Identifier et protéger les données personnelles

Tu prépares un fichier pour un outil de BI. Il ne contient aucun nom, mais il garde un identifiant client, une date précise et une zone géographique. Retirer le nom ne permet pas de conclure que le fichier est anonyme.

Cette fiche donne des contrôles de travail ; elle ne remplace pas la validation du responsable des données dans l'entreprise.

1. Reconnaître une donnée personnelle

La Commission nationale de l'informatique et des libertés (CNIL) définit une donnée personnelle comme une information concernant une personne physique identifiée ou identifiable, directement ou indirectement. Un nom peut identifier directement. Un identifiant, une localisation ou plusieurs colonnes croisées peuvent identifier indirectement.

À partir des noms de colonnes ci-dessous, écris pour chacune ce qu'elle pourrait permettre d'identifier, de relier ou de déduire. Une colonne peut présenter plusieurs risques. Travaille sur cette liste, sans copier de valeurs concernant une personne dans ta note.

Colonne	Question à poser
`customer_unique_id`	Permet-elle de relier plusieurs commandes au même client ?
`customer_zip_code_prefix`	Avec quelles autres colonnes peut-elle isoler un petit groupe ?
`review_comment_message`	Une personne peut-elle y écrire une information sur elle-même ?
`order_purchase_timestamp`	Ce niveau de précision est-il nécessaire au graphique ?

Comparer les risques repérés

Un identifiant stable peut relier des commandes au même client. Un préfixe postal et une date précise peuvent faciliter un rapprochement avec une autre source. Un commentaire libre peut contenir des informations identifiantes, même si son nom de colonne ne l'annonce pas. Ces indices appellent une analyse du besoin et du risque ; ils ne démontrent pas à eux seuls qu'une personne a été identifiée.

2. Réduire l'extrait à sa finalité

Le principe de minimisation demande de ne traiter que les données utiles et nécessaires au but annoncé, c'est-à-dire à la finalité.

Tu prépares un graphique du nombre de commandes par mois d'achat, État client et catégorie. Le lecteur doit pouvoir filtrer par État et catégorie. Le fichier destiné au graphique sera déjà regroupé : une ligne par combinaison de ces trois dimensions, avec son nombre de commandes distinctes calculé en amont. Une commande contenant plusieurs catégories est comptée une fois dans chacune. Ces nombres ne s'additionnent donc pas forcément pour retrouver le total de commandes distinctes, notamment lorsqu'on sélectionne plusieurs catégories.

Pour chaque colonne envisagée dans cet export, complète : « je garde ... pour calculer, afficher ou filtrer ... ». Une justification « pour l'analyse » ne permet pas de contrôler le choix. Une colonne utile dans la source pour préparer le calcul n'a pas forcément à partir dans le fichier final.

Fais l'essai sur cette liste : mois, État, catégorie, nombre de commandes, identifiant client, commentaire libre, heure exacte d'achat. Sur papier ou dans un document, propose les en-têtes du fichier final et justifie les colonnes retirées. N'ajoute pas de données individuelles pour faire cet essai.

Contrôler ta proposition d'export

Mois, État, catégorie et nombre de commandes permettent de tracer et filtrer le graphique demandé à partir des effectifs déjà calculés. Les autres champs n'ont pas d'usage annoncé dans cet export. L'heure exacte peut servir à construire le mois en amont, sans être transmise avec celui-ci.

Exemple fictif, pour un même mois et un même État : la commande A contient un livre et un jeu ; la commande B contient un livre. Le fichier regroupé compte 2 commandes dans « livres » et 1 dans « jeux ». Leur somme vaut 3, mais il n'y a que 2 commandes distinctes. Une fois les identifiants retirés de cet agrégat, ces deux effectifs seuls ne permettent pas de retrouver ce chevauchement.

Avec ces en-têtes, garde la lecture par catégorie et n'affiche pas leur somme comme un total distinct toutes catégories. Si ce total ou un total distinct sur plusieurs catégories sélectionnées est demandé, il faut préparer un calcul adapté en amont, puis vérifier l'export nécessaire à cet usage. Ne rajoute pas un identifiant client par défaut : il ne résout pas le comptage des commandes.

Fais expliquer à une autre personne, à partir de tes en-têtes, ce qu'une ligne représente et comment elle retrouvera les deux filtres. Si tu disposes déjà d'un rapport de test, compare aussi les valeurs avant et après retrait, sur le même périmètre. Un graphique qui s'affiche encore ne garantit pas des nombres identiques ni des filtres fonctionnels.

La limitation de conservation demande aussi de définir une durée selon le besoin et les obligations applicables. Note où se trouvent le CSV, le notebook et les exports intermédiaires, qui peut les ouvrir et quelle règle de suppression ou d'archivage reste à confirmer. La fin de ton analyse n'autorise pas à effacer la source de l'organisme.

3. Distinguer pseudonymisation et anonymisation

La pseudonymisation remplace les éléments directement identifiants par un code. L'attribution à une personne reste possible avec une information supplémentaire, qui doit être conservée séparément et protégée. Les données pseudonymisées restent des données personnelles.

L'anonymisation vise à rendre l'identification impossible en pratique et de manière irréversible. La CNIL demande notamment d'examiner si une personne peut être isolée, si ses enregistrements peuvent être reliés ou si une information peut être déduite.

Avant de continuer, prédis le statut d'un fichier où le nom a été remplacé par un code client stable, tandis qu'une table de correspondance séparée permet de retrouver la personne. Écris aussi ce qui devrait être protégé.

Vérifier le statut et la protection attendue

Il s'agit de pseudonymisation : la correspondance permet encore de retrouver la personne. Le fichier et cette correspondance nécessitent des protections ; joindre la table de correspondance au même export annulerait cette séparation. Le code stable ne transforme pas les données en données anonymes.

Agréger par mois et région ou réduire la précision peut diminuer le risque. Ces gestes ne prouvent pas seuls l'anonymisation. Il faut encore examiner les petits groupes et les croisements raisonnablement possibles. La CNIL décrit ces contrôles d'anonymisation.

4. Contrôler un export vers un outil en ligne

Charger un fichier dans un service de BI exploité par un prestataire lui confie des données. Prépare la décision d'export sans effectuer le chargement pour cet exercice. Écris :

la finalité du graphique ;
les colonnes et la maille d'une ligne ;
le service destinataire et le lieu de stockage ;
les personnes qui auront accès ;
la règle de conservation puis de suppression ou d'archivage, et qui la confirme ;
la personne habilitée dans l'entreprise qui valide cet usage.

Si tu bloques sur une colonne, reprends le contrôle de la section 2 : usage, valeurs et filtres attendus. Si elle reste nécessaire, documente pourquoi. Une réponse inconnue dans la liste devient une question à la personne habilitée, pas une valeur inventée pour finir la fiche.

Cette liste prépare l'examen de l'usage ; elle ne prouve pas la conformité du service. L'organisme doit notamment vérifier les garanties du prestataire et l'encadrement contractuel du traitement. Voir la fiche CNIL sur la sous-traitance.

5. Examiner un indicateur qui classe des personnes

Un score par client, salarié ou vendeur peut déclencher une décision sur une personne. Un faible effectif, une donnée manquante ou un facteur extérieur peut rendre le classement trompeur sans provoquer d'erreur de calcul.

Avant de produire ce type d'indicateur, écris l'action déclenchée, l'effectif minimal, les facteurs que le chiffre ne mesure pas et la façon dont une personne peut contester ou faire corriger les données.

6. Transférer à un autre fichier

Choisis un autre export de ton TP BI ou la définition d'un fichier de projet. Travaille sur ses en-têtes et sa finalité, sans recopier de valeurs personnelles. Produis la liste des colonnes gardées avec leur usage, puis les six points de la section 4. Pour les copies prévues, indique emplacement, accès, règle de conservation et personne à solliciter si une information manque.

Fais relire cette note par une autre personne : peut-elle expliquer pourquoi chaque colonne reste et retrouver qui répondra aux questions ouvertes ? Garde ton premier essai, complète les éléments manquants et fais rejouer le contrôle. Cette relecture d'exercice ne remplace pas la validation de l'usage réel par l'organisme et n'autorise pas un transfert de données.

Un fichier remplace les noms par des codes stables. Une table de correspondance, conservée séparément et protégée, permet de retrouver les personnes. Comment qualifier ce fichier ?