Depuis 30 ans, on présente l’anonymisation des données comme étant la parade à tout problème lié à l’utilisation des données privées. Depuis 10 ans, des études scientifiques critiquent la méthode et les standards en vigueur les jugeant peu fiables. Aujourd’hui, des chercheurs de l’UCLouvain apportent la preuve que le modèle n’est pas sûr et qu’il faut revoir la législation et la façon de protéger nos données privées lors de leur anonymisation.
Avec l’entrée en vigueur du Règlement Général de Protection des Données (le fameux RGPD), beaucoup d’individus se sont vus rassurés par la possibilité d’avoir un meilleur contrôle sur leurs données personnelles. Du côté des entreprises, on a surtout tiré la tête en apprenant qu’on ne pourrait plus faire ce que l'on veut avec les données des consommateurs. Malgré ce règlement, les entreprises ont pu continuer à commercialiser et utiliser des données privées grâce à un mot magique: l’anonymisation.
L’anonymisation des données a été présentée depuis le début des années 90 comme la réponse à toutes les inquiétudes concernant le partage des données personnelles. Or, avec l’apparition du RGPD, le seul moyen de pouvoir commercialiser des données est devenu celui qui devait historiquement les protéger. Les entreprises traitant des données sensibles ont principalement recours à l’anonymisation pour pouvoir les partager ou les vendre. Ces techniques, appelées désidentification, rendent, en théorie, les individus non-identifiables. Les données anonymes ne sont alors plus considérées comme des données personnelles et échappent aux régimes de protections des données.
Si des études ont tiré la sonnette d’alarme depuis longtemps en démontrant qu’il était possible de réidentifier partiellement certaines données, aucune adaptation de la législation n’a été jugée nécessaire. Aujourd’hui, la donne devrait changer avec une découverte majeure.
Des données pas si anonymes que ça
Des travaux réalisés par des chercheurs de l’UCLouvain et de l’Imperial College London démontrent très clairement qu’un algorithme peut estimer, avec grande précision, si des données réidentifiées appartiennent bien à la bonne personne ou non. Concrètement, cela signifie que l’on peut associer un nom et un profil sur base d’une série de données anonymes.
L’algorithme développé évalue la probabilité pour une combinaison de caractéristiques connues d’être suffisamment précise pour décrire un seul individu parmi plusieurs milliards de personnes. "Une fois que vos données sont anonymisées, vous n’avez plus aucun droit dessus. La probabilité que l’on puisse vous identifier doit donc être extrêmement faible. Ici, on démontre l’inverse", nous explique Yves-Alexandre de Montjoye, responsable du Computational Privacy Group au Imperial College London.
En utilisant leur modèle de prédiction, les chercheurs de l’UCLouvain et de l’Imperial College London ont démontré qu’avec seulement 15 informations, il était possible de correctement réidentifier 99,98% des Américains dans n’importe quelle base de données en utilisant 15 attributs démographiques, avec des chiffres similaires à travers le monde (16 attributs en ajoutant la nationalité).
Des nouveaux mécanismes de protection
Une telle découverte devrait avoir des retombées à plusieurs niveaux. Premièrement, s’il est prouvé qu’une donnée n’est pas effectivement anonymisée, elle retombe sous le coup du RGPD et ne pourra plus être commercialisée sans le consentement de l’individu. Deuxièmement, cela remet en question de façon globale l’utilisation de la désidentification comme mécanisme de protection de la vie privée. Enfin, il va falloir réinventer des mécanismes permettant d’utiliser les données tout en protégeant la vie privée. Au niveau européen et national.
Lire plus
Contacté par nos soins, l’Autorité de protection des données n’a pas voulu commenter l’information n’ayant pas encore pu consulter les résultats des travaux et rappelle simplement les règles en vigueur en matière de protection des données.
Derrière cette découverte, on retrouve Yves-Alexande de Montjoye, Luc Rocher et Julien Hendrickx. Les trois chercheurs espèrent que leur travaux auront des conséquences positives: "Notre travail n'aura de l’impact que si les standards de protection sont réévalués. Les derniers en la matière datent de 2014. Il est temps de les mettre à jour", confirme Yves- Alexande de Montjoye.
C’est ce qu’on appelle jeter un pavé dans la marre. Un pavé scientifique qui devrait découler sur une nouvelle législation en matière de protection des données anonymisées.