Anonymisation des données.

L'anonymisation transforme irréversiblement les données personnelles afin que les personnes ne puissent plus être individualisées, reliées ni inférées, même en croisant la publication avec des informations externes. Les techniques principales sont la suppression, la généralisation (p. ex. réduire une date de naissance à l'année), l'agrégation, la perturbation/bruit et la randomisation, évaluées selon un modèle formel : k-anonymat, l-diversité, t-proximité ou confidentialité différentielle, qui ajoute un bruit calibré sous un budget de confidentialité prouvable (ε).

Le seuil est élevé en raison d'un long historique de ré-identification. Latanya Sweeney a estimé que 87 % des Américains sont uniques par la combinaison du code postal à 5 chiffres, de la date de naissance et du sexe ; elle a utilisé les listes électorales pour ré-identifier les dossiers hospitaliers du gouverneur du Massachusetts William Weld dans des données publiques « anonymisées » — le résultat qui a motivé le k-anonymat. En 2008, Narayanan et Shmatikov ont ré-identifié le jeu du Netflix Prize (~500 000 abonnés) en corrélant des notes éparses avec des profils IMDb publics. La publication des journaux de recherche d'AOL en 2006 a été remontée jusqu'à des individus nommés en quelques jours.

Sous le RGPD, les données réellement anonymes sortent du Règlement (considérant 26), mais l'avis 05/2014 du Groupe de l'article 29 et des autorités comme le CEPD et la CNIL exigent une évaluation documentée du risque de ré-identification couvrant l'individualisation, la corrélation et l'inférence selon les moyens « raisonnablement susceptibles » d'être utilisés. Pièges courants : se fier au seul hachage ou à de simples pseudonymes, publier des micro-données très dimensionnelles, ou confondre pseudonymisation et anonymisation.

flowchart TD
  R["Données personnelles brutes"] --> D["Retirer les identifiants directs"]
  D --> Q["Généraliser / supprimer les quasi-identifiants"]
  Q --> M["Appliquer un modèle de confidentialité (k-anonymat / confidentialité différentielle)"]
  M --> T{"Risque de ré-identification acceptable ?"}
  T -->|"Non"| Q
  T -->|"Oui"| P["Publier / partager le jeu anonymisé"]