Un observatoire pour évaluer son anonymat sur le web

Communiqué de presse - Recherche UCLouvain

Des chercheurs de l’Imperial College London et de l’Université catholique de Louvain (UCLouvain) ont développé un site web qui permet à chacun·e d’évaluer le risque qu’il ou elle court d’être identifié·e parmi un ensemble de données anonymes. L’Observatoire de l’anonymat permet aux utilisateurs de tester leur anonymat dans 89 pays différents, dont la Belgique.

Petit retour en arrière. Alors que les premières amendes colossales commençaient à être infligées pour des infractions au RGPD de l’UE, des chercheurs de l’UCLouvain (Luc Rocher et Julien Hendrickx) et de l’Imperial College (Yves-Alexandre de Montjoye) ont démontré, en juillet 2019 (étude publiée dans Nature Communications) qu’à partir de quelques caractéristiques en apparence anodines, il était possible de réidentifier des personnes dans des données supposées anonymes (au départ de quelques informations démographiques seulement : code postal, date de naissance, religion et état civil). Plus les informations saisies sont nombreuses, plus la probabilité de désanoymiser ces données est élevée.

La conclusion de cette étude ? Nos données à caractère personnel, régulièrement collectées et partagées de manière « anonymisées », ne sont finalement pas si anonymes que ce que l’on pourrait penser, dès lors qu’on collecte un nombre suffisant de caractéristiques d’une personne. Le hic ? Au terme de ce processus, les données ne sont plus soumises aux réglementations de protection des données et peuvent dès lors être utilisées et vendues librement à des tiers, notamment des firmes publicitaires et des courtiers en données.

C’est là qu’interviennent à nouveau les chercheurs de l’UCLouvain et de l’Imperial College, avec la création d’un observatoire de l’anonymat. L’objectif ? Aider les individus à mieux comprendre le risque de réidentification auquel ils sont exposés lorsque leurs données à caractère personnel sont partagées.

Concrètement, toutes les informations que les utilisateurs peuvent saisir sur le site de l’Observatoire sont des données standards fréquemment demandées sur les sites web, lors d’enquêtes, ou encore par les applis. Le site informe ensuite l’internaute du degré de certitude avec lequel il ou elle pourrait être réidentifié·e, sur base de ces informations, et de l’impact d’omettre l’une ou l’autre d’entre elles. En bref, le site permet de prendre conscience exactement à partir de quel moment nos données ne sont plus anonymes.
Les entreprises et les gouvernements ont minimisé le risque de réidentification en faisant valoir que les données qu’ils collectent sont toujours incomplètes. Ils allèguent que l’identification d’une personne correcte parmi un ensemble de données anonymes est malaisée dans tous les cas. Ce site web démontre au contraire que la combinaison de quelques éléments d’information fondamentaux peut suffire à identifier correctement une personne.

Les recommandations des chercheurs ? Les décideurs politiques devraient prendre davantage de mesures pour protéger les individus contre l’utilisation du terme anonyme lorsque les données peuvent en fait être réidentifiées, lesquelles peuvent avoir des implications graves pour leur carrière, mais aussi pour leur vie privée et leurs finances. Les scientifiques de l’UCLouvain et de l’Imperial College espèrent que l’Observatoire s’avérera utile pour évaluer si les normes actuelles de désidentification sont conformes aux législations modernes relatives à la protection des données comme le sont le RGPD européen et le CCPA californien.