Brevet FR3047586A1 (20170811)
REVENDICATIONS1. Procédé d'anonymisation de données dites initiales stockées dans une base de données d'un système informatique, lesdites données initiales résultant d'une agrégation de 5 données personnelles relatives à une pluralité d'individus, le procédé d'anonymisation comprenant : une étape d'identification (E20) parmi les données initiales d'un ensemble de données dites sensibles susceptibles d'être affectées par l'ajout ou le retrait dans la base de données de données personnelles relatives à un individu ; 10 une étape de partitionnement (E30) de l'ensemble de données sensibles en une pluralité de sous-ensembles en fonction d'un niveau de sensibilité des données sensibles ; une étape de détermination (E40) d'un niveau de sensibilité pour chaque sous-ensemble ; et une étape d'anonymisation (E50, E80) des données initiales comprenant, pour chaque sous-ensemble, un bruitage des données sensibles de ce sous-ensemble selon un niveau de bruit 15 dépendant du niveau de sensibilité déterminé pour le sous-ensemble.\n<CLM>\1\tProcédé d'anonymisation selon la revendication 1 dans lequel lors de l'étape d'anonymisation (E50) des données initiales, le niveau de bruit appliqué sur les données sensibles d'un sous-ensemble augmente avec le niveau de sensibilité de ce sous-ensemble. 20\n<CLM>\1\tProcédé d'anonymisation selon la revendication 1 ou 2 dans lequel lors de l'étape de partitionnement (E30), la partition de l'ensemble de données sensibles est déterminée de sorte à minimiser une erreur évaluée entre les données initiales et les données anonymes obtenues à l'issue de l'étape d'anonymisation. 25\n<CLM>\1\tProcédé d'anonymisation selon l'une quelconque des revendications 1 à 3 dans lequel le bruitage (E50) des données sensibles d'au moins un sous-ensemble indexé par i comprend l'ajout d'un bruit à ces données sensibles ayant une distribution de Laplace et dont un écart-type ui est défini à partir du niveau de sensibilité & déterminé pour le sous-ensemble et 30 d'une mesure E d'un niveau d'anonymat de l'anonymisation des données initiales.\n<CLM>\1\tProcédé d'anonymisation selon la revendication 4 dans lequel l'écart-type ut est égal à: cri = -N[2.x - E LA' où L désigne le nombre de sous-ensembles contenus dans la pluralité de sous-ensembles. 35 3047586 23\n<CLM>\1\tProcédé d'anonymisation selon l'une quelconque des revendications 1 à 3 dans lequel dans lequel le bruitage (E50) des données sensibles d'au moins un sous-ensemble indexé par i comprend l'ajout d'un bruit à ces données sensibles ayant une distribution gaussienne.\n<CLM>\1\tProcédé d'anonymisation selon l'une quelconque des revendications 1 à 4 et 6 dans lequel les niveaux de bruit appliqués aux sous-ensembles de données sensibles résultant de l'étape de partitionnement sont choisis de sorte à minimiser une erreur évaluée entre les données initiales et les données anonymes obtenues à l'issue de l'étape d'anonymisation.\n<CLM>\1\tProcédé d'anonymisation selon l'une quelconque des revendications 1 à 7 dans lequel les données initiales et les données sensibles bruitées et/ou anonymes sont stockées dans des matrices.\n<CLM>\1\tProcédé d'anonymisation selon la revendication 8 dans lequel l'étape d'anonymisation comprend en outre une décomposition (E60) de la matrice des données sensibles bruitées en valeurs singulières et une détermination (E70,E80) de la matrice des données anonymes à partir d'un nombre déterminé de valeurs singulières résultant de cette décomposition.\n<CLM>\1\tProcédé d'anonymisation selon la revendication 8 ou 9 dans lequel : au cours de l'étape de partitionnement, le niveau de sensibilité d'une donnée sensible est défini comme la valeur maximale, prise sur l'ensemble des matrices voisines de la matrice de données initiales, de la valeur absolue de la différence entre cette donnée sensible et la donnée sensible correspondante de la matrice voisine considérée, cette matrice voisine différant de la matrice de données initiales en raison des données personnelles d'un unique individu ; et/ou au cours de l'étape de détermination, le niveau de sensibilité d'un sous-ensemble de données sensibles est défini comme la valeur maximale, prise sur l'ensemble des matrices voisines de la matrice de données initiales, de la somme sur toutes les données sensibles de ce sous-ensemble de la valeur absolue de la différence entre chaque donnée sensible et la donnée sensible correspondante de la matrice voisine considérée.\n<CLM>\1\tProcédé d'anonymisation selon l'une quelconque des revendications 1 à 7 dans lequel les données initiales sont stockées dans la base de données sous forme d'un graphe.\n<CLM>\1\tProcédé d'anonymisation selon l'une quelconque des revendications 1 à 11 dans lequel les données personnelles de la pluralité d'individus comprennent des données en relation avec une activité de ces individus sur au moins un réseau. 3047586 24\n<CLM>\1\tProgramme d'ordinateur comportant des instructions pour l'exécution des étapes du procédé d'anonymisation selon l'une quelconque des revendications 1 à 12 lorsque ledit programme est exécuté par un ordinateur. 5\n<CLM>\1\tSupport d'enregistrement lisible par un ordinateur sur lequel est enregistré un programme d'ordinateur comprenant des instructions pour l'exécution des étapes du procédé de d'anonymisation selon l'une quelconque des revendications 1 à\n<CLM>\1\t15. Dispositif d'anonymisation (3) de données dites initiales stockées dans une base de 10 données, ces données initiales résultant d'une agrégation de données personnelles relatives à une pluralité d'individus, le dispositif d'anonymisation comprenant : un module d'identification (3B) configuré pour identifier parmi les données initiales un ensemble de données dites sensibles susceptibles d'être affectées par l'ajout ou le retrait dans la base de données de données personnelles relatives à un individu ; 15 un module de partitionnement (3C) configuré pour partitionner l'ensemble de données sensibles en une pluralité de sous-ensembles en fonction d'un niveau de sensibilité des données sensibles ; un module de détermination (3D) configuré pour déterminer un niveau de sensibilité pour chaque sous-ensemble ; et 20 un module d'anonymisation (3E) des données initiales configuré pour bruiter les données sensibles de chaque sous-ensemble selon un niveau de bruit dépendant du niveau de sensibilité déterminé pour ce sous-ensemble.\n<CLM>\1\tSystème informatique (1) comprenant : 25 une base de données (2) dans laquelle sont stockées des données dites initiales résultant d'une agrégation de données personnelles relatives à une pluralité d'individus ; et un dispositif d'anonymisation (3) des données initiales selon la revendication 15.