Brevet FR2982052A1 — publié le 20130503

Procédé et dispositif pour le stockage en base de données et la consultation de données confidentielles La présente invention appartient au domaine de la sécurité des informations et de l'accès aux informations sécurisées. Plus particulièrement l'invention concerne un procédé et un dispositif pour le stockage et pour la consultation d'un ensemble de données pour 5 lesquelles il est exigé un haut degré de confidentialité. Lorsqu'un grand nombre d'informations doit être disponible pour une consultation, il est aujourd'hui largement fait appel à des ordinateurs mettant en oeuvre des bases de données. 10 Les avantages apportés par les ordinateurs sont bien connus. Ils sont en mesure de stocker un grand nombre d'informations dans des bases structurées et de rechercher rapidement les informations répondant à un ensemble de critères sur une instruction d'un opérateur. En outre les systèmes utilisés pour cela sont accessibles à distance et souvent avec des moyens simples 15 de n'importe quel point d'un réseau auquel ils sont raccordés. Ces avantages constituent cependant une faiblesse de ces systèmes car les informations qui sont stockées dans les bases de données peuvent être piratées ou endommagées par des actes de malveillance commis en pénétrant les ordinateurs des systèmes en question par le réseau numérique tel qu'Internet. 20 Il est connu pour se défendre contre de tels intrusions d'utiliser des mots de passe et des cryptages de sorte que les informations ne soient accessibles que par des personnes disposant des mots de passe. Cependant cette solution a montré ses limites vis à vis du piratage des données et en outre elle ne s'affranchit pas du risque de voir les informations 25 consultées par des personnes, ayant un accès légitime à ces données, dans un but non autorisé. Lorsque les informations concernent un groupe d'objets ou de personnes, c'est à dire une population, dans lequel chaque objet ou personne est caractérisé par un ensemble de données, il est connu de séparer les données dans des bases de données différentes de sorte que l'accès à une seule base ne suffit pas à disposer de l'ensemble des données relatives à un objet ou à une personne. Cependant la nécessité à certain moment de pouvoir accéder, en cas de 5 besoins légitime, à l'ensemble des données relatives à un objet ou une personne rend nécessaire de créer un lien entre les différentes bases. Que les liens soient forts ou faibles, ils créent toujours une faille de sécurité dans la protection de l'accès aux informations en autorisant le regroupement de toutes les données relatives à un même objet ou à une même 10 personne. Par exemple la sensibilité du stockage en bases de données d'informations relatives à une personne physique est aujourd'hui considérée comme critique car pouvant être une source de risque d'atteinte aux libertés individuelles en cas d'utilisation non autorisée des informations. 15 La présente invention propose un procédé et un dispositif qui permet de séparer les données relatives à un même objet ou à une même personne sans qu'il existe de lien logique dans les bases de données et en donnant seulement à un titulaire de droits la possibilité de réunir l'ensemble des données relatives à un 20 objet ou à une personne. Pour cela le procédé de stockage de données sous forme numérique et d'accès aux données de l'invention, dans lequel procédé les données représentent des informations structurées relatives à une population d'entités, chaque entité correspondant à un groupe de données, et dans lequel procédé les 25 données de chaque groupe de données sont séparées en au moins deux sous-groupes, chaque sous-groupe étant stocké sans lien logique avec un autre sous-groupe du groupe de données dont il fait partie, se caractérise en ce que : - chaque sous-groupe stocké est signé par un identifiant numérique unique qui lui est associé, et que cet identifiant numérique unique 30 associé au sous-groupe considéré est une représentation numérique d'un élément physique unique et non reproductible désigné "tag élémentaire" ; - un lien permettant d'associer des sous-groupes différents issus d'un même groupe de données correspondant à une entité est formé par la mise en oeuvre de manière coordonnée des tags élémentaires dont les représentations numériques correspondent aux identifiants numériques uniques des dits sous-groupes. Ainsi les données relatives à une entité sont toutes stockées et accessibles par sous-groupes, le cas échéant en clair ou le cas échéant cryptées, dans une base de données ou dans un ensemble de base de données sans toutefois qu'il soit possible à une personne non habilité qui ne disposerait pas des éléments physiques uniques et non reproductibles correspondant à un groupe de données de regrouper les données issues de ce groupe de données du fait de l'absence de lien logique entre les sous-groupes de la ou des bases de données. Les tags élémentaires nécessaires pour associer des sous-groupes d'un même groupe sont détenus par une autorité habilitée à rapprocher des données contenues dans des sous-groupes d'un même groupe. Cette autorité peut être une seule personne physique qui détient alors les différents tags élémentaires nécessaires ou un groupe de personnes qui détiennent individuellement un ou des tags élémentaires et qui doivent alors se coordonner pour associer les sous- groupes et reformer le groupe de données. Ainsi le rapprochement des sous-groupes et la reconstruction du groupe de données d'origine d'une entité devient possible uniquement lorsque les tags élémentaires porteurs des identifiants uniques correspondants à chaque sous-groupe sont disponibles physiquement, que ces tags soient détenus par une seule personne ou par des personnes différentes. Dans une forme de mise en oeuvre, deux ou plusieurs tags élémentaires sont définis dans un tag unique de sorte à former un méta-tag. Cette solution qui répond à une simplicité de forme lorsque les tags élémentaires doivent être détenus par une même personne, permet également 30 de dissimuler le nombre de tags élémentaires qui sont définis dans le méta-tag et d'en rendre la forme et la structure non déterminable au sein du méta-tag. En outre les tags élémentaires étant physiquement indissociables au sein du méta-tag, leurs séparation entraînant la destruction irrémédiable des tags élémentaires, leur unité physique garanti non seulement l'unité de lieu de leur lecture, mais également l'unité de temps pour autoriser la reconstruction du groupe de données. Pour répondre aux exigence d'unicité et de non reproductibilité, ainsi que pour en permettre la production et la lecture par des moyens économiquement acceptables, avantageusement les tags élémentaires et ou les méta-tags sont réalisés au moyens de codes à bulles. Bien que non exclusivement, le procédé trouve une application lorsque 10 les données stockées sont relatives à des entités qui sont des personnes physiques ou individus et dont la confidentialité doit être protégée. Les sous-groupes peuvent notamment contenir : - des données d'identités administratives des individus de la population ; - des données d'empreintes biométriques des individus de la population ; 15 - des données médicales personnelles des individus de la population. D'autres types de données peuvent être stockées suivant le procédé dés lors que l'ensemble des données d'une entité est séparé en deux ou plus sous-groupes. Un sous-groupe peut le cas échéant être associé à plus d'un identifiant 20 unique, deux tags élémentaires ou méta-tags différent, uniques et non reproductibles, permettant d'identifier un même sous-groupe, de sorte que des droits de regroupement peuvent être dupliqués ou différenciés lorsque les regroupements autorisés peuvent être limités ce qui est possible lorsque le groupe de données est fractionné en trois ou plus sous-groupes. 25 L'invention concerne également un dispositif de stockage et de lecture sécurisé de données stockées sous forme numérique dans au moins une base de données d'un système informatique, dans lequel : - les données représentent des informations structurées relatives à une 30 population d'entités, chaque entité correspondant à un groupe de données ; - les données de chaque groupe de données sont stockées séparément dans au moins deux sous-groupes non corrélés, chaque sous-groupe étant stocké dans la ou les bases de données sans lien logique avec un autre sous-groupe du groupe de données dont il fait partie ; et dans lequel : - chaque sous-groupe comporte un champ de stockage d'un identifiant 5 unique dans le dispositif ; - le dispositif comporte au moins un lecteur d'éléments physiques uniques et non reproductibles, dit tag, pour créer au moins une représentation numérique d'un tag élémentaire destiné à former l'identifiant unique d'un sous-groupe ; 10 - le dispositif comporte au moins un lecteur de tag pour lire les tags élémentaires lorsque ces tags ont été utilisé pour créer des identifiants uniques pour les sous-groupes ; - un groupe de données est formé par le rapprochement d'au moins deux sous-groupes identifiés par leurs représentations numériques uniques délivré par 15 le lecteur de tags lors de la lecture coordonnée des tags élémentaires utilisés pour la création des identifiants uniques des dits sous-groupes. Le dispositif permet ainsi de créer et de consulter des bases de données accessibles dont la confidentialité est assurée en particulier du fait de l'absence de lien logique entre les données de la ou des bases de données et de la 20 protection physique qui est apportée par les tags élémentaires indispensables à la reconstruction du groupe de données. Dans une forme particulière de réalisation, les lecteurs de tags sont agencés matériellement et logiquement pour lire des tags agencés sur un seul support physique et dans une forme avantageuse pour lire des tags 25 correspondant à des parties non séparables d'un méta-tag lui même unique et non reproductible. Dans une forme de réalisation particulièrement économique à réaliser, les lecteurs de tags sont agencés pour lire par des moyens optiques des tags élémentaires ou des méta-tags du type codes à bulles 30 Lorsque plusieurs tags élémentaires sont regroupés sur un même support physique dans un même code à bulles, les lecteurs sont agencés matériellement et logiquement pour identifier et lire des sélections différentes de sous-ensembles des bulles du code à bulles de sorte à identifier les tags élémentaires portés par le code à bulles. D'autres caractéristiques et avantages de l'invention seront mieux compris 5 à la lecture de la description qui suit d'exemples de réalisation de l'invention non limitatifs en référence aux dessins qui représentent : Figure 1 : schématiquement les étapes de l'importation des données relatives à un individu dans deux bases de données ; Figure 2 : schématiquement les étapes de l'extraction des bases de 10 données des données relatives à un individu ; Figure 3 : un exemple de support physique de méta-tag correspondant à une carte d'identité ; Figure 4 : une représentation synoptique d'un dispositif de création et de consultation des données. 15 L'invention s'adresse à des données manipulées en grand nombre par des moyens de traitement numérique tels que des ordinateurs reliés à des réseaux de communication numérique. Bien que l'invention s'applique à des entités d'une population les plus 20 diverses, par exemple des objets ou des personnes, qui sont définis par un ensemble d'attributs, pouvant être en nombre quelconque supérieur à deux, la description détaillée sera faite à titre d'illustration de l'invention dans le cas particulier pour lequel les données concernent au moins deux attributs de personnes physiques ou individus. 25 Un individu 10 comporte en particulier, comme illustré sur la figure 1, des attributs d'identification biologique et des attributs d'identification administrative. Les attributs d'identification biologique sont divers et relèvent de la physique du vivant. Ils seront désignés « empreinte biométrique » 11 par la 30 suite. Dans cette catégorie on trouve par exemple des traits morphologiques tels que ceux du visage 111, les empreintes digitales 112, l'image rétinienne, l'empreinte génétique ... L'empreinte biométrique 11 d'un individu 10 correspond à une ou plusieurs de ces caractéristiques de l'individu et certaines de ces caractéristiques sont considérées, au moins avec une très grande probabilité (probabilité 5 sensiblement égale à 1), comme unique sur Terre. Les attributs d'identification administrative sont, a contrario, indépendants de la biologie et correspondent à des données administratives telles que le nom de l'individu 121, ses prénoms, sa date de naissance, son adresse 122 ... et seront de manière générique désignées « identité 10 administrative » 12. De manière arbitraire un individu est caractérisé par ses données personnelles 15 dans l'exemple décrit par une empreinte biométrique 11 et une identité administrative 12. Une population d'individus correspond donc dans cet exemple à un 15 ensemble d'empreintes biométriques, les empreintes biométriques de chacun des individus de la population, et à un ensemble d'identités administratives, les identités administratives de chacun des individus de la population. Ces données personnelles sont donc structurées dans le sens où elles sont différentes d'un individu à l'autre mais présentent la même organisation 20 pour chaque individu de la population. Suivant le procédé de l'invention, les données personnelles d'un individu forment un groupe de données devant être stockées, lesquelles comporte les données de son empreinte biométrique formant un sous-groupe du groupe de 25 données,.et les données de son identité administrative formant un autre sous-groupe du groupe de données. Les empreintes biométriques 11 de la population sont stockées dans une base de données biométrique 21, également marquée DBb (pour Data Base biométrique) sur les figures, et les identités administratives 12 sont stockées 30 dans une base de données administrative 22, également marquée DBa (pour Data Base administrative) sur les figures. Les bases de données biométrique 21 et administrative 22, peuvent être 2 9 82052 8 matériellement séparées, par exemple résidant sur des systèmes informatiques distincts plus ou moins distants, ou être conjointes et être implantée sur un même système informatique. Indépendamment de la structure d'organisation des données stockées, dans la suite de l'exposé, les données biométriques seront déclarées comme stockées dans une base de données biométrique et les données administratives comme stockées dans une base de données administrative. Quelle que soit l'architecture informatique, telle que sur l'exemple de la figure 4, sur laquelle les bases de données 21, 22 sont installées, il n'y a dans la structure et le contenu des données de chacune des bases de données aucun lien qui permette d'associer les données de l'empreinte biométrique 11 d'un individu 10 avec les données de son identité administrative 12. Cette absence de lien est symbolisée sur la figure 1 par la relation interrompue 23 entre les bases de données alors qu'un lien existe, repéré 13 sur la figure 1, du fait même de l'existence de l'individu 10 qui porte l'empreinte biométrique 11 et dispose de l'identité administrative 12. En d'autres termes, bien que les bases de données biométrique 21 et administrative 22 prises ensembles contiennent toutes les données relatives à tous les individus de la population relavant des bases de données, rien ne permet dans les bases de données et dans le système informatique qui les héberge de regrouper de manière avérée l'ensemble des données relatives à un individu. On dit dans ce cas qu'il n'existe aucun lien logique entre les deux bases de données. On remarque qu'il est question ici de bases de données concernant des populations avec un nombre significatif d'individus, ce nombre étant suffisant pour échapper à une probabilité exploitable de regroupement au hasard des données d'un individu donné, probabilité qui évolue comme l'inverse du nombre d'individus de la population élevé au nombre de sous-groupes de données, donc au carré dans l'exemple comportant deux sous-groupes de données. On remarquera toutefois que les bases de données peuvent ne contenir les données relatives qu'à un seul individu réel (ou à un petit nombre d'individus) et des données relatives à de nombreux individus imaginaires ce qui permet d'arriver à la même conclusion pour une population réduite. Afin de pouvoir ré-assembler les données concernant un même individu dans une étape ultérieure de consultation des bases de données, le procédé 5 comporte une étape de marquage des données de l'empreinte biométrique 11 d'une part et de l'identité administrative 12 d'autre part. Suivant le procédé, chaque ensemble de données constituant l'empreinte biométrique 11 d'un individu 10 de la base biométrique 21 est associée à un élément physique unique et non reproductible qui sera désigné sous le terme 10 générique de « tag », pour les données biométrique un tag biométrique 31. De même, chaque ensemble de données d'un individu de la base administrative est associée à un élément physique unique et non reproductible : un tag administratif 32. 15 Comme précisé, un tag est un élément physique, c'est à dire un élément indépendant des bases de données biométrique 21 et administrative 22. Un tag n'est pas partie du système informatique (représenté par ses seules bases de données sur la figure 1) qui manipule des données numériques. Un tel tag est par exemple un objet en trois dimensions comportant des 20 corps étrangers de formes et de dispositions aléatoire dans l'objet tel que décrit dans la demande de brevet publiée sous le numéro FR 2804784, le nombre de corps étrangers et leurs formes et agencements aléatoires donnant au tag ses critères d'unicité et de non reproductibilité. Dans une forme préférée de réalisation le tag est un code à bulles comme dans la demande de brevet publiée 25 sous le numéro FR 2860670. Sur les figures les tags 31, 32 sont illustrés sous la forme de code à bulles Pour associer un tag 31, 32 à des données d'un individu 10, une représentation numérique 33, 34 du tag est ajoutée 35, 36 aux données 30 considérées dudit individu de sorte que les données soient associées au tag, c'est à dire signées par le tag ou par sa représentation numérique (les deux expression étant ici prise dans le même sens). Dans le cas de l'invention, une représentation numérique 33 du tag biométrique 31 attribué à un individu 10 est incorporée dans la base de données biométrique 21 à l'empreinte biométrique 11 dudit individu, et une représentation numérique 34 du tag administratif 32 est incorporée dans la base de données administrative 22 à l'identité administrative 12 dudit individu. On remarquera que tous les tags étant uniques, et que la construction de leurs représentations numériques, qui caractérise la répartition, les tailles et les formes des corps étrangers du tag, est également unique, il doit en être déduit qu'une représentation numérique d'un tag donné ne peut signer qu'une seule empreinte biométrique ou (exclusif) une seule identité administrative à laquelle il est associé par attribution du tag à l'individu 10. On remarquera également qu'il n'est pas créé de cette manière de liaison 23, dans le système informatique hébergeant les bases de données 21, 22, entre l'empreinte biométrique 11 d'un individu 10 et son identité administrative 12, les 15 signatures étant différentes et indépendantes. Ainsi une fois les données d'un individu 10 introduites dans les bases biométrique 21 et administrative 22 signées avec des tags donnés uniques et différents, il devient nécessaire, comme illustré sur la figure 2, de disposer du tag biométrique 31 ET du tag administratif 32 pour pouvoir retrouver dans la base 20 biométrique 21 l'empreinte biométrique 11 signée par le tag biométrique et portant la représentation numérique 33, également noté IDb sur la figure 2, du tag biométrique 31 et dans la base administrative 22 l'identité administrative 12 signée par le tag administratif et portant la représentation numérique 34, différente, également notée IDa sur la figure 2, du tag administratif 32. 25 Dans une forme préférée de mise en oeuvre du procédé, lorsque l'identification simultanée de l'empreinte biométrique 11 d'un individu 10 et l'identité administrative 12 du même individu doivent être réalisées par une seule personne autorisée, le tag administratif 34 et le tag biométrique 33 sont 30 regroupés sur un support unique détenu par la personne autorisée, qui peut être par exemple l'individu 10 lui-même. En pratique il n'est pas nécessaire que les tags administratif 32 et biométrique 31 soit distincts physiquement. En effet la complexité d'un tag de dimensions suffisantes permet de définir dans ledit tag deux ou plusieurs tags élémentaires différents totalement décorrélés en dehors du fait qu'ils sont « inscrits » dans un tag unique. Ainsi en pratique le tag administratif 32 et le tag biométrique 31 seront tous deux contenus dans un tag unique, un méta-tag 30. Pour associer l'empreinte biométrique 11 et l'identité administrative 12 d'un individu 10 de la population considérée et disposer ainsi de l'ensemble de ses données personnelle 15, il est alors nécessaire de disposer du méta-tag 30 physique (unique et non reproductible), solution qui sera considérée dans la suite de la descriptions détaillée de l'exemple de réalisation, ou de tags élémentaires 31, 32 s'ils sont distincts, qui constitue les clés par lesquelles il est possible de déterminer l'empreinte biométrique 11 de la base de données biométrique 21 dont la représentation numérique de tag biométrique associée correspond à la représentation numérique 33 du tag biométrique 31 porté par le méta-tag 30 et de déterminer l'identité administrative 12 de la base de données administrative 22 dont la représentation numérique de tag administratif associée correspond à la représentation numérique 34 du tag administratif 34 porté par le méta-tag 30. Il convient de noter que la séparation représentée sur les figures 1 et 2 sur le méta-tag 30 pour distinguer les tags élémentaires 31 et 32 n'est dessiné que par soucis de clarté et n'est pas en pratique matérialisé sur le méta-tag 30. Dans une application particulièrement sensible sur le plan des libertés individuelles, le méta-tag 30 est détenu par l'individu 10, personne physique, par 25 exemple incorporé dans une carte personnelle de l'individu telle qu'une carte d'identité ou un passeport ou tout autre titre ou moyen personnel d'identification. Un individu 10 est donc dans ce cas le seul pouvant reconstituer l'ensemble des données 15 le concernant et stockées dans les bases de données 21, 22. 30 Dans une mise en oeuvre opérationnelle du procédé, les étapes suivantes sont réalisées. Dans une étape préliminaire, afin de pouvoir entrer dans les bases de données biométrique 21 et administrative 22 les données relatives à un individu 10, les données de l'individu sont 10 recueillies de manière conventionnelle et transmises à un centre traitement. Par exemple pour la réalisation d'une pièce d'identité, les données sont recueillies par un organisme habilité, tel qu'une Mairie de commune, qui en vérifie la cohérence. Cette étape préliminaire est conforme à ce qui est pratiqué dans la collecte des informations pour la production de documents administratifs. Dans une seconde étape, les données collectées sont transmises à un 10 centre de saisie d'une part des données de l'identité administrative 12 destinées à la base de données administrative 22 et d'autre part, séparément, des données de l'empreinte biométrique 11 destinées à la base de données biométrique 21. Dans une troisième étape le centre de traitement affecte un méta-tag 30 à l'individu 10. Le méta-tag 30 affecté à cette étape est un tag vierge, c'est à dire 15 qui n'a pas été utilisé par ailleurs, au moins pour l'application considérée. Le méta-tag 30 est introduit dans un lecteur 41 adapté qui délivre alors à un système informatique 43 de gestion des bases de données 21, 22 une représentation numérique 33 du tag biométrique 31, partie du méta-tag 30, et une représentation numérique 34 du tag administratif 32, partie différente du 20 méta-tag 30. Enfin, le système informatique 43 de gestion des bases de données associe 35 la représentation numérique 33 du tag biométrique aux données de l'empreinte biométrique 11 et stocke l'empreinte biométrique ainsi signée dans un registre 115 de la base de données biométrique 21 correspondant aux sous- 25 groupe 11. De manière similaire, le système informatique 43 de gestion des bases de données associe 36 la représentation numérique 34 du tag administratif aux données de l'identité administrative 12 et stocke l'identité administrative ainsi signée dans un registre 125 de la base de données administrative 22 30 correspondant aux sous-groupe 12 . Lorsque ces opérations sont réalisées, toutes les traces des données collectées dans lesquelles des données relatives à l'empreinte biométrique 11 et des données relatives à l'identité administrative 12 sont associées sont détruites ou effacées. A compter de cette destruction ou de cet effacement, le rapprochement de l'empreinte biométrique 11 et de l'identité administrative 12 n'est plus possible que par le truchement du méta-tag 30 unique, porteur du tag administratif 32 et du tag biométrique 31, méta-tag 30 qui est remis au détenteur des droits, ou le cas échéant par l'utilisation conjointe du tag administratif 32 et du tag biométrique 31 si ces deux tags sont distincts. Le méta-tag étant par conception unique et non reproductible, seul le 10 détenteur du méta-tag 30 utilisé pour signer différemment les sous-groupes d'un groupe de données est en mesure de ré-assembler l'ensemble des données séparées dans les seconde et troisième étapes. On constate que dans les bases de données constituées suivant 15 l'invention, les données, pour celle qui ne sont pas cryptées, sont accessibles par des personnes ayant les droits d'accès aux bases de données, ce qui peut s'avérer utile, par exemple pour des études générales sur les populations à des fins statistiques ou pour des études épidémiologique, ou pour accéder à des informations non sécurisées comme par exemple un identité administrative qui 20 associerait nom et adresse d'un individu, mais que la confidentialité reste conservée dés lors que l'assemblage de données de différent sous-groupes doit recevoir l'assistance active de la ou des personnes disposant du seul élément matériel non reproductible permettant ledit assemblage de données. Il s'agit par exemple du cas de l'identité biométrique 11 d'un individu 10 25 qui ne doit pas pouvoir être rapprochée de son identité administrative 12 sans son accord. L'exemple détaillé décrit ci-dessus n'est pas limitatif de l'invention. L'homme du métier comprend que les données relatives à un individu 30 peuvent être réparties dans plus de deux bases de données. Il est également compris que lorsque les tags utilisés pour les données d'un même individu sont physiquement séparés ils peuvent être détenus par plus d'une personne. Dans ce cas, le regroupement des données signées par des tags détenus par des personnes différentes exige que ces personnes produisent ensemble les tags permettant d'identifier les données dans chacune des bases de données. Dans une forme de réalisation dans laquelle plus d'une personne doit disposer des droits et de la possibilité de regrouper les données d'un même individu, un tag étant unique et non reproductible, chaque sous-groupe de données d'un même groupe de données est signé par autant de représentation numériques de tags différents, tags élémentaires ou méta-tags suivant le cas, qui seront détenu chacun par la personne autorisée à regrouper des sous-groupes de données d'un individu donné. Dans ce cas lorsque les données sont réparties en plus de deux sous-groupes de données stockés dans autant de bases de données, les personnes autorisées à regrouper des sous-groupes de données d'un même groupe de données n'ont pas nécessairement des tags leurs permettant de réaliser les mêmes consultations. Par exemple si un groupe de données est réparti en trois sous-groupes de données A, B et C, une première personne autorisée peut disposer d'un méta-tag lui permettant de regrouper les trois groupes A+B+C pour reconstituer le groupe de données initial, alors qu'une autre personne autorisée mais ayant moins de droits ne pourra, compte tenu des tags ou méta-tags qu'il détient, regrouper que les données A+B par exemple. Le type de données traitées suivant l'invention n'est pas limité a priori et les données ne sont pas nécessairement relatives à un individu. Elles peuvent concerner tout type d'entités auxquelles sont associées un ensemble d'au moins deux données, lesquelles données, tout en restant accessibles unitairement, ne doivent pouvoir être associées globalement pour une entité donnée que de manière sécurisée par une personne habilité disposant d'une preuve d'authenticité sous la forme d'un élément physique unique et non reproductible. Les exemples d'applications sont nombreux en particulier dans le 30 domaine des informations protégées sur les personnes. Il est par exemple possible de réaliser des cartes d'identité 50, comme illustré sur la figure 3, impossibles à reproduire ou à falsifier. Dans une telle carte, outre la reproduction visible, de manière conventionnelle, d'informations de nature biométrique telles qu'une photographie 111' et une empreinte digitale 112', et des informations administrative 12', la carte incorpore un méta-tag unique et non reproductible, qui peut être lu par un lecteur de tag, comme par exemple un tag du type code à bulles. L'authenticité de la carte d'identité 50 peut être vérifiée d'une part par vérification de l'existence dans les bases de données 21, 22 des représentations numériques 33, 34 des tags élémentaires 31, 32 qui sont contenus dans le méta-tag 30 incorporé à la carte 50 et d'autre part par la contrôle de la cohérence des données visibles de la carte 50 avec les données signées dans les bases de données par les représentations numériques des tags élémentaires de la carte, ainsi que par la cohérence avec des vérifications physiques des caractéristiques biométriques de l'individu 10 porteur de la carte 50, par exemple la lecture d'une empreintes digitales. On comprend ici que si une fausse carte est réalisée, même avec des tag lisibles, elle ne sera pas reconnue lors de la lecture du ou des tags du fait que le tag ne correspondra à aucune représentation numérique de tag dans les bases de données et la carte sera donc détectée comme fausse dés la première lecture car inconnue. Si une carte 50 est modifiée frauduleusement, la carte sera reconnue dans un premier temps comme ayant une existence légale du fait de la reconnaissance des tags élémentaires 31, 32. Toutefois, la comparaison entre les données des bases de données signées par lesdits tags élémentaires, regroupées du fait de la reconnaissance des dits tags élémentaires, et les informations reproduites sur la carte et celles obtenues de la personne physique porteuse de la carte, comme par exemple une empreinte digitale, conduira à déclarer la carte comme frauduleuse en raisons des différences détectées, et il pourra être établi si la personne détient une carte modifiée ou qui ne lui appartient pas. Un autre exemple d'application de l'invention concerne les cartes dites de santé. Dans ce cas la carte permet, comme dans le cas de la carte d'identité, d'identifier avec certitude le patient pour en particulier éviter des fraudes, voire des erreurs médicales liées à des homonymies, mais elles permet en outre d'accéder à ses données médicales qui sont stockées sur des bases de données qui ne peuvent être lues en association avec son identité qu'avec son accord au moyen de sa carte de santé et du ou des tags qu'elle porte. Ces exemples ne sont pas limitatifs des applications de l'invention et illustrent à l'homme du métier les principes devant être mis en oeuvre pour stocker des données devant être protégée pour le respect de leurs confidentialité. REVENDICATIONS1 - Procédé de stockage de données sous forme numérique et d'accès aux dites données, dans lequel les données représentent des informations structurées relatives à une population d'entités, chaque entité (10) correspondant à un groupe de données (15), dans lequel les données de chaque groupe de données sont séparées en au moins deux sous-groupes (11, 12), chaque sous-groupe étant stocké sans lien logique avec un autre sous-groupe du groupe de données dont il fait partie, ledit procédé étant caractérisé en ce que : - chaque sous-groupe stocké est signé (35, 36) par un identifiant numérique unique (33, 34) qui lui est associé, ledit identifiant numérique unique étant une représentation numérique d'un élément physique unique et non reproductible, dit tag élémentaire (31, 32) ; - un lien permettant d'associer des sous-groupes issus d'un même groupe de données correspondant à une entité est formé par la mise en oeuvre de manière coordonnée des tags élémentaires (31, 32) dont les représentations numériques (33, 34) correspondent aux identifiants numériques uniques des dits sous-groupes. 2 - Procédé suivant la revendication 1 dans lequel les tags élémentaires (31, 32) nécessaires à l'association de sous-groupes (11, 12) d'un même groupe (15) sont détenus par une autorité habilitée à rapprocher des données contenues dans les dits sous-groupes d'un même groupe. 3 - Procédé suivant la revendication 2 dans lequel deux ou plusieurs tags élémentaires (31, 32) sont définis dans un tag unique de sorte à former un méta-tag (30). 4 - Procédé suivant la revendication 2 ou la revendication 3 dans lequel les tags élémentaires (31, 32) et ou les méta-tags (30) sont réalisés au moyens de codes à bulles. 5 - Procédé suivant l'une des revendications précédentes dans lequel les entités (10) sont des personnes physiques ou individus. 6 - Procédé suivant la revendication 5 dans lequel un sous-groupe de données (12) comporte des données d'identités administratives des individus de la population. 7 - Procédé suivant la revendication 5 ou la revendication 6 dans lequel un sous- groupe de données (11) comporte des données d'empreintes biométriques des individus de la population. 8 - Procédé suivant l'une des revendications 5, 6 ou 7 dans lequel un sous-groupe de données comporte des données médicales personnelles des individus de la population. 9 - Dispositif (40) de stockage et de lecture sécurisé de données stockées sous forme numérique dans au moins une base de données (21, 22), dans lequel les données représentent des informations structurées relatives à une population d'entités, chaque entité (10) correspondant à un groupe de données (15), dans lequel dispositif les données de chaque groupe de données sont stockées séparément dans au moins deux sous-groupes (11, 12), chaque sous-groupe étant stocké dans l'au moins une base de données sans lien logique avec un autre sous-groupe du groupe de données dont il fait partie, ledit dispositif étant caractérisé : - en ce que chaque sous-groupe (11, 12) comporte un champ de stockage (115, 125) d'un identifiant unique (33, 34) dans le dispositif ; - en ce qu'il comporte au moins un lecteur (41) d'éléments physiques uniques et non reproductibles, dit tags (30), pour créer au moins une représentation numérique d'un tag élémentaire destiné à former l'identifiant unique d'un sous-groupe ; - en ce qu'il comporte au moins un lecteur (42) de tags pour lire destags élémentaires ayant été utilisés pour créer des identifiants uniques ; - en ce qu'il réalise une reconstruction d'un groupe de données par rapprochement d'au moins deux sous-groupes de catégories différentes identifiés par leurs identifiants uniques délivrés par le lecteur (42) de tags lors de la lecture coordonnée des tags élémentaires utilisés pour la création des identifiants uniques des dits sous-groupes. 10 - Dispositif selon la revendication 9 dans lequel les lecteurs (41, 42) de tags sont agencés matériellement et logiquement pour lire au moins deux tags agencés sur un support physique unique. 11 - Dispositif selon la revendication 10 dans lequel les lecteurs (41, 42) de tags sont agencés matériellement et logiquement pour lire au moins deux tags élémentaires dans un méta-tag lui même unique et non reproductible, agencés sur un support physique (50). 12 - Dispositif selon l'une des revendications 9 à 11 dans lequel les lecteurs (41, 42) de tags sont agencés matériellement et logiquement pour lire des tags élémentaires, ou des méta-tags, du type codes à bulles. 13 - Dispositif selon la revendication 12 prise en combinaison avec la revendication 11 dans lequel les lecteurs (41, 42) de tags déterminent chaque tag élémentaire d'un méta-tag du type code à bulles par des sélections différentes de sous ensembles de bulles du code à bulles. 14 - Dispositif suivant l'une des revendications 9 à 13 dans lequel les sous-groupes (11, 12) sont regroupés par typologie dans des bases de données (21, 22) différentes.