Brevet FR3114892A1 — publié le 20220408

PROCÉDÉ D’ÉVALUATION DU RISQUE DE RÉ-IDENTIFICATION DE DONNÉES ANONYMISÉES Le procédé de l’invention fournit un taux de protection (txP) représentatif du risque de ré-identification des données. Dans le cas d’une attaque de recherche de correspondance basée sur une distance, le procédé comprend les étapes de : a) lier un ensemble de données d’origine (EDO) comprenant une pluralité d’individus d’origine (IO) à un ensemble de données anonymisées (EDA) comprenant une pluralité d’individus anonymes (IA) ; b) transformer (PCA, MCA, FAMD) les individus d’origine et les individus anonymes dans un espace euclidien ; c) identifier pour chaque individu d’origine un ou plusieurs individus anonymes les plus proches sur la base d'une distance mathématique, par une méthode dite « k-NN » ; et calculer le taux de protection sur la base des résultats obtenus à l’étape c). Fig.1 PROCÉDÉ D’ÉVALUATION DU RISQUE DE RÉ-IDENTIFICATION DE DONNÉES ANONYMISÉES L’invention concerne de manière générale l’anonymisation de données sensibles destinées à être partagées avec des tiers, par exemple, à des fins de recherche, d’analyse ou d’exploitation de celles-ci. Plus particulièrement, l’invention se rapporte à un procédé d’évaluation du risque de ré-identification de données anonymisées. De manière générale, les données sont pour les organisations une source de performance et constituent pour celles-ci un actif important. Les données apportent des informations cruciales et précieuses pour la production de biens et de services de qualité, ainsi que pour la prise de décision. Elles procurent un avantage concurrentiel qui permet aux organisations de perdurer et de se démarquer de la concurrence. Le partage de données, par exemple sous la forme de données ouvertes dites « open data » en anglais, est aujourd’hui perçu comme offrant de nombreuses opportunités, notamment pour l’extension des connaissances et du savoir humain, l’innovation et la création de nouveaux produits et services. Les données sont devenues aisément partageables avec les technologies du numérique et les innovations technologiques, et ce au-delà des organisations qui les collectent et les stockent en vue de leur exploitation. La transformation numérique de la société, avec l’essor des réseaux sociaux, la généralisation de la consommation en ligne, la dématérialisation des services, etc., génère un phénomène de massification des données dit « big data » en anglais. Ce phénomène de massification des données s’est accentué avec l’adoption par un grand nombre de pays de politiques publiques dites « open data » qui favorisent l'ouverture et le partage des données. Les technologies qui sont actuellement disponibles autorisent le stockage, le traitement et l’analyse de cette masse de données toujours croissante et permettent d’en extraire des connaissances et des informations exploitables. Les données sont susceptibles de contenir des données à caractère personnel, dites « données personnelles », qui font l’objet de réglementations relatives à la protection de la vie privée. Ainsi, de manière générale, l’utilisation, le stockage et le partage des données personnelles sont soumis en France au règlement européen RGPD, pour « Règlement Général sur la Protection des Données », et à la loi française connue sous le nom « loi informatique et libertés ». Certaines données, comme celles relatives à l'état de santé, à la vie privée et familiale, au patrimoine et autres, sont particulièrement sensibles et doivent faire l'objet de précautions particulières. Plusieurs méthodes d’anonymisation sont connues et utilisées pour traiter des données originales de façon à protéger la vie privée des individus. L’anonymisation des données peut être définie comme un processus qui supprime l’association entre l'ensemble de données identifiant et le sujet des données. Le processus d’anonymisation vise à empêcher la singularisation d’un individu dans un ensemble de données, le lien entre deux enregistrements au sein d'un même ensemble de données, ou entre deux ensembles de données distincts, lorsque l’un des enregistrements correspond à des données propres à un individu, et la déduction d’informations dans l’ensemble de données. Ainsi, suite à un processus d’anonymisation, les données sont présentées sous une forme qui ne doit pas permettre d’identifier les individus, même par combinaison avec d’autres données. La méthode d’anonymisation dite « k-anonymisation » est l’une des méthodes plus utilisées. Cette méthode cherche à rendre indiscernable chaque enregistrement d'un ensemble de données d'au moins k-1 autres enregistrements de cet ensemble de données. La méthode d’anonymisation dite « L-diversité » est une extension de la méthode de « k-anonymisation » qui autorise une meilleure protection des données en impliquant dans chaque groupe de k enregistrements, dit « k-groupe », la présence d'au moins L valeurs d'attributs sensibles. De manière générale, les principaux algorithmes d'anonymisation connus modifient les données par suppression, généralisation ou remplacement des informations personnelles dans les enregistrements individuels. Une altération du contenu informatif des données peut être la conséquence d’une anonymisation excessive. Or, il est important que les données anonymisées restent des données de qualité qui conservent un maximum de contenu informatif. C’est à cette condition que les données anonymisées gardent une utilité pour l’extraction de connaissances par l’analyse et le rapprochement avec d’autres données. Le choix de l’algorithme d’anonymisation et l’ajustement des paramètres de fonctionnement de celui-ci sont importants pour concilier à la fois l’obligation de respect de la vie privée et la nécessité de préserver l’utilité des données. Dans l’état de la technique, il n’est pas connu d’algorithme d’anonymisation unique qui s’adapte à tous les contextes et qui donne le meilleur résultat à chaque fois. Plusieurs algorithmes d'anonymisation existent avec des degrés de fiabilité et des contextes d’applicabilité variables. Le contexte d’applicabilité des algorithmes d’anonymisation est caractérisé, entre autres, par le type de données à anonymiser et par l’usage souhaité des données anonymisées. Le degré de fiabilité de l’algorithme d'anonymisation est en lien direct avec le risque de ré-identification des données anonymisées. Ce risque englobe le risque d’individualisation, c’est-à-dire, la possibilité d’isoler un individu, le risque de corrélation, c’est-à-dire, la possibilité de relier des ensembles de données distincts concernant un même individu, et le risque d’inférence, c’est-à-dire, la possibilité de déduction d’information sur un individu. Cependant, face à l’évolution des technologies de l’information qui rendent possible le lien entre des données de différentes sources, il est quasiment impossible de garantir une anonymisation qui offrirait un risque de ré-identification nul. Différentes méthodes d’évaluation du risque de ré-identification d’un ensemble de données ayant subi un traitement d’anonymisation, dites aussi « métriques » ci-après, ont été proposées et procurent des évaluations quantitatives de ce risque. Certaines de ces métriques font appel à une méthode dite de couplage d’enregistrements, ou « record-linkage » en anglais, qui est décrite par Robinson-Cox J.F. dans l’article « A record-linkage approach to imputation of missing data : Analyzing tag retention in a tag-recapture experiment », Journal of Agricultural, Biological, and Environmental Statistics 3(1), 1998, pp. 48–61. Cette méthode, qui consiste à comparer les individus d’un ensemble de données ayant fait l’objet d’un traitement d’anonymisation à un ensemble de données d’origine, fut initialement développée pour améliorer la qualité des données en reliant dans des fichiers distincts des enregistrements relatifs à la même personne. Elle permet en outre d’évaluer la robustesse d’un traitement d’anonymisation face une tentative de ré-identification dans laquelle l’attaquant serait en possession de l’ensemble de données anonymisées et de données originales d’un ou plusieurs individus dont il cherche à prouver l’appartenance à la cohorte anonymisée. Les méthodes de couplage déterministes, traitées par Gill L. dans l’article « Methods for Automatic Record Matching and Linking and Their Use in National Statistics », National Statistics Methodology Series no. 25, 2001, London : Office for National Statistics, supposent l'existence d'un ensemble de variables communes dans les fichiers à relier. Le problème majeur d'une telle hypothèse est qu'une procédure d'appariement exacte des valeurs prises par les variables communes aux individus n’est pas toujours possible, ou suffisante, pour établir un lien entre les enregistrements. Cette problématique est abordée par Winkler W.E. dans l’article « Matching and record linkage », Cox B.G. (Ed.), Business Survey Methods, Wiley, New York, 1995, pp. 355-384. Dans la réalité, il existe entre les variables communes à deux enregistrements appariés une multitude de petites ou grandes différences provenant de plusieurs facteurs qui empêchent une correspondance parfaite des valeurs de ces variables. Pour pallier au problème susmentionné, des méthodes non déterministes ont été développées et permettent d’établir un lien entre deux enregistrements, avec un appariement qui peut être probabiliste ou basé sur une distance entre les individus. L’appariement probabiliste permet d’établir des probabilités de lien entre des enregistrements. Deux enregistrements sont considérés comme liés lorsque la probabilité de lien entre eux dépasse un certain seuil. L’appariement probabiliste est décrit par Fellegi I.P. et al., Jaro M.A., et Winkler W.E. dans leurs articles respectifs « A theory of record linkage », Journal of the American Statistical Association 64, 1969, pp. 1183–1210, « Advances in record-linkage methodology as applied to matching the 1985 Census of Tampa, Florida », Journal of the American Statistical Association 84, 1989, pp. 414–420, et « Advanced methods for record linkage », Proceedings of the American Statistical Association Section on Survey Research Methods, 1995, pp. 467–472. L’appariement basé sur la distance est décrit par Pagliuca D. et al. dans la publication « Some Results of Individual Ranking Method on the System of Enterprise Accounts Annual Survey, Esprit SDC Project», Deliverable MI-3/D2, 1999. Dans cette approche, des distances sont établies entre les individus et chaque individu se voit associé l’enregistrement le plus proche ou le deuxième enregistrement le plus proche, et est dit respectivement « linked to nearest » ou « linked to 2nd nearest », en anglais. L’article « Disclosure risk assessment via record linkage by a maximum-knowledge attacker », présenté par Josep Domingo-Ferrer, 13th Annual Conference on Privacy, Security and Trust (PST), 2015, concerne l’évaluation du risque de divulgation via le couplage de dossiers par un attaquant ayant une connaissance maximale. Des comparaisons de distributions de distances de couplage d’un ensemble de données d’origine et d’un ensemble de données anonymisées sont décrites. Il est souligné l’intérêt d’une distance minimale pour obtenir un niveau de protection acceptable. Le risque de divulgation dans des ensembles de données anonymisées lorsqu’un attaquant bénéficie d’information externe ou d’une connaissance générale est traité de manière générale dans l’article « Assessing Disclosure Risk in Anonymized Datasets », Alexei Kounine et al., FloCon 2008 Conference. La présente invention a pour objectif de fournir un nouveau procédé d’évaluation du risque de ré-identification de données anonymisées, offrant plusieurs modes de réalisation pour une applicabilité accrue à différents contextes. Selon un premier aspect, l’invention concerne un procédé d’évaluation d’un risque de ré-identification de données anonymisées, le procédé fournissant un premier taux de protection représentatif du risque de ré-identification dans le cas d’une attaque de recherche de correspondance basée sur une distance, le procédé comprenant les étapes de a) lier un ensemble de données d’origine comprenant une pluralité d’individus d’origine à un ensemble de données anonymisées comprenant une pluralité d’individus anonymes, les individus anonymes étant produits par un processus d’anonymisation des individus d’origine ; b) transformer les individus d’origine et les individus anonymes dans un espace euclidien, les individus d’origine et individus anonymes étant représentés par des coordonnées dans l’espace euclidien ; c) identifier pour chaque dit individu d’origine un ou plusieurs individus anonymes les plus proches sur la base d'une distance mathématique, par une méthode dite « k-NN » ; et d) calculer le premier taux de protection sur la base des résultats obtenus à l’étape c). Selon une caractéristique particulière du procédé, la distance mathématique précitée est une distance euclidienne. Selon une autre caractéristique particulière du procédé, la transformation de l’étape b) est réalisée par une méthode factorielle et/ou à l’aide d’un réseau de neurones artificiels dit « auto-encodeur ». Selon encore une autre caractéristique particulière du procédé, la méthode factorielle utilisée à l’étape b) est une méthode dite « Analyse en Composantes Principales » lorsque les individus comprennent des variables de type continu, une méthode dite « Analyse des Correspondances Multiples » lorsque les individus comprennent des variables de type qualitatif ou une méthode dite « Analyse Factorielle de Données Mixtes » lorsque les individus comprennent des variables de type mixte « continu/qualitatif ». Selon un premier mode de réalisation particulier du procédé, à l’étape d), le premier taux de protection est calculé comme étant un pourcentage de cas où un individu anonyme le plus proche identifié à l’étape c) pour un individu d’origine n’est pas un individu anonyme valide correspondant à l’individu d’origine. Selon un deuxième mode de réalisation particulier du procédé, à l’étape d), le premier taux de protection est calculé comme étant un nombre moyen d’individus anonymes les plus proches d’un individu d’origine qui ne sont pas un individu anonyme valide correspondant audit individu d’origine, les individus anonymes les plus proches étant ceux identifiés à l’étape c) et ayant une distance mathématique avec l’individu d’origine inférieure à la distance mathématique entre l’individu d’origine et l’individu anonyme valide. Selon un autre aspect, l’invention concerne aussi un procédé d’évaluation d’un risque de ré-identification de données anonymisées, le procédé fournissant un deuxième taux de protection représentatif du risque de ré-identification dans le cas d’une attaque de recherche de correspondance comportant une recherche déterministe basée sur au moins une source externe d’information et une recherche de correspondance basée sur une distance, le procédé comprenant les étapes de E) regrouper un ensemble de données d’origine comprenant une pluralité d’individus d’origine et un ensemble de données anonymisées comprenant une pluralité d’individus anonymes, les individus anonymes étant produits par un processus d’anonymisation des individus d’origine ; F) identifier dans ledit ensemble de données d’origine des individus d’origine à risque comme étant des individus d’origine ayant au moins une valeur remarquable, ou unique, dans au moins une variable considérée, ou au moins une combinaison de valeurs remarquable, ou unique, dans un ensemble de variables considérées, dans une recherche de correspondance déterministe et auxquels ne peuvent être associé qu’un seul individu anonyme approchant respectif par la recherche de correspondance déterministe; G) évaluer par la mise en œuvre du procédé selon le premier mode de réalisation particulier décrit brièvement ci-dessus un premier taux de protection pour l’ensemble de données d’origine et l’ensemble de données anonymisées ; H) calculer le deuxième taux de protection en fonction d’un nombre total d’individus d’origine dans l’ensemble de données d’origine, d’un nombre d’individus d’origine à risque identifiés à l’étape B) et du premier taux de protection obtenu à l’étape G). Selon une caractéristique particulière du procédé, dans l’étape F), un individu anonyme est considéré comme étant un individu anonyme approchant d’un individu d’origine à risque considéré lorsque 1) l’individu anonyme a une variable de même modalité qu’une variable considérée de l’individu d’origine à risque dans la recherche de correspondance dans le cas où la variable est une variable qualitative, ou lorsque 2) l’individu anonyme a une valeur pour la variable considérée égale à un intervalle de tolérance près à la valeur de la même variable considérée de l’individu d’origine à risque dans le cas où la variable considérée dans la recherche de correspondance déterministe est une variable continue. L’invention concerne aussi un système informatique d’anonymisation de données comportant un dispositif de stockage de données stockant des instructions de programme pour la mise en œuvre du procédé tel que décrit brièvement ci-dessus. L’invention concerne aussi un produit programme d’ordinateur comportant un support dans lequel sont enregistrées des instructions de programme lisibles par un processeur pour la mise en œuvre du procédé tel que décrit brièvement ci-dessus. D’autres avantages et caractéristiques de la présente invention apparaîtront plus clairement à la lecture de la description ci-dessous de plusieurs modes de réalisation particuliers en référence aux dessins annexés, dans lesquels : La Fig.1 est un logigramme montrant des grandes étapes comprises dans le procédé selon l’invention pour l’évaluation du risque de ré-identification de données anonymisées. La Fig.2 est un logigramme montrant un premier mode de réalisation du procédé selon l’invention pour l’évaluation du risque de ré-identification de données anonymisées. La Fig.3 représente un diagramme illustratif relatif au premier mode de réalisation du procédé selon l’invention de la Fig.3. La Fig.4 est un logigramme montrant un deuxième mode de réalisation du procédé selon l’invention. La Fig.5 représente un diagramme illustratif relatif au deuxième mode de réalisation du procédé selon l’invention de la Fig.4. La Fig.6 est un logigramme montrant un troisième mode de réalisation du procédé selon l’invention. La Fig.7 montre un exemple d’une architecture générale d’un système informatique d’anonymisation de données dans lequel est mis en œuvre le procédé selon l’invention. Dans la description qui suit, à des fins d'explication et non de limitation, des détails spécifiques sont fournis afin de permettre une compréhension de la technologie décrite. Il sera évident pour l'homme du métier que d'autres modes ou formes de réalisation peuvent être mis en pratique en dehors des détails spécifiques décrits ci-dessous. Dans d'autres cas, les descriptions détaillées de méthodes, techniques, etc., bien connus sont omises afin de ne pas complexifier la description avec des détails inutiles. L’évaluation du risque de ré-identification nécessite de comparer un ensemble de données d’origine formé d’individus dits d’origine à un ensemble de données anonymisées formés d’individus dits anonymes. Les individus sont typiquement des enregistrements de données. Chaque individu anonyme de l’ensemble de données anonymisées représente une version anonymisée d’un individu d’origine correspondant. Une paire constituée par un individu d’origine et un individu anonyme correspondant est désignée « paire origine / anonyme ». Le risque de ré-identification est le risque qu’un attaquant réussisse à lier un individu d’origine à son enregistrement anonymisé, autrement dit l’individu anonyme correspondant, formant ainsi une paire origine / anonyme valide. Le procédé selon l’invention pour l’évaluation du risque de ré-identification de données procure plusieurs métriques, basées sur une approche individu centrique, qui permettent de quantifier le risque de ré-identification d’une donnée personnelle dans différents contextes, notamment, lors d’une attaque de recherche de correspondance basée sur la distance ou lors d’une attaque de recherche de correspondance comportant une recherche déterministe basée sur des sources externes d’information et une recherche basée sur la distance. En référence à la Fig.1, il est décrit ci-dessous de manière générale quatre grandes étapes S1 à S4 comprises dans le procédé selon l’invention. Ces quatre étapes S1 à S4 sont mises en œuvre dans le procédé selon l’invention notamment dans le contexte d’une attaque de recherche de correspondance basée sur la distance. La première étape S1 est une étape de jonction des données. Dans l’étape S1, un ensemble de données d’origine EDO comprenant une pluralité d’individus d’origine IO est lié à un ensemble de données anonymisées EDA comprenant une pluralité d’individus anonymes IA. Les données anonymisées EDA sont celles fournies par un processus d’anonymisation ayant traité les données d’origine EDO et correspondant à celles-ci. La deuxième étape S2 est une étape de transformation des individus IO et IA dans un espace euclidien. Conformément à l’invention, différentes méthodes de transformation pourront être utilisées. Typiquement, mais pas exclusivement, une méthode factorielle ou un réseau de neurones artificiels dit « auto-encodeur », ou « autoencoder » en anglais, pourra être utilisé pour convertir les individus IO et IA sous forme de coordonnées dans un espace euclidien. Différentes méthodes factorielles pourront être utilisées en fonction du type des données. Ainsi, l’Analyse en Composantes Principales dite « ACP », ou « PCA » en anglais pour « Principal Component Analysis”, sera utilisée typiquement lorsque les variables sont continues. L’Analyse des Correspondances Multiples dite « ACM », ou « MCA » en anglais pour « Multiple Correspondance Analysis », sera utilisée typiquement si les variables sont qualitatives. L’« Analyse Factorielle de Données Mixtes » dite « AFDM », ou « FAMD » en anglais pour « Factor Analysis of Mixed Data », sera utilisée typiquement si les variables sont mixtes, c’est-à-dire, de type continu et de type qualitatif. Dans l’exemple de réalisation traité ici, une méthode factorielle est utilisée à l’étape S2. Dans cette étape S2, des axes de variance signifiants sont identifiés dans les ensembles de données par une analyse de données multivariée. Ces axes de variance signifiants déterminent les axes de l’espace euclidien sur lesquels sont projetés les individus IO et IA. La transformation des individus IO et IA dans l’espace euclidien rend possible des calculs de distance mathématique entre les individus, à partir de leurs coordonnées. Le procédé de l’invention prévoit une utilisation privilégiée d’une distance euclidienne en tant que distance mathématique. Cependant, on notera que l’utilisation de différentes autres distances mathématiques, telles qu’une distance de Manhattan, une distance de Mahalanobis et autres, est incluse dans la vision de la présente invention. La troisième étape S3 est une étape de recherche de correspondance entre les individus d’origine IO et les individus anonymes IA. La méthode des « k plus proches voisins » dite « k-NN » (de « k-Nearest Neighbors » en anglais) est ici utilisée pour identifier pour chaque individu d’origine un ou plusieurs individus anonymes les plus proches sur la base d'une distance mathématique. La quatrième étape S4 est une étape de calcul d’un taux de protection txP des données contre la ré-identification. Le calcul du taux de protection txP est réalisé sur la base des résultats de mesure de distance obtenus lors de l’étape précédente S3. Le risque de ré-identification sera d’autant plus faible que le taux de protection txP sera élevé. En référence plus particulièrement aux Figs.2 et 3, il est maintenant décrit un premier mode de réalisation particulier MR1 du procédé de l’invention, ayant une applicabilité intéressante dans le contexte d’une attaque de recherche de correspondance basée sur la distance. Comme visible à la Fig.2, ce premier mode de réalisation MR1 comprend quatre étapes S1-1 à S1-4. La première étape S1-1 effectue un traitement de jonction des données, analogue à celui de l’étape S1 du procédé selon l’invention décrite plus haut, et produit un ensemble de données d’origine EDO comprenant une pluralité d’individus d’origine IO qui est lié à un ensemble de données anonymisées EDA comprenant une pluralité d’individus anonymes IA. La deuxième étape S1-2 effectue un traitement de transformation des individus IO et IA dans un espace euclidien, analogue à celui de l’étape S2 du procédé selon l’invention décrite plus haut. L’étape S1-3, de manière analogue à l’étape S3 de la Fig.1, fait appel à la méthode k-NN pour la mise en correspondance des individus d’origine et des individus anonymes. Dans ce mode de réalisation MR1, la méthode k-NN est utilisée pour identifier l’individu anonyme le plus proche pour chaque individu d’origine, avec une distance mathématique telle qu’une distance euclidienne. L’étape S1-4, de manière analogue à l’étape S3 de la Fig.1, calcule un taux de protection des données contre la ré-identification, désigné ici txP1. Dans cette étape S1-4, le taux de protection txP1 est représenté par le pourcentage de cas où un individu d’origine IO et l’individu anonyme IA le plus proche correspondant, identifié à l’étape S1-3, ne forment pas une paire origine / anonyme valide. Le taux de protection txP1 reflète donc ici un taux d’échec d’un attaquant employant une recherche de correspondance basée sur la distance pour ré-identifier des individus. Le risque de ré-identification sera d’autant plus faible que le taux de protection txP1 sera élevé. La Fig.3 illustre un exemple d’application du procédé de l’invention, selon le premier mode de réalisation MR1 décrit ci-dessus. Les individus d’origine IO et les individus anonymes IA sont représentés ici respectivement par des cercles noirs et des cercles blancs, dans un espace euclidien ayant des axes de coordonnées A1 et A2. On considère ici l’exemple d’un attaquant qui est en possession d'un ensemble de données contenant des données anonymes (individus IA) de 100 personnes dont fait partie une personne considérée i. L’attaquant est également en possession de la donnée originale (individu IO i ) de la personne considérée i. L’attaquant tente de prouver que la donnée originale (individu IO i ) de la personne considérée i fait partie de la cohorte anonymisée. Afin de ré-identifier la paire origine / anonyme valide (IO i , IA i ), l’attaquant doit procéder à une mise en correspondance des individus et utilise pour cela une distance mathématique entre ceux-ci, telle qu’une distance euclidienne. L’attaquant identifie l’individu anonyme IA k comme étant l’individu anonyme le plus proche de l’individu d'origine IO i , comme représenté schématiquement à la Fig.3, et associe l’individu anonyme IA k à l’individu d’origine IO i . La Fig.3 montre le cas d’un échec de l’attaquant qui n’a pas réussi à identifier la paire origine / anonyme valide (IO i , IA i ) avec une méthode basée sur la distance. Ainsi, par exemple, si l’attaquant échoue pour 95 personnes sur les 100 personnes considérées, on en déduit un taux de protection txP1 égal à 95 %. En référence plus particulièrement aux Figs.4 et 5, il est maintenant décrit un deuxième mode de réalisation particulier MR2 du procédé de l’invention, ayant une applicabilité intéressante dans le contexte d’une attaque de recherche de correspondance basée sur la distance. Ce deuxième mode de réalisation particulier MR2 est construit avec une approche résolument différente par rapport aux méthodes connues de l’état de l’art, en établissant un taux de protection qui est basé sur l’évaluation d’une densité de présence d’individus anonymes dans l’environnement immédiat des individus d’origine. Comme visible à la Fig.4, ce deuxième mode de réalisation MR2 comprend cinq étapes S2-1 à S2-5. La première étape S2-1 effectue un traitement de jonction des données, analogue à celui de l’étape S1 du procédé selon l’invention décrite plus haut, et produit un ensemble de données d’origine EDO comprenant une pluralité d’individus d’origine IO qui est lié à un ensemble de données anonymisées EDA comprenant une pluralité d’individus anonymes IA. La deuxième étape S2-2 effectue un traitement de transformation des individus IO et IA dans un espace euclidien, analogue à celui de l’étape S2 du procédé selon l’invention décrite plus haut. La troisième étape S2-3 est une étape de calcul de distance mathématique, telle qu’une distance euclidienne. Dans cette étape S2-3, comme illustré à la Fig.5 dans laquelle les individus d’origine IO et les individus anonyme IA sont représentés respectivement par des cercles noirs et des cercles blancs, dans un espace euclidien ayant des axes A1 et A2, il est calculé pour chaque individu d’origine IO i la distance mathématique d ii qui le sépare de l’individu anonyme IA i avec qui il forme une paire origine / anonyme valide (IO i , IA i ). La quatrième étape S2-4 est une étape de comptage, pour chaque individu d’origine IO i , du nombre N j des individus anonymes non valides IA j séparés de l’individu d’origine IO i par une distance mathématique d ij qui est inférieure à la distance d ii calculée à l’étape S2-3. Une méthode k-NN basée sur une distance mathématique, telle qu’une distance euclidienne, est utilisée ici pour réaliser cette étape S2-4. Dans cette étape S2-4, comme illustré à la Fig.5, il est donc compté le nombre N j des individus anonymes non valides IA j présents dans la zone contenue dans le cercle de rayon d ii centré sur l’individu d’origine IO i . L’individu d’origine IO i est d’autant mieux protégé contre une ré-identification que le nombre N j est élevé. En effet, les N j individus anonymes non valides IA j étant plus proches, en termes de distance mathématique, de l’individu d’origine IO i que l’individu anonyme valide IA i , une attaque basée sur la distance sera fondée à sélectionner prioritairement l’un des N j individus anonymes non valides IA j comme étant l’individu anonyme correspondant. Le nombre N j représente le nombre de correspondances possibles pour l’attaquant avant de sélectionner l’individu anonyme valide IA i . La cinquième étape S2-5 est une étape de calcul du taux de protection des données contre la ré-identification, désigné ici txP2, pour l’ensemble de données considéré. Le taux de protection txP2 est ici calculé comme étant un nombre médian Nm d’individus anonymes non valides IA j présents autour d’un individu d’origine dans l’ensemble de données considéré. A titre d’exemple, on considère ici le cas d’un attaquant qui est en possession d'un ensemble de données contenant des données anonymes (individus IA) de 100 personnes dont fait partie une personne considérée i. L’attaquant est également en possession de la donnée originale (individu IO i ) de la personne considérée i. L’attaquant tente de prouver que la donnée originale (individu IO i ) de la personne considérée i fait partie de la cohorte anonymisée. Afin de ré-identifier la paire origine / anonyme valide (IO i , IA i ), l’attaquant doit procéder à une mise en correspondance des individus et utilise pour cela une distance mathématique entre ceux-ci, telle qu’une distance euclidienne. Si, par exemple, le taux de protection des données est de txP2=7 pour cet ensemble de données, cela signifie que l’attaquant se trouvera alors dans une situation, comme réprésentée à la Fig.5, dans laquelle il aura en moyenne N j =7 individus anonymes non valides IA j plus proches que l’individu anonyme valide IA i et potentiellement sélectionnables. Ainsi, plus l’environnement de l’individu d’origine IO i est dense, avec de nombreux individus anonymes non valides IA j , et plus cet individu IO i sera difficile à ré-identifier. En référence plus particulièrement à la Fig.6, il est maintenant décrit un troisième mode de réalisation particulier MR3 du procédé de l’invention, ayant une applicabilité intéressante dans le contexte d’une attaque à cheval entre une recherche de correspondance déterministe basée sur une ou plusieurs sources externes d’information et une recherche de correspondance basée sur la distance. Comme visible à la Fig.6, ce troisième mode de réalisation MR3 comprend dix étapes S3-1 à S3-10. La première étape S3-1 regroupe un ensemble de données d’origine EDO comprenant une pluralité d’individus d’origine IO et un ensemble de données anonymisées EDA comprenant une pluralité d’individus anonymes IA. La deuxième étape S3-2 est une étape d’identification d’individus d’origine à risque, désignés ci-après IO r , dans l’ensemble EDO considéré qui comprend M individus d’origine IO. Dans cette étape S3-2, il est recherché les individus d’origine IO ayant au moins une valeur remarquable, ou unique, dans au moins une variable considérée ou au moins une combinaison de valeurs remarquable, ou unique, dans un ensemble de valeurs considérées, dans la recherche de correspondance déterministe. Ces individus d’origine IO ayant une valeur ou une combinaison de valeurs remarquable, ou unique, sont ceux identifiés comme étant les individus d’origine IO r exposés à un risque de ré-identification. On considère ici que R individus d’origine à risque IO r sont identifiés parmi les M individus d’origine IO considérés. La troisième étape S3-3 est une étape d’identification d’individus anonymes proches des individus d’origine à risque IO r identifiés à l’étape S3-2, désignés ci-après IA p . Dans cette étape S3-3, des individus anonymes proches IA p sont recherchés pour chacun des R individus d’origine à risque IO r . Lorsque les variables prises en compte dans la recherche de correspondance déterministe sont des variables qualitatives, les individus anonymes IA qui sont retenus comme étant des individus anonymes approchants IA p sont ceux ayant les mêmes modalités que l’individu d’origine à risque IO r considéré. Lorsque les variables prises en compte dans la recherche de correspondance déterministe sont des variables continues, les individus anonymes IA qui sont retenus comme étant des individus anonymes approchants IA p sont ceux dont les variables ont des valeurs équivalentes à celles des variables des individus d’origines, c’est-à-dire, égales à un intervalle de tolérance près. Ainsi, l’intervalle de tolérance pourra être prédéfini à plus ou moins (+/-) 2,5% par exemple de la variance de la variable considérée. La quatrième étape S3-4 est une étape d’identification, en fonction des résultats de l’étape S3-3, des individus potentiellement les plus exposés parmi les individus d’origine à risque IO r identifiés à l’étape S3-2. Dans cette étape S3-4, seuls les individus d’origine IO r ayant un individu anonyme approchant unique IA p sont retenus comme étant potentiellement les plus exposés à des risques de ré-identification. Ces individus d’origine IO r retenus sont désignés ci-après IO rs . On considère ici que RS individus d’origine à risque IO rs ont été identifiés. Les RS individus anonymes approchants uniques correspondant aux RS individus d’origine IO rs sont désignés IA prs . Les cinquième à huitième étapes suivantes S3-5 à S3-8 effectuent des traitements analogues aux étapes S1-1 à S1-4 décrites plus haut du procédé selon l’invention, plus précisément, du mode de réalisation MR1 de celui-ci. L’objectif est ici d’évaluer, pour les ensembles EDO et EDA, le taux d’échec d’un attaquant lors d’une attaque de recherche de correspondance basée sur la distance, ce taux d’échec étant donné dans le mode de réalisation MR1 par le taux de protection txP1 (étape S1-4). La cinquième étape S3-5 effectue donc un traitement de jonction des données, analogue à celui de l’étape S1-1 du procédé selon l’invention décrite plus haut, et lie l’ensemble de données d’origine EDO comprenant les individus d’origine IO à l’ensemble de données anonymisées EDA comprenant les individus anonymisés IA. La sixième étape S3-6, de manière analogue à l’étape S1-2 du procédé selon l’invention décrite plus haut, assure la projection des individus IO et IA dans un espace euclidien. La septième étape S3-7, de manière analogue à l’étape S1-3 du procédé selon l’invention décrite plus haut, fait appel à la méthode k-NN pour la mise en correspondance des individus d’origine et des individus anonymes. La méthode k-NN est utilisée pour identifier les individus anonymes IA les plus proches des individus d’origine IO, avec une distance mathématique telle qu’une distance euclidienne. La huitième étape S3-8 calcule le taux d’échec txP1 de manière analogue à l’étape S1-4 du procédé selon l’invention décrite plus haut. La neuvième étape S3-9 est une étape d’évaluation du nombre m de ré-identifications réussies par l’attaquant sur les individus d’origine IO rs , à partir du taux d’échec txP1 obtenu à l’étape S3-8 et le nombre RS individus d’origine IO rs . Pour ces identifications réussies, les individus anonymes valides IA identifiés sont les individus anonymes approchants uniques IA prs (étape S3-4) des individus d’origine IO rs . Le nombre m est donné par l’égalité suivante : m= ((100-txP1)/100)*RS, le taux txP1 étant en pourcentage (%). La dixième étape S3-10 calcule un taux de protection, désigné ci-après txP3, pour l’ensemble de données d’origine considéré EDO. Le taux de protection txP3 est donné ici par l’égalité : txP3=(1-m/M)*100, m étant le nombre de ré-identifications réussies par l’attaquant qui est déterminé à l’étape S3-9 et M étant le nombre d’individus d’origine IO dans l’ensemble EDO. Le taux de protection txP3 correspond donc au pourcentage d’individus IO n’ayant pas été ré-identifiés par l’attaquant dans l’ensemble de données d’origine EDO. A titre d’exemple, on considère ici un ensemble de données anonymisées comprenant M=100 individus et un attaquant voulant ré-identifier des personnes en utilisant des sources externes telles qu’un registre de liste électorale. L’attaquant a par exemple accès à trois variables de l’ensemble de données anonymisées, par exemple, le sexe, l’age et le code postal de domicile. Conformément au procédé, dans le mode de réalisation MR3 décrit ci-dessus, des individus d’origine à risque ayant une valeur ou une combinaison de valeurs, remarquable, ou unique, pour ces trois variables sont d’abord recherchés dans l’ensemble d’individus d’origine. Ainsi, par exemple, R=15 individus à risque sont identifiés parmi les M=100 individus. Pour ces R=15 individus à risque, il est recherché ceux ayant un individu anonyme approchant unique (une même valeur pour les variables catégorielles and +/– 2,5% de la variance pour les variables continues, comme indiqué plus haut). RS=4 individus, par exemple, sont identifiés comme remplissant la condition susmentionnée. Le taux d’échec de l’attaquant lors d’une attaque de recherche de correspondance basée sur la distance est évalué à txP1=50%. Il en découle que parmi les RS=4 individus d’origine ayant un individu anonyme approchant unique, m=((100-txP1)/100)*RS = 2 individus d’origine sont potentiellement ré-identifiables. Le taux de protection txP3 dans cet exemple est donc donné par : txP3=(1-m/M)*100=(1-2/100)*100=98%. Une architecture générale d’un système informatique d’anonymisation de données SAD dans lequel est mis en œuvre le procédé selon l’invention d’évaluation du risque de ré-identification est montrée à titre d’exemple à la Fig.7. Le système SAD est implanté ici dans un système informatique local DSL et comprend deux modules logiciels MAD et MET. Les modules logiciels MAD et MET sont hébergés dans des dispositifs de stockage de données SD, tels que mémoire et/ou disque dur, du système informatique local DSL. Le système informatique local DSL héberge également une base de données d’origine BDO dans laquelle sont stockées des données d’origine DO et une base de données anonymisées BDA dans laquelle sont stockées des données anonymisées DA. Le module logiciel MAD met en œuvre un processus d’anonymisation de données qui traite les données d’origine DO et fournit en sortie les données anonymisées DA. Le module logiciel MET met en œuvre le procédé selon l’invention pour l’évaluation du risque de ré-identification des données. Le module logiciel MET reçoit en entrée des données d’origine DO et des données anonymisées DA et fournit en sortie un taux de protection TP contre le risque de ré-identification. La mise en œuvre du procédé selon l’invention est assurée par l'exécution d'instructions de code du module logiciel MET par un processeur (non représenté) du système informatique local DSL. Le taux de protection TP fourni par le module logiciel MET procure une mesure de la performance du processus d’anonymisation de données mis en œuvre par le module logiciel MAD. Bien entendu, l’invention ne se limite pas aux exemples de réalisation qui ont été décrits ici à titre illustratif. L’homme du métier, selon les applications de l’invention, pourra apporter différentes modifications et variantes entrant dans le champ de protection de l’invention. Procédé d’évaluation d’un risque de ré-identification de données anonymisées, ledit procédé fournissant un premier taux de protection (txP) représentatif dudit risque de ré-identification dans le cas d’une attaque de recherche de correspondance basée sur une distance, ledit procédé comprenant les étapes de a) lier un ensemble de données d’origine (EDO) comprenant une pluralité d’individus d’origine (IO) à un ensemble de données anonymisées (EDA) comprenant une pluralité d’individus anonymes (IA), lesdits individus anonymes (IA) étant produits par un processus d’anonymisation desdits individus d’origine (IO); b) transformer (PCA, MCA, FAMD) lesdits individus d’origine (IO) et lesdits individus anonymes (IA) dans un espace euclidien (A1, A2), lesdits individus d’origine (IO) et individus anonymes (IA) étant représentés par des coordonnées dans ledit espace euclidien (A1, A2) ; c) identifier pour chaque dit individu d’origine (IO) un ou plusieurs dits individus anonymes (IA) les plus proches sur la base d'une distance mathématique, par une méthode dite « k-NN » ; et d) calculer ledit premier taux de protection (txP) sur la base des résultats obtenus à l’étape c). Procédé selon la revendication 1, caractérisé en ce que ladite distance mathématique est une distance euclidienne. Procédé selon la revendication 1 ou 2, caractérisé en ce que la transformation de l’étape b) est réalisée par une méthode factorielle (PCA, MCA, FAMD) et/ou à l’aide d’un réseau de neurones artificiels dit « auto-encodeur ». Procédé selon la revendication 3, caractérisé en ce que ladite méthode factorielle est une méthode dite « Analyse en Composantes Principales » (PCA) lorsque lesdits individus (IO, IA) comprennent des variables de type continu, une méthode dite « Analyse des Correspondances Multiples » (MCA) lorsque lesdits individus (IO, IA) comprennent des variables de type qualitatif, ou une méthode dite « Analyse Factorielle de Données Mixtes » (FAMD) lorsque lesdits individus (IO, IA) comprennent des variables de type mixte « continu/qualitatif ». Procédé selon l’une quelconque des revendications 1 à 4, caractérisé en ce que, à l’étape d), ledit premier taux de protection (txP, txP1) est calculé comme étant un pourcentage de cas où un dit individu anonyme (IA k ) le plus proche identifié à l’étape c) pour un dit individu d’origine (IO i ) n’est pas un individu anonyme valide (IA i ) correspondant audit individu d’origine (IO i ). Procédé selon l’une quelconque des revendications 1 à 4, caractérisé en ce que, à l’étape d), ledit premier taux de protection (txP, txP2) est calculé comme étant un nombre moyen (Nm) de dits individus anonymes (IA j ) les plus proches d’un dit individu d’origine (IO i ) qui ne sont pas un individu anonyme valide (IA i ) correspondant audit individu d’origine (IO i ), lesdits individus anonymes (IA j ) les plus proches étant ceux identifiés à l’étape c) et ayant une distance mathématique (d ij ) avec ledit individu d’origine (IO i ) inférieure à la distance mathématique (d ii ) entre ledit individu d’origine (IO i ) et ledit individu anonyme valide (IA i ). Procédé d’évaluation d’un risque de ré-identification de données anonymisées, ledit procédé fournissant un deuxième taux de protection (txP3) représentatif dudit risque de ré-identification dans le cas d’une attaque de recherche de correspondance comportant une recherche déterministe basée sur au moins une source externe d’information et une recherche de correspondance basée sur une distance, ledit procédé comprenant les étapes de E) regrouper un ensemble de données d’origine (EDO) comprenant une pluralité d’individus d’origine (IO) et un ensemble de données anonymisées (EDA) comprenant une pluralité d’individus anonymes (IA), lesdits individus anonymes (IA) étant produits par un processus d’anonymisation desdits individus d’origine (IO) ; F) identifier dans ledit ensemble de données d’origine (EDO) des individus d’origine à risque (IO rs ) comme étant des individus d’origine (IO) ayant au moins une valeur remarquable, ou unique, dans au moins une variable considérée, ou au moins une combinaison de valeurs remarquable, ou unique, dans un ensemble de variables considérées, dans une recherche de correspondance déterministe et auxquels ne peuvent être associé qu’un seul individu anonyme approchant respectif (IA prs ) par ladite recherche de correspondance déterministe ; G) évaluer par la mise en œuvre du procédé selon la revendication 5 un dit premier taux de protection (txP1) pour lesdits ensemble de données d’origine (EDO) et ensemble de données anonymisées (EDA) ; H) calculer ledit deuxième taux de protection (txP3) en fonction d’un nombre total (M) d’individus d’origine (IO) dans ledit ensemble de données d’origine (EDO), d’un nombre (RS) d’individus d’origine à risque (IO rs ) identifiés à l’étape B) et dudit premier taux de protection (txP1) obtenu à l’étape G). Procédé selon la revendication 7, caractérisé en ce que, dans l’étape F), un individu anonyme (IA) est considéré comme étant un dit individu anonyme approchant (IA p , IA prs ) d’un dit individu d’origine à risque (IO rs ) considéré lorsque 1) ledit individu anonyme (IA) a une variable de même modalité qu’une variable considérée dudit individu d’origine à risque (IO rs ) dans ladite recherche de correspondance dans le cas où ladite variable est une variable qualitative, ou lorsque 2) ledit individu anonyme a une valeur pour ladite variable considérée égale à un intervalle de tolérance près à la valeur de ladite même variable considérée dudit individu d’origine à risque (IO rs ) dans le cas où ladite variable considérée dans ladite recherche de correspondance déterministe est une variable continue. Système informatique d’anonymisation de données (SAD) comportant un dispositif de stockage de données (SD) stockant des instructions de programme (MET) pour la mise en œuvre du procédé selon l’une quelconque des revendications 1 à 8. Produit programme d’ordinateur comportant un support dans lequel sont enregistrées des instructions de programme (MET) lisibles par un processeur pour la mise en œuvre du procédé selon l’une quelconque des revendications 1 à 8.