Risque de ré-identification : définition et mesure

« On a enlevé les noms, c'est anonyme maintenant. » Cette phrase est à l'origine de toutes les fuites célèbres des vingt dernières années. Voici ce qu'est réellement la ré-identification, trois cas qui l'ont rendue célèbre, et comment nous mesurons le risque avant de faire confiance à une transformation.

Ce qu'est la ré-identification

La ré-identification est le processus qui consiste à rattacher des enregistrements anonymisés aux individus qu'ils décrivent, annulant les protections que l'anonymisation était censée apporter. Les identifiants directs sont retirés (nom, email, numéro de sécurité sociale), mais le reste, appelé quasi-identifiants, peut être combiné pour isoler une personne.

Trois incidents célèbres

2006 : le Netflix Prize

Netflix a publié 100 millions d'évaluations de films « anonymisées » provenant de 480 000 abonnés. Des chercheurs d'UT Austin ont recoupé les horodatages et les schémas de notation avec des profils IMDb publics. Ils ont identifié des utilisateurs et exposé leur historique de visionnage complet. Une action collective a suivi. Netflix a annulé l'édition suivante du concours.

2006 : les requêtes AOL

AOL a publié 20 millions de requêtes « anonymisées » provenant de 650 000 utilisateurs. Le New York Times a identifié l'utilisateur n°4417749 comme étant Thelma Arnold, veuve de 62 ans, à partir de ses seules requêtes : animaux, lieux locaux, questions de santé récurrentes. Le CTO a démissionné. Plusieurs employés ont été licenciés. La réputation d'AOL ne s'en est jamais totalement remise.

2013 : taxis de New York

La ville de New York a publié des enregistrements de courses avec des numéros de médaillon « anonymisés » via un hash cryptographique faible. Des chercheurs ont inversé le hash en quelques minutes, permettant de suivre conducteurs et passagers. Les pourboires de célébrités sont devenus traçables à partir des photos paparazzi. Revenus des chauffeurs, lieux de prise en charge des passagers, tout a été exposé.

Comment nous mesurons le risque

Avant de faire confiance à une substitution, nous appliquons trois mesures sur la version protégée du fichier :

• k-anonymat. Combien d'enregistrements dans le fichier protégé partagent la même combinaison de quasi-identifiants ? Un k de 1 signifie qu'une ligne est unique, donc trivialement identifiable. Nous visons k ≥ 5 pour tout enregistrement qui quitte la machine.
• l-diversité. À l'intérieur d'un k-groupe, combien de valeurs sensibles distinctes existent ? Si tout le monde dans le groupe a le même diagnostic, connaître le groupe révèle le diagnostic.
• Risque de liaison. Un lecteur déterminé pourrait-il recouper le fichier protégé avec un jeu de données public pour retrouver l'identité d'origine ? Nous le testons systématiquement.

Pourquoi un schéma de marqueurs stables compte

Quand nous remplaçons une valeur réelle par un marqueur, ce marqueur doit être :

• Stable dans tout le fichier. Si « ACME Corp » devient PARTIE_A au paragraphe 1, elle doit rester PARTIE_A au paragraphe 47. Sinon l'IA ne peut pas raisonner.
• Stable dans le temps. Si le même client réapparaît dans un fichier traité six mois plus tard, le marqueur doit correspondre. Sinon, rattacher les travaux entre eux devient pénible.
• Non réversible depuis le seul marqueur. La correspondance « marqueur ↔ valeur réelle » doit vivre quelque part en dehors de ce qui est envoyé à l'IA. Avec Hexagone AI, ce quelque part est votre disque local.

Ce que cela implique en pratique

L'anonymisation réelle, ce n'est pas supprimer des champs. C'est s'assurer qu'aucune combinaison des champs restants, seule ou recoupée, ne permet de remonter à une personne. C'est plus dur qu'il n'y paraît, et plus simple quand un outil fait la mesure pour vous.