Pseudonymisation et anonymisation comme techniques d'ingénierie

Ce que c'est

La pseudonymisation remplace les identifiants directs par des jetons tout en conservant un moyen de revenir en arrière : une table de correspondance, ou une fonction à clé telle que HMAC (la RFC 2104 spécifie HMAC comme un hachage à clé pour l'authentification de message ; la propriété sur laquelle on s'appuie ici, conséquence de la clé, est que sans elle la correspondance ne peut pas être recalculée à partir d'entrées candidates). Les données restent à raison d'un enregistrement par personne et peuvent être rétablies par quiconque détient la clé ou la table. L'anonymisation vise à supprimer l'association entre les enregistrements et les personnes, de sorte que personne ne puisse la restaurer. Le NIST SP 800-188 décrit la dé-identification comme tout processus retirant l'association entre des données identifiantes et la personne concernée, liste les techniques que sont la suppression des identifiants, la transformation des quasi-identifiants et la génération de données synthétiques, et désigne les études de réidentification comme un moyen d'évaluer le risque résiduel.

Pourquoi c'est important

Les deux notions sont souvent confondues, et cette confusion coûte cher dans un sens : traiter des données pseudonymisées comme anonymes. Un jeu de données pseudonymisé comporte toujours une ligne par personne, porte toujours des quasi-identifiants (dates, lieux, valeurs rares) et peut être relié à d'autres données. L'étiquette qui s'applique détermine les protections que le système est censé apporter aux données ; renommer une colonne ne change rien à cela.

Comment l'appliquer

• Pour les pseudonymes, utiliser un HMAC avec une clé secrète, et non un simple hachage : un simple hachage d'une adresse e-mail ou d'un numéro de téléphone se renverse en hachant des candidats. Garder la clé dans le coffre à secrets, prévoir le changement de clé avant une rotation, et consigner quels jeux de données utilisent quelle clé.
• Utiliser une clé distincte par finalité, afin que deux jeux de données ne puissent pas être joints sur le pseudonyme, sauf si c'est intentionnel.
• Pour les publications, préférer des agrégats : des décomptes et des sommes sur des groupes ayant une taille minimale, les petites cellules supprimées, les quasi-identifiants grossis (tranches d'âge, régions, mois) avant publication, et une vérification documentée du risque de divulgation, comme le décrit le NIST SP 800-188.
• Pour les analyses qui nécessitent des données au niveau de l'enregistrement, les garder pseudonymisées à l'intérieur d'un environnement à accès contrôlé, plutôt que de publier un extrait étiqueté anonymisé.
• Documenter, par jeu de données, quelle technique a été appliquée, quels champs subsistent, et qui détient les moyens de réidentification.

Pièges

Des hachages sans clé ; des pseudonymes séquentiels qui révèlent l'ordre d'arrivée ; des pseudonymes réutilisés à travers plusieurs finalités ; des champs de texte libre laissés dans une table par ailleurs pseudonymisée ; des noms supprimés mais des horodatages et des coordonnées exacts conservés. Croire que l'agrégation seule anonymise : des requêtes répétées avec des filtres légèrement différents peuvent isoler une personne par différenciation, ce qui est précisément le problème que la confidentialité différentielle a été conçue pour traiter.