Brevet FR3133249A1 — publié le 20230908

Dispositif de protection de données personnelle s La présente invention concerne un dispositif de protection de données personnelles (1) comprenant : un système de stockage de données (70) tel qu’un nuage informatique, agencé pour stocker une pluralité de clés d’identification, au moins l’une des clés étant formée par un ensemble de données d’identification parcellaires basées sur des caractéristiques corporelles et/ou physiologiques d’une personne, ces caractéristiques corporelles et/ou physiologiques pouvant notamment comporter un signe vital tel que le rythme cardiaque ou le rythme respiratoire de la personne, chaque clé d’identification étant associée à un ensemble de données personnelles d’une personne stockées dans ce système de stockage, les clés et les données personnelles étant en soi anonymes. Figure pour l’abrégé : Fig. 1 Dispositif de protection de données personnelles La présente invention se rapporte à un dispositif de protection de données personnelles. La détection des malades potentiels du COVID 19 est aujourd'hui réalisée par la prise de température et/ou de mesures complémentaires. Ces mesures et le stockage de données qui en sont issues peuvent être réalisés seulement sous réserve du consentement donné par la personne. Il est indispensable de converser ces informations de consentement qui sont utiles en cas, par exemple, de contestation par la personne. Il est également indispensable de conserver ces informations de consentement, ainsi que les données personnelles issues des mesures, de manière sûre, comme ces données sont relatives à la santé. L’invention permet notamment de répondre à ces besoins. L’invention a ainsi pour objet un dispositif de protection de données personnelles comprenant : un système de stockage de données tel qu’un nuage informatique (encore appelé Cloud en anglais), agencé pour stocker une pluralité de clés d’identification, au moins l’une des clés étant formée par un ensemble de données d’identification parcellaires basées sur des caractéristiques corporelles et/ou physiologiques d’une personne, ces caractéristiques corporelles et/ou physiologiques pouvant notamment comporter un signe vital tel que le rythme cardiaque ou le rythme respiratoire de la personne, chaque clé d’identification étant associée à un ensemble de données personnelles d’une personne stockées dans ce système de stockage, les clés et les données personnelles étant en soi anonymes, un système de mesure de caractéristiques corporelles et/ou physiologiques d’une personne, une unité de traitement de données agencée pour: obtenir, à l’aide du système de mesure, des données mesurées de caractéristiques corporelles et/ou physiologiques sur une personne, vérifier si ces données mesurées et éventuellement des données supplémentaires requises correspondent à l’ensemble de données d’identification parcellaires de l’une des clés d’identification, en cas de correspondance avec l’une des clés d’identification, autoriser l’accès aux données personnelles associées à cette clé d’identification. On appelle « données personnelles » des données relatives à une personne telles que, par exemple, une information sur un consentement que la personne a donné en vue de procéder à des mesures de signes vitaux. Le dispositif de protection selon l’invention permet de stocker des données personnelles de manière anonyme, à savoir même un accès à ces données seules ne permet pas d’associer ces données personnelles à une personne identifiée. L’association de ces données personnelles à une personne doit passer par des mesures de caractéristiques corporelles et/ou physiologiques sur la personne et une vérification de la correspondance avec une clé d’identification. Les données d’identification sont dites parcellaires dans le sens où ces données prises individuellement sont insuffisantes pour réaliser la correspondance entre la clé d’identification et la personne. Il est nécessaire d’utiliser toutes les données d’identification pour réaliser cette correspondance. Chaque donnée d’identification parcellaire est par exemple commune à un grand nombre de clés d’identification stockées dans le système de stockage, ce qui ne permet pas de faire une correspondance entre cette donnée d’identification parcellaire et l’une des clés. Par exemple, le nombre de clé stockées peut être supérieur à 500 clés, ou 1 000 clés, voire 10 000 ou 100 000 clés. Chaque donnée d’identification parcellaire, par exemple une valeur de rythme cardiaque ou une couleur de cheveux, peut être commun à au moins 5% du nombre total de clés, ce qui peut représenter, dans certains cas, des centaines ou des milliers de clés. Dans l’invention, la clé d’identification est elle-même anonyme. Les clés et les données personnelles sont en soi anonymes dans le sens où elles ne contiennent aucun élément permettant d’identifier directement la personne qui est liée à cette clé et à ces données personnelles. L’invention propose ainsi un niveau élevé de protection des données personnelles, dans la mesure où il est utilisé une pluralité de données d’identification parcellaires (ce qui nécessite donc l’utilisation d’une pluralité de données et non une seule) et la correspondance avec une clé d’identification nécessite la présence physique de la personne devant le système de mesure. La présence physique de la personne devant le système de mesure permet d’effectuer des mesures thermiques et/ou sonores et/ou de caractéristiques d’apparence physique sur la personne. En son absence, il n’est pas possible d’effectuer ces mesures et de dire à quelle personne appartiennent telles ou telles données personnelles stockées dans le dispositif de protection de données. L’invention permet de relier des données personnelles à des personnes sans avoir à stocker des données hautement sensibles telles que des noms, numéros de sécurité sociale ou des photos de visage, données qui pourraient être volées sur le système de stockage. Grâce à l’invention, même si un pirate informatique accède au système de stockage, ce pirate n’y trouverait aucune donnée sensible telle des noms, numéros de sécurité sociale ou photos de visage, ou la possibilité d’associer des données personnelles à une personne donnée. L’invention permet d’assurer la conservation des informations de consentement de manière anonyme. Cette conservation permet la traçabilité de ces informations de consentement, puisque l‘invention permet de retrouver ces informations au sein de données anonymes, suite à des mesures sur la personne. Par exemple, si une personne conteste le stockage de données au motif qu’elle n’a pas donné son consentement, il est possible de retrouver, ou non, cette information de consentement. Selon l’un des aspects de l’invention, l’ensemble de données d’identification parcellaires qui forme chaque clé d’identification comprend au moins certaines des données personnelles. Autrement dit, les données personnelles peuvent servir à former la clé d’identification. Selon l’un des aspects de l’invention, le système de stockage ne stocke aucune donnée choisie parmi : des noms, des numéros de sécurité sociale, des photos de visage. Selon l’un des aspects de l’invention, le nombre de clé stockées dans le système de stockage est supérieur à 500 clés, ou 1 000 clés, voire 10 000 ou 100 000 clés. Selon l’un des aspects de l’invention, chaque donnée d’identification parcellaire, par exemple une valeur de rythme cardiaque ou une couleur de cheveux, peut être commun à au moins 5% ou au moins 10% du nombre total de clés. Selon l’un des aspects de l’invention, chaque clé d’identification est composée d’un nombre de données d’identification parcellaires compris entre 5 et 30, notamment entre 4 et 7 ou entre 7 et 15. Selon l’un des aspects de l’invention, les données d’identification parcellaires sont choisies dans la liste suivante : la taille, le poids, la corpulence, le maintien du corps, la forme du crâne, une gestuelle, l’âge, la couleur des yeux, le phénotype, un parcours du centre de gravité de la personne, un élément de la voix de la personne, un signe vital tel que le rythme respiratoire, le rythme cardiaque, le taux d’oxymétrie. Selon l’un des aspects de l’invention, le système de mesure de caractéristiques corporelles et/ou physiologiques est agencé pour mesurer l’une au moins des caractéristiques corporelles et/ou physiologiques sur une personne avec une faible résolution, par exemple le rythme cardiaque étant mesurée avec une faible résolution aboutissant à un résultat présentant une marge d’erreur prédéterminée relativement élevée. Par exemple, le rythme cardiaque ou battement de cœur peut présenter une résolution inférieure à 10%. Ainsi une valeur de battements de cœur à 50 bpm (50 battements par minute) est donnée avec une incertitude de 5 bpm. Dans un autre exemple, une valeur de taille peut être de 175 cm avec une incertitude de 5 cm. Par exemple encore, une image thermique peut présenter une résolution relativement pauvre. Ceci permet de flouter davantage certaines données d’identification parcellaires et de rendre indispensable la combinaison complète de données d’identification parcellaires pour trouver la clé d’identification associée. Selon l’un des aspects de l’invention, l’une au moins des données personnelles relatives à une personne est une information sur un consentement que la personne a donné en vue de procéder à des mesures de signes vitaux. Selon l’un des aspects de l’invention, l’information sur un consentement de la personne est obtenue suite à une première étape dans laquelle la personne a confirmé qu’elle a compris le type de mesures qui vont être faites sur la personne et une deuxième étape dans laquelle la personne a confirmé son acceptation pour la réalisation des mesures telles que présentées à la première étape. Selon l’un des aspects de l’invention, les première et deuxième étapes sont réalisées à l’aide d’une interface homme-machine permettant à la personne de répondre aux questions posées sur l’interface. Selon l’un des aspects de l’invention, l’unité de traitement de données est agencée pour: vérifier si les données mesurées et des données supplémentaires requises correspondent à l’ensemble de données d’identification parcellaires de l’une des clés d’identification, en cas de correspondance avec l’une des clés d’identification, autoriser l’accès aux données personnelles associées à cette clé d’identification. Selon l’un des aspects de l’invention, les données supplémentaires requises sont des réponses fournies par la personne à une ou plusieurs questions. Ces réponses forment des données d’identification parcellaires, dans la mesure où les réponses sont individuellement suffisamment génériques pour être communes à un large échantillon de personnes. Ces questions appartiennent à un questionnaire, et ces questions sont par exemple : Quel est le nom de votre lycée ? Quelle est la marque de votre première voiture ? Selon l’un des aspects de l’invention, les données d’identification parcellaires sont stockées dans plusieurs mémoires distinctes du système de stockage. Ainsi toutes ces données ne sont pas stockées à un même endroit du système de stockage. Selon l’un des aspects de l’invention, le système de stockage peut être agencé pour stocker des clés d’identification factices, en plus des clés d’identification effectivement associées à des données personnelles. Ceci permet d’augmenter la complexité pour retrouver l’association exacte entre des données de mesure et la clé correspondante, du fait d’un nombre total plus grand de clés. Selon l’un des aspects de l’invention, l’unité de traitement de données est agencée pour: dans le cas où la donnée d’identification parcellaire est une valeur numérique, par exemple un âge, vérifier si la donnée mesurée est égale à la valeur numérique de la donnée d’identification parcellaire et, en cas d’égalité, conclure qu’il y a correspondance entre la donnée mesurée et la donnée d’identification parcellaire. Selon l’un des aspects de l’invention, l’unité de traitement de données est agencée pour: dans le cas où la donnée d’identification parcellaire est une plage de valeurs numériques, par exemple une plage de valeurs de rythme cardiaque, vérifier si la donnée mesurée est dans la plage de de valeurs numériques et, dans l’affirmative, conclure qu’il y a correspondance entre la donnée mesurée et la donnée d’identification parcellaire. L’unité de traitement de données est agencée pour: dans le cas où la donnée d’identification parcellaire est une catégorie, par exemple une catégorie de forme de crâne, vérifier si la donnée mesurée entre dans la catégorie de la donnée d’identification parcellaire et, dans l’affirmative, conclure qu’il y a correspondance entre la donnée mesurée et la donnée d’identification parcellaire. Selon l’un des aspects de l’invention, l’unité de traitement est agencée pour confirmer la correspondance entre des données mesurées et des données d’identification parcellaires seulement si le niveau de confiance de ces correspondances est supérieur à un seuil de confiance prédéterminé, par exemple ce seuil étant égal à 80% ou 90%. Selon l’un des aspects de l’invention, le système de mesure de caractéristiques corporelles et/ou physiologiques comprend une pluralité de capteurs pour mesurer des caractéristiques corporelles et/ou physiologiques d’une personne. Selon l’un des aspects de l’invention, ces capteurs sont de types différents, par exemple l’un des capteurs étant un radar capable de mesurer un rythme cardiaque d’une personne et l’un des autres capteurs étant une caméra thermique capable de mesurer une température corporelle de la personne. L’invention a encore pour objet un procédé de protection de données personnelles comprenant : stocker une pluralité de clés d’identification, au moins l’une des clés étant formée par un ensemble de données d’identification parcellaires basées sur des caractéristiques corporelles et/ou physiologiques d’une personne, ces caractéristiques corporelles et/ou physiologiques pouvant notamment comporter un signe vital tel que le rythme cardiaque ou le rythme respiratoire de la personne, chaque clé d’identification étant associée à un ensemble de données personnelles d’une personne stockées dans un système de stockage, les clés et les données personnelles étant en soi anonymes, obtenir, à l’aide d’un système de mesure, des données mesurées de caractéristiques corporelles et/ou physiologiques sur une personne, vérifier si ces données mesurées et éventuellement des données supplémentaires requises correspondent à l’ensemble de données d’identification parcellaires de l’une des clés d’identification, en cas de correspondance avec l’une des clés d’identification, autoriser l’accès aux données personnelles associées à cette clé d’identification. Selon l’un des aspects de l’invention, le procédé comporte les étapes de sauvegarder, dans le système de stockage, les données mesurées ainsi que l’information relative au consentement donné par la personne, et utiliser ces données pour former une clé d’identification. Selon l’un des aspects de l’invention, les capteurs du système de mesure comprennent au moins l’un des éléments suivants : un capteur de température opérant dans l'infrarouge et agencé pour mesurer au moins une température de la peau de la personne, notamment sur au moins une zone ou point remarquable du visage de la personne, ce capteur étant notamment une caméra infrarouge, une caméra, notamment une caméra Rouge Vert Bleu, ou caméra RGB en anglais, agencée pour définir sur le visage de la personne le point remarquable de mesure de température, ou les points remarquables de mesure de température, pour le capteur de température, un microphone pour enregistrer un souffle, ou des battements de cœur de la personne, ou un son produit par le corps ou des réponses vocales de la personne, un radar utilisé pour mesurer un rythme cardiaque ou un rythme respiratoire de la personne. Selon l’un des aspects de l’invention, le procédé utilise une pluralité de clés d’authentification qui sont basées chacune sur des caractéristiques corporelles et/ou physiologiques de la personne qui varient d’une clé à l’autre. Il est ainsi possible d’autoriser l’accès aux données seulement si la correspondance est vérifiée successivement sur la pluralité de clés. Par exemple, lors d’une première vérification de correspondance, la clé utilisée est basée sur des données de taille, de rythme cardiaque et de couleur des yeux. Si les données mesurées par le système de mesure ne correspondent pas à cette clé, l’accès aux données est interdit. Si les données mesurées correspondent à cette clé, l’unité de traitement enclenche une deuxième vérification de correspondance au cours de laquelle la clé utilisée est basée sur une gestuelle, un âge et un rythme respiratoire de la personne. Si les données mesurées par le système de mesure ne correspondent pas à cette clé, l’accès aux données est interdit. Si les données mesurées correspondent à cette clé, l’unité de traitement autorise l’accès aux données. Le nombre de vérifications de correspondance peut bien entendu être supérieur à 3, utilisant ainsi un nombre de clés supérieur ou égal à 3. Selon l’un des aspects de l’invention, on augmente le niveau de confiance requis pour une confirmation de correspondance avec les clés utilisées, au fur et à mesure que l’on avance dans la série de vérification. Selon l’un des aspects de l’invention, la clé d’authentification est basée sur un ensemble de caractéristiques corporelles et/ou physiologiques d’une personne qui sont sélectionnées aléatoirement parmi les caractéristiques disponibles dans le système de stockage. Selon l’un des aspects de l’invention, l’unité de traitement est agencée pour pouvoir communiquer avec un nuage informatique, ou Cloud en anglais, notamment pour envoyer des données de mesure, par exemple pour un stockage des données ou un traitement de ces données dans le nuage informatique. Selon l’un des aspects de l’invention, la communication entre l’unité de traitement et le nuage est réalisée par un protocole sans fil, de préférence un protocole Wifi. Selon l’un des aspects de l’invention, le dispositif comprend une interface Homme-Machine agencée pour permettre à une personne de communiquer avec le dispositif. Selon l’un des aspects de l’invention, cette interface Homme-Machine comprend un écran, notamment un écran tactile tel qu’une tablette. Le nuage informatique, ou Cloud, peut comporter un stockage de données de santé ou HDS en abréviation anglaise. L’invention et ses différentes applications seront mieux comprises à la lecture de la description qui suit et à l’examen des figures qui l’accompagnent : la illustre schématiquement un dispositif de protection de données personnelles selon un mode de réalisation non limitatif de l’invention, la illustre différentes étapes de sauvegarde d’une information sur le consentement de la personne, la illustre schématiquement un masque de points de mesure posé sur le visage de la personne, la illustre des étapes du procédé de protection selon l’invention. On a représenté sur la un dispositif 1 de protection de données personnelles comprenant : un système de stockage de données 70 tel qu’un nuage informatique ou Cloud en anglais, agencé pour stocker une pluralité de clés d’identification K, au moins l’une des clés K étant formée par un ensemble de données d’identification parcellaires DIP basées sur des caractéristiques corporelles et/ou physiologiques d’une personne P, chaque clé d’identification K étant associée à un ensemble de données personnelles d’une personne stockées dans ce système de stockage 70, les clés K et les données personnelles DP étant en soi anonymes, un système de mesure 2 de caractéristiques corporelles et/ou physiologiques d’une personne, une unité de traitement de données 50 agencée pour: obtenir, à l’aide du système de mesure 2, des données mesurées de caractéristiques corporelles et/ou physiologiques sur une personne, vérifier si ces données mesurées et éventuellement des données supplémentaires requises correspondent à l’ensemble de données d’identification parcellaires DIP de l’une des clés d’identification K, en cas de correspondance avec l’une des clés d’identification DIP, autoriser l’accès aux données personnelles DP associées à cette clé d’identification K. Le système de mesure 2 comporte un capteur qui est un radar 5, ici un radar fonctionnant à 120 GHz ou 130 GHz, et ce radar est contrôlé par l’unité de traitement 50. Ce radar 5 est agencé pour mesurer un rythme cardiaque ou un rythme respiratoire de la personne. Dans l’exemple décrit, le système de mesure 2 comprend en outre : un capteur de température 7 opérant dans l'infrarouge et agencé pour mesurer une température de la peau de la personne, sur une pluralité de points remarquables du visage de la personne, ce capteur 7 étant une caméra infrarouge, deux caméras 8, ici des caméras Rouge Vert Bleu, ou caméras RGB en anglais, agencées pour définir sur le visage de la personne, les points remarquables de mesure de température, pour le capteur de température. L’utilisation de plusieurs caméras RGB permet d’obtenir une pluralité de points remarquables de mesure. Ces points forment un masque de points 20 de mesure posé sur le visage 21 de la personne 22, comme illustré sur la . Le système 2 comprend en outre un microphone 10 pour enregistrer un souffle, des battements de cœur de la personne, un son produit par le corps ou des réponses vocales de la personne. Dans l’exemple décrit, l’une des caméras 8, ici celle qui est au-dessus du capteur 7, présente une direction de visée 25 faisant un angle A1 non nul avec la direction de visée 26 du capteur 7 pour tenir compte de l’effet de parallaxe. Cet angle A1 est choisi sensiblement égal à 5°. La correction de la parallaxe permet une meilleure juxtaposition des images en infrarouge du capteur de température 7 et images des caméra RGB 8, résultant en une meilleure précision des mesures. Le radar 5 présente une direction de visée 27 qui est inclinée d’un angle A2, ici de 15°, par rapport à la direction de visée 26 du capteur de température 7. Ainsi, dans le cas où le radar 5 est utilisé pour mesurer un rythme cardiaque ou un rythme respiratoire de la personne, ce radar est avantageusement dirigé vers le torse de la personne tandis que le capteur de température 7 est centré sur le visage de la personne. La communication entre l’unité de traitement 50 et le nuage 70 est réalisée par un protocole sans fil, de préférence un protocole Wifi. Il est prévu un boîtier 42 dans lequel sont disposées les capteurs et l’unité de traitement 50. Le boîtier 42 est par exemple réalisé en matière plastique. Le système 1 comprend une interface Homme-Machine 44 agencée pour permettre à une personne de communiquer avec le système. Cette interface Homme-Machine comprend un écran, notamment un écran tactile tel qu’une tablette. La personne dont les signes vitaux doivent être mesurés peut être assise ou debout devant le boîtier 42. L’ensemble de données d’identification parcellaires DIP qui forme chaque clé d’identification K comprend au moins certaines des données personnelles DP. Autrement dit, les données personnelles DP servent à former la clé d’identification K. Dans l’invention, le système de stockage 70 ne stocke aucune donnée choisie parmi : des noms, des numéros de sécurité sociale, des photos de visage. Le nombre de clé K stockées dans le système de stockage 70 est supérieur à 500 clés, ou 1 000 clés, voire 10 000 ou 100 000 clés. Chaque donnée d’identification parcellaire DIP, par exemple une valeur de rythme cardiaque ou une couleur de cheveux, peut être commun à au moins 5% ou au moins 10% du nombre total de clés. Chaque clé d’identification K est composée d’un nombre de données d’identification parcellaires DIP compris entre 5 et 30, notamment entre 4 et 7 ou entre 7 et 15. Les données d’identification parcellaires DIP sont choisies dans la liste suivante : la taille, le poids, la corpulence, le maintien du corps, la forme du crâne, une gestuelle, l’âge, la couleur des yeux, le phénotype, un parcours du centre de gravité de la personne, un élément de la voix de la personne, un signe vital tel que le rythme respiratoire, le rythme cardiaque, le taux d’oxymétrie. Le système 2 de mesure de caractéristiques corporelles et/ou physiologiques est agencé pour mesurer l’une au moins des caractéristiques corporelles et/ou physiologiques sur une personne avec une faible résolution. Ainsi une image thermique prise par la caméra RGB 8 peut présenter une résolution relativement pauvre. Ceci permet de flouter davantage certaines données d’identification parcellaires DIP et de rendre indispensable la combinaison complète de données d’identification parcellaires DIP pour trouver la clé d’identification associée K. L’une au moins des données personnelles DP relatives à une personne est une information sur un consentement que la personne a donné en vue de procéder à des mesures de signes vitaux. On va maintenant décrire en référence à la les différentes étapes de sauvegarde d’une information sur le consentement de la personne. A l’étape 100, le dispositif 1 affiche via l’interface 44 une information concernant les mesures et tests qui vont être réalisés par le système de mesure 2, ainsi que l’enregistrement de données qui en sont issues. A l’étape 101, la personne répond si elle a compris les informations en utilisant l’interface 44. Si la personne répond qu’elle n’a pas compris les informations, les étapes suivantes ne sont pas déroulées (fin à l’étape 102). Si la personne répond qu’elle a compris les informations, le dispositif 1 affiche une demande de consentement à la réalisation des mesures et tests (l’étape 103). A l’étape 104, la personne répond si elle donne son consentement. Si la personne répond qu’elle ne donne pas son consentement, les étapes suivantes ne sont pas déroulées (fin à l’étape 105). Si la personne répond qu’elle donne son consentement, il est procédé à des mesures de caractéristiques corporelles et/ou physiologiques à l’aide du système 2 de mesure, sur la personne et le dispositif 1 pose des questions auxquelles la personne répond (étape 106), comme cela a été décrit plus en détails plus haut. A l’étape 107, est fait le stockage des données personnelles DP obtenues à l’étape 106, sur le nuage informatique 70. Ces données servent à créer une clé d’identification K (étape 108). L’heure et la date des mesures sont saisies et stockées avec les données personnelles DP (étape 109). L’unité de traitement de données 50 est agencée pour: vérifier si les données mesurées et des données supplémentaires requises correspondent à l’ensemble de données d’identification parcellaires DIP de l’une des clés d’identification K (étape 110 de la ), en cas de correspondance avec l’une des clés d’identification K, autoriser l’accès aux données personnelles DP associées à cette clé d’identification K (étape 111 de la ). Les données supplémentaires requises sont des réponses fournies par la personne à une ou plusieurs questions. Ces questions appartiennent à un questionnaire, et ces questions sont par exemple : Quel est le nom de votre lycée ? Quelle est la marque de votre première voiture ? L’unité de traitement de données 50 est agencée pour: dans le cas où la donnée d’identification parcellaire DIP est une valeur numérique, ici un âge, vérifier si la donnée mesurée est égale à la valeur numérique de la donnée d’identification parcellaire et, en cas d’égalité, conclure qu’il y a correspondance entre la donnée mesurée et cette donnée d’identification parcellaire DIP. L’unité de traitement de données 50 est agencée pour: dans le cas où la donnée d’identification parcellaire DIP est une plage de valeurs numériques, ici une plage de valeurs de rythme cardiaque, vérifier si la donnée mesurée est dans la plage de de valeurs numériques et, dans l’affirmative, conclure qu’il y a correspondance entre la donnée mesurée et la donnée d’identification parcellaire DIP. L’unité de traitement de données 50 est agencée pour: dans le cas où la donnée d’identification parcellaire DIP est une catégorie, ici une catégorie de forme de crâne, vérifier si la donnée mesurée entre dans la catégorie de la donnée d’identification parcellaire DIP et, dans l’affirmative, conclure qu’il y a correspondance entre la donnée mesurée et la donnée d’identification parcellaire. L’unité de traitement 50 est agencée pour confirmer la correspondance entre des données mesurées et des données d’identification parcellaires DIP seulement si le niveau de confiance de ces correspondances est supérieur à un seuil de confiance prédéterminé, par exemple ce seuil étant égal à 80% ou 90%. Par exemple, la clé d’identification K est formée par cinq informations DIP que sont l’âge, le poids, le rythme cardiaque, la forme du crâne et la réponse à une question. La clé d’identification K utilise ainsi des données personnelles DP. L’unité de traitement de données 50 est agencée pour vérifier la correspondance entre les cinq valeurs mesurées ou acquises avec les cinq valeurs de la clé K, et conclure, avec un niveau de confiance supérieur à un seuil de 90%, sur le fait que la personne qui se trouve physiquement devant le système de mesure 2 est bien la personne associée à l’ensemble de données personnelles DP stockées et sur le fait que cette personne avait bien donné son consentement pour l’obtention et la sauvegarde de ses données personnelles DP. Il est en outre possible d’accéder à la date et l’heure à laquelle la personne avait donné son consentement. Suite à la confirmation de cette correspondance sur les cinq données, l’accès aux données personnelles DP est autorisée. Les clés K sont ainsi des combinaisons de valeurs sur ces cinq données. . Dispositif de protection de données personnelles (1) comprenant : un système de stockage de données (70) tel qu’un nuage informatique, agencé pour stocker une pluralité de clés d’identification (K), au moins l’une des clés étant formée par un ensemble de données d’identification parcellaires (DIP) basées sur des caractéristiques corporelles et/ou physiologiques d’une personne, ces caractéristiques corporelles et/ou physiologiques pouvant notamment comporter un signe vital tel que le rythme cardiaque ou le rythme respiratoire de la personne, chaque clé d’identification étant associée à un ensemble de données personnelles (DP) d’une personne (P) stockées dans ce système de stockage, les clés et les données personnelles étant en soi anonymes, un système (2) de mesure de caractéristiques corporelles et/ou physiologiques d’une personne, une unité de traitement de données (50) agencée pour: obtenir, à l’aide du système de mesure, des données mesurées de caractéristiques corporelles et/ou physiologiques sur une personne, vérifier si ces données mesurées et éventuellement des données supplémentaires requises correspondent à l’ensemble de données d’identification parcellaires (DIP) de l’une des clés d’identification (K), en cas de correspondance avec l’une des clés d’identification, autoriser l’accès aux données personnelles (DP) associées à cette clé d’identification. Système selon la revendication précédente, dans lequel l’ensemble de données d’identification parcellaires (DIP) qui forme chaque clé d’identification (K) comprend au moins certaines des données personnelles (DP). Système selon l’une des revendications précédentes, dans lequel les données d’identification parcellaires (DIP) sont choisies dans la liste suivante : la taille, le poids, la corpulence, le maintien du corps, la forme du crâne, une gestuelle, l’âge, la couleur des yeux, le phénotype, un parcours du centre de gravité de la personne, un élément de la voix de la personne, un signe vital tel que le rythme respiratoire, le rythme cardiaque, le taux d’oxymétrie. Système selon l’une des revendications précédentes, dans lequel l’unité de traitement de données (50) est agencée pour: vérifier si les données mesurées et des données supplémentaires requises correspondent à l’ensemble de données d’identification parcellaires (DIP) de l’une des clés d’identification (K), en cas de correspondance avec l’une des clés d’identification (K), autoriser l’accès aux données personnelles associées à cette clé d’identification. Système selon l’une des revendications précédentes, dans lequel l’unité de traitement de données (50) est agencée pour: dans le cas où la donnée d’identification parcellaire est une valeur numérique, par exemple un âge, vérifier si la donnée mesurée est égale à la valeur numérique de la donnée d’identification parcellaire (DIP) et, en cas d’égalité, conclure qu’il y a correspondance entre la donnée mesurée et la donnée d’identification parcellaire. Système selon l’une des revendications précédentes, dans lequel l’unité de traitement de données (50) est agencée pour: dans le cas où la donnée d’identification parcellaire (DIP) est une plage de valeurs numériques, par exemple une plage de valeurs de rythme cardiaque, vérifier si la donnée mesurée est dans la plage de de valeurs numériques et, dans l’affirmative, conclure qu’il y a correspondance entre la donnée mesurée et la donnée d’identification parcellaire (DIP). Système selon l’une des revendications précédentes, dans lequel l’unité de traitement de données (50) est agencée pour: dans le cas où la donnée d’identification parcellaire (DIP) est une catégorie, par exemple une catégorie de forme de crâne, vérifier si la donnée mesurée entre dans la catégorie de la donnée d’identification parcellaire (DIP) et, dans l’affirmative, conclure qu’il y a correspondance entre la donnée mesurée et la donnée d’identification parcellaire (DIP). Système selon l’une des revendications précédentes, dans lequel l’unité de traitement (50) est agencée pour confirmer la correspondance entre des données mesurées et des données d’identification parcellaires (DIP) seulement si le niveau de confiance de ces correspondances est supérieur à un seuil de confiance prédéterminé, par exemple ce seuil étant égal à 80% ou 90%. Système selon l’une des revendications précédentes, dans lequel le système de mesure de caractéristiques corporelles et/ou physiologiques comprend une pluralité de capteurs pour mesurer des caractéristiques corporelles et/ou physiologiques d’une personne. Procédé de protection de données personnelles comprenant : stocker une pluralité de clés d’identification (K), au moins l’une des clés étant formée par un ensemble de données d’identification parcellaires (DIP) basées sur des caractéristiques corporelles et/ou physiologiques d’une personne, ces caractéristiques corporelles et/ou physiologiques pouvant notamment comporter un signe vital tel que le rythme cardiaque ou le rythme respiratoire de la personne, chaque clé d’identification (K) étant associée à un ensemble de données personnelles d’une personne stockées dans un système de stockage, les clés et les données personnelles (DP) étant en soi anonymes, obtenir, à l’aide d’un système de mesure, des données mesurées de caractéristiques corporelles et/ou physiologiques sur une personne, vérifier si ces données mesurées et éventuellement des données supplémentaires requises correspondent à l’ensemble de données d’identification parcellaires (DIP) de l’une des clés d’identification, en cas de correspondance avec l’une des clés d’identification, autoriser l’accès aux données personnelles (DP) associées à cette clé d’identification (K).