FR 3096801 A1 20201204 FR 1905778 A 20190529 Description Titre de l'invention : Système de traitement d'une base de données personnelles par un opérateur extérieur Domaine technique [0001] La présente invention a pour objet le traitement d'une base de données personnelles par un opérateur extérieur. Technique antérieure [0002] Le traitement de base de données pour leur mise à jour, la suppression de doublons ou la fusion avec d'autres bases de données nécessite des vérifications pour précisément éviter la multiplication de fiches de données concernant un même individu (même sujet) malgré les apparentes différences des fiches et des données qu'elles contiennent. [0003] La fusion de bases de données peut également être délicate car les données des fiches ne sont pas nécessairement présentées de la même manière. [0004] Les différentes opérations nécessitent des temps de travail et de calcul importants que tous les gestionnaires de bases de données ne sont pas en mesure d'assurer. [0005] BUT DE L'INVENTION [0006] La présente invention a pour but de faciliter le traitement de fichier de données pour la mise à jour d'une base de données personnelles par un opérateur extérieur auquel ne sont communiquées que des données et des informations chiffrées. [0007] EXPOSE ET AVANTAGES DE L'INVENTION [0008] A cet effet, l'invention a pour objet un système de gestion d'une base de données personnelles par un opérateur extérieur comprenant : un programme de préparation des données, conçu par l'opérateur et appliqué aux données par le gestionnaire de la base de données aux fiches-source pour former des images crypto-hachées des données des fiches-sources et ensuite les transmettre à l'opérateur pour les traiter et combiner les cellules crypto-hachées et composer une empreinte générale des données chiffrées, de chaque fiche-source. La préparation des données consistant à alimenter une fiche de base à partir des éléments de la fiche-source, cette fiche de base étant composée de cellules adaptées par l'opérateur à la nature des fiches du fichier-source, composer les données de ces cellules en données élémentaires tout en conservant les données non décomposées et uniformiser la forme des données de chaque cellule ainsi alimentée selon des règles d'uniformisation, recombiner les cellules contenant les données élémentaires de chaque type selon les arrangements et. les combinaisons possibles formant les cellules de recombinaison, chiffrer par un crypto-hachage les données des cellules de recombinaison pour obtenir des cellules crypto-hachées et, exporter les cellules 2 crypto-hachées vers l'opérateur pour traiter ces données. [0009] Le système selon l'invention permet de réaliser une présentation très universelle et chiffrée des données des cellules des fiches-sources pour couvrir le plus grand nombre d'éventualités de présentations et de combinaisons des éléments des différentes catégories qui seront ainsi hachées et n'existeront que sous cette forme, par exemple, pour la comparaison de fiches, pour détecter les doublons de fiches d'une même base de données ou les doublons de fiches de base de données différentes dont la présentation des fiches ne sont pas nécessairement les mêmes. [0010] Toutes ces opérations sont faites sur des données hachées de manière irréversible de sorte que l'opérateur extérieur ne pourra lui-même ni risquer au cours de traitements de données ou d'échanges d'informations, de rendre lisibles les données des fiches-sources ainsi chiffrées. [0011] Le programme de préparation des données ou un ensemble de programmes sont conçus par l'opérateur pour que ces programmes soient appliqués au cours d'un travail préparateur par le gestionnaire de la base de données de façon que les données lisibles ou seulement faiblement transformées ne puissent être lues à l'extérieur. [0012] L'opérateur extérieur impose ainsi sa grille de données qui reçoit les données de la fiche-source, les cellules de la fiche de base ainsi obtenues n'étant pas nécessairement toutes complètes du fait de r insuffisance ou des différences que l'on peut rencontrer sur les fiches-sources. La grille des cellules de la fiche de base est adaptée à la nature des informations contenues dans la fiche-source. En effet, des fiches de données personnelles peuvent comporter des informations très variables d'un système à l'autre selon les utilisations de ces fiches. [0013] La décomposition des données des cellules ainsi préparées en données élémentaires tout en conservant les données non décomposées permet de former les arrangements et les combinaisons les plus diverses pour qu'une fois ces combinaisons chiffrées, on soit sûrs de couvrir en grande partie des éventualités de combinaisons chiffrées que l'on pourra rencontrer à l'examen d'une autre fiche qui pourrait sembler voisine ou contenir des données identiques. [0014] Le crypto-hachage à la fin des opérations exécutées par le gestionnaire de la base de données garantit l'inviolabilité des données chiffrées qui sont transmises à l'extérieur, à l'opérateur qui pourra ensuite combiner les éléments chiffrés des fiches pour établir une empreinte générale de la fiche combinant à l'état crypté les multiples combinaisons et arrangements des données et constituant une fiche d'identité aussi complète et aussi polyvalente que possible tout en étant chiffrée pour pouvoir utiliser une partie ou la totalité des données chiffrées et des possibilités que représentent ces données chiffrées [0015] Suivant une autre caractéristique avantageuse, l'opérateur dégrade les cellules 3 crypto-hachées des données invariantes pour obtenir des cellules de données cryptohachées dégradées, et conserver en parallèle de cette fiche dégradée, la fiche avec les cellules crypte-hachées, assemblées en une fiche. [0016] Cette forme dégradée des cellules crypto-hachées de chaque fiche permet de réduire le volume de données chiffrées et de faciliter certaines interventions sur l'empreinte générale en utilisant uniquement ce fichier de cellules crypto-hachées dégradées. [0017] Suivant une autre caractéristique avantageuse l'opérateur assemble les cellules crypto hachées dégradées en les concaténant pour obtenir une signature qui est ensuite chiffrée pour obtenir une signature chiffrée. [0018] Suivant une autre caractéristique avantageuse l'opérateur réunit la fiche et la signature chiffrée pour former l'empreinte générale chiffrée de la fiche-source. [0019] Ainsi, en résumé, l'empreinte générale chiffrée constitue en quelque sorte une fiche d'identité chiffrée de manière irréversible des données de la fiche-source F, (i) et permet toutes les utilisations et transmissions sans risque de décryptage. Brève description des dessins [0020] La présente invention sera décrite ci-après de manière plus détaillée à l'aide d'un exemple dc système de base dc données travaillées par un opérateur extérieur selon l'invention, représenté dans le dessin annexé dans lequel : [0021] [fig.l] est un schéma simplifié du traitement des fichiers d'une base de données per- sonnelles par un opérateur extérieur, [0022] [fig.21 montre un exemple dc recombinaison dc cellules. [0023] DESCRIPTION DE MODES DE REALISATION DE L'INVENTION [0024] Selon la figure 1, le gestionnaire 1 d'une hase de données BDD de fichiers de données personnelles, par exemple une administration publique ou privée, veut gérer cette hase de données par des mises àjour avec l'aide d'un opérateur extérieur 2 en respectant les règles de confidentialité des données. L'opérateur extérieur 2 qui effectue les mises àjour avec les informations chiffrées communiquées par le gestionnaire de cette BDD ou d'autres gestionnaires d'autres hases dc données BDD1,2... doit pouvoir comparer ces différentes données chiffrées pour détecter ct signaler les modifications de données ct compléter/modifier les fichiers des hases dc données. Ces interactions doivent être faites sans que les données en clair ne soient communiquées à l'opérateur 2. [0025] Pour intervenir sur des données chiffrées à sens unique, l'opérateur 2 fait réaliser l'image IBDD de la base de données personnelles BDD par une transformation chiffrée irréversible des fiches-sources F,(i) disponibles en clair chez le gestionnaire 1 pour utiliser ces seules images chiffrées IF(i) des fiches-sources F.. (i). [0026] Cette image IBDD est préparée chez le gestionnaire 1 qui transforme au moins par- ticllement sa hase de données BDD selon un outil de traitement préparatoire et de cryptagc conçu par l'opérateur 2. [0027] Selon l'invention, les fiches-sources E(i) de la hase de données BDD sont préparées par le gestionnaire 1 de la hase de données avec l'outil de mise en forme, de traitement et de chiffrage irréversible de l'opérateur 2 pour lui communiquer ensuite le résultat de la transformation des fiches et lui permettre de créer une synthèse chiffrée de chaque fiche pour les opérations futures de comparaison et de mise à jour avec uniquement des données chiffrées de manière irréversible mais représentant des informations chiffrées utilisables et pouvant être comparées à des données homologues chiffrées sans connaître le contenu de ces données ou leur signification. [0028] L'outil est un ensemble de programmes pour la création de fiches de hase, la norma- lisation du contenu de ces fiches puis la recombinaison des données élémentaires et ensuite le hachage cryptographique des données avec des données qui seront envoyées à l'opérateur 2 pour composer l'empreinte générale EGi de chaque fiche-source E(i). [0029] Les fiches-sources R(i) du fichier-source FCHS de la hase de données BDD contiennent les données personnelles classées en données invariables (encore appelées les invariants DIN) et en données variables (encore appelées les variants DV). [0030] Les invariants DIN sont des données immuables de l'individu : ses nom(s) et prénom(s), date de naissance, numéro de sécurité sociale, la civilité/sexe étant considérée actuellement encore comme un invariant. [0031] Les variants DV sont notamment : [0032] l'adresse géographique, [0033] l'adresse mail, [0034] le numéro de téléphone. [0035] Les invariants comme les variants ont pu être été collectés sur plusieurs fichiers et sous des formes différentes et pas nécessairement cohérentes : [0036] les noms, prénoms peuvent être inversés, [0037] les doubles prénoms peuvent être escamotés ou inversés, [0038] les noms patronymiques sous la forme d'un prénom peuvent ne pas être mis en évidence, [0039] la civilité, quoiqu'accessoire, peut être intégrée au binôme nom-prénom(s) ou être oubliée. [0040] Des défauts d'homogénéité et de cohérence peuvent se retrouver sur les données de contact : adresse et téléphone. [0041] Les données de contact, malgré le portage des numéros de téléphone peuvent changer tout comme l'adresse géographique et l'adresse mail. La forme d'une adresse peut également différer d'une fiche à l'autre pour un même individu. [0042] Les données de l'adresse peuvent être présentées sous différentes combinaisons, même si en principe, un ordre naturel s'imposerait. [0043] La fiche-source F, (i) est identifiée par un numéro d'identification (i) ou identifiant qui accompagne en clair cette fiche à travers les transformations et les cryptages de ses données. [0044] Les données de la fiche-source F, (i) sont présentées schématiquement sur des lignes L(n) qui ne sont pas nécessairement remplies de façon appropriée car les fiches F, (i) ont pu être établies à des dates différentes par des personnes interprétant différemment les informations à mettre dans les lignes L(n) d'une fiche-source F, (i). Ainsi, le fichier-source FCHS peut contenir des fiches-source F,(i), F, (i+1), etc. plus ou moins semblables qui pourraient, par un rapprochement d'éléments importants, être associées à un même individu ou non. Mais à cc stade du procédé ces fiches sont considérées comme celles d'individus différents. [0045] Selon la figure 1, partant de la fiche-source F, (i), on effectue un mapping, c'est-à-dire une mise en cohérence dcs informations à partir du programme de préparation de données fourni au gestionnaire de la hase de données par l'opérateur externe. Le gestionnaire décrit les correspondances entre les champs / colonnes de son fichier et les champs du système de l'opérateur externe. Ainsi, le programme de préparation lit ligne à ligne le fichier de données et pour chaque ligne, il repère les champs utiles et envoie chacune des cellules ainsi détectée dans la phase de normalisation. Une première opération OP1 consiste à répartir les données des lignes L(n) dans une grille de données composée de cellules Cb(j) et formant la fiche de base Fb(i). Les cellules Cb(j) de cette grille peuvent se répartir en groupes de cellules de même catégorie telles que : [0046] nom et prénom, (données d'état civil) [0047] adresse postale, (données de contact) [0048] [0049] Les cellules Cb(j) de la fiche de base Fb(i) organisent les données d'état civil et les données de contact, à partir des lignes L(n) du fichier source Fs(i) selon l'organisation imposée par l'opérateur 2. [0050] Le remplissage des cellules Cb(j) peut n'être que partiel ou imparfait si certaines données telles que les noms patronymiques sont des prénoms et/ou dans le cas de noms et prénoms non genrés. Des cellules Cb(j) sont également prévues pour recevoir des données difficiles à interpréter comme certaines données d'adresse dont la décomposition est difficile et qui sont conservées alors, à l'état non décomposé dans des cellules à côté des cellules dans lesquelles ces données ont été décomposées avec d'éventuels ou probables défauts d'interprétation. [0051] Le fichier de base Fb(i) est ensuite soumis à une opération de normalisation OP2 pour obtenir les fiches normalisées Fn(i). La fiche normalisée Fn(i) se compose des - - - 6 cellules Cn(j) qui résultent en général de la normalisation des cellules de base Cb(j). [0052] Les données des cellules Cb(j) sont normalisées pour présenter les données de manière uniforme selon le type ou la structure des données et de leur présentation: [0053] forme d'un numéro de téléphone/numéro national/numéro international, [0054] adresse mail, [0055] adresse postale no, rue, voie, [0056] code postal, [0057] ordre 1-1'i/rue/localité... [0058] Les cellules de hase Cb(j) contiennent à priori des données homogènes éven- tuellement complexes et qu'il faut autant que faire se peut, interpréter pour les normaliser, c'est-à-dire les écrire sous une forme adaptée, uniforme pour chaque type de données. [0059] Les cellules de noms ne sont pas des cellules d'adresses. Une cellule d'adresse avec le numéro d'immeuble et le nom de la rue qui peut être la combinaison d'un nom et d'un prénom ne sera pas interprétée comme s'il s'agissait du nom, prénom du sujet de la fiche et ce n'est que de façon très exceptionnelle que l'adresse contient le nom patronymique du sujet de la fiche-source. [0060] Pour pouvoir être normalisées de manière plus significative, les données normalisées sont décomposées en données élémentaires les plus simples possibles sans en altérer le sens ou du moins en conservant une donnée dans sa forme initiale dans une cellule tout en ajoutant des cellules avec les éléments résultant de la décomposition de cette donnée. Les éléments apparemment inutiles ou redondant seront également supprimés même si, dans leur présentation avant la normalisation proprement dite, ces éléments paraissent différents tels que des pluriel / singulier, d'évidentes fautes d'orthographe, des signes qui ne peuvent être interprétés, des majuscules, des signes de ponctuation ou autres. [0061] A titre d'exemple : l'adresse postale sera présentée non seulement dans sa forme d'origine, mais éventuellement aussi à l'état décomposé et inscrit dans autant de cellules : [0062] elle sera conservée telle quelle dans une cellule Cn(j) [0063] elle sera décomposée en ses éléments, par exemple, deux parties mises chacune dans une cellule Cn(j-F1) et Cn(j+2). [0064] L'inscription d'une donnée dans une cellule Cn(j) ou un ensemble de cellules Cn(j), Cn(j-F1), se fait suivant une forme ou présentation uniformisée pour le même type de données : les chiffres seront écrits de la même manière, les majuscules supprimées, etc. [0065] Cette uniformisation de la présentation des données en fonction du type de données est indispensable pour réduire le nombre de données identiques par leur contenu mais 7 qui pourraient différer par la forme de leur présentation. [0066] Néanmoins, le nombre de cellules normalisées Cn(j) de la fiche normalisée Fn(i) est plus élevé voire beaucoup plus élevé que le nombre de cellules de hase Ch(j) d'une même fiche Fh(i). [0067] L'opération suivante OP3 consiste à recombiner les cellules normalisées Cn(j), prin- cipalement, voire exclusivement celles des invariants qui doivent identifier de manière précise le sujet de la fiche F, (i). Cette recombinaison OP3 s'applique aux cellules Cn(j) d'un même groupe tel que le groupe des cellules décrivant l'identité du sujet ou son adresse. [0068] Identité : [0069] nom, [0070] prénom(s), [0071] nom/prénom(s), [0072] adresse: [0073] n° du domicile, [0074] nom de la voie (rue/impasse/place/avenue...), [0075] localité, [0076] code postal. [0077] La recombinaison OP3 des cellules Cn(j) d'un groupe consiste à faire des ar- rangements et des combinaisons au sens combinatoire pour couvrir le maximum de présentations possibles de ces données que l'on pourrait rencontrer parmi les données d'une fiche-source, remplie d'une manière non habituelle ou correspondant à des données permettant plusieurs formes d'interprétations telles que des noms de rue, d'avenue, de place, combinant des dates, des numéros d'ordre, des noms patronymiques complexes, les titres honorifiques, etc. qui peuvent être combinés ou simplifiés selon le rédacteur de la fiche-source FS(i) ou des informations incomplètes, modifiées, simplifiées qui ont été inscrites dans les fiches-sources. [0078] La fiche recombinée FRC(i) se compose de cellules recombinées C,c(h) de la partie des invariants DIN et de la partie des variants DV. Les cellules normalisées Cn(j) des invariants sont reprises à la fois telles quelles et aussi dans leurs plus nombreux arrangements et combinaisons possibles et significatifs pour couvrir un maximum d'éventualités alors que les cellules Cn(j) des données variables sont reprises sans être complétées par des combinaisons ou avec un nombre réduit de recombinaisons qui pourraient être utiles. [0079] La recombinaison OP3 des cellules Cn(j) est faite avec un algorithme de recom- binaison. [0080] Les cellules normalisées Cn(j) reprises telles quelles dans la fiche de recombinaison FRC(i) ne représentent qu'un sous-ensemble des cellules CRC de cette fiche FRC(i), aussi 8 l'indice h des cellules Cric ne sera pas le même ; on utilisera l'indice h pour les cellules CRcc(h)- [0081] Ainsi, du fait des arrangements et des combinaisons, les cellules C'c(h) seront beaucoup plus nombreuses que les cellules normalisées Cn(j) dont elles sont issues. [0082] Un exemple de recombinaison est donné à la figure 2 qui résulte de deux recom- binaisons des cellules élémentaires issues des cellules de hase Ch(j) normalisées Cn(j) et qui sont : [0083] conservées telles quelles dans la première ligne, [0084] recombinées sur les deux lignes suivantes pour former des arrangements (au sens combinatoire) de différentes cellules élémentaires des données d'état civil et des données de contact selon des combinaisons appropriées. [0085] L'ensemble de ces cellules recombinées C,,c(h) obtenues à partir des cellules nor- malisées Cn(j) constitue la fiche recombinée F'c(i). [0086] Les fiches recombinées FRc(i) sont ensuite hachées par une opération de hachage cryptographique (0P4) pour donner des cellules de données hachées hash(j) correspondant aux différentes cellules C,c(h) de la fiche recombinée FRc(i). [0087] Les différentes opérations OP1, OP2, OP3, OP4 décrites ci-dessus, faites chez le ges- tionnaire 1 utilisent les outils de l'opérateur 2. [0088] Bien que les outils qui sont des programmes et des clés soient fournis par l'opérateur 2 en fonction de son mode de travail et de l'organisation des éléments composant chaque fiche, ces différentes opérations sont faites chez le gestionnaire 1 de la base de données BDD pour que les fichiers sources FS(i) encore en clair ou transformées de manière réversible ne puissent être déchiffrées au-delà du gestionnaire 1, par exemple par une interception de la transmission vers l'opérateur 2. [0089] Tout au long des opérations OPI-OP4, les cellules de données invariantes et celles des données variables sont séparées pour retrouver cette séparation sur la fiche chiffrée FcH(0- [0090] Le résultat du hachage cryptographique c'est-à-dire la fiche Frai) est transmis (0P5) à l'opérateur 2. Les cellules hash(h) de la partie invariante des données sont dégradées (0P6) par l'opérateur 2 pour les simplifier. [0091] Les cellules hachées dégradées dhash(h) sont transmises (0P7) pour être concaténées (0P8) pour former la signature S(i) associée au fichier source F,(i). Cette signature est ensuite cryptée (OPI1) SCR(i). [0092] En parallèle, toutes les cellules hachées hash(h) de la fiche Fs(i) transmis (0P9) l'opérateur 2 sont assemblées pour former le corpus (0P10). Le corpus crypté Fcc(i) est composé des cellules crypto-hachées hash(h) simplement transmises telles quelles à l'opérateur 2. Il s'agit ainsi de l'ensemble des cellules crypto-hachées hash (h) de la fiche FcH(i). 9 [0093] Le corpus Fcc(i) est réuni à la signature SCR(i) pour former l'empreinte générale EG(i) du fichier E, (i). [0094] L'empreinte EGO) peut être transmise à quiconque et en particulier à l'opérateur 2 pour effectuer les traitements souhaités d'une manière parfaitement sécurisée. [0095] L'empreinte générale EGO) est un outil pour les opérations futures faites sur les données chiffrées de manière irréversible, non décryptables, telles que des comparaisons de fiches pour éliminer par exemple des doublons ou tenir compte de l'évolution des informations toujours à l'état crypte des fiches-sources Fs(i) sans que les fiches ne soient accessibles ou puissent être utilisées pour des opérations. [Revendication I] [Revendication 2] REVENDICATIONSSystème de traitement d'une hase de données personnelles par un opérateur extérieur comprenant : A) un programme de préparation des données, conçu par l'opérateur (2) et appliqué aux données par le gestionnaire ( I) de la hase de données (BDD) aux fiches-source (F,(i)) pour former des images crypto-hachées (FCH(i) des données des fiches-sources (Fs(i)) et ensuite les transmettre à l'opérateur (2) pour les traiter et combiner les cellules crypto-hachées (Cr-hash(h)) et composer une empreinte générale (EGi) des données chiffrées, de chaque fiche-source (F, (i)). B) la préparation des données consistant à effectuer une mise en cohérence des informations de la fiche source (F, (i)) à l'aide du programme de préparation de données fourni par l'opérateur (2) au gestionnaire (1) qui décrit les correspondances entre les champs du fichier (F, (0) et les champs du système de l'opérateur (2), alimenter (0P1) une fiche de base (Fb(i)) à partir des éléments L(n) de la fiche-source (F, (i)), cette fiche de base (Fb(i)) étant composée de cellules (Cb(j)) adaptées par l'opérateur (2) à la nature des fiches F, (i) du fichier-source (FCHS) composer (0P2) les données de ces cellules (Cb(j)) en données élémentaires tout en conservant les données non décomposées et uniformiser la forme des données de chaque cellule ainsi alimentée Cn(j) selon des règles d'uniformisation, recombiner (0P3) les cellules contenant les données élémentaires de chaque type selon les arrangements et les combinaisons possibles formant les cellules de recombinaison (CRC(h)) crypter par un crypto-hachage (0P4) les données des cellules de recombinaison CRC(h) pour obtenir des cellules de données crypto-hashées (Cr-hash) et, Système de traitement de données personnelles selon la revendication 1, caractérisé en ce que l'opérateur (2) dégrade les cellules crypto-hachées (Cr-hash (h)) des données invariantes pour obtenir des cellules de données hachées dégradées (d hash (h)), et conserver en parallèle de cette fiche dégradée (Fdh(i)), la fiche (FCH(i)) avec les cellules (Cr-hash (h)) de données crypto-hachées, as- 11 [Revendication 3] semblées (0P10) en une fiche (FCC(i)). [Revendication 4] Système de traitement de données personnelles selon la revendication 2, caractérisé en ce que l'opérateur (2) assemble les cellules crypto-hachées dégradées (dhash(h)) en les concaténant (0P8) pour obtenir une signature S(i) qui est ensuite chiffrée (OP11) pour obtenir une signature cryptée (SCR(i)). Système de traitement de données personnelles selon les revendications 2 et 3, caractérisé en ce que l'opérateur (2) réunit la fiche (FCC(i)) et la signature chiffrée (SCR(i)) pour former l'empreinte générale chiffrée (EG(i)) de la fiche-source (Fs(i)).