texte sous-jacent |
Les métadonnées méritent une attention particulière : auteur, organisation, historique des révisions, commentaires et noms de fichiers voyagent avec le document sans être visibles à l’écran. Il en va de même des couches de texte OCR cachées dans les PDF numérisés.
Réduire le risque de réidentification
- Identifier qui pourrait tenter la réidentification (un voisin, un journaliste, un employeur) et de quelles informations complémentaires il disposerait.
- Supprimer d’abord les identifiants directs, puis relire le contexte : fonctions, dates, lieux et faits singuliers.
- Vérifier que l’occultation est irréversible et qu’aucun texte ne subsiste sous les zones noires.
- Nettoyer métadonnées, commentaires et suivi des modifications.
- Pour des publications régulières, éviter les codes ou pseudonymes stables qui relient les diffusions entre elles.
Avec Anonimatum, vous pouvez anonymiser un PDF, un Word ou un courriel avec pièces jointes : l’IA et les motifs détectent noms, dates, adresses, montants, signatures et cachets numériques et QR codes ; vous validez chaque proposition puis appliquez une occultation irréversible. Vous pouvez aussi supprimer les métadonnées du PDF. La relecture du contexte reste affaire de jugement humain.
Questions fréquentes
Réidentification et désanonymisation, est-ce pareil ?
En pratique, oui : les deux termes désignent le fait de rattacher des données prétendument anonymes à une personne identifiée ou identifiable.
Des données pseudonymisées peuvent-elles être réidentifiées ?
Oui, par construction : le détenteur de la table de correspondance peut les réidentifier, et elles peuvent être croisées avec d’autres sources. C’est pourquoi le RGPD les considère toujours comme des données personnelles.
Occulter noms et numéros dans un jugement suffit-il ?
Rarement. Professions, liens familiaux, lieux et dates peuvent désigner la personne. Il faut relire tout le texte et vérifier les métadonnées du fichier.
Le risque évolue-t-il avec le temps ?
Oui. De nouvelles sources publiques apparaissent et les techniques de croisement progressent. Il est recommandé de réévaluer périodiquement les jeux de données publiés.
Repérez ce qui trahit les personnes dans vos documents
Consultez les offres et commencez : détection par IA, validation de chaque occurrence, occultation irréversible et nettoyage des métadonnées.