Brevet FR3163750A1 — publié le 20251226

Procédé et dispositif d’anonymisation de données de localisation longitudinales relatives à une pluralité d’individus Le procédé d’anonymisation comprend : une étape (E20) de classement au moyen d’un algorithme de partitionnement non supervisé de données de localisation longitudinales en une pluralité de clusters ayant une taille minimale donnée ; une étape (E30) d’apprentissage à partir des données de localisation longitudinales d’un modèle génératif conditionné par ladite pluralité de clusters ; et une étape (E40) de génération de données synthétiques au sein de chaque cluster en utilisant ledit modèle génératif et en tenant compte d’une distribution par cluster des données de localisation longitudinales d’origine. Figure pour l’abrégé : Fig. 4. Procédé et dispositif de génération de données de localisation synthétiques L’invention appartient au domaine général des communications. Elle concerne plus particulièrement l’anonymisation de données relatives à des individus collectées sur une période temporelle donnée, aussi appelées « données longitudinales ». L’invention s’applique ainsi de façon privilégiée mais non limitative à des données de localisation longitudinales telles que des traces de mobilité collectées auprès d’utilisateurs de terminaux mobiles. Parmi l’ensemble des activités humaines, la mobilité est à l’origine d’une multitude de problématiques d’ordres politiques et environnementaux pour les sociétés, mais également pour de nombreuses industries. Une bonne connaissance de cette mobilité permet d’éclairer des décisions dans des domaines très variés, tels que l’optimisation des réseaux de transports, la réduction des émissions de gaz à effets de serre ou de la consommation d’énergie, le déploiement des réseaux de télécommunications, etc. Ces dernières années, de nouvelles sources de données de localisation ont émergé. On peut citer notamment les applications embarquées dans des smartphones équipés de puces GPS, les puces-radio embarquées dans les véhicules, les téléphones mobiles générant des traces de signalisation issues de leur bornage sur le réseau mobile, etc. Ces différentes sources offrent la possibilité de collecter, sur une période déterminée, des traces de mobilité ou plus généralement des données de localisation relatives à un grand nombre d’individus ou d’utilisateurs. Le traitement et l’analyse des données longitudinales ainsi collectées permettent d’adresser les problématiques évoquées ci-avant. Cependant, la vie privée des individus sur lesquels sont collectées les données de localisation longitudinales peut être menacée si ces données sont utilisées sous une forme permettant la réidentification directe ou indirecte des individus en question. En Europe, le traitement des données personnelles, y compris des données de localisation longitudinales, est soumis à des réglementations strictes en matière de protection de la vie privée, telles que le Règlement Général européen sur la Protection des Données (RGPD), ou encore, plus spécifiquement pour les opérateurs de réseaux mobiles, la directive 2002/58/CE du 12 juillet 2002 (aussi appelée directive « ePrivacy ») actualisée par la directive 2009/136/CE sur les cookies. Ces règlementations visent à garantir un traitement efficace et sécurisé des données personnelles. Il existe diverses techniques permettant d’anonymiser des données longitudinales, et incidemment des traces de mobilité. Une première catégorie de techniques d’anonymisation classiquement utilisée consiste à produire des agrégats statistiques à partir des données collectées. La nature des agrégats statistiques à constituer et les échantillons d’individus sur lesquels collecter les données sont choisis en amont de la collecte, et ceci en fonction du problème spécifique que l’on cherche à adresser au moyen des données collectées. Les agrégats statistiques ainsi générés sont produits en respectant la confidentialité des données originelles (qui sont « fondues » dans les agrégats) et sont eux-mêmes anonymes. Les agrégats statistiques peuvent être calculés de manière incrémentale au fur et à mesure de la collecte des données, sans constitution d’historiques individuels (considérés comme des données personnelles) et en effaçant les évènements bruts sous un délai très bref. Ce délai est nécessaire au traitement statistique et permet le calcul, le cas échéant, de variables d’enrichissement supplémentaires. Par exemple, l’étude de la fréquentation d’un territoire donné peut s’appuyer sur le comptage des terminaux mobiles ayant borné sur des cellules d’un réseau mobile déployées sur ce territoire, rapporté à un échantillon représentatif de l’activité ciblée (sélectionné par exemple en fonction de propriétés socio-démographiques ou comportementales, connues ou déduites des propriétés spatiotemporelles des terminaux mobiles). On peut envisager d’enrichir les statistiques obtenues par une estimation de vitesses et de directions de déplacements des terminaux mobiles, etc. Opérationnellement, un délai maximum de 15 minutes de rétention des évènements (“pseudonymisés”) est considéré comme un compromis acceptable pour assurer l’exploitabilité des données tout en garantissant leur anonymisation. Les techniques reposant sur la production incrémentale d’agrégats statistiques placent le compromis anonymisation/utilité du côté de la rétention minimale d’information et pose essentiellement le problème du réemploi des agrégats statistiques produits pour des finalités nouvelles. Indépendamment de la performance des procédés et des algorithmes mis en œuvre, ces statistiques sont conçues pour adresser un problème spécifique, identifié en amont de la collecte. Ainsi un jeu de statistiques donné n’est pas toujours exploitable pour de nouvelles finalités. Par exemple, il est évidemment impossible de questionner a posteriori la pyramide des âges d’une population étudiée, si la variable adaptée n’a pas été inclue aux agrégats lors de la conception. De la même manière, les pas de temps et les choix des zones d’étude conditionnent lourdement la sémantique des indicateurs, et il est impossible d’explorer toute la combinatoire utile en général. Ainsi, il est très difficile d’imaginer et de prévoir toutes les combinaisons statistiques potentiellement utiles dans le futur ; en outre, cela soulève d’importants problèmes pratiques au regard notamment des coûts de calcul et du stockage nécessaires. Pour pallier cet inconvénient, une deuxième catégorie de techniques d’anonymisation s’appuie sur la génération de données synthétiques préservant la forme et certaines propriétés statistiques et structurelles de données réelles collectées auprès d’individus. Par définition, une donnée synthétique est une donnée qui n'est pas issue d'une observation (mesure) réelle, mais qui est créée artificiellement via des simulations numériques et/ou par une intelligence artificielle (IA). Ces techniques offrent avantageusement la possibilité de mener des analyses a posteriori sur les données synthétiques générées, et de pallier au fait que les données originelles ne sont plus disponibles. De nombreuses techniques de génération de données synthétiques s’appuient sur des modèles génératifs, qui permettent de générer de « nouveaux » échantillons à partir d’une distribution connue des données longitudinales collectées. Les échantillons ainsi générés sont partiellement statistiquement représentatifs de la distribution initiale des données réelles ; ils sont cependant « nouveaux » dans le sens où il n’y a pas de correspondance exacte entre un échantillon généré et les données réelles collectées auprès des individus. On peut citer notamment parmi ces techniques s’appuyant sur des modèles génératifs, les auto-encodeurs variationels (ou VAE pour « Variational Auto-Encoders » en anglais), les réseaux antagonistes génératifs (ou GAN pour « Generative Adversarial Networks » en anglais), les modèles de diffusion, etc. Toutefois, ces techniques se heurtent à des difficultés notamment concernant la représentativité de la distribution obtenue, ainsi que la qualité et la garantie du caractère « nouveau » des échantillons générés. A titre illustratif, dans le cas de données de localisation longitudinales fortement multimodales (c’est-à-dire représentatives de comportements très différents), certaines techniques comme les VAE vont assez bien estimer la distribution des données d’origine mais peinent à produire des échantillons synthétiques respectant bien leurs caractéristiques fines. De telles caractéristiques fines sont par exemple des positions précises de la trajectoire d’une infrastructure de transport, un comportement d’accélération/de décélération cohérent, la présence d’aires de service sur une autoroute, etc. D’autres techniques tels que les GAN ou les modèles génératifs basés sur de la diffusion vont au contraire être capables de produire des échantillons synthétiques présentant des caractéristiques fines, mais sont mises en défaut sur la représentativité des échantillons générés. Il existe donc un besoin d’une technique permettant d’anonymiser des données longitudinales telles que des données de localisation relatives à des individus permettant de réaliser un compromis entre la puissance de l’anonymisation appliquée (typiquement son irréversibilité face à divers scénarii d’attaque) et la préservation de l’information utile contenue dans les données d’origine afin de pouvoir les exploiter à des fins non nécessairement envisagées lors de leur collecte. L’invention répond notamment à ce besoin en proposant un procédé d’anonymisation de données de localisation longitudinales dites d’origine relatives à une pluralité d’individus, ce procédé comprenant : une étape de classement, au moyen d’un algorithme de partitionnement non supervisé, desdites données de localisation longitudinales d’origine en une pluralité de clusters ayant tous une taille supérieure ou égale à un seuil donné ; une étape d’apprentissage, à partir de dites données de localisation longitudinales d’origine, d’un modèle génératif conditionné par ladite pluralité de clusters ; et une étape de génération de données synthétiques au sein de chaque cluster, en utilisant ledit modèle génératif et en tenant compte d’une distribution par cluster des données de localisation longitudinales d’origine utilisées lors de l’étape d’apprentissage du modèle génératif. Corrélativement, l’invention concerne également un dispositif d’anonymisation de données de localisation longitudinales dites d’origine relatives à une pluralité d’individus, ledit dispositif comprenant : un module de classement, configuré pour classer au moyen d’un algorithme de partitionnement non supervisé lesdites données de localisation longitudinales d’origine en une pluralité de clusters ayant tous une taille supérieure ou égale à un seuil donné ; un module d’apprentissage, configuré pour apprendre à partir de dites données de localisation longitudinales d’origine un modèle génératif conditionné par ladite pluralité de clusters ; et un module de génération, configuré pour générer des données synthétiques au sein de chaque cluster en utilisant ledit modèle génératif et en tenant compte d’une distribution par cluster des données de localisation longitudinales d’origine utilisées pour apprendre le modèle génératif. Aucune limitation n’est attachée au modèle génératif pouvant être utilisé dans le contexte de l’invention. Il peut s’agir par exemple d’un modèle basé sur de la diffusion (plus communément appelé « modèle de diffusion »), d’un réseau antagoniste génératif (GAN), etc. Ainsi l’invention permet d’obtenir un jeu de données synthétiques anonymisées par l’application de plusieurs modèles appris sur des données de localisation longitudinales d’origine (i.e. des données réelles). Plus particulièrement, l’invention s’appuie sur l’enchaînement de deux étapes pour créer un jeu de données synthétiques anonymisées articulant les concepts de partitionnement (aussi plus communément appelé « clustering » en anglais) non supervisé des données d’origine et de modèle génératif appris sur les données d’origine et conditionné par les clusters obtenus. Grâce à ces deux étapes, le jeu de données synthétiques obtenu est anonymisé via notamment l’utilisation du modèle génératif et le partitionnement en un nombre maximal de clusters de taille suffisante (supérieure ou égale à un seuil donné), tout en préservant les propriétés statistiques des données de localisation longitudinales d’origine, via notamment l’apprentissage conditionné du modèle génératif sur les clusters issus du partitionnement des données de localisation d’origine et la prise en compte lors de la génération des données synthétiques de la distribution de ces données de localisation d’origine. Par exemple, lors de la génération des données synthétiques, le nombre de données synthétiques générées au sein d’un cluster en utilisant le modèle génératif est proportionnel au nombre de données de localisation longitudinales d’origine classées lors de l’étape de classement dans ce cluster (en considérant le même coefficient de proportionnalité pour les différents clusters). Ceci permet de s’approcher de la distribution des données de localisation longitudinales d’origine via une seule inférence du modèle génératif. L’invention garantit ainsi une bonne représentativité des données de localisation d’origine par les données synthétiques générées. L’utilité des données synthétiques générées est par conséquent grandement améliorée ce qui offre la possibilité de mener des analyses a posteriori à partir des données synthétiques (c’est-à-dire non nécessairement anticipées lors de la collecte) et élargit le spectre d’utilisation de ces données synthétiques. En effet, grâce à l’invention, on s’assure que les données synthétiques ont une distribution proche de celle des données d’origine dans des clusters identifiés à partir de ces données d’origine. Il est ainsi possible de conserver les informations utiles importantes présentes dans les données de localisation d’origine récoltées auprès de plusieurs individus sans avoir à conserver les données de localisation d’origine. Il est donc permis de satisfaire aux diverses obligations légales relatives aux données personnelles, sans pour autant perdre les informations utiles portées par les données de localisation d’origine. Seules les données synthétiques qui sont anonymisées ont besoin d’être stockées pour constituer un historique, et peuvent être utilisées ultérieurement pour regénérer les informations utiles portées par les données d’origine, et le cas échéant calculer d’autres statistiques sur ces données d’origine que celles considérées lors de leur collecte. Dans un mode particulier de réalisation, le procédé d’anonymisation comprend en outre au moins une itération incluant : une étape d’application aux données synthétiques de l’algorithme de partitionnement utilisé lors de l’étape de classement ; et si une distribution des données synthétiques sur la pluralité de clusters ne respecte pas un critère de fidélité déterminé par rapport à la distribution des données de localisation longitudinales d’origine, une étape d’ajustement pour au moins un cluster d’un nombre de données synthétiques générées au moyen du modèle génératif au sein de ce cluster. Ce mode de réalisation permet de s’assurer de la conformité de la distribution des données synthétiques avec la distribution des données de localisation d’origine. En effet, les inventeurs ont constaté que dans certains cas exceptionnels, il arrive, comme avec tout modèle génératif utilisé en intelligence artificielle, et en dépit des étapes mises en œuvre conformément à l’invention pour apprendre le modèle génératif et s’assurer du respect de la distribution des données de localisation d’origine dans les clusters, que dans certains clusters, les données synthétiques générées ne respectent pas strictement la distribution des données de localisation longitudinales d’origine. Cela peut arriver par exemple dans les clusters situés en bordure de la distribution, typiquement dans les clusters où les données longitudinales d’origine sont le plus dispersées. Ce mode de réalisation permet de corriger les données synthétiques générées en vue d’améliorer encore davantage leur représentativité des données de localisation longitudinales d’origine et incidemment leur utilité. Ce mode de réalisation s’attache à renforcer encore davantage la similarité entre la distribution des données de localisation d’origine et celle des données synthétiques générées. Dans un mode particulier de réalisation, chaque cluster identifié lors de la première étape de classement vérifie en outre un critère de non-discernabilité des données de localisation longitudinales d’origine classées dans ce cluster. La prise en compte d’un tel critère permet de renforcer l’anonymat des données synthétiques générées. Un tel critère peut se traduire par exemple sous la forme d’une comparaison par rapport à un seuil d’une mesure de l’étalement du cluster en question, de sorte à supprimer les clusters au sein desquels les données de localisation longitudinales d’origine sont trop dispersées les unes par rapport aux autres. Ceci permet d’assurer une continuité des clusters appris sur les données de localisation longitudinales d’origine. Dans un mode particulier de réalisation, l’algorithme de partitionnement utilisé lors de l’étape de classement comprend l’application d’un auto-encodeur variationnel combiné à un découpage en tuiles d’un espace latent de l’auto-encodeur variationnel, un cluster correspondant à une dite tuile. De façon connue en soi, un auto-encodeur est un type de réseaux de neurones particulier, divisé en deux parties, à savoir un encodeur et un décodeur qui sont appliqués successivement. L’encodeur compresse le vecteur x d’information qui lui est fourni en entrée en réduisant sa dimension (i.e. il « code » l’information utile contenue dans le vecteur x avec moins de variables que le vecteur x). L’espace des codes réduits est appelé « espace latent ». Cet espace latent décrit la structure des données. Le décodeur est un modèle génératif qui permet de reconstruire une observation de x à partir de l’espace latent. L’auto-encodeur réalisant une tâche de reconstruction, il est entraîné pour minimiser l’erreur de reconstruction. Un auto-encodeur variationnel ou VAE est un auto-encodeur qui permet d’apprendre une fonction associant à un vecteur d’entrée une distribution latente multivariée, typiquement une distribution gaussienne, qui n’est pas directement observée mais déduite depuis un modèle mathématique. Il s’agit d’un auto-encodeur en quelque sorte « régularisé » pour lequel on contraint la distribution des codes dans l’espace latent à une distribution donnée, en général gaussienne, dont les paramètres (moyenne et écart-type) sont prédits par l’encodeur. Le recours à un auto-encodeur variationnel facilite l’obtention de certaines propriétés utiles pour l’espace latent, comme la continuité et une densité approchant une distribution connue. Il permet avantageusement d’obtenir un espace latent moins clairsemé qu’un auto-encodeur classique, et donc une meilleure continuité. Ceci permet de grouper plus aisément les données de localisation longitudinales par similarité grâce à la continuité imposée dans l’espace latent, tout en conservant la possibilité de reconstruire les données de localisation longitudinales via le décodeur de l’auto-encodeur variationnel. L’utilisation combinée d’un VAE et d’un découpage en tuiles respectant une taille minimale permet ainsi de s’assurer qu’après reconstruction, les données synthétiques générées sont proches les unes des autres. En rendant continu l’espace latent, on limite en effet les possibilités de réidentifier un individu lors de la génération des données synthétiques. Ceci permet de renforcer l’anonymat des données synthétiques générées et incidemment contribue au respect de la vie privée des individus. Bien entendu, ceci n’est qu’un exemple illustratif non limitatif de l’invention, et d’autres algorithmes peuvent être envisagés en variante. Par ailleurs, suite au découpage en tuiles de l’espace latent, on peut envisager que les tuiles ayant une surface supérieure ou égale à un seuil donné soient invalidées et les données de mobilité longitudinales d’origine classées dans ces tuiles soient supprimées avant l’étape d’apprentissage. Il s’agit par ce traitement de filtrer les tuiles les plus étendues dans lesquelles les traces de mobilité sont susceptibles d’être espacées les unes des autres et donc plus facilement discernables. Ce mode de réalisation est un exemple d’application d’un critère de non-discernabilité lors de l’étape de classement. Dans un mode de réalisation particulier, le procédé d’anonymisation comprend en outre une étape d’attribution d’un indice de confiance aux données synthétiques. Cet indice de confiance permet de mesurer la fidélité des données synthétiques générées par rapport aux données de localisation longitudinales d’origine, notamment en termes de propriétés statistiques (ex. distribution). Il peut par ailleurs prendre en compte les clusters non représentables par les données synthétiques. En variante, on peut envisager d’évaluer d’autres critères exogènes permettant de qualifier la représentativité des données synthétiques générées par rapport à un jeu de données de localisation longitudinales d’origine, et/ou de leur représentation dans l’espace latent. La détermination et la prise en compte de tels critères répondent avantageusement à un double enjeu. Ils permettent d’une part de guider l’apprentissage de l’algorithme de partitionnement et/ou du modèle génératif pour atteindre une distribution des données synthétiques générées proche de la distribution réelle des données de localisation longitudinales d’origine sous le prisme de critères déterminés. Et d’autre part, ils permettent un redressement statistique des données synthétiques générées par rapport à ces mêmes critères, par exemple en mettant en œuvre une étape d’ajustement des données synthétiques générées par cluster, de façon similaire à ce qui a été décrit précédemment pour un mode de réalisation particulier, ou en utilisant une classification supervisée par des statistiques déterminées à l’avance, etc. Dans un mode particulier de réalisation, le procédé d’anonymisation est mis en œuvre par un ordinateur. L’invention vise également un programme d’ordinateur sur un support d’enregistrement, ce programme étant susceptible d’être mis en œuvre dans un ordinateur ou plus généralement dans un dispositif d’anonymisation conforme à l’invention et comportant des instructions adaptées à la mise en œuvre d’un procédé d’anonymisation tel que décrit ci-dessus. Ce programme peut utiliser n’importe quel langage de programmation, et être sous la forme de code source, code objet, ou de code intermédiaire entre code source et code objet, tel que dans une forme partiellement compilée, ou dans n’importe quelle autre forme souhaitable. L’invention vise aussi un support d'information ou un support d’enregistrement lisibles par un ordinateur, et comportant des instructions d’un programme d'ordinateur tel que mentionné ci-dessus. Le support d'information ou d’enregistrement peut être n'importe quelle entité ou dispositif capable de stocker les programmes. Par exemple, le support peut comporter un moyen de stockage, tel qu'une ROM, par exemple un CD ROM ou une ROM de circuit microélectronique, ou encore un moyen d'enregistrement magnétique, par exemple un disque dur, ou une mémoire flash. D'autre part, le support d'information ou d’enregistrement peut être un support transmissible tel qu'un signal électrique ou optique, qui peut être acheminé via un câble électrique ou optique, par lien radio, par lien optique sans fil ou par d'autres moyens. Le programme selon l'invention peut être en particulier téléchargé sur un réseau de type Internet. Alternativement, le support d'information ou d’enregistrement peut être un circuit intégré dans lequel un programme est incorporé, le circuit étant adapté pour exécuter ou pour être utilisé dans l'exécution du procédé d’anonymisation selon l’invention. On peut également envisager, dans d'autres modes de réalisation, que le procédé et le dispositif d’anonymisation selon l’invention présentent en combinaison tout ou partie des caractéristiques précitées. D’autres caractéristiques et avantages de la présente invention ressortiront de la description faite ci-dessous, en référence aux dessins annexés qui en illustrent un exemple de réalisation dépourvu de tout caractère limitatif. Sur les figures : FIG. 1 la FIG. 1 représente, dans son environnement, un dispositif d’anonymisation de données de localisation longitudinales conforme à l’invention, dans un mode de réalisation ; FIG. 2 la FIG. 2 représente schématiquement des données de localisation longitudinales collectées auprès d’utilisateurs de terminaux mobiles ; FIG. 3 la FIG. 3 représente l’architecture matérielle du dispositif d’anonymisation de la FIG. 1 dans un mode particulier de réalisation ; FIG. 4 la FIG. 4 représente les principales étapes d’un procédé d’anonymisation de données de localisation longitudinales conforme à l’invention dans un mode particulier de réalisation dans lequel il est mis en œuvre par le dispositif de la FIG. 1 ; FIG. 5 la FIG. 5 illustre un exemple de données synthétiques générées grâce à l’invention à partir des données de localisation longitudinales de la FIG. 2 . Description de l’invention La FIG. 1 représente, dans son environnement, un dispositif 1 d’anonymisation de données de localisation longitudinales, dans un mode particulier de réalisation. Comme évoqué précédemment, de telles données de localisation longitudinales sont des données de localisation collectées sur une période temporelle donnée auprès d’une pluralité d’individus distincts. Dans l’exemple envisagé ici, on considère plus particulièrement des données de localisation longitudinales DATA-MOB, constituées de traces de mobilité collectées auprès d’utilisateurs de terminaux mobiles. De façon connue en soi, les terminaux mobiles génèrent des traces de signalisation lors de leur bornage sur le réseau mobile, ce qui permet d’avoir une visibilité sur la localisation de leurs utilisateurs et incidemment sur leur mobilité sur une période de temps donnée. L’accès à de telles traces (aussi appelées traces de mobilité) permet avantageusement de conduire un certain nombre d’analyses afin d’adresser par exemple diverses problématiques industrielles, sociétales et/ou environnementales telles que discutées précédemment. Bien entendu, ceci n’est qu’un exemple illustratif et non limitatif en soi. L’invention s’applique dans d’autres contextes et notamment à d’autres types de données de localisation longitudinales, comme par exemple à des données issues de puces GPS, ou de puces-radio IoT embarquées dans des véhicules, etc. Aucune limitation n’est attachée à la façon dont sont obtenues ces données de localisation longitudinales. Les données de localisation longitudinales DATA-MOB se présentent typiquement sous la forme d’une pluralité de séquences (au nombre de N, N entier supérieur à 1) de localisations (une séquence constituant une donnée longitudinale associée à un individu ou trace) considérées à divers instants compris dans un intervalle de temps global commun à toutes les séquences. Par exemple, chaque localisation est identifiée par un point défini à un instant t i par ses coordonnées x et y dans un repère orthonormé à deux dimensions, une séquence étant représentée par un vecteur de L points , L désignant un entier supérieur à 1 représentant le nombre d’instants t i considérés dans l’intervalle de temps global. La FIG. 2 illustre un ensemble de traces de mobilité collectées sur un réseau mobile français sur un intervalle de temps global donné pour N=10000 personnes. Plus précisément, sur cette figure, chaque trace reflète pour une personne donnée, les positions successives occupées par cette personne entre 6h et 18h pendant le mois de mars 2023. Conformément à l’invention, le dispositif 1 d’anonymisation est configuré pour anonymiser des données réelles de localisation longitudinales qui lui sont fournies en entrée (dites « données d’origine »). Plus particulièrement, il est configuré pour générer à partir de telles données réelles d’origine, des données synthétiques anonymisées, à partir desquelles il est difficile voire impossible d’identifier les individus auprès desquelles ces données réelles d’origine ont été collectées. Les données synthétiques ainsi générées ne sont pas des données réelles mais grâce à l’invention, elles sont similaires à et représentatives de telles données réelles. Dans le mode de réalisation décrit ici, le dispositif 1 d’anonymisation a l’architecture matérielle d’un ordinateur telle que représentée sur la FIG. 3 . Il comprend notamment un processeur PROC, une mémoire vive MEM, une mémoire morte ROM, une mémoire non volatile NVM, des moyens COM de communication comprenant notamment des moyens d’entrée/sortie permettant de lui fournir en entrée pour anonymisation des données de localisation longitudinales telles que les traces de mobilité DATA-MOB, et d’obtenir en sortie des données synthétiques anonymisées destinées à être envoyées vers une unité de stockage et/ou une unité de traitement (non représentées sur la FIG. 2 ). De tels moyens sont connus en soi et ne sont pas décrits davantage ici. La mémoire non volatile NVM constitue un support d’enregistrement conforme à l’invention, lisible par le processeur PROC et sur lequel est enregistré un programme d’ordinateur PROG conforme à l’invention. Ce programme PROG comporte des instructions définissant les principales étapes d’un procédé d’anonymisation selon l’invention. Il définit plus spécifiquement des modules fonctionnels du dispositif 1 d’anonymisation (représentés sur la FIG. 2 ), qui s’appuient et/ou commandent tout ou partie des éléments PROC, MEM, ROM, NVM, et COM évoqués précédemment. Ces modules fonctionnels comprennent notamment : - un module de classement 2, configuré pour classer au moyen d’un algorithme de partitionnement les données de localisation longitudinales d’origine en une pluralité de clusters ayant tous une taille supérieure ou égale à un seuil donné noté Kmin ; - un module d’apprentissage 3, configuré pour apprendre à partir de dites données de localisation longitudinales d’origine un modèle génératif conditionné par la pluralité de clusters issue du classement réalisé par le module de classement 2. Dans le mode de réalisation décrit ici, on envisage un modèle génératif basé sur de la diffusion, appelé modèle de diffusion dans la suite ; et - un module de génération 4, configuré pour générer des données synthétiques au sein de chaque cluster en utilisant ledit modèle de diffusion et en tenant compte de la distribution par cluster des données de localisation longitudinales d’origine utilisées pour apprendre le modèle de diffusion. Dans le mode de réalisation décrit ici, le programme d’ordinateur PROG définit en outre un module d’ajustement 5 des données synthétiques générées activé dans un contexte particulier comme décrit plus en détail ultérieurement. Les fonctions mises en œuvre par les modules de classement 2, d’apprentissage 3, de génération 4 et d’ajustement 5 sont détaillées maintenant en référence à la FIG. 4 qui représente les principales étapes d’un procédé d’anonymisation selon l’invention telles qu’elles sont mises en œuvre par le dispositif 1 d’anonymisation dans un mode particulier de réalisation. On suppose ici que le jeu de données de localisation longitudinales d’origine DATA-MOB est fourni au dispositif 1 d’anonymisation (étape E10). On désigne par N la dimension du jeu de données DATA-MOB (i.e. N données de localisation longitudinales, c’est-à-dire ici N traces de mobilité relatives à N utilisateurs distincts). Conformément à l’invention, le dispositif 1 d’anonymisation procède au classement des données DATA-MOB en une pluralité de clusters, en s’assurant que tous les clusters aient une taille supérieure ou égale à Kmin (étape E20). On note KC j la taille d’un cluster C j avec KC j ≥ Kmin pour tout indice j. A cet effet, le module de classement 2 du dispositif 1 d’anonymisation utilise un algorithme de partitionnement non supervisé. Dans le mode de réalisation décrit ici, le module de classement 2 utilise plus particulièrement un auto-encodeur variationnel (VAE) combiné à un découpage en tuiles appliqué sur l’espace latent du VAE, chaque tuile correspondant à un cluster contraint par une taille minimale égale à Kmin. Plus précisément, le VAE est entraîné par le module de classement 2 sur les données de localisation longitudinales d’origine DATA-MOB de façon connue de l’homme du métier, conduisant à un espace latent de dimension d, d désignant un entier strictement inférieur à L (étape E21). L’espace latent permet de représenter les données DATA-MOB dans un espace de dimension d très inférieure à L. Typiquement dans l’exemple envisagé à la FIG. 2 , une dimension d inférieure à 10 peut être obtenue au moyen d’un VAE. On désigne par DATA-MOB-RED la représentation dans l’espace latent du jeu de données de localisation longitudinales d’origine DATA-MOB : chaque donnée longitudinale d’origine de dimension L du jeu DATA-MOB correspond à une donnée longitudinale réduite de dimension d du jeu DATA-MOB-RED. Puis un découpage en tuiles de l’espace latent obtenu à l’étape E21 est réalisé par le module 2 de classement en utilisant ici un arbre k-d aussi appelé « k-d-Tree » (pour « k-dimensional Tree ») garantissant que les tuiles obtenues ne contiennent pas moins de Kmin traces de mobilité (i.e. pas moins de Kmin données réduites) associées respectivement à Kmin individus différents (étape E22). La méthode k-d-Tree est connue en soi : il s’agit d’une structure permettant d’organiser de manière optimisée des données présentes dans un espace à k dimensions selon leur répartition spatiale. Une description détaillée de la méthode k-d-Tree est donnée dans le document de C. Fleury intitulé « Le kd-Tree : une méthode de subdivision spatiale », 19 décembre 2007. Chaque tuile résultant du découpage en tuiles E22 de l’espace latent constitue un cluster C j de taille KC j, donnée par le nombre de traces (i.e. de données de localisation longitudinales réduites) que la tuile contient. Elle est associée à un représentant qui, dans le mode de réalisation décrit ici, est le centre de gravité des données de localisation longitudinales réduites classées dans cette tuile (ou cluster). Le centre de gravité n’est qu’un exemple illustratif et d’autres représentants peuvent être envisagés dès lors qu’ils permettent d’identifier de manière unique chaque cluster. Les étapes E21 et E22 permettent avantageusement de dégager un maximum de clusters (c’est-à-dire de tuiles) vérifiant un critère de taille minimale. Dans le mode de réalisation décrit ici, le module de classement 2 vérifie que chaque cluster C j identifié lors de l’étape E22 respecte un critère donné de non-discernabilité des données classées dans ce cluster (étape test E23). Si pour au moins un cluster C j0 , le critère de non-discernabilité n’est pas respecté (réponse non à l’étape E23), le cluster C j0 est invalidé (étape E24). Le module de classement 2 supprime alors du jeu DATA-MOB les données de localisation longitudinales d’origine correspondant aux données longitudinales réduites classées dans ce cluster (étape E24). Sinon (réponse oui à l’étape E23), tous les clusters sont validés et toutes les données de localisation longitudinales d’origine conservées dans le jeu DATA-MOB (étape E25). On note toutefois que l’étape test E23 (et l’étape E24 d’invalidation le cas échéant) est optionnelle et conduit à renforcer l’anonymat des données de localisation longitudinales considérées pour générer un jeu de données synthétiques. Dans le mode de réalisation décrit ici, lors de l’étape E23, le module de classement 2 considère la surface des tuiles obtenues à l’issue de l’étape E22, et considère que le critère de non-discernabilité n’est pas respecté lorsque cette surface est supérieure à un seuil déterminé. Il s’agit par là-même de supprimer les tuiles trop étendues dans l’espace qui ne permettent pas du fait de cet étalement de garantir que les données longitudinales classées dans ces tuiles soient suffisamment proches les unes des autres pour maximiser l’anonymat des individus auxquelles correspondent ces données. Par exemple, le module de classement 2 classe les tuiles par ordre de surfaces décroissantes et supprime les x premières tuiles ainsi obtenues correspondant à une surface supérieure au seuil fixé. Un tel seuil peut être un seuil absolu ou relatif, tel que par exemple un seuil relatif correspondant à la surface du 95 ème percentile des surfaces des tuiles. Selon un autre exemple, le module de classement 2 peut considérer la dispersion des données de localisation longitudinales réduites dans l’espace latent et supprimer les tuiles présentant une dispersion supérieure à un seuil donné (absolu ou relatif). Ces exemples ne sont donnés qu’à titre illustratif, et d’autres critères de non-discernabilité peuvent être considérés en variante. Cette suppression permet de supprimer les données longitudinales d’origine trop discriminantes du jeu DATA-MOB. Ainsi, dans le mode de réalisation décrit ici, on classe les données de localisation longitudinales d’origine en identifiant les clusters dans l’espace latent à partir des données longitudinales réduites correspondant aux données longitudinales d’origine. Classer les données de localisation longitudinales réduites dans l’espace latent comme proposé aux étapes E21 et E22 est donc équivalent à classer les données de localisation longitudinales d’origine : les clusters C j identifiés lors de l’étape E22 à partir des données longitudinales réduites valent également pour les données de localisation longitudinales d’origine correspondantes. Bien entendu, d’autres algorithmes de partitionnement non supervisés qu’un VAE combiné à un arbre k-d peuvent être envisagés en variante, telle que la combinaison d’un sous-échantillonnage spatio-temporel (conduisant à une réduction de la dimensionnalité des traces) suivi de l’application d’un algorithme k-means (ou des k-moyennes) sur les données de localisation longitudinales sous-échantillonnées obtenues. On peut également envisager d’utiliser un algorithme de partitionnement supervisé. Le module de classement 2 associe à chaque donnée de localisation longitudinale d’origine du jeu DATA-MOB le représentant du cluster dans laquelle la donnée de localisation longitudinale réduite correspondante est classée (étape E26). Cette association est mémorisée par le module de classement 2 par exemple dans la mémoire non volatile NVM du dispositif 1 d’anonymisation. Ainsi, dans le jeu de données longitudinales d’origine DATA-MOB, chaque donnée est associée au même cluster qu’au moins Kmin-1 autres données. Puis le module d’apprentissage 3 du dispositif 1 d’anonymisation apprend, à partir des données de localisation longitudinales d’origine du jeu DATA-MOB, un modèle génératif de diffusion DIFF conditionné par les clusters C j identifiés lors de l’étape E22 (étape E30). Par exemple, lors de l’étape E30, le module d’apprentissage 3 utilise comme modèle DIFF, un modèle de diffusion Traj-UNET tel que décrit dans le document de Y. Zhu et al. intitulé « DiffTraj: Generating GPS Trajectory with Diffusion Probabilistic Model », 37 th Conference on Neural Information Processing Systems, NeurIPS 2023, adapté pour prendre en compte comme variables de conditionnement pendant l’apprentissage, les représentants (centres de gravité ici) des clusters C j identifiés lors de l’étape E22 (et qui n’ont pas été invalidés lors de l’étape E24) et associés lors de l’étape E26 aux données de localisation longitudinales d’origine. Le conditionnement d’un modèle génératif par les clusters C j ne pose en soi aucune difficulté pour l’homme du métier et n’est pas décrit plus en détail ici. On note par ailleurs que l’invention peut également s’appliquer à un autre modèle génératif qu’un modèle de diffusion comme par exemple un GAN dès lors que celui-ci est conditionné par les clusters C j . Puis, le module de génération 4 du dispositif 1 d’anonymisation génère, dans chaque cluster C j identifié lors de l’étape E22 et qui dans le mode de réalisation décrit ici, n’a pas été invalidé lors de l’étape E24, un nombre NC j de données synthétiques en utilisant le modèle de diffusion génératif appris lors de l’étape E30 d’apprentissage (étape E40). Les nombres NC j sont choisis de sorte à tenir compte de la distribution par cluster des données de localisation longitudinale d’origine du jeu DATA-MOB dans les clusters C j considérés lors de l’étape d’apprentissage E30. Plus précisément, dans le mode de réalisation décrit ici, si on désigne par DATA-S le jeu de données synthétiques générées en exploitant le modèle de diffusion génératif DIFF appris lors de l’étape E30, la proportion des données synthétiques DATA-S qu’il est demandé au modèle de diffusion génératif DIFF de générer dans chaque cluster est choisie identique à la proportion des données longitudinales d’origine DATA-MOB classées dans chaque cluster C j lors de l’étape E20. Par exemple, pour chaque cluster C j , on génère un nombre NC j de données synthétiques dans ce cluster égal à β=10 fois le nombre KC j de données longitudinales d’origine classées dans ce cluster. Bien entendu, ce facteur de proportionnalité β=10 n’est donné qu’à titre illustratif et d’autres valeurs de β peuvent être envisagés, le même facteur de proportionnalité β étant appliqué à chaque cluster pour respecter autant que possible la distribution des données longitudinales d’origine. Ce respect de la distribution des données d’origine garantit l’utilité statistique des données synthétiques générées. Dans le mode de réalisation décrit ici, le dispositif 1 d’anonymisation met en œuvre une étape supplémentaire (optionnelle) de vérification de la conformité (i.e. fidélité) de la distribution des données synthétiques générées avec la distribution des données d’origine, cette étape comprenant un ajustement des données synthétiques générées si besoin par son module d’ajustement 5 pour améliorer cette conformité (étape E50). Ces étapes sont mises en œuvre de façon itérative, tant qu’un critère de fidélité déterminé n’est pas respecté ou un nombre maximum d’itérations n’a pas été atteint. Plus particulièrement, lors d’au moins une itération, le module d’ajustement 5 applique sur les données synthétiques générées DATA-S l’encodeur du VAE appris lors de l’étape E21 et obtient une représentation réduite dans l’espace latent des données synthétiques DATA-S (étape E51). On désigne par DATA-S-RED les données synthétiques réduites obtenues. Le module d’ajustement 5 détermine alors la distribution (en nombre) des données synthétiques réduites DATA-S-RED dans les clusters C j qui avaient été appris sur les données longitudinales d’origine (étape E52). A cet effet par exemple, il affecte chaque donnée synthétique réduite au cluster C j dont le représentant est en distance le plus proche de la donnée synthétique réduite en question, et évalue le nombre de données synthétiques réduites affectées à chaque cluster C j . Puis il compare la distribution obtenue par rapport à la distribution des données longitudinales réduites DATA-MOB-RED dans les clusters C j au regard d’un critère de fidélité déterminé (étape test E53). Ce critère de fidélité est par exemple l’identité des distributions dans chaque cluster ou pour un nombre minimal donné de clusters, ou l’identité des distributions pour chaque cluster ou un nombre minimal donné de clusters à un seuil de tolérance près, etc. Si ce critère n’est pas respecté (réponse non à l’étape test E53), le module d’ajustement 5 ajuste pour au moins un cluster C j le nombre de données synthétiques générées lors de l’étape E40 pour ce cluster au moyen du modèle de diffusion DIFF (étape E54). Plus particulièrement, le module d’ajustement 5 redresse à la hausse ou à la baisse la quantité NC j de données synthétiques générées pour ce cluster lors de l’étape E40 en fonction du résultat de la comparaison (par exemple, si ce cluster est sur-représenté ou sous-représenté). Typiquement, si pour un cluster C j , le module d’ajustement 5 détermine lors de l’étape E53 que le nombre de données synthétiques réduites DATA-S-RED classées dans ce cluster est inférieur, au facteur de proportionnalité β près, au nombre de données de localisation d’origine réduites classées dans ce cluster lors de l’étape E20, il regénère des données synthétiques DATA-S dans ce cluster au moyen du modèle de diffusion DIFF de sorte à obtenir un nombre identique (au facteur de proportionnalité β près). A chaque génération de nouvelles données synthétiques, le module d’ajustement 5 réitère les étapes E51 à E54 jusqu’à obtenir une distribution des données synthétiques DATA-S conforme à la distribution des données longitudinales d’origine au regard du critère de fidélité considéré. On note que si MC j désigne le nombre de données synthétiques manquantes dans un cluster C j , le module d’ajustement 5 peut solliciter, lors d’une unique inférence, le modèle de diffusion DIFF pour générer un nombre M supérieur à MC j (par exemple 10 fois ou 20 fois supérieur) de données synthétiques dans le cluster C j , puis ne conserver que le nombre MC j souhaité parmi celles qui après application de l’encodeur du VAE appartiennent bien au cluster C j . Ceci permet de limiter le nombre d’inférences du modèle génératif. Si au contraire, pour un cluster C j , le module d’ajustement 5 détermine lors de l’étape E53 que le nombre de données synthétiques réduites DATA-S-RED classées dans ce cluster est supérieur, au facteur de proportionnalité β près, au nombre de données de localisation d’origine réduites, il supprime dans le jeu DATA-S des données synthétiques générées par le modèle génératif DIFF dans ce cluster C j . Les sous-étapes E51 à E54 sont réitérées tant que le critère de fidélité qui a été fixé n’est pas respecté ou un nombre maximum d’itérations n’a pas été atteint (étape test E55). La FIG. 5 illustre une représentation des données synthétiques DATA-S générées à partir des données longitudinales d’origine de la FIG. 2 . Dans le mode de réalisation décrit ici, à l’issue des itérations, le module d’ajustement 5 attribue un indice de confiance aux données synthétiques générées (étape E60). Cet indice de confiance dépend par exemple du respect du critère de fidélité considéré lors de l’étape E50, et incidemment d’une différence éventuellement subsistant entre la distribution des données synthétiques DATA-S et la distribution des données de localisation longitudinales d’origine DATA-MOB. Typiquement, l’indice de confiance peut être attribué en fonction de la comparaison, pour chaque cluster, de la dispersion des données longitudinales d’origine avec la dispersion des données longitudinales synthétiques dans ce cluster, et de l’agrégation (par exemple sous la forme d’un histogramme) sur tous les clusters des résultats obtenus pour chaque cluster. Un tel indice de confiance permet de vérifier la couverture homogène de chaque cluster. Par ailleurs, l’indice de confiance peut prendre en compte les clusters non représentables par les données synthétiques, c’est-à-dire ceux que le modèle génératif DIFF n’a pas réussi le cas échéant à peupler lors de la génération des données longitudinales synthétiques. L’indice de confiance peut également tenir compte des clusters invalidés lors de l’étape E23. D’autres éléments encore peuvent être pris en compte lors de l’attribution de l’indice de confiance.A l’issue du procédé d’anonymisation, les données synthétiques DATA-S sont mémorisées avec leur indice de confiance, par exemple dans la mémoire non volatile NVM du dispositif 1 d’anonymisation et/ou fournies à une entité tierce pour stockage et utilisation ultérieure (étape E70). Il convient de noter que d’autres vérifications peuvent être réalisées par le dispositif 1 d’anonymisation (ou par une entité tierce) sur les données synthétiques DATA-S en sus ou en remplacement de celle effectuée lors de l’étape E50. Par exemple, on peut envisager d’évaluer un ou plusieurs critères exogènes permettant de qualifier la représentativité des données synthétiques DATA-S par rapport aux données réelles de localisation longitudinales d’origine DATA-MOB, plutôt que de comparer leurs formes réduites comme lors de l’étape E50. Par exemple, on peut envisager un critère d’indiscernabilité des données synthétiques DATA-S par rapport aux données de localisation longitudinales d’origine DATA-MOB, évalué en utilisant une distance de Fréchet ou à base de confidentialité différentielle. Bien entendu, ceci n’est qu’un exemple illustratif non limitatif de l’invention. Procédé d’anonymisation de données de localisation longitudinales dites d’origine relatives à une pluralité d’individus, ledit procédé comprenant : une étape (E20) de classement, au moyen d’un algorithme de partitionnement non supervisé, desdites données de localisation longitudinales d’origine en une pluralité de clusters, chaque cluster ayant une taille minimale supérieure ou égale à un seuil donné ; une étape (E30) d’apprentissage, à partir de dites données de localisation longitudinales d’origine, d’un modèle génératif conditionné par ladite pluralité de clusters ; et une étape (E40) de génération de données synthétiques au sein de chaque cluster, en utilisant ledit modèle génératif et en tenant compte d’une distribution sur chaque cluster des données de localisation longitudinales d’origine utilisées lors de l’étape d’apprentissage du modèle génératif. Procédé d’anonymisation selon la revendication 1 comprenant en outre au moins une itération incluant : une étape (E51) d’application aux données synthétiques de l’algorithme de partitionnement utilisé lors de l’étape de classement ; et si une distribution des données synthétiques sur la pluralité de clusters ne respecte pas un critère de fidélité déterminé par rapport à ladite distribution des données de localisation longitudinales d’origine, une étape d’ajustement (E54) pour au moins un cluster d’un nombre de données synthétiques générées au moyen du modèle génératif au sein de ce cluster. Procédé d’anonymisation selon la revendication 1 ou 2 dans lequel lors de l’étape de génération, le nombre de données synthétiques générées au sein d’un cluster en utilisant le modèle génératif est proportionnel au nombre de données de localisation longitudinales d’origine classées lors de l’étape de classement dans ce cluster. Procédé d’anonymisation selon l’une quelconque des revendications 1 à 3 dans lequel chaque cluster identifié lors de l’étape de classement vérifie en outre un critère de non-discernabilité des données de localisation longitudinales d’origine classées dans ce cluster. Procédé d’anonymisation selon l’une quelconque des revendications 1 à 4 dans lequel ledit algorithme de partitionnement comprend l’application (E21) d’un auto-encodeur variationnel combiné à un découpage (E22) en tuiles d’un espace latent de l’auto-encodeur variationnel, un cluster correspondant à une dite tuile. Procédé d’anonymisation selon la revendication 5 dans lequel suite au découpage en tuiles de l’espace latent, les tuiles ayant une surface supérieure à un seuil donné sont invalidées et les données de mobilité longitudinales d’origine classées dans ces tuiles sont supprimées avant l’étape d’apprentissage (E24). Procédé d’anonymisation selon l’une quelconque des revendications 1 à 6 comprenant en outre une étape d’attribution (E60) d’un indice de confiance aux données synthétiques. Procédé d’anonymisation selon l’une quelconque des revendications 1 à 7 dans lequel ledit modèle génératif est un modèle basé sur une diffusion. Programme d’ordinateur (PROG) comportant des instructions pour la mise en œuvre d’un procédé d’anonymisation selon l’une quelconque des revendications 1 à 8 lorsque ledit programme est exécuté par un ordinateur. Support d’enregistrement lisible par un ordinateur sur lequel est enregistré un programme d’ordinateur selon la revendication 9. Dispositif (1) d’anonymisation de données de localisation longitudinales dites d’origine relatives à une pluralité d’individus, ledit dispositif comprenant : un module (2) de classement, configuré pour classer, au moyen d’un algorithme de partitionnement non supervisé, lesdites données de localisation longitudinales d’origine en une pluralité de clusters, tous les clusters ayant une taille supérieure ou égale à un seuil donné ; un module (3) d’apprentissage, configuré pour apprendre à partir de dites données de localisation longitudinales d’origine un modèle génératif conditionné par ladite pluralité de clusters ; et un module (4) de génération, configuré pour générer des données synthétiques au sein de chaque cluster en utilisant ledit modèle génératif et en tenant compte d’une distribution par cluster des données de localisation longitudinales d’origine utilisées pour apprendre le modèle génératif.