Anonymisation des données de mobilité : exigences CNIL et risques de réidentification

Lecture rapide

La CNIL précise que l’anonymisation des données de localisation doit intervenir le plus tôt possible et être techniquement robuste, en combinant généralisation, agrégation, perturbation ou données synthétiques, puis en testant la résistance aux attaques d’individualisation, corrélation et inférence. Elle rappelle que l’anonymisation elle-même est un traitement soumis au RGPD, généralement fondé sur l’intérêt légitime, et que seules des données réellement anonymes peuvent être réutilisées librement.

Analyse juridique

1. Anonymisation des données de localisation : recommandations techniques de la CNIL

1. La CNIL rappelle que l’anonymisation des données personnelles est un traitement soumis au RGPD, qui doit reposer sur une base légale (souvent l’intérêt légitime, article 6.1.f) et respecter les droits des personnes concernées (information, opposition, etc.). L’anonymisation consiste à utiliser un ensemble de techniques de façon à ce qu’une personne physique ne soit pas identifiable par des moyens raisonnablement susceptibles d’être utilisés. Une analyse de réidentification doit conclure à un risque négligeable d’identification ; à défaut, les données demeurent des données personnelles et restent dans le champ du RGPD.

2. La CNIL recommande, lorsque la finalité le permet, de traiter des données de localisation anonymisées et d’effectuer l’anonymisation le plus en amont possible, idéalement localement (par exemple directement dans le véhicule). Elle souligne que les données de localisation ne deviennent pas anonymes par la seule suppression des identifiants ou par un chiffrement partiel : la pseudonymisation est une mesure souhaitable de protection, mais ne suffit pas en général à empêcher l’identification, sauf pour des destinataires qui ne disposent d’aucun moyen de rattacher les données à une personne identifiable.

2. Techniques d’anonymisation et analyse de réidentification

3. La CNIL distingue plusieurs familles de techniques d’anonymisation : la généralisation (rendre les données moins précises, par exemple en remplaçant des coordonnées GPS par des cellules géographiques prédéfinies), l’agrégation (combiner des données de plusieurs personnes, par exemple en cartes de chaleur), la perturbation aléatoire (ajout de bruit pour empêcher la reconstitution de trajets individuels) et la génération de données synthétiques (jeux de données fictifs reproduisant les propriétés statistiques des données réelles). Elle renvoie à l’avis 05/2014 du G29 sur les techniques d’anonymisation et annonce de nouvelles lignes directrices du CEPD.

4. Pour démontrer qu’un jeu de données est anonyme, l’avis 05/2014 considère qu’il suffit de montrer que le jeu résiste aux attaques par individualisation, corrélation et inférence. Il faut donc démontrer qu’il n’est pas possible d’isoler des informations relatives à un individu, de relier des données concernant un même individu ou groupe, ni de déduire de nouvelles données à partir des attributs existants. À défaut, une analyse ad hoc des risques de réidentification doit conclure à des risques insignifiants. Les résultats de ces analyses doivent être documentés et réévalués en fonction des nouvelles techniques d’attaque.

3. Exemple d’anonymisation par carte thermique et scénarios de réidentification

5. La CNIL illustre l’anonymisation par la réalisation d’une carte thermique (« heat map ») à partir de données de localisation de véhicules. Un gestionnaire de flotte souhaitant optimiser les recharges électriques peut, au lieu de montrer des trajets individualisés, agréger et généraliser les points de trajet dans des zones géographiques, représentées par des intensités de couleur. Des seuils d’agrégation (nombre de points, période temporelle) doivent être définis pour éviter la réidentification de clients dans des zones peu denses. Cette méthode permet d’identifier des zones à forte densité de véhicules sans révéler les trajets spécifiques.

6. Le projet « GeoTrouveTous » du Laboratoire d’Innovation numérique de la CNIL (LINC) a montré qu’une réidentification quasi-automatique d’individus peut être réalisée à partir de données pseudonymisées de localisation acquises auprès de courtiers en données. Il met en évidence des scénarios d’attaque par individualisation (reconstitution de traces d’un individu), d’attaque par inférence (déduction de lieux de domicile ou de travail) et d’attaque par corrélation (croisement avec d’autres jeux de données, publics ou privés). Ces résultats soulignent la nécessité de combiner plusieurs techniques d’anonymisation et de tenir compte des capacités réelles des attaquants dans l’analyse de réidentification.

4. Analyse d’impact et mesures de réduction des risques

7. La CNIL rappelle qu’une analyse d’impact sur la protection des données (AIPD) est requise lorsque le traitement de données de localisation est susceptible d’engendrer un risque élevé (collecte à grande échelle, croisement de données, nouvelles technologies). L’AIPD doit recenser les risques de réidentification et définir des mesures techniques et organisationnelles : chiffrement, cloisonnement des données par client et par finalité, minimisation (fréquence et précision réduites), anonymisation ou pseudonymisation précoce, limitation des accès, journalisation, documentation interne (chartes, clauses contractuelles).

8. L’anonymisation, lorsqu’elle est correctement mise en œuvre et que les données initiales sont effacées immédiatement, est présentée comme une mesure particulièrement protectrice de la vie privée, car elle fait disparaître le caractère personnel de la donnée. La CNIL souligne toutefois que chaque étape du traitement doit être nécessaire et proportionnée, notamment lorsque l’anonymisation implique la création de nouvelles données personnelles par déduction. Elle invite les responsables de traitement à s’appuyer sur les bases de connaissances AIPD et sur les lignes directrices du CEPD pour concevoir des plans d’action permettant de maintenir les risques à un niveau acceptable dans les systèmes traitant des données de localisation.

Repères utiles

Les références essentielles de ce texte, en un coup d’œil.

Ce contenu constitue une information documentaire  juridique et ne remplace pas une consultation personnalisée. Pour une analyse appliquée à votre dossier, contactez un avocat partenaire LegalPlanet.