Pseudonymisation : Définitions, Méthodes et Bonnes Pratiques

La pseudonymisation : Définition et portée juridique

Définition

Le RGPD définit la pseudonymisation à l'Article 4, point 5, comme "le traitement de données à caractère personnel de telle manière que celles-ci ne puissent plus être attribuées à une personne concernée spécifique sans avoir recours à des informations supplémentaires".

Cette méthode consiste à remplacer les informations identifiables (comme le nom ou l'adresse) par des valeurs fictives ou des codes. Cela signifie que même si quelqu'un accède aux données, il ne pourra pas facilement savoir à qui elles appartiennent sans avoir accès à des informations supplémentaires.

Par exemple, au lieu de stocker le nom "Dwight Schrute", on pourrait utiliser "Utilisateur007". Cette technique permet de rendre les données moins accessibles tout en gardant la possibilité de les retrouver si nécessaire

Attention, la pseudonymisation est différente de l'anonymisation, qui supprime totalement l'identité d'une personne des données.

Le plus souvent, c’est le responsable du traitement ou le DPO qui détient l’information de chiffrement et de déchiffrement.

Portée juridique

Sur le plan juridique, la pseudonymisation n'élimine pas le caractère personnel des données ; elle ne les soustrait donc pas au champ d'application du RGPD. Cependant, elle est reconnue comme une mesure technique qui réduit les risques associés au traitement des données personnelles. En cas de violation de données, par exemple, le fait que les données soient pseudonymisées pourrait atténuer les conséquences pour les personnes concernées et, par conséquent, pour l'organisme responsable du traitement. La CNIL, en tant qu'autorité de protection des données en France, encourage l'utilisation de la pseudonymisation comme une pratique exemplaire pour renforcer la sécurité des informations personnelles.

Pseudonymisation vs anonymisation

Il est important de ne pas confondre pseudonymisation et anonymisation. L'anonymisation rend les données totalement anonymes, c'est-à-dire qu'il est impossible de savoir à qui elles appartiennent, même si on dispose de toutes les informations possibles. En revanche, la pseudonymisation permet de cacher l'identité d'une personne, mais cette identité peut être retrouvée si on a accès aux bons outils ou informations. L'anonymisation est définitive, tandis que la pseudonymisation est réversible.

Pourquoi anonymiser des données ?

• Réduction des risques en cas de violation de données : Si une fuite de données survient, les informations pseudonymisées sont moins susceptibles d'être exploitées pour identifier les personnes concernées. Cela réduit les risques de dommages pour les individus.

• Conformité au RGPD : Le RGPD encourage la pseudonymisation comme une mesure de sécurité efficace. Elle permet aux organisations de traiter les données personnelles tout en minimisant les risques pour les droits et libertés des personnes.

• Utilisation continue des données : La pseudonymisation permet de continuer à exploiter les données pour des analyses, des études de marché, ou des rapports tout en protégeant l'identité des personnes concernées. Par exemple, une entreprise peut analyser les habitudes d'achat de ses clients sans exposer directement leurs informations personnelles.

• Protection supplémentaire dans les processus de traitement : Lors de l'échange ou du partage de données entre différents services ou partenaires, la pseudonymisation garantit que les informations sensibles ne sont accessibles qu'à ceux qui ont l'autorisation et les moyens de les déchiffrer.

Cas concret de pseudonymisation des données personnelles

Une entreprise d'assurance santé collecte des informations détaillées sur ses clients pour évaluer les risques et proposer des primes adaptées. Ces informations incluent des données sensibles, comme l’historique médical, les diagnostics, et les traitements reçus par les clients.

Pourquoi pseudonymiser ces données ?

L'entreprise souhaite analyser ces données pour identifier des tendances de santé, prévoir des risques futurs, ou même collaborer avec des partenaires pour des études de santé publique. Cependant, utiliser ces données sans protection pourrait exposer les informations médicales sensibles des clients, ce qui poserait des problèmes de confidentialité et de sécurité.

Comment la pseudonymisation aide ?

L'entreprise décide de pseudonymiser les données avant de les traiter et de les partager. Par exemple, elle remplace les noms des clients par des identifiants uniques ou des codes, et elle chiffre les informations comme les numéros de sécurité sociale ou les adresses. Les données médicales restent associées à ces identifiants, mais il est impossible de savoir à qui elles appartiennent sans avoir accès à la clé de déchiffrement.

Résultat

Grâce à la pseudonymisation, l'entreprise peut continuer à utiliser les données pour ses analyses internes et les partager avec ses partenaires pour des études, sans exposer directement les informations personnelles de ses clients. Si les données sont compromises, les identifiants pseudonymisés empêchent les intrus d'associer les informations médicales à une personne spécifique, réduisant ainsi les risques de violation de données. A noter : grâce à un logiciel RGPD comme Witik, vous pouvez gérez vos incidents de sécurité et analyser les violations de données.

Quelles sont les techniques pour effectuer une pseudonymisation ?

La pseudonymisation peut être réalisée à l'aide de plusieurs techniques, chacune ayant des caractéristiques spécifiques en fonction des besoins de protection des données et de leur utilisation future. Voici les principales méthodes :

Compteur

• Principe : Substituer un nombre séquentiel, généré par un compteur, à un ou plusieurs attributs directement identifiants (comme un nom ou une date de naissance). Le compteur commence à une valeur définie et s'incrémente à chaque nouvel enregistrement, garantissant que chaque pseudonyme est unique.

• Avantages : Simplicité et efficacité pour des jeux de données de petite taille. Il est facile à implémenter et convient particulièrement lorsque les données ne sont pas trop complexes.

• Exemple : Attribuer les numéros 113, 114, 115, etc., à des enregistrements tels que des noms et prénoms, créant ainsi une table de correspondance simple.

Générateur de nombres aléatoires

• Principe : Remplacer les données identifiantes par des nombres générés de manière aléatoire, indépendants des données originales. Cela produit des pseudonymes imprévisibles et non séquentiels.

• Avantages : Offre une protection supplémentaire contre la réidentification car les valeurs sont aléatoires et ne suivent pas un ordre prédéterminé.

• Exemple : Remplacer un nom par un nombre aléatoire comme 75721, 865, ou 42088.

Chiffrement à clé secrète

• Principe : Chiffrer les données identifiantes pour les rendre illisibles à moins de posséder la clé secrète. Ce chiffrement peut être déterministe (le même attribut donne toujours le même pseudonyme) ou probabiliste (avec un aléa introduit pour casser les corrélations).

• Avantages : Haute sécurité, car les données peuvent être déchiffrées uniquement par les détenteurs de la clé. Utile pour les situations où il est nécessaire de réidentifier les données sous certaines conditions.

• Exemple : Chiffrer un nom avec une méthode comme AES pour obtenir un pseudonyme comme "e29843178f52fb5779862748f06f2022b3c7c920a36928eac6c25cbd7e562185".

Fonction de hachage :

• Principe : Appliquer une fonction de hachage à un attribut ou un ensemble d'attributs, produisant un résultat de taille fixe qui n'est pas conçu pour être inversé. Il est recommandé d'utiliser une fonction de hachage avec "salage" pour ajouter une couche de sécurité supplémentaire.

• Avantages : Sécurise les données en les rendant difficiles à réidentifier, surtout avec l'ajout d'un "sel". Pratique pour des contextes où l'irréversibilité est souhaitée.

• Exemple : Hacher un nom pour obtenir une valeur comme "eeff86b4a738a90c0dfaa71ac8a3dd8cef5ba6f3eff8b9edf5f6af73a1abbddc".

Substitution, généralisation et floutage :

• Principe : Remplacer les données identifiantes par des valeurs génériques ou moins précises. Utilisé souvent dans la recherche scientifique pour attribuer des identités fictives ou pour masquer certaines informations.

• Avantages : Utile pour les études où il est important de conserver une certaine ressemblance socio-culturelle tout en protégeant les identités.

• Exemple : Substituer un nom par un autre qui est plausible dans le même contexte culturel, ou flouter une date de naissance en ne conservant que l'année.

Quelles sont les techniques pour effectuer une pseudonymisation ?

La pseudonymisation est une mesure clé pour protéger les données personnelles tout en permettant leur utilisation à des fins diverses, telles que la recherche, l'analyse de données ou la collaboration entre organisations. Comme nous l’avons vu eu plus haut, il existe plusieurs techniques pour pseudonymiser des données personnelles. Alors laquelle utiliser ?

Le choix de la méthode appropriée dépend de plusieurs facteurs.

Les facteurs à considérer :

Niveau de protection requis :

Si les données sont particulièrement sensibles un niveau de protection élevé est nécessaire pour éviter tout risque de réidentification. Des méthodes robustes comme le chiffrement à clé secrète ou le hachage avec salage sont souvent recommandées.

Utilité des données pour la recherche ou le projet envisagé :

Avant de choisir une technique, il est important de définir clairement les objectifs de votre projet. Par exemple :

• De quelles informations avez-vous réellement besoin ? Si vous n'avez pas besoin de toutes les données originales, certaines informations peuvent être simplifiées ou généralisées.

• Est-il essentiel de pouvoir lier les données d’un même individu au fil du temps ? Si oui, choisissez une technique qui permet de conserver cette continuité, comme l'utilisation d'un identifiant pseudonymisé cohérent.

• La structure des données doit-elle rester intacte pour l'analyse ?

Protection des éléments sensibles :

Quelle que soit la technique de pseudonymisation choisie, il est essentiel de garantir la confidentialité des éléments qui permettent de relier les pseudonymes aux données originales, tels que les tables de correspondance, les clés de chiffrement, etc. Ces éléments doivent être protégés par des mesures techniques et organisationnelles appropriées. Par exemple, seuls les membres autorisés de votre équipe, tels que le DPO ou le responsable de la sécurité des systèmes d’information (RSSI), devraient avoir accès à ces informations, et ce, dans des conditions strictement définies.

Minimisation des risques :

Pour réduire les risques de réidentification et protéger les individus concernés, supprimez les éléments permettant la réidentification après la pseudonymisation, une fois que l'analyse ou le traitement est terminé. Cela réduit le risque que quelqu'un puisse remonter jusqu'à l'identité d'une personne.

Attention : Même après pseudonymisation, il est possible que les données permettent encore une identification indirecte, notamment en les croisant avec d'autres informations. Ces données doivent donc continuer à être traitées conformément aux exigences du RGPD.