Des chercheurs de l’UCLouvain tirent la sonnette d’alarme : l’anonymisation des bases de données ne protège pas votre vie privée. Un algorithme peut retrouver votre identité dans 99,9 % des cas.
Vous pensez être protégé par le principe de l’anonymisation des données ? C’est un leurre. Dans une nouvelle étude qui vient de paraître dans la revue scientifique Nature Communications, des chercheurs de l’UCLouvain et de l’Imperial College London démontrent qu’un bon algorithme est capable de vous ré-identifier au coeur même d’une base de données anonymisée.
Depuis plus de 20 ans, le principe de l’anonymisation est largement utilisé pour permettre l’échange de données personnelles sans porter atteinte à la vie privée des personnes dont les données sont échangées. Une base de données anonymisées ne contient que de données brutes, expurgées du nom et de l’identité des personnes concernées. Une telle base de données peut légitimement être cédée ou vendue à des parties tierces.
Les chercheurs de l’UCLouvain ont créé un algorithme, qu’ils ont fait tourner sur une base de données publiques anonymisées, issues d’un recensement portant sur trois millions d’Américains. Le résultat est sans appel. Pour identifier une personne dans 99,98 % des cas, il suffit que l’algorithme dispose de 15 ” attributs démographiques “, comme la date de naissance, le sexe, le lieu de résidence, la situation familiale, etc. Un algorithme bien paramétré peut donc vous retrouver dans un fichier Excel comprenant des millions de profils anonymisés, à partir du moment où cette base de données contient 15 ” informations ” vous concernant.
Vos données anonymisées peuvent donc être cédées à des organisations privées ou publiques, sans garantie que votre vie privée soit réellement protégée. C’est d’ailleurs ce qui est arrivée à… Donald Trump ! En mai dernier, le New York Times a révélé ses pertes colossales dans plusieurs activités comme les casinos. Ces révélations proviennent en partie de corrélations établies dans des bases de données publiques du fisc américain, qui ont permis de ré-identifier l’homme d’affaires devenu président des Etats-Unis.
La conclusion de l’étude universitaire, c’est que le processus d’anonymisation ne fonctionne pas. Or, il s’agit d’une des pierres angulaires du RGPD, le Règlement général pour la protection des données, adopté par le Parlement européen en 2018. ” A partir du moment où vos données sont anonymisées, elles ne sont plus considérées comme personnelles par le RGPD. Du coup, votre consentement pour le traitement de ces données n’est plus requis “, explique Luc Rocher, doctorant et aspirant FNRS. Pour les chercheurs, leur étude doit servir d’avertissement : ” L’économie de la donnée doit s’équiper d’outils modernes, estime Yves-Alexandre de Montjoye, responsable du Computational Privacy Group à l’Imperial College London. L’anonymisation démontre ses lacunes. Il faut imposer des mécanismes plus performants de sécurisation des bases de données. ”
