FR 3077894 A1 20190816 FR 1851182 A 20180213 PROCEDE DE TRAITEMENT AUTOMATIQUE POUR L'ANONYMISATION D'UN JEU DE DONNEES NUMERIQUES Domaine de l'invention La présente invention concerne le domaine du traitement des données numériques et plus particulièrement des traitements automatiques de grands volumes de données numériques consistant à modifier le contenu et/ou la structure de ces données afin de rendre très difficile ou impossible la « ré-identification » des personnes (physiques ou morales) ou des entités concernées, notamment en procédant à l'anonymisation. Les entreprises accumulent aujourd'hui d'importants volumes de données dont le traitement et la monétisation peut 15 créer de la valeur. Ces données couvrent les données à caractère personnel ce qui les soumet à des exigences réglementaires et éthiques avant leur diffusion. L'anonymisation des données est donc une étape cruciale pour prévenir l'accès aux données à caractère personnel. 20 L'anonymisation engendre généralement une perte d'informations qu'il faudra cependant contrôler afin de garder l'utilité des données pour les utilisateurs. Afin de bien cibler l'anonymisation, il convient donc de décider des variables qualifiées comme identificatrices ou comme sensibles à la 25 divulgation. Une analyse rationnalisée des attributs d'un jeu de données, de leurs caractéristiques et de leurs modalités est donc indispensable pour faire la classification des attributs, préalable aux exercices d'anonymisation et/ ou d'évaluation du risque de divulgation des données à caractère 30 personnel. La rationalisation de l'identification des attributs pour anonymisation permettre de résoudre les potentiels problèmes de subjectivité et / ou de non précision des analyses, qui pourront émerger quand la classification des 2 attributs est laissée au choix de l'utilisateur/ anonymisateur et ne se base pas sur l'avis d'un expert. Le choix d'anonymiser des données résulte souvent 5 d'un compromis déontologique, juridique et éthique, entre une volonté ou une obligation de protéger les individus et leurs données personnelles. L'anonymisation est en particulier employée pour la diffusion et le partage de données jugées d'intérêt public, comme les données ouvertes (Open data). 10 Une première étape consiste généralement à supprimer les identifiants des fiches ou des bases de données concernées tels que les noms, prénoms, identifiants fiscaux, numéros de sécurité sociale,... L'étape suivante consistera à appliquer aux fichiers ou bases de données des « filtres » et « transformations cryptographiques » (ex : chiffrement et/ou hachage de données par un algorithme dédié, par exemple SHA pour Secure Hash Algorithm), mais avant ce travail, le gestionnaire des données procède ou fait procéder à une étude clarifiant son besoin d'anonymisation, ses objectifs et ses exigences (ex : doit-il y avoir une réversibilité possible de l'anonymisation), hiérarchisant le cas échéant les données à protéger, selon leur degré de "sensibilité" et en fonction de la finalité du traitement que doivent ensuite subir les informations. Il peut ainsi produire et comparer plusieurs scenarii d'anonymisation pour mieux choisir la solution lui semblant la plus pertinente (en fonction de ses exigences, et des exigences de la Loi). Dans tous les cas l'anonymisation doit résister aux attaques par dictionnaire. Plusieurs phases et niveaux d'anonymisation se succèdent parfois : par exemple l'hôpital procède à une première anonymisation, le centre de traitement des données peut ensuite compléter ce travail, et les utilisateurs secondaires (chercheurs en général) peuvent encore sur- anonymiser la donnée retravaillée (avant sa publication dans 3 une revue ou distribution à d'autres utilisateurs). De nombreuses méthodes existent (effacement de certaines données (suppression) et/ou transcodage manuel, généralisation, ajout de bruit; utilisation de pseudonymes par exemple pour le 5 couple médecin/patient ; de chiffrement (généralement avec une clé publique - éventuellement fragmentée - possédée par l'autorité compétente). Dans le domaine médical, la notion d'identité anonymisée et de ré-identification du patient concerne les 10 moyens directs et indirects de ré-identification (ex : nom, adresse...) mais également les données chiffrées si le moyen de décryptage est disponible. Pour limiter les risques de fuites d'informations, une personnes (ex : un patient) ne figure dans une base de 15 donnée anonyme que si cela est obligatoire ou vraiment utile, et à un projet peut n'être associé qu'une seule base anonymisée. Une sécurité juridique accrue est obtenue si toutes les personnes y figurant ont donné leur consentement (par écrit ou via la fourniture de son identifiant, pour une 20 étude de nature médico-commerciale, par exemple, mais ce type de base induit des biais d'interprétation. Bien entendu, à chaque niveau de production ou stockage de données : 25 - Les personnels internes doivent être soumis à des mécanismes de contrôles d'accès devant interdire tout accès non autorisé ; - Des mécanismes doivent être prévus pour détecter et bloquer les tentatives d'intrusion (par l'Internet ou 30 d'autres moyens) et en particulier les tentatives malveillantes d'inférence de données, d'abus de pouvoir, etc. Etat de la technique 4 La demande de brevet WO 2015066523 décrit un exemple de procédé implémenté par ordinateur, pour fournir de meilleurs niveaux de confidentialité des données, d'anonymat et de sécurité en autorisant des sujets auxquels des données 5 appartiennent, à rester "anonymes de façon dynamique," autrement dit anonymes aussi longtemps qu'ils le souhaitent et dans la mesure souhaitée. Des modes de réalisation comprennent des systèmes qui créent, accèdent à, utilisent, enregistrent et/ou effacent 10 des données avec des niveaux accrus de confidentialité, anonymat et sécurité, pour obtenir ainsi des informations mieux qualifiées et plus précises. Pour les données devant être partagées avec des tiers, des modes de réalisation peuvent rendre possible un partage contrôlé d'informations qui 15 permet de délivrer des informations limitées temporellement, géographiquement et/ou par l'usage, à la partie réceptrice. Dans un exemple, des scores de mesures d'anonymat peuvent être calculés pour les éléments de données partagés, de sorte qu'un niveau de consentement/engagement requis par l'objet de 20 données avant le partage des éléments de données pertinents à des tiers puisse être spécifié. La demande de brevet W02012080081 porte sur un procédé mis en oeuvre par ordinateur d'anonymisation de données provenant d'une source de données pour une application 25 cible, le procédé consistant à : identifier des éléments de données sensibles dans des données provenant de la source de données par l'intermédiaire d'un outil de découverte et générer des définitions de données pour des éléments de données indiquant les éléments de données sensibles, les 30 définitions de données comprenant au moins une propriété pour les éléments de données ; spécifier un ensemble de règles de moteur d'exécution comprenant au moins une règle de moteur d'exécution, la règle de moteur d'exécution comprenant un protocole d'anonymisation de moteur d'exécution, l'ensemble de 35 règles de moteur d'exécution étant spécifiées par 5 l'intermédiaire d'une interface ; mapper l'ensemble de règles de moteur d'exécution aux définitions de données générées par l'outil de découverte pour chacun des éléments de données sensibles ; et consommer les définitions de données générées 5 et appliquer le protocole d'anonymisation de moteur d'exécution mappé à la définition de données d'élément de données sensible, afin d'anonymisation l'élément de données sensible pour l'application cible. On connaît aussi la demande de brevet EP2752786 qui 10 décrit un dispositif d'anonymisation et un procédé d'anonymisation caractérisés en ce que toutes les données satisfont des niveaux demandés d'anonymat pour chacune, et en ce qu'ils empêchent la perte de valeur de l'information qui résulte de l'abstraction de la collection de données tout 15 entière. Le présent dispositif d'anonymisation comprend : un moyen d'anonymisation servant à effectuer un traitement d'anonymisation lors duquel un groupe de données est traité comme une unité de traitement pour une collection de données comprenant au moins deux données ; un moyen de spécification 20 du niveau d'anonymat servant à spécifier un niveau d'anonymat adaptatif pour chaque groupe ; et un moyen d'évaluation de l'anonymat servant à juger si un groupe satisfait le niveau d'anonymat adaptatif spécifié. Le moyen d'anonymisation, sur la base du résultat d'évaluation du moyen d'évaluation de 25 l'anonymat, effectue de plus un traitement d'anonymisation de la collection de données pour laquelle le traitement d'anonymisation a été effectué. La demande de brevet européenne EP2573699 décrit un autre exemple de dispositif d'anonymisation servant à 30 configurer automatiquement un arbre hiérarchique général de valeurs d'attribut dans la technologie de protection des informations d'identité. De plus, le dispositif d'anonymisation décrit, évalue quantitativement la quantité d'informations qui est perdue lors de la généralisation d'une 35 valeur d'attribut, et peut ainsi automatiquement évaluer des 6 priorités entre des données anonymisées et entre des données qui sont en cours d'anonymisation. Des informations de chaque personne comprennent des valeurs d'attribut de la personne pour une pluralité d'attributs. Une anonymisation est réalisée 5 par obscurcissement des valeurs d'attribut, et une structure dans laquelle des valeurs d'attribut devant être obscurcies, sont exprimées dans une structure arborescente conformément au niveau d'obscurcissement est appelée arbre hiérarchique général. Le dispositif d'anonymisation d'informations 10 d'identité décrit réalise une configuration automatique par configuration d'un arbre à l'aide d'informations de fréquence de valeurs d'attribut. De plus, par définition d'un moyen de mesure de quantité d'informations perdue, à l'aide de l'arbre hiérarchique général, une quantité d'informations perdue entre 15 deux données anonymisées ou entre des données en cours d'anonymisation est quantitativement évaluée. La demande de brevet US 2107/ 0124336 décrit une méthode automatisée d'identification des attributs pour l'exercice d'anonymisation. Cette méthode se base sur un 20 cryptage des données, étape préalable à l'étude du niveau de sensibilité des données et donc de leurs degrés d'exigence en termes d'anonymisation. Ce brevet propose trois méthodes pour choisir les valeurs / attributs pour anonymisation. Une première méthode consiste en la comparaison des différentes 25 valeurs avec des valeurs présentes dans un dictionnaire, auxquelles sont associés différents niveaux de sensibilité. Les attributs pour lesquels la présence des valeurs sensibles dans le jeu de données dépasse un certain seuil prédéterminé, seront sélectionnés pour anonymisation. Une deuxième méthode 30 de classification est basée sur une comparaison des distributions des valeurs d'un attribut dans le jeu de données et dans une distribution connue. Cette méthode peut confirmer les résultats de la première méthode d'identification des attributs à anonymiser. Une dernière méthode est de fournir à 35 l'anonymisateur une partie du jeu de données dans sa version 7 originale (avant cryptage) et de générer à partir de cet échantillon un nombre d'expressions pour un ou plusieurs attribut(s). Le reste du jeu de données sera crypté et comparé à ces expressions générées afin d'identifier certains 5 attributs et leur sensibilité. Inconvénients de l'art antérieur Les solutions de l'art antérieur sont adaptées pour préparer des bases de données anonymisées lors de leur création. Par contre, ces solutions ne permettent pas de faire 10 évoluer facilement l'anonymisation, par exemple lorsque l'ajout de nouvelles entrées modifie le contexte de d'anonymisation. Les solutions de l'art antérieur nécessitent dans ce cas le retraitement de l'intégralité de la base de données, ce qui peut nécessiter un temps de calcul 15 considérable, pour des bases de données pouvant représenter plusieurs téraoctets. Par ailleurs, les solutions de l'art antérieur ne permettent pas d'ajuster de manière flexible, et dynamiquement évolutive, le niveau d'exigence d'anonymisation en fonction 20 des possibilités de ré-identification par des traitements élaborés des données. Une anonymisation trop exigeante conduit à la perte de toute utilité/valeur des données. Par contre, si on privilégie la richesse des 25 informations accessibles par le traitement des données, l'anonymisation risque d'être insuffisante au regard des normes règlementaires. Cet arbitrage entre ces deux contraintes évolue en fonction du nombre et de la nature des entrées enregistrées 30 dans la base de données. A titre d'exemple, une information relative au sexe combinée avec une information relative à l'âge peut être identificatrice, ce qui nécessite une action de transformation/ anonymisation, surtout lorsque le jeu de 8 données contient en plus des informations relatives à une pathologie donnée. Toutefois, si la totalité des entrées/ enregistrements correspondent à un même sexe, ou à une même tranche d'âge, l'information n'est en réalité pas 5 identificatrice. Mais si des entrées nouvelles modifient cette situation, l'information « sexe » ou « âge » peut nécessiter un traitement différent. De plus, l'anonymisation nécessite une étape préalable d'identification des attributs / valeurs à 10 anonymiser. Cette étape est laissée au choix de l'anonymisateur/ utilisateur et est donc sujette à un problème de subjectivité et de non précision de la classification. De plus, même les travaux qui se concentrent sur la classification des attributs, ne fournissent pas de 15 méthodologie claire et documentée de qualification des attributs. Solution apportée par l'invention La présente invention vise à remédier à ces 20 inconvénients en proposant un procédé permettant d'avoir différents niveaux d'anonymisation au travers d'une classification des variables d'une base de données. L'invention concerne selon son acception la plus générale un procédé de traitement automatique d'un jeu de 25 données numériques consistant : - à enregistrer dans une mémoire non permanente un jeu de données originelles, - à enregistrer dans une mémoire permanente o un fichier numérique constitué par une table 30 déterminant au moins des identifiants/ dénominations des variables, et pour chacune desdites variables - un paramètre « Statut identifiant » [identifiant « I », quasi-identifiant « QI », non identifiant « NP »] 9 - un paramètre « Statut Sensibilité » [: oui « S », ou non « NS »]. Ce paramètre dépend de la définition de sensibilité retenue : - Sensibilité « réglementaire », se limitant 5 aux exigences juridiques en termes de protection de la vie privée. - Sensibilité « générale », englobant d'autres aspects comme le psychologique, le culturel,_ 10 o Un fichier numérique constitué par une table de variables de recensement de la population de référence avec pour chacune - Les différentes modalités/ valeurs prises par chaque variable selon le recensement 15 - La fréquence d'apparition de chaque modalité dans la population de référence (France, Etats Unis,..) - Un ordre du pouvoir d'identification des différentes variables du recensement 20 o Un fichier numérique constitué par une table de variables avec un ordre établi du degré de facilité (208) par lequel un potentiel attaquant peut accéder à l'information sur les différentes variables. Cet 25 ordre peut être déduit de certaines bases de données retraçant l'historique des attaques. o Un fichier numérique constitué par une table d'attributs « sensibles », pour lesquels les valeurs/ 30 modalités sont classées par ordre de sensibilité. Le procédé consistant à appliquer : - un premier traitement se basant sur le référentiel des attributs, noté « Classification Initiale » consistant à 10 o associer à chacune des variables dudit jeu de données originel un paramètre « statut » et à traiter les variables associées à un statut « caché» (« 1 », « QI » ou « S »), c'est-à-dire nécessitant 5 une action avant partage des données, pour empêcher leur utilisation normale (sans anonymisation par exemple) dans ledit jeu de données o à affecter à chacune des variables associées à un statut « NP» / « NS» un drapeau de non traitement et 10 de conservation définitifs dans le jeu de données final - un deuxième traitement concernant les variables résiduelles associées à un statut « quasi-identifiant » 15 consistant à : o Interdire leur exploitation consistant à affecter un statut « caché» pour empêcher leur utilisation normale dans la version finale dudit jeu de données OU 20 o affecter à chacune desdites variables résiduelles : - un premier indicateur correspondant à la disponibilité de la valeur associée à partir de sources de données extérieures, par exemple à partir d'un web crawler ou d'un référentiel ou 25 d'historiques d'attaques et/ou - un second indicateur correspondant à la fréquence des valeurs de ladite variables associées dans la population générale (appelée 30 aussi population de référence) dont le jeu de données constitue un sous-ensemble o à ordonner chacune desdites variables résiduelles en fonction desdits indicateurs associés, ce qui se traduira par exemple par des niveaux de traitement/ 35 anonymisation différents lors du processus 11 d'anonymisation. Cet ordre traduit la classification finale des attributs affectés à une séquence numérique « QI ». 5 un troisième traitement concernant les variables résiduelles associées à un paramètre de sensibilité « règlementaire » consistant à : o Interdire leur exploitation consistant à affecter un statut « caché» pour empêcher leur utilisation 10 normale dans la version finale (215) dudit jeu de données OU o Affecter à chacune de ces variables résiduelles un indicateur de sensibilité en se référant à une liste 15 de variables sensibles avec leurs différentes modalités/ valeurs allant des plus sensibles aux moins sensibles. Ces indicateurs sont calculés sur la base de la fréquence d'apparition des valeurs les plus sensibles de l'attribut sensible. Ils seront 20 ensuite comparés à un seuil de fréquence « acceptable » préalablement défini. o Garder pour chacune des variables résiduelles caractérisées, par une fréquence d'apparition des valeurs sensibles supérieure à une valeur seuil, 25 leur statut « caché» pour empêcher leur utilisation normale dans ledit jeu de données. o Affecter aux variables restantes un statut « caché » mais plus « flexible » en termes d'exigences de traitements lors du processus d'anonymisation. 30 Selon un mode de mise en oeuvre particulier, un quatrième traitement concernant les variables résiduelles associées à un paramètre de sensibilité o générale » consistant à affecter à certaines desdites variables un statut « caché» pour empêcher leur 35 utilisation normale dans ledit jeu de données. 12 Selon une variante, le procédé comporte avant l'étape de première classification un traitement pour affecter à chacune des variables pour lesquelles aucune correspondance 5 avec le référentiel des attributs (201) n'est établie, un statut provisoire dans le référentiel des attributs (201), qui peut être modifié en statut définitif ou rejeté selon l'avis d'un opérateur. 10 Avantageusement, le procédé comporte en outre une étape consistant à appliquer dynamiquement aux variables non associables au référentiel des attributs, un traitement spécifique consistant à enregistrer dans ledit référentiel le couple « variable, statut » en attente de validation/ rejet 15 selon l'avis d'un opérateur. Cela impliquerait aussi des enrichissements potentiels des référentiels de « Pouvoir d'identification » (207) et/ ou de « sensibilité ». Selon une variante, lesdits traitements sont 20 appliqués périodiquement [par exemple lors de chaque évolution du jeu de données (210) ou à chaque évolution du cadre réglementaire]. Avantageusement, lesdits traitements appliqués aux 25 variables / valeurs « cachées» consistent à : supprimer lesdites variables / valeurs (notamment pour les variables affectées au statut « 1 ») enregistrer lesdites variables dans une DMZ l'anonymisation d'une partie au moins des valeurs 30 correspondant auxdites variables. Description détaillée d'un exemple non limitatif de l'invention 13 La présente invention sera mieux comprise à la lecture de la description détaillée d'un exemple non limitatif de l'invention qui suit, se référant aux dessins annexés, où : - La figure 1 représente du logigramme de 5 l'ensemble des traitements. - La figure 2 représente l'ensemble des modules des traitements pour la mise en oeuvre de l'invention. - La figure 3 présente une vue détaillée du logigramme de la première étape de classification. 10 - La figure 4 présente une vue détaillée du logigramme de l'analyse du pouvoir d'identification des attributs. - La figure 5 présente une vue détaillée du logigramme de l'analyse de la sensibilité des 15 attributs. Contexte de l'invention La présente invention concerne la classification automatique des attributs d'un jeu de données numériques 20 permettant de mieux cibler les exercices d'anonymisation et/ ou d'évaluation du risque de ré-identification (RI). Le but est d'automatiser les traitements techniques permettant d'assurer le respect du cadre règlementaire sur la protection des données à caractère personnel. 25 La multiplication des données à caractère personnel et les évolutions juridiques et légales dans ce domaine rendent l'exercice de l'anonymisation des bases de données un enjeu pour les propriétaires/ utilisateurs des bases de données numériques. 30 Certains organismes nationaux et européens tels que la CNIL ou le G29 insistent sur l'importance de la protection des données à caractère personnel, en proposant des méthodologies d'anonymisation permettant d'avoir un compromis entre la protection de la vie privée et l'exploitation des 14 données. Le cadre réglementaire est renforcé en plus par le règlement européen sur la protection des données (RGPD) qui vise à harmoniser les législations européennes sur la question de la protection des données à caractère personnel. Afin de 5 garantir la protection des données, les travaux d'anonymisation devront être vérifiés en évaluant le risque de ré-identification des données à caractère personnel. L'anonymisation et l'évaluation du risque de divulgation des données à caractère personnel concernent 10 généralement certaines variables d'un jeu de données, particulièrement celles ayant un caractère identifiant ou celles ayant un caractère sensible. En même temps, l'anonymisation implique une perte d'information sur le jeu de données, pouvant affecter l'utilité des données pour des 15 utilisateurs tels que les chercheurs. Pour cela, il est pertinent pour un utilisateur ou propriétaire des données de bien cibler les variables sur lesquelles l'anonymisation ou la mesure de risque de ré-identification seront effectuées. Ainsi, la classification des attributs d'un jeu de données 20 serait-elle un atout pour faire l'équilibre entre l'obligation du respect de la vie privée et la garantie de l'utilité des données. La classification des attributs est effectuée par un traitement « manuel » par le propriétaire des données et 25 reste liée à son appréciation. Cela laisse la question de la classification des variables sujette à la subjectivité et donc pouvant engendrer des décisions d'anonymisation ou d'évaluation du risque de ré-identification qui ne sont pas en conformité avec les exigences de la manipulation des données à 30 caractère personnel. De plus, le contexte de diffusion des jeux de données, l'évolution des lois et des coutumes ainsi que les caractéristiques de certains jeux de données font que la classification des variables n'est pas définitive et qu'une appréciation d'expert est toujours souhaitable pour garantir 35 l'utilisation éthique des données à caractère personnel. 15 Au vu de ces éléments, Il existe donc un problème technique lié à l'analyse préalable (manuelle ou automatique) des attributs d'un jeu de données afin de bien cibler les exercices d'anonymisation et/ ou d'évaluation du risque de ré- 5 identification des données par un attaquant potentiel du jeu de données. Il existe dans ce cas un besoin de rationaliser la classification des attributs afin d'introduire tout d'abord de 10 l'objectivité à cette tâche souvent sujette à la subjectivité, de manière automatique compte tenu du nombre considérable de données nécessitant un traitement, dans certaines applications. Cela rendra possible la comparaison entre jeux de données de même nature, en termes de risque de divulgation. 15 Une bonne classification des attributs facilitera la décisions concernant les méthodes d'anonymisation et / ou de mesure de risque de divulgation des données à caractère personnel. De plus, avoir une classification des attributs qui dépend du jeu de données et qui n'est pas forcément définitive offre plus de 20 flexibilité pour les propriétaires des données pour pouvoir satisfaire différents couples contextes d'utilisation/nature des clients. La présente invention propose une méthodologie de 25 classification des attributs afin d'aider les propriétaires des données à partager leurs données tout en respectant les exigences des données à caractère personnel de manière automatique et de manière dynamique, permettant de faire évoluer automatiquement les paramètres en fonction de 30 l'introduction de nouvelles données dans la base de données. Le propriétaire des données accède à un jeu de données comportant des attributs. Chaque attribut a une dénomination permettant de le classer. Chaque attribut peut 35 prendre différentes modalités/ valeurs et peut être donc aussi 16 classer selon la composition de ces valeurs (distribution, fréquence ou autre). L'innovation de cette méthodologie de classification réside donc particulièrement dans 5 l'intervention des modalités des différents attributs d'un jeu de données dans le processus de classification des attributs. Description de l'invention 10 Cette invention comporte deux étapes de classification des données. La classification commence par une première étape, où les attributs du jeu de données à traiter sont soumis à un premier classement, en se servant d'une base de données créée appelée « Référentiel des attributs ». Cette 15 invention sera décrite selon un exemple détaillé en référence aux figures 1 à 5 annexées présentant l'architecture fonctionnelle et les logigrammes des principaux modules fonctionnels. 1- Référentiel des attributs (201) 20 Le «Référentiel des attributs» (201) consiste à appliquer une classification des attributs selon deux principaux critères d'anonymisation des données personnelles à savoir : - leur caractère identifiant (202) et 25 - leur caractère sensible (203) Le caractère identifiant (202) se traduit par l'enregistrement d'une séquence numérique pouvant prendre trois états : « I » lorsque la variable est directement identificatrice comme le numéro de sécurité sociale , « QI » 30 lorsque la variable peut devenir identificatrice, combinée avec d'autres variables associées à un même état comme le code postal, ou « NP ». Les variables associées à la séquence numérique « NP » ne font pas l'objet d'un traitement dans le 17 cadre de cette invention, ce qui peut réduire le temps de calcul dans le processus/ la démarche d'anonymisation (204). Le caractère sensible (203) se traduit par l'enregistrement d'une séquence numérique pouvant prendre deux états : « S » 5 lorsque la variable est sensible dans le sens où sa divulgation doit être évitée et « NS » dans les autres cas. Le référentiel (201) se traduit par un fichier rassemblant des variables, recensées à partir de l'état de l'art, des préconisations des instituts de protection de la 10 vie privée ainsi que des cas d'usage rencontrés. Ces variables sont classées par catégorie afin de faciliter l'utilisation du référentiel lors de la classification des attributs d'un jeu de données considéré. Les catégories recensées sont les suivantes : santé, éducation et travail, adresses, numéros et 15 dates_ La classification des attributs est ensuite basée sur deux éléments: - le caractère identifiant (202) des attributs et précisément leur pouvoir d'identification des 20 attributs, et - le caractère sensible (203) des données au sens de la loi et aussi plus généralement au sens des coutumes, société_ Pour le caractère sensible, on considère : 25 - l'appartenance à une catégorie particulière au sens juridique et - une sensibilité plus générale ne se limitant pas au niveau d'exigence juridique. Les attributs appartenant, selon la loi, à une 30 «catégorie particulière» sont classés en tant que variables sensibles affectées de la séquence numérique « S », par exemple les données de santé, le casier judiciaire_ La sensibilité « générale » ne se réduit cependant pas à la sensibilité juridique ; elle prend en compte des 35 aspects éthiques et sociaux. Le nombre de redoublements par 18 exemple peut être considéré comme une variable sensible, et donc cette variable pourra être associée à une séquence « S » ou « NS » selon le choix de l'utilisateur. Ces critères sont issus de la littérature sur 5 l'anonymisation et leur prise en compte pour faire la catégorisation des variables permet d'atténuer la subjectivité de la qualification et des analyses. En effet, la plupart des logiciels/ outils d'anonymisation ne fournissent pas de l'assistance à leurs utilisateurs dans l'étape de 10 classification des attributs des jeux de données. Ce référentiel (201) peut être enrichi de façon continue et est supposé rassembler un ensemble important de variables se rattachant à de nombreux secteurs d'activité, afin de faire croître son utilité. 15 Le traitement se traduit par l'enrichissement de la table des données constituant le référentiel (201) par des paramètres numériques définis comme suit: - Catégorie : Il s'agit du thème auquel se rapporte l'attribut. 20 - Attribut : Dénomination de l'attribut. - Statut Identifiant : Il s'agit de classer la variable comme identificatrice « I, à éliminer de la version anonymisée », quasi-identificatrice « NP ». 25 - Catégorie particulière au sens juridique : Il s'agit des attributs qui doivent être considérés comme sensibles et donc à protéger au sens la loi. - Sensibilité Générale : La sensibilité inclut la sensibilité au sens juridique mais aussi au sens de 30 l'éthique, la coutume, la société, ... - Remarques supplémentaires : Précisions à prendre en compte lors de la classification. non 19 Deux autres référentiels s'ajoutent pour affiner la classification des attributs (2 ème étape de classification) : 2- Référentiel de sensibilité des attributs (205) 5 Afin d'offrir une flexibilité aux utilisateurs au moment de la classification des attributs, le référentiel de « sensibilité des attributs » (205) propose de référencer selon le degré de sensibilité, les différentes modalités / 10 valeurs d'un attribut classé comme sensible et donc affecté de la séquence numérique « S ». Certains attributs classés « sensibles » et affectés à la séquence numérique « S » prennent des valeurs n'ayant pas forcément le même degré de sensibilité et/ ou 15 d'exigence de protection, d'où l'intérêt de proposer une analyse plus fine de sensibilité et de un ordre de sensibilité pour les différentes modalités des attributs sensibles (206). Par exemple, pour établir l'ordre de sensibilité des modalités que peut prendre l'attribut « Maladie », il est 20 pertinent de prendre en compte que certaines maladies sont plus sensibles à la divulgation que d'autres, c'est-à-dire que leur divulgation pourrait causer plus de préjudice à la (les) personne(s) concernée(s). En se basant sur les classifications 25 internationales des maladies publiées par l'Organisation Mondiale de Santé (OMS), nous pouvons proposer un ordre de sensibilité des différentes maladies (selon le degré de dangerosité et/ ou de jugements sociaux) qui prendra par exemple la forme suivante : 30 - Maladies à sensibilité forte: Maladies sexuellement transmissibles, ... - Maladies à sensibilité modérée: Maladies chroniques,_ - Maladies à faible sensibilité : autres 20 In fine, le « Référentiel de sensibilité des attributs » (205) est constitué par la liste des attributs 5 sensibles recensée grâce au « Référentiel des attributs » (201) et pour chaque attribut, les différentes modalités possibles (pouvant évoluer) sont classées par ordre de sensibilité et / ou d'exigence en termes de protection de la vie privée et d'un point de vue socio-culturel. 10 3- Référentiel du Pouvoir d'identification des données (207) La qualification des attributs quasi-identifiants, affectés à une séquence numérique « QI » peut être améliorée en passant à un degré plus fin d'analyse (212). En effet, le 15 pouvoir d'identification peut varier d'un attribut quasi-identifiant à un autre. Ainsi, le niveau d'exigence en termes d'anonymisation et / ou d'évaluation d'anonymisation pourrait être différent selon le niveau de pouvoir d'un quasi-identifiant dans la ré-identification d'un individu. 20 Deux règles de décisions facilitant le classement des quasi-identifiants selon leur pouvoir d'identification sont déterminées, le but étant de créer un « Référentiel de Pouvoir d'Identification » (207). Précisément, nous proposons 25 deux critères sur lesquels se base l'ordre de pouvoir d'identification : la « facilité d'accès des attributs» et la « fréquence d'apparition dans la population de référence». 3.1- *Référentiel de facilité d'accès des attributs (208) 30 Le principe de base de ce « Référentiel de facilité d'accès des attributs» (208) est qu'un attaquant potentiel ne pourrait pas accéder à tous les attributs quasi- 21 identificateurs, affectés à la séquence numérique « QI », avec le même degré de facilité. En effet, toutes choses étant égales par ailleurs, certains attributs quasi-identifiants « QI » sont plus faciles d'accès que d'autres du fait de leur 5 disponibilité publique (sur Internet, sur les sites officiels, les résultats de concours,..). Nous proposons donc un ordre par catégorie d'attributs. Si on considère par exemple la catégorie des « dates », les différentes dates qu'on peut trouver dans les 10 jeux de données n'ont pas forcément le même degré d'accessibilité. Nous considérons par exemple la classification suivante: - Dates faciles d'accès : dates de naissance,_ - Dates moins accessibles dates 15 d'hospitalisation,_ - Dates difficiles d'accès : dates de contrôle médical,_ Le but est d'avoir un référentiel des attributs quasi-identifiants, affectés par la séquence numérique « QI », 20 classés selon leur facilité d'accès par un potentiel attaquant. 3.2- *Référentiel de Population de référence (209) Nous considérons aussi que le pouvoir 25 d'identification d'un attribut quasi-identifiant, affecté par une séquence numérique « QI », pourrait dépendre de la fréquence de l'apparition de ses différentes modalités dans la population de référence, comme la population française. Par exemple, toutes choses étant égales par ailleurs, nous pouvons 30 considérer que la variable « date de naissance » a un pouvoir d'identification plus élevé que l'âge. La « date de naissance » donne en effet plus d'information que ce l'âge donne et est plus identificatrice des individus. Dans le même esprit, « 22 être une femme/ homme » est moins identifiant qu' « être un enseignant en philosophie». Le « Référentiel de Population de référence » (209) 5 se base donc sur la distribution des différents attributs dans la population de référence, par exemple un pays. Pour la France, nous nous référons par exemple aux données du dernier recensement de la population française de 2013 pour en déduire la distribution d'un ensemble d'attributs. 10 Les données recensées concernent à ce niveau les variables suivantes : âge, catégorie socio-professionnelle, département de naissance, département de résidence antérieure, département de résidence actuelle, département de travail, 15 diplôme obtenu, nationalité, le secteur d'activité, la région de naissance, la région de résidence antérieure, la région de travail, le sexe, l'état matrimonial et le type d'activité. Cette liste peut être enrichie par d'autres données sur la population française ce qui permettra d'élargir la liste des 20 attributs. A partir de ce recensement, les attributs sont classés selon les fréquences d'apparition de leurs différentes modalités / valeurs proposées. La règle de décision est la 25 suivante : Les fréquences d'apparition des valeurs/modalités de deux attributs quasi-identifiants A et B, sont comparées. L'attribut pour lequel la modalité la 30 moins fréquente a un pourcentage d'apparition plus faible sera considéré comme attribut ayant un pouvoir d'identification supérieur, ce qui se traduira par la suite par un niveau d'anonymisation et/ ou de risque de ré-identification plus important. 35 23 Ce traitement permet de donner un ordre de pouvoir d'identification des attributs. Ce référentiel de population de référence (209) peut être élargi par la prise en compte des caractéristiques d'autres populations de référence, comme les 5 Etats Unis ou le Canada. Nous aurons donc, in fine, une base de données donnant les principales caractéristiques des populations de référence (populations auxquelles se rattachent les jeux de données). Ces deux critères de « facilité d' accès » et de « 10 population de référence » permettront d' avoir un référentiel de pouvoir d' identification (207). Les deux critères peuvent être complémentaires pour couvrir le plus d' attributs quasi-identifiants, affectés de la séquence numérique « QI », d' un jeu de données. 15 Description d'un exemple de mise en oeuvre de l'invention La classification des attributs peut suivre la méthodologie suivante : 20 Etape (1) : le propriétaire des données/ utilisateur accède à un jeu de données (210) qui contient des attributs avec des dénominations différentes. Le propriétaire des données examine le dictionnaire des attributs (s'il existe) ou directement les attributs afin de les classer. 25 Etape (2) : Au cours de cette étape, l'utilisateur accède au « référentiel des attributs » (201). Etape (3) : Au cours de cette étape, le calculateur 30 traite le jeu de données (210) pour mettre en concordance chacun des attributs avec le référentiel des attributs (201). Pour les attributs du jeu de données (210), pour lesquels une mise en concordance est réalisée, le traitement consiste à 24 leur affecter un marqueur. Cette correspondance peut se faire manuellement par l'utilisateur en comparant la liste des attributs de son jeu de données au référentiel des attributs ou automatiquement en créant des algorithmes d'automatisation 5 de la recherche tels que l'algorithme Rabin-Karp, String searching, approximate string searching, ou encore les algorithmes de recherche sémantique tels que l'algorithme de Lesk. 10 Etape (4) : Cette étape distingue les attributs du jeu de données (201) pour lesquels une mise en concordance a été réalisée d'une part, et les attributs pour lesquels aucune mise en concordance n'a été déterminée, d'autre part. 15 Etape (5) : Cette étape consiste à enregistrer dans le référentiel des attributs (201), les attributs du jeu de données (210) pour lesquels aucune concordance n'a été trouvée. Ces variables sont enregistrées avec un statut provisoire, qui pourra être modifié en statut définitif ou 20 rejeté selon l'avis d'un opérateur. Etape (6) : Cette étape à procéder à une première classification des attributs, notée « Classification Initiale » (211), en se basant sur « le référentiel des 25 attributs » (201). Cette étape ne concerne que les attributs pour lesquels une concordance avec le « référentiel des attributs » (201) a été établie. A la fin de cette étape, chacun des attributs marqués aura un statut basé sur le référentiel des attributs (201) traduit par une séquence 30 numérique qui peut prendre différents états : « I », « QI », « NP », « S » OU « NS ». Cette étape est décrite plus en détail en référence au logigramme objet de la figure 3. En se servant de ce référentiel, un utilisateur/ un 35 propriétaire des données peut faire une première 25 classification, notée « Classification Initiale » (211) des attributs de son jeu de données en vue de bien cibler les exercices d'anonymisation/mesure du risque de divulgation. Un utilisateur accède (301) au dictionnaire des 5 attributs du jeu de données à étudier et au « référentiel des attributs » (201). Pour les attributs dont une correspondance dans le référentiel des attributs a été trouvée (303), une détermination de leur statut identifiant (304)/ sensible (305) permettra d'avoir une classification initiale des attributs 10 (306). La détermination de cette première classification se fait en se référant aux les différentes colonnes du fichier du « référentiel des attributs » (201). Là encore, la correspondance entre les attributs du jeu de données (201) et leur statut dans le « référentiel des attributs » (201) peut 15 se faire manuellement ou automatiquement par des algorithmes d'automatisation de la recherche. Pour les attributs du jeu de données (210) affectés d'une séquence numérique « 1 », « NP » OU « NS », la classification initiale des attributs (306) correspond à leur 20 classification définitive. Ces attributs seront donc conservés de manière définitive dans le module de classification (213), sur lequel se base le processus d'anonymisation : - Les attributs affectés à une séquence numérique 25 « 1 » subiront des traitements particuliers et n'apparaitront pas dans le jeu de données final (215) afin de garantir le respect de la vie privée. - Les attributs affectés d'une séquence numérique « NP » ou « NS » ne subiront pas (214) de traitements 30 particuliers (204) et seront conservés directement dans le jeu de données final (215). Etape (7) : L'utilisateur détermine ensuite une option consistant à accorder aux attributs affectés à une 35 séquence numérique « QI » ou « S » un statut caché empêchant 26 leur utilisation normale dans le jeu de données final (215) et à passer directement au processus d'anonymisation (204) ou de procéder à un traitement additionnel du jeu de données (210), décrit ci-après. 5 Etape (8) : Cette étape ne s'applique qu'aux attributs, affectés à une séquence numérique « S », déterminés par un module de filtrage (501). Cette étape, nommée « Analyse de la sensibilité » (206), est présentée de manière plus 10 détaillée par le logigramme, objet de la figure 5. Le traitement s'appuiera sur le résultat de la classification initiale des attributs (306) et sur le « référentiel de sensibilité » (205). 15 En accédant (502) au « référentiel de sensibilité des attributs» (205), le calculateur examinera la distribution des modalités de l'attribut sensible dans le jeu de données (503). Les fréquences d'apparition des modalités les plus sensibles de l'attribut sont ensuite calculées pour 20 le jeu de données à étudier (504). La fréquence d'apparition des modalités sensibles (de cet attribut sensible) est ensuite comparée à un seuil de fréquence défini auparavant (505). L'attribut en question 25 conservera son caractère « sensible » si la fréquence d'apparition des modalités « sensibles » dans le jeu de données dépasse le seuil préalablement choisi (506). Sinon, l'attribut sera affecté à une classe « moins sensible » (507). On obtient donc une classification finale des attributs 30 sensibles (508). Cette règle permettra d'offrir une certaine flexibilité aux utilisateurs lors du processus d'anonymisation (204) dans le but d'obtenir la version finale du jeu de données (215). 27 Etape (9) : Cette étape ne s'applique qu'aux attributs, affectés à une séquence numérique « QI », déterminés par un module de filtrage (401). Cette étape, nommée « Analyse du pouvoir d'identification » (212), est 5 présentée de manière plus détaillée par le logigramme, objet de la figure 4. Le traitement s'appuiera sur le résultat de la classification initiale des attributs (306) et sur le « référentiel de pouvoir d'identification » (207). 10 Le calculateur accède (402) au « référentiel de facilité d'accès des attributs » (208) et compare (403) ensuite les degrés de facilité d'accès des différents attributs du jeu de données (210) affectés à une séquence 15 numérique « QI », en se basant sur le même référentiel (208). Cette comparaison aboutit à un ordre de « facilité d'accès » des différents attributs. Le calculateur accède ensuite (404) au « référentiel de population de référence» (209) et fera un tri 20 (405) des attributs affectés d'une séquence numérique « QI » selon l'ordre établi dans le « référentiel de population de référence » (209). Cet ordre peut être fait manuellement ou automatiquement par des algorithmes de tri, à savoir « le tri par sélection », le « tri arborescent »... 25 La comparaison des attributs quasi-identifiants d'un point de vue de la facilité d'accès (403) et l'ordre des différents attributs en termes des caractéristiques dans la population de référence (405), permettent d'avoir un ordre final (406) des attributs affectés à une séquence numérique 30 « QI » selon leur pouvoir de ré-identification. Cet ordre permettra d'offrir une certaine flexibilité aux utilisateurs lors du processus d'anonymisation (204), en termes de besoin d'anonymisation pour les différents attributs marqués du jeu de données (210). 35 28 Etape (10) : Cette étape présente la fin du processus de classification des attributs du jeu de données (210). Les résultats des analyses de sensibilité (206) et du pouvoir d'identification (212) sont groupés dans un module de 5 classification (213), sur lequel se basera le calculateur pour le traitement des données (204) du jeu de données (210). Ce traitement peut se traduire par une anonymisation de certains attributs, avec des degrés d'exigence différents afin d'aboutir à une version finale du jeu de données (215). Dans 10 tous les cas, le traitement des données doit répondre à des besoins de protection de la vie privée tout en conservant l'utilité du jeu de données (210). REVENDICATIONS1 - Procédé de traitement automatique d'un jeu de données numériques consistant : - à enregistrer dans une mémoire non permanente un jeu de données originelles, - à enregistrer dans une mémoire permanente o un fichier numérique (201) constitué par une table déterminant au moins des identifiants/ dénominations des variables, et pour chacune desdites variables - un paramètre « Statut identifiant » [identifiant « I », quasi-identifiant « QI », non identifiant « NP »] - un paramètre « Statut Sensibilité » [: oui « S », ou non « NS »] o Un fichier numérique constitué par une table de variables de recensement de la population de référence (209) avec pour chacune - Les différentes modalités/ valeurs prises par chaque variable selon le recensement - La fréquence d'apparition de chaque modalité dans la population de référence (France, Etats Unis,..) - Un ordre du pouvoir d'identification des différentes variables du recensement o Un fichier numérique constitué par une table de variables avec un ordre établi du degré de facilité (208) par lequel un potentiel attaquant peut accéder à l'information sur les différentes variables o Un fichier numérique constitué par une table d'attributs « sensibles » (205), pour lesquels les valeurs/ modalités sont classées par ordre de sensibilité. le procédé consistant à appliquer : 30 un premier traitement se basant sur le référentiel des attributs (201), noté « Classification Initiale » (211) consistant à o associer à chacune des variables dudit jeu de 5 données originel un paramètre « statut » et à traiter les variables associées à un statut « caché» (« 1 », « QI » ou « S »), O à affecter à chacune des variables associées à un statut « NP» / « NS» un drapeau de non traitement et 10 de conservation définitifs (214) dans le jeu de données final (215) un deuxième traitement concernant les variables résiduelles associées à un statut « quasi-identifiant » 15 consistant à : o Interdire leur exploitation consistant à affecter un statut « caché» pour empêcher leur utilisation normale dans la version finale (215) dudit jeu de données (210) 20 OU o affecter à chacune desdites variables résiduelles : - un premier indicateur correspondant à la disponibilité de la valeur associée à partir de sources de données extérieures 25 et/ou - un second indicateur correspondant à la fréquence des valeurs de ladite variables associées dans la population générale dont le jeu de données constitue un sous-ensemble 30 o à ordonner chacune desdites variables résiduelles en fonction desdits indicateurs associés, ce qui se traduira par exemple par des niveaux de traitement/ anonymisation différents lors du processus d'anonymisation (204) déterminant la classification 31 finale des attributs affectés à une séquence numérique « QI » (406) un troisième traitement concernant les variables 5 résiduelles associées à un paramètre de sensibilité « règlementaire » consistant à : o Interdire leur exploitation consistant à affecter un statut « caché» pour empêcher leur utilisation normale dans la version finale (215) dudit jeu de 10 données (210) OU o Affecter à chacune de ces variables résiduelles un indicateur de sensibilité en se référant à une liste de variables sensibles avec leurs différentes 15 modalités/ valeurs (205) allant des plus sensibles aux moins sensibles, calculés sur la base de la fréquence d'apparition des valeurs les plus sensibles de l'attribut sensible o Garder pour chacune des variables résiduelles 20 caractérisées, par une fréquence d'apparition des valeurs sensibles supérieure à une valeur seuil, leur statut « caché» pour empêcher leur utilisation normale dans ledit jeu de données. o Affecter aux variables restantes un statut « caché » 25 mais plus « flexible » en termes d'exigences de traitements lors du processus d'anonymisation (204). 2 - Procédé selon la revendication 1 caractérisé en ce qu'il comporte en outre un quatrième traitement concernant 30 les variables résiduelles associées à un paramètre de sensibilité « générale » consistant à affecter à certaines desdites variables un statut « caché» pour empêcher leur utilisation normale dans ledit jeu de données. 32 3 - Procédé selon la revendication 2 caractérisé en ce qu'il comporte avant l'étape de première classification un traitement pour affecter à chacune des variables pour lesquelles aucune correspondance avec le référentiel des 5 attributs (201) n'est établie, un statut provisoire dans le référentiel des attributs (201), qui peut être modifié en statut définitif ou rejeté selon l'avis d'un opérateur. 4 - Procédé selon la revendication 1 caractérisé en 10 ce qu'il comporte en outre une étape consistant à appliquer dynamiquement aux variables non associables au référentiel des attributs (201), un traitement spécifique consistant à enregistrer dans ledit référentiel le couple « variable, statut » en attente de validation/ rejet selon l'avis d'un 15 opérateur. Cela impliquerait aussi des enrichissements potentiels des référentiels de « Pouvoir d'identification » (207) et/ ou de « sensibilité » (205). 5 - Procédé selon la revendication 1, caractérisé 20 en ce que lesdits traitements sont appliqués périodiquement [par exemple lors de chaque évolution du jeu de données (210) ou à chaque évolution du cadre règlementaire]. 6 - Procédé selon la revendication 1 caractérisé en 25 ce que lesdits traitements appliqués aux variables / valeurs « cachées» consistent à : - supprimer lesdites variables / valeurs (notamment pour les variables affectées au statut « 1 ») - enregistrer lesdites variables dans une DMZ 30 - l'anonymisation d'une partie au moins des valeurs correspondant auxdites variables.