Anonymiser une base de données pour la partager sans exposer de données personnelles, en 5 étapes

Notez toutes les colonnes et classez-les. Les identifiants directs désignent une personne à eux seuls : nom, numéro de pièce d’identité, courriel, téléphone. Les identifiants indirects ne l’identifient qu’une fois combinés : date de naissance, sexe, commune, filière. Les données sensibles (santé, religion, origine ethnique, orientation sexuelle) causent plus de tort si elles sont exposées.

Choisissez une issue pour chaque colonne. Supprimer est le plus sûr : noms, téléphones et adresses. Un identifiant personnel, comme le numéro de pièce d’identité, permet de suivre chaque personne dans l’analyse, par exemple pour fusionner deux fichiers sur les mêmes personnes ; le remplacer par un code aléatoire permet de le faire sans révéler de qui il s’agit, et c’est la fonction principale de HILO. Généraliser réduit le niveau de détail : la date de naissance devient une tranche d’âge. Laisser tel quel convient à ce qui n’identifie personne. Si deux colonnes comptent une valeur par personne, comme le numéro de pièce d’identité et le matricule, un seul code suffit.

Les commentaires et les réponses ouvertes peuvent contenir justement ce que vous avez supprimé dans une autre colonne : un numéro d’identité, un téléphone, un courriel, un nom. Cherchez-les (longs nombres, arobases, noms de la base) et masquez-les avec une marque comme [ID].

Sans les noms, une combinaison de données indirectes peut rester unique : Sweeney a montré que le code postal, le sexe et la date de naissance suffisent à reconnaître une bonne partie de la population des États-Unis. Comptez combien de personnes partagent chaque combinaison d’âge, de sexe, de commune et de filière (un tableau croisé dynamique le fait). Si certaines combinaisons n’identifient que peu de personnes, généralisez ces colonnes ou laissez-les de côté.

Téléchargez la base dans le même format. La table de correspondance (original → code) permet de réidentifier quelqu’un ou de reprendre les mêmes codes au tour suivant, et elle est aussi sensible que la base : conservez-la en lieu sûr et ne la partagez pas. Remplacer des données par des codes tout en conservant la table de correspondance relève de la pseudonymisation, et non de l’anonymisation : selon le RGPD (et des lois similaires), ces données restent des données personnelles. Seule l’absence de la table, et d’autres données permettant de reconnaître quelqu’un, rapproche d’une anonymisation.

Documentez quelles colonnes ont été supprimées, codées ou généralisées, selon quelles règles et quel risque est resté, sans aucune donnée de la base : cela sert à un comité d’éthique ou à une annexe méthodologique. Chaque pays a sa loi de protection des données et définit différemment ce qui est anonymisé (dans l’UE, le RGPD s’applique) : vérifiez celle de votre pays ; ce guide n’est pas un conseil juridique.