Analyser des données personnelles sans se mettre en faute

C’est le sujet sur lequel on me pose le moins de questions et sur lequel je vois le plus de pratiques hasardeuses. Pas par négligence : parce que la contrainte est perçue comme un obstacle au travail d’analyse, donc contournée avec bonne conscience.

Je ne suis pas juriste, et ce qui suit n’est pas un avis juridique. C’est ce qu’un analyste doit savoir pour travailler sans mettre son entreprise — et ses collègues — en difficulté.

Le principe qui décide de tout : la finalité

Une donnée n’est pas collectée « pour l’entreprise ». Elle est collectée pour un usage précis, annoncé à la personne au moment de la collecte.

Une adresse électronique donnée pour recevoir une facture n’a pas été donnée pour recevoir une offre commerciale. Des données de géolocalisation collectées pour optimiser des tournées n’ont pas été collectées pour évaluer les salariés.

La question à se poser avant tout croisement : cette analyse est-elle compatible avec la raison pour laquelle la donnée a été collectée ? Si la réponse est non, ou si elle demande une gymnastique argumentative, il faut en parler avant de commencer — pas après avoir produit le tableau de bord.

C’est le principe qui bloque le plus de projets d’analyse, et c’est aussi celui dont la violation se voit le plus vite, parce qu’elle finit par se manifester auprès des personnes concernées.

Retirer le nom ne suffit pas

C’est l’erreur la plus répandue, et elle vient d’une intuition raisonnable : sans nom, la personne n’est plus identifiable.

En pratique, un très petit nombre d’attributs suffit à réidentifier quelqu’un dans un jeu de données. Un code postal, une date de naissance et un sexe suffisent à isoler une personne dans la grande majorité des cas. Dans un jeu de données d’entreprise, c’est souvent pire : le service, la date d’entrée et le type de contrat désignent une seule personne dans une équipe de quinze.

Il faut donc distinguer deux notions qui sont souvent confondues.

La pseudonymisation remplace les identifiants directs par un code, en conservant une table de correspondance ailleurs. Les données restent des données personnelles — elles bénéficient simplement d’une protection supplémentaire. C’est ce qu’on fait la plupart du temps, et c’est utile.

L’anonymisation rend la réidentification impossible, y compris par croisement avec d’autres sources. C’est un objectif exigeant, qui suppose de dégrader volontairement la donnée : agréger, regrouper des tranches, supprimer les catégories trop peu nombreuses. Une fois réellement anonymisées, les données sortent du champ de la réglementation.

Dire « nos données sont anonymisées » alors qu’on a seulement retiré le nom est une erreur fréquente, et elle donne une fausse sécurité à toute la chaîne.

La règle des petits effectifs

Une pratique simple que j’applique systématiquement dans les restitutions : ne jamais afficher un agrégat portant sur moins de cinq personnes.

Un taux de satisfaction affiché pour une équipe de trois personnes n’est pas une statistique, c’est une information sur trois individus identifiables par leurs collègues. Un taux d’absence par service dans une petite structure désigne quelqu’un.

Le seuil exact se discute selon le contexte. Le principe, lui, ne se discute pas : dès qu’un croisement réduit l’effectif, la case doit être masquée, et le masquage doit être visible plutôt que silencieux — sinon les utilisateurs interprètent une case vide comme un zéro.

Attention aussi à un piège classique : masquer une seule case ne suffit pas si le total de la ligne permet de la recalculer. Il faut alors masquer une case supplémentaire.

Photo : Michal Jarmoluk — licence CC0.

Ce qu’il faut vérifier avant de croiser deux fichiers

Cinq questions, que je pose systématiquement avant de commencer un travail d’analyse sur des données personnelles.

D’où viennent ces données, et pour quoi ont-elles été collectées ? Si personne ne sait répondre, c’est le premier chantier.

Ai-je besoin de l’identité pour répondre à la question posée ? Dans la majorité des analyses, non. Un identifiant technique stable suffit pour relier les enregistrements d’une même personne sans jamais savoir qui elle est.

Ai-je besoin de tous ces champs ? Le réflexe est de tout charger « au cas où ». C’est exactement ce que le principe de minimisation interdit, et cela augmente inutilement l’exposition en cas de fuite.

Combien de temps vais-je conserver cet extrait ? Les extraits de travail sont le point de fuite le plus courant : un fichier déposé sur un espace partagé pour un besoin ponctuel, oublié pendant trois ans. Une date de suppression doit être décidée à la création.

Qui d’autre y aura accès ? Un extrait posé sur un partage ouvert à toute l’entreprise n’a pas le même statut qu’une table dans un entrepôt aux accès contrôlés.

Les endroits où les données fuient réellement

Ce ne sont presque jamais les systèmes principaux, qui sont généralement bien protégés.

Les extraits de travail. Un tableur exporté pour une analyse, envoyé par courriel, conservé sur un poste. C’est de très loin le premier vecteur.

Les environnements de test. Une copie de la production sur un environnement aux accès plus larges et à la surveillance plus faible. C’est le sujet que je soulève systématiquement, et il est presque toujours ouvert.

Les journaux techniques. Une adresse électronique, un numéro de téléphone ou un identifiant national écrit dans une trace, conservée des mois et transmise au support pour analyse.

Les outils tiers. Un fichier déposé dans un service en ligne pour être converti, nettoyé ou analysé. Le geste prend dix secondes et transfère les données à un tiers non autorisé.

Photo : domaine public (CC0).

Ce que la contrainte apporte, sincèrement

Je ne présente jamais ces règles comme une pure contrainte, parce que ce n’est pas ce que j’observe.

Se demander de quelles données on a réellement besoin améliore l’analyse : on cesse de charger quarante colonnes pour en utiliser six. Se demander pourquoi une donnée a été collectée fait remonter des questions de définition qu’on n’aurait pas posées. Et fixer une durée de conservation oblige à décider ce qui a de la valeur.

La démarche a aussi un effet sur la confiance interne. Une équipe qui sait que les données la concernant sont utilisées dans un cadre clair coopère beaucoup mieux aux projets de mesure. À l’inverse, un seul usage perçu comme abusif rend suspecte toute demande ultérieure, y compris légitime.

Les durées de conservation, en pratique

C’est le point le plus souvent ignoré, parce qu’il n’a aucune conséquence visible à court terme : personne ne se plaint d’une donnée conservée trop longtemps.

Le principe est pourtant simple. Une donnée se conserve le temps de la finalité qui a justifié sa collecte, plus les durées légales applicables — comptables, sociales, contractuelles. Passé ce délai, elle doit être supprimée ou réellement anonymisée.

Ce que j’ai appris à faire concrètement. Distinguer la base active de l’archive : les données courantes d’un côté, les données conservées pour obligation légale de l’autre, avec des accès beaucoup plus restreints. Les secondes n’ont aucune raison d’alimenter les analyses courantes.

Décider de la durée par catégorie, pas globalement. Un historique de commandes et un enregistrement de navigation n’appellent pas le même traitement.

Automatiser la purge. Une règle de conservation qui suppose une action manuelle annuelle n’est jamais appliquée. Un traitement planifié, journalisé, avec un rapport de ce qui a été supprimé, fonctionne.

Un effet secondaire appréciable : les volumes cessent de croître indéfiniment, les traitements accélèrent, et les analyses portent sur des données pertinentes plutôt que sur dix ans d’historique dont personne ne se sert.

Ce que je recommande de mettre en place

Trois choses, qui ne coûtent presque rien et évitent l’essentiel des difficultés.

Un inventaire des extraits. Qui a créé quoi, à partir de quelle source, pour quoi, jusqu’à quand. Une simple feuille tenue à jour suffit, et elle rend possible le nettoyage périodique.

Une règle par défaut : travailler pseudonymisé. L’identité ne se charge que sur demande justifiée. Une fois cette règle en place, on constate qu’elle est presque toujours inutile.

Une conversation avec le référent en protection des données avant de démarrer, pas après. Elle prend une demi-heure. Elle évite de découvrir en fin de projet qu’un croisement n’était pas possible — et donc que le travail est à jeter.