Jouer à « Qui est-ce ? » avec le DPO

Pour les Français, c’est encore pire : la population est cinq fois plus petite, alors que la France compte près de 35 000 communes (record d’Europe haut la main), contre environ 41 500 codes postaux aux États-Unis. Si on faisait un « Qui est-ce ? » géant avec toute la population française, soit 68 000 colonnes sur 1 000 lignes (68 millions d’habitants), trois questions suffiraient donc pour retrouver la bonne personne.

Je n’exagère absolument pas, c’est le résultat d’une étude académique de l’université Carnegie-Mellon (ici). La thèse de Luc Rocher (UCLouvain, 20 décembre 2019) aboutit aux mêmes conclusions, avec comme illustrations :

• 83 % de réidentification sur les mêmes critères que l’étude précédente (donc, résultats cohérents) ;
• avec le sexe, le statut marital, la date de naissance et le code postal, on est à 86 % ;
• globalement, avec un tableau d’au moins sept colonnes, on dépasse dans pas mal de cas les 95 % (selon les colonnes).

Derrière cet intermède ludique se pose la question du caractère nominatif ou non d’une donnée. Et le problème, c’est que pas mal d’autres études tendent à démontrer qu’il est difficile, voire quasi impossible, d’anonymiser proprement un jeu de données comportant une ligne par personne physique sans opérations particulières sur les données affichées.

Cela conduit le DPO à poser une doctrine interne par niveaux, allant du totalement nominatif au « raisonnablement » anonyme, avec des niveaux intermédiaires. Par exemple :

• N0 : données intrinsèquement nominatives (identité de la personne) ;
• N1 : données pseudonymisées (identités masquées), mais facilement réidentifiables sans moyens compliqués ;
• N2 : données pseudonymisées, réidentifiables mais avec des moyens conséquents : clé, séparation clé / données, remplacement de l’âge par une tranche d’âge, de l’adresse par un quartier, etc. ;
• N3 : données anonymes : agrégation de lignes, introduction de bruit aléatoire dans les champs, etc.

Ce n’est qu’un exemple, à adapter selon le contexte. Cadeau bonus : pour N3, le référentiel est l’avis 05/2014 du G29 (WP216, 10 avril 2014). Il faut satisfaire les trois critères (individualisation, corrélation et inférence), ou disposer d’une analyse de risque démontrant l’impossibilité pratique de réidentifier.

Derrière ce débat, la question de fond pour le DPO est la suivante : à partir de quand, dans mon organisation, une donnée passe-t-elle du côté « très très difficile à réidentifier », et sort-elle donc du périmètre du RGPD ? Et quand doit-elle être considérée comme identifiante ? Parmi les 78 mesures de son annexe A, l’ISO 27701 prévoit la A.3.3 (Politiques de sécurité de l’information), pendant de la A.5.1 de l’ISO 27001, qui incite clairement à poser une règle interne, une doctrine.

D’une part, cela fait gagner du temps : les organisations mettent en œuvre tellement de traitements que disposer d’une taxonomie pour évaluer rapidement si l’on est ou non dans le RGPD, c’est du bonus. D’autre part, disposer d’une politique (à réévaluer périodiquement, bien entendu), c’est montrer que l’organisation sort de l’amateurisme et de l’artisanat sur ce genre de sujet. En cas de contrôle ou d’incident, c’est toujours mieux.

Et surtout, les exemples de Carnegie-Mellon ou de Rocher ont un potentiel de sensibilisation certain. On n’en trouve plus trop, mais il y a peu, j’ai croisé des responsables de traitement qui me soutenaient que remplacer les noms et prénoms par des initiales dans un fichier de 240 colonnes suffisait à anonymiser le machin. Authentique.