- La pseudonymisation ne dissimule ton identité qu’en surface — elle peut être rétablie avec des connaissances supplémentaires.
- Le k-anonymat signifie que chaque enregistrement est indiscernable d’au moins (k-1) autres enregistrements.
- Les recherches de Latanya Sweeney (Harvard), puis de de Montjoye (Imperial College), ont montré à plusieurs reprises que 80 % à 87 % d’une population peuvent être identifiés de manière univoque à partir de seulement trois quasi-identifiants — code postal, date de naissance, sexe.
1. Anonymisation vs pseudonymisation — la différence essentielle
user_4f3a9e7c)Source : LPD art. 5 (Définitions), Indications du PFPDT sur l’anonymisation.
2. Le k-anonymat et la l-diversité — les concepts essentiels
Le k-anonymat en pratique
Imagine un tableau avec les colonnes sexe, âge, code postal, profil de clics publicitaires. Avec k=10, il faut trouver au moins 10 personnes qui correspondent exactement dans les trois premières colonnes. Ainsi, un tiers externe ne peut pas déterminer quelles données de clics appartiennent à quelle personne.
Valeurs concrètes :
- k=2 : seulement 2 personnes par groupe — quasiment jamais sûr en pratique
- k=10 : standard minimal courant
- k=50 : robuste pour des statistiques rendues publiques
- k=100+ : lorsque des attributs sensibles sont également en jeu
La l-diversité en complément
Le k-anonymat seul ne suffit pas si les 10 personnes d’un groupe partagent le même attribut sensible (p. ex. toutes ont la même maladie). On peut alors déduire l’attribut sans avoir besoin d’identifier la personne. La l-diversité exige que chaque groupe k contienne au moins l valeurs sensibles différentes.
La confidentialité différentielle (differential privacy) — l’approche mathématique
La confidentialité différentielle est la méthode la plus stricte. Elle ajoute un bruit statistique aux analyses, de sorte que le résultat ne change pratiquement pas, que tes données soient incluses ou non. Apple, Google et l’US Census Bureau utilisent cette approche pour leurs statistiques publiques.
3. Risque de réidentification — pourquoi trois points de données suffisent souvent
Pour toi, cela signifie : si une plateforme affirme «nous ne transmettons que ton code postal, ton âge et ton sexe, sans nom» — il s’agit techniquement toujours de données personnelles. La réidentification est souvent triviale avec une deuxième source de données (annuaire téléphonique, registre électoral, réseaux sociaux).
Contexte suisse
La Suisse compte 2'132 communes et près de 8.9 millions d’habitants. Une personne domiciliée dans le canton de Glaris, née en 1957, de sexe féminin, est déjà souvent unique ou presque unique — car la population de chaque sous-catégorie est réduite. Pour un profil «anonymisé» robuste sur le marché suisse, il faut agréger les codes postaux au niveau cantonal ou utiliser des tranches d’âge plus larges.
4. Exemples pratiques du marché suisse
Exemple 1 : une plateforme publicitaire affirme «nous partageons une démographie anonymisée»
La plateforme indique à son annonceur : «5'342 utilisateurs de la catégorie publicitaire 'passionnés de plein air' dans le canton de Zurich, âge moyen 34 ans, majoritairement des femmes (62 %).» C’est proprement agrégé — k est élevé, aucun suivi individuel n’est possible.
Exemple 2 : la plateforme affirme «anonymisé», mais transmet un profil détaillé
La plateforme indique : «ID utilisateur 8273, 34 ans, femme, Zurich Wiedikon, passionnée de plein air, a vu aujourd’hui les publicités X, Y, Z.» Malgré l’absence de nom, ceci est très probablement réidentifiable — il s’agit de pseudonymisation affublée de l’étiquette «anonyme».
Exemple 3 : véritable anonymisation avec confidentialité différentielle
La plateforme indique : «Durant la période A, la publicité X a été vue par environ 743 (±15) personnes, avec la répartition Y.» Le flou statistique rend l’ensemble anonyme même si un annonceur tente de le recouper avec d’autres sources de données.
5. Ce que tu devrais demander à une plateforme
Si une plateforme te promet une «transmission de données anonymisées», tu as droit à des réponses concrètes (p. ex. via une demande d’accès). Ces questions constituent un bon point de départ :
- Quelle méthodologie est utilisée ? (k-anonymat, confidentialité différentielle, agrégation simple)
- En cas de k-anonymat : quelle valeur de k ? (devrait être au moins 10, idéalement 50+)
- Quels quasi-identifiants sont affaiblis ou supprimés ? (code postal à quel niveau de précision, date de naissance à quel niveau de précision)
- Qui contrôle l’anonymisation ? (en interne, en externe, audit du PFPDT)
- Existe-t-il un test de réidentification ? (p. ex. avec des jeux de données publics)
- Qui peut reconstituer la clé ? (en cas d’anonymisation véritable : personne)
Une plateforme qui répond à ces questions de manière claire et concrète dispose d’un concept de données bien pensé. Une plateforme qui esquive ou se contente de répéter sa déclaration de protection des données n’en a très probablement pas.
6. Comment nous procédons chez Videte
Avec Videte, nous exploitons une plateforme publicitaire suisse basée à Berne, sur laquelle les utilisateurs sont rémunérés en CHF pour regarder de la publicité. Voici concrètement notre approche en matière d’anonymisation :
En tant qu’utilisateur, tu vois ton propre profil dans le tableau de bord et tu peux à tout moment l’obtenir sous forme d’export JSON via une demande d’accès. Ce que nous transmettons aux annonceurs est toujours agrégé et ne permet aucune déduction sur des personnes individuelles.
Ce n’est pas de la publicité — c’est une obligation. Et c’est le test auquel tu devrais soumettre chaque plateforme à qui tu confies tes données.