{"id":1424,"date":"2016-10-12T08:03:37","date_gmt":"2016-10-12T06:03:37","guid":{"rendered":"http:\/\/variances.eu\/?p=1424"},"modified":"2017-09-25T12:22:41","modified_gmt":"2017-09-25T10:22:41","slug":"big-data-3-comment-garantir-au-mieux-la-confidentialite","status":"publish","type":"post","link":"https:\/\/variances.eu\/?p=1424","title":{"rendered":"Big Data (3) – Comment garantir au mieux la confidentialit\u00e9\u00a0?"},"content":{"rendered":"

Les donn\u00e9es ou statistiques, d\u00e9tenues ou \u00e9labor\u00e9es par des administrations ou des entreprises, sont en g\u00e9n\u00e9ral construites \u00e0 partir d’informations individuelles, ce qui pose la question de la protection des sources, c\u2019est-\u00e0-dire de la vie priv\u00e9e, compte tenu des progr\u00e8s constants de la science et des process de traitement. Comment \u00e9tablir et maintenir la confiance du grand public, partie prenante num\u00e9ro 1, tout en respectant l\u2019\u00e9quilibre entre promesse de confidentialit\u00e9 et utilisation des donn\u00e9es recueillies\u00a0? <\/span><\/span><\/p>\n

Pour y r\u00e9pondre, deux approches sont compl\u00e9mentaires\u00a0: l\u2019une est r\u00e9glementaire, et montre que les Etats ont pris conscience depuis longtemps de la n\u00e9cessit\u00e9 d\u2019\u00e9tablir des garde-fous juridiques\u00a0; l\u2019autre vise \u00e0 s\u2019appuyer sur la technologie en mettant en place des obstacles techniques emp\u00eachant la diffusion de donn\u00e9es contre le gr\u00e9 de leur auteur.<\/span><\/span><\/p>\n

Le cadre r\u00e9glementaire et l\u00e9gislatif actuel de la vie priv\u00e9e<\/b><\/span><\/span><\/p>\n

Notons tout d\u2019abord qu\u2019il existe une diff\u00e9rence majeure entre \u00e9chantillon et m\u00e9gadonn\u00e9es. Un individu qui donne son accord pour participer \u00e0 un \u00e9chantillon le fait de son plein gr\u00e9, l\u2019acceptation est un acte conscient. Cette personne accepte de transmettre volontairement des informations, ce qui n\u2019est pas forc\u00e9ment toujours le cas dans l\u2019acquisition massive de donn\u00e9es. <\/span><\/span><\/p>\n

Du point de vue juridique, on peut consid\u00e9rer que le fait de consentir \u00e0 faire partie d\u2019un \u00e9chantillon, d\u2019un panel, est un acte volontaire donnant naissance \u00e0 l\u2019\u00e9tablissement d\u2019un \u00ab\u00a0contrat\u00a0\u00bb entre le pan\u00e9liste et la soci\u00e9t\u00e9 d\u2019\u00e9tudes organisant l\u2019\u00e9chantillon, contrat concernant ses donn\u00e9es \u00e0 caract\u00e8re personnel ou comportementales.<\/span><\/span><\/p>\n

Les notions de confidentialit\u00e9 et de secret sont pr\u00e9sentes dans de nombreux domaines\u00a0: secret des affaires, secret bancaire, secret m\u00e9dical \u2026En statistique et pour les bases de donn\u00e9es, un cadre de r\u00e9gulation ou l\u00e9gislatif existe dans beaucoup de pays, dont la France, qui a m\u00eame jou\u00e9 un r\u00f4le pr\u00e9curseur avec la cr\u00e9ation de la Commission Nationale de l\u2019Informatique et des Libert\u00e9s (CNIL) et la loi dite \u00ab\u00a0Informatique et Libert\u00e9s\u00a0\u00bb de 1978. <\/span><\/span><\/p>\n

N\u00e9anmoins, la premi\u00e8re loi fut la loi 51-711 du 7 juin 1951 sur l\u2019obligation, la coordination et le secret en mati\u00e8re de statistiques. Elle d\u00e9finit le secret statistique, et un concept appel\u00e9 \u00ab\u00a0impossibilit\u00e9 d\u2019identification\u00a0\u00bb dans le cadre des dispositifs de recueil de la statistique publique (recensements, enqu\u00eates). Ainsi, au niveau des personnes physiques, les donn\u00e9es personnelles, familiales, ou d\u2019ordre priv\u00e9 sont interdites de communication dans un d\u00e9lai de soixante-quinze ans. Pour le syst\u00e8me productif, aucun r\u00e9sultat cumul\u00e9 ne peut \u00eatre diffus\u00e9 pour un p\u00e9rim\u00e8tre de moins de trois entreprises, ou si une entreprise repr\u00e9sente au moins 85 % de l\u2019indicateur faisant l\u2019objet du cumul. Il peut arriver cependant que des exceptions soient faites \u00e0 des fins de recherche scientifique, apr\u00e8s avis du Comit\u00e9 du Secret Statistique, instance situ\u00e9e dans le p\u00e9rim\u00e8tre du <\/span><\/span>Conseil National de l’Information Statistique<\/span><\/span> (CNIS), qui a pris en 1984 la succession du C<\/span><\/span>onseil National de la Statistique<\/span><\/span> cr\u00e9\u00e9 en 1972.<\/span><\/span><\/p>\n

La loi la plus connue est probablement la loi <\/span><\/span>n\u00b0 78-17 du 6 janvier 1978 relative \u00e0 l’informatique, aux fichiers et aux libert\u00e9s, entr\u00e9e dans le langage commun sous le nom de \u00ab\u00a0Loi Informatique et Libert\u00e9s\u00a0\u00bb. Elle pr\u00e9cise les r\u00e8gles de protection de la vie priv\u00e9e dans l\u2019usage des fichiers de donn\u00e9es \u00e0 caract\u00e8re personnel.<\/span><\/span><\/p>\n

L\u2019article 1 de la loi de<\/span><\/span> <\/b>1978 pr\u00e9cise que<\/span><\/span> \u00ab\u00a0<\/span><\/span><\/b>constitue une donn\u00e9e \u00e0 caract\u00e8re personnel toute information relative \u00e0 une personne physique identifi\u00e9e ou qui peut \u00eatre identifi\u00e9e, directement ou indirectement, par r\u00e9f\u00e9rence \u00e0 un num\u00e9ro d’identification ou \u00e0 un ou plusieurs \u00e9l\u00e9ments qui lui sont propres<\/i><\/span><\/span>\u00a0\u00bb. <\/span><\/span><\/p>\n

Ces donn\u00e9es \u00e0 caract\u00e8re personnel peuvent \u00eatre conserv\u00e9es brutes, ou bien s\u00fbr \u00eatre trait\u00e9es et conserv\u00e9es apr\u00e8s traitement. Le sens de ce terme est bien plus large que celui que lui conf\u00e8rent les statisticiens. En effet, la loi stipule qu\u2019un traitement est \u00ab\u00a0<\/span>toute op\u00e9ration ou tout ensemble d’op\u00e9rations portant sur de telles donn\u00e9es, \u2026 ,et notamment la collecte, l’enregistrement, l’organisation, la conservation, l’adaptation ou la modification, l’extraction, la consultation, l’utilisation, la communication par transmission, diffusion ou toute autre forme de mise \u00e0 disposition, le rapprochement ou l’interconnexion, ainsi que le verrouillage, l’effacement ou la destruction<\/i><\/span>\u00a0\u00bb.<\/span><\/span><\/span><\/p>\n

Les Big Data sont \u00ab\u00a0big\u00a0\u00bb en deux sens\u00a0: en quantit\u00e9 et en vari\u00e9t\u00e9 disponible\u00a0; il faut \u00e9galement y ajouter les performances des analyses qui peuvent y \u00eatre appliqu\u00e9es pour faire de l\u2019inf\u00e9rence. Ce mot est associ\u00e9 \u00e0 la th\u00e9orie de Sir Ronald Fisher, dans les ann\u00e9es 1920. Or l\u2019inf\u00e9rence \u00ab\u00a0fisherienne\u00a0\u00bb de la\u00a0statistique classique consiste \u00e0 passer de l\u2019\u00e9chantillon \u00e0 la population\u00a0: apprendre sur un tout en observant une partie. Les bases de donn\u00e9es et les algorithmes peuvent engendrer une inf\u00e9rence \u00ab\u00a0perverse\u00a0\u00bb, une inf\u00e9rence invers\u00e9e\u00a0: de la base de donn\u00e9es vers l\u2019individu i.<\/span><\/span><\/p>\n

Ces traitements, mod\u00e8les, algorithmes, bref le data mining, peuvent permettre d\u2019acc\u00e9der non seulement \u00e0 des \u00e9l\u00e9ments personnels caract\u00e9risant l\u2019individu i contenus dans les data, mais aussi \u00e0 des donn\u00e9es non contenues, issues de traitements, c\u2019est-\u00e0-dire des variables estim\u00e9es. Quel est le statut de cette donn\u00e9e non recueillie mais approch\u00e9e\u00a0?<\/span><\/span><\/p>\n

Un exemple bien connu est le \u00ab\u00a0profiling\u00a0\u00bb, qui consiste \u00e0 estimer les caract\u00e9ristiques socio-d\u00e9mographiques \u00e0 partir d\u2019un comportement. Ainsi, le surf d\u2019une adresse IP sur des sites S, S\u2019, S\u2019\u2019 \u2026 dont les structures socio-d\u00e9mographiques des visiteurs sont connues permet assez simplement, par une banale d\u00e9composition en probabilit\u00e9s conditionnelles, d\u2019approcher le profil de l\u2019utilisateur. L\u2019objet m\u00eame des contenus des sites visit\u00e9s peut entra\u00eener une estimation des centres d\u2019int\u00e9r\u00eat du visiteur et m\u00eame de le classer \u00e9ventuellement dans une cat\u00e9gorie, f\u00fbt-elle \u00ab\u00a0\u00e9ph\u00e9m\u00e8re\u00a0\u00bb.<\/span><\/span><\/p>\n

Enfin, il faut bien int\u00e9grer que les r\u00e9flexions actuelles sur la protection des donn\u00e9es ont lieu dans le contexte scientifique actuel, connu\u00a0; il suffit de revenir dix ans en arri\u00e8re pour \u00eatre certain que les progr\u00e8s constants \u2013 ou exponentiels \u2013 de la science aideront la cr\u00e9ation de nouveaux mod\u00e8les, de nouveaux algorithmes, con\u00e7us \u00e0 une date post\u00e9rieure \u00e0 la constitution de la base de donn\u00e9es, et entra\u00eenant de nouvelles approches\u00a0; sans oublier l\u2019accroissement des capacit\u00e9s de stockage et de calcul.<\/span><\/span><\/p>\n

La loi \u00ab\u00a0Informatique et Libert\u00e9s\u00a0\u00bb abordait d\u00e9j\u00e0 ces possibilit\u00e9s li\u00e9es \u00e0 des traitements. Son article 10 mentionne explicitement \u00ab\u00a0<\/span><\/span>qu\u2019aucune d\u00e9cision de justice impliquant une appr\u00e9ciation sur le comportement d’une personne ne peut avoir pour fondement un traitement automatis\u00e9 de donn\u00e9es \u00e0 caract\u00e8re personnel destin\u00e9 \u00e0 \u00e9valuer certains aspects de sa personnalit\u00e9. Aucune autre d\u00e9cision produisant des effets juridiques \u00e0 l’\u00e9gard d’une personne ne peut \u00eatre prise sur le seul fondement d’un traitement automatis\u00e9 de donn\u00e9es destin\u00e9 \u00e0 d\u00e9finir le profil de l’int\u00e9ress\u00e9 ou \u00e0 \u00e9valuer certains aspects de sa personnalit\u00e9<\/i><\/span><\/span>\u00a0\u00bb. <\/span><\/span><\/p>\n

Par contre, \u00ab\u00a0ne sont pas regard\u00e9es comme prises sur le seul fondement d’un traitement automatis\u00e9 les d\u00e9cisions prises dans le cadre de la conclusion ou de l’ex\u00e9cution d’un contrat et pour lesquelles la personne concern\u00e9e a \u00e9t\u00e9 mise \u00e0 m\u00eame de pr\u00e9senter ses observations\u00a0\u00bb.<\/span><\/span><\/span><\/p>\n

Parmi les donn\u00e9es \u00e0 caract\u00e8re personnel, il existe une cat\u00e9gorie particuli\u00e8re\u00a0: les donn\u00e9es sensibles, dont la collecte et le traitement sont par principe interdits. Est consid\u00e9r\u00e9e comme sensible une information qui fait appara\u00eetre, directement ou indirectement, <\/span><\/span>les origines raciales ou ethniques, les opinions politiques, philosophiques ou religieuses, les appartenances syndicales, relative \u00e0 la sant\u00e9 ou \u00e0 la vie sexuelle (article 8). <\/span><\/span>La notion de donn\u00e9e sensible a \u00e9t\u00e9 \u00e9tendue par la jurisprudence. Ainsi, tracer les maladies contact\u00e9es par un individu, ou m\u00eame ses cong\u00e9s de maladie, est r\u00e9pr\u00e9hensible. Rel\u00e8vent aussi de cette appellation les<\/span><\/span> \u00e9l\u00e9ments biom\u00e9triques<\/span><\/span> ou g\u00e9n\u00e9tiques, les<\/span><\/span> infractions, condamnations ou mesures de s\u00fbret\u00e9, le num\u00e9ro INSEE ou s\u00e9curit\u00e9 sociale, etc.<\/span><\/span><\/p>\n

En outre, bien ne figurant pas dans la loi de 1978, des donn\u00e9es peuvent \u00eatre consid\u00e9r\u00e9es comme sensibles selon le contexte\u00a0: donn\u00e9es comptables ou financi\u00e8res pour une entreprise, par exemple.<\/span><\/span><\/span><\/p>\n

Troisi\u00e8me cadre l\u00e9gislatif, le Code des Postes et T\u00e9l\u00e9communications \u00e9lectroniques (loi 84-939 du 23 octobre 1984, modifi\u00e9e plusieurs fois) aborde le traitement des donn\u00e9es \u00e0 caract\u00e8re personnel dans le cadre de la fourniture au public de services de communications \u00e9lectroniques, notamment via les r\u00e9seaux qui prennent en charge les dispositifs de collecte de donn\u00e9es et d’identification. <\/span><\/span><\/p>\n

Dans un contexte voisin, le Groupe de l\u2019Article 29, r\u00e9unissant les entit\u00e9s europ\u00e9ennes, a officialis\u00e9 une \u00ab\u00a0D\u00e9claration commune des autorit\u00e9s europ\u00e9ennes de protection des donn\u00e9es\u00a0\u00bb le 25 novembre 2014. Et le 8 d\u00e9cembre 2014, un Forum de l\u2019UNESCO a \u00e9t\u00e9 consacr\u00e9 \u00e0 \u00ab\u00a0The European Data Gouvernance\u00a0\u00bb.<\/span><\/span><\/p>\n

Le cadre d\u00e9ontologique<\/b><\/i><\/span><\/span><\/p>\n

A c\u00f4t\u00e9 de ces lois, il convient de mentionner l\u2019existence de codes de d\u00e9ontologie professionnels, dont celui des administrateurs de l\u2019INSEE et celui d\u2019ESOMAR (European Society for Opinion and Market Research). <\/span><\/span><\/span><\/span><\/span><\/p>\n

Cette <\/span><\/span>organisation professionnelle, la premi\u00e8re au monde dans son domaine, regroupe les professionnels des \u00e9tudes et de la recherche en marketing depuis 1948. D\u00e8s sa cr\u00e9ation, ESOMAR a d\u00e9fini un code de d\u00e9ontologie qui <\/span>est r\u00e9guli\u00e8rement mis \u00e0 jour\u00a0; ce code pr\u00e9cise les \u00ab\u00a0bonnes pratiques\u00a0\u00bb pour les \u00e9tudes de march\u00e9 et d\u2019opinion, l\u2019un de ses objectifs \u00e9tant d\u2019\u00e9tablir la confiance du public envers ce type d\u2019\u00e9tude, le public \u00e9tant une partie prenante majeure. A cette fin, ce code d\u00e9finit la notion de participation enti\u00e8rement volontaire, les droits des r\u00e9pondants et leur anonymat.<\/span><\/span><\/span><\/span><\/span><\/p>\n

Les orientations \u00e0 venir ?<\/b><\/i><\/span><\/span><\/p>\n

Il est difficile de les pr\u00e9voir. De nombreuses r\u00e9flexions sont en cours sur donn\u00e9es, vie priv\u00e9e et traitements. Nous avons parl\u00e9, \u00e0 l\u2019occasion de la question 2, de la loi R\u00e9publique Num\u00e9rique de Mme Axelle Lemaire. Le cadre national est aussi d\u00e9pendant de l\u2019Europe.<\/span><\/span><\/p>\n

En janvier 2012, la Commission europ\u00e9enne pr\u00e9sentait sa r\u00e9forme de la protection des donn\u00e9es dans l\u2019Union, afin que l\u2019Europe s’adapte \u00e0 l\u2019\u00e8re num\u00e9rique. Pratiquement quatre ans plus tard, le 15 d\u00e9cembre 2015, un accord a \u00e9t\u00e9 conclu avec le Parlement europ\u00e9en et le Conseil, \u00e0 l\u2019issue des n\u00e9gociations finales entre les trois institutions.<\/span><\/span><\/p>\n

Les pratiques des acteurs sont \u00e9galement \u00e0 suivre de pr\u00e8s, car susceptibles d\u2019avoir des incidences de toute sorte sur divers m\u00e9tiers. <\/span><\/span><\/p>\n

Deux exemples\u00a0: en novembre 2014 a \u00e9t\u00e9 diffus\u00e9e la d\u00e9p\u00eache ci-apr\u00e8s\u00a0:<\/span><\/span><\/p>\n

\u00ab\u00a0Facebook va transmettre les donn\u00e9es de 185 millions d’Am\u00e9ricains \u00e0 Buzzfeed et ABC.<\/i><\/span><\/span><\/span><\/p>\n

Buzzfeed va se servir des donn\u00e9es de Facebook comme outil de sondage lors des \u00e9lections pr\u00e9sidentielles am\u00e9ricaines de 2016. Le site de m\u00e9dias-divertissement aura acc\u00e8s, comme la cha\u00eene ABC, \u00e0 des donn\u00e9es sur les sentiments et avis politiques des 185 millions d’am\u00e9ricains inscrits \u00e0 Facebook. L’analyse de ces donn\u00e9es, baptis\u00e9e Sentiment analysis, seront fournies directement par Facebook. \u00abNous pensons que cela peut \u00eatre la source la plus importante de donn\u00e9es politiques\u00bb, \u00e9crit Buzzfeed, qui rel\u00e8ve toutefois une faille: l’analyse peine pour le moment \u00e0 d\u00e9tecter le sarcasme.\u00a0\u00bb <\/i><\/span><\/span><\/p>\n

Toujours en novembre de cette m\u00eame ann\u00e9e, Facebook a annonc\u00e9 qu\u2019il modifiait sa politique de vie priv\u00e9e en prenant la propri\u00e9t\u00e9 des donn\u00e9es d\u00e9pos\u00e9es par ses utilisateurs, l\u2019<\/span><\/span>annonce \u00e9tant faite le 13 novembre 2014 et sa mise en application le 20 novembre. <\/span><\/span><\/p>\n

Sur un tout autre plan, le S\u00e9nat fran\u00e7ais a vot\u00e9 le 12 novembre 2014 un rapport pr\u00e9conisant d\u2019introduire dans le recensement deux questions sur le pays de naissance des ascendants et sur la nationalit\u00e9 ant\u00e9rieure.<\/span><\/span><\/p>\n

Les propositions du Conseil d\u2019Etat<\/b><\/i><\/span><\/span><\/p>\n

Le Conseil d\u2019Etat<\/span><\/span> a publi\u00e9 mi-septembre 2014 un imposant livre intitul\u00e9 \u00ab\u00a0Le num\u00e9rique et les droits fondamentaux\u00a0\u00bb, contenant 50 propositions pour mettre le num\u00e9rique au service des droits individuels et de l\u2019int\u00e9r\u00eat g\u00e9n\u00e9ral. Malgr\u00e9 le caract\u00e8re pr\u00e9curseur de l\u2019article 10 de la loi Informatique et Libert\u00e9s, d\u00e9j\u00e0 mentionn\u00e9, le travail du Conseil d\u2019Etat revient sur l<\/span><\/span>es \u00ab\u00a0algorithmes pr\u00e9dictifs\u00a0\u00bb.<\/span><\/span><\/p>\n

Extrait des <\/span><\/span>cinq propositions du Conseil d\u2019Etat les concernant :<\/span><\/span><\/p>\n

\u00ab\u00a01 – Pour assurer l\u2019effectivite\u0301 de l\u2019interdiction de fonder une de\u0301cision sur la seule mise en \u0153uvre d\u2019un traitement automatise\u0301, confirmer que l\u2019intervention humaine dans la de\u0301cision doit e\u0302tre re\u0301elle et pas seulement formelle. Indiquer dans un instrument de droit souple les crite\u0300res d\u2019appre\u0301ciation du caracte\u0300re effectif de l\u2019intervention humaine.<\/i><\/span><\/span><\/p>\n

2 – Imposer aux auteurs de de\u0301cisions s\u2019appuyant sur la mise en \u0153uvre d\u2019algorithmes une obligation de transparence sur les donne\u0301es personnelles utilise\u0301es par l\u2019algorithme et le raisonnement ge\u0301ne\u0301ral suivi par celui-ci. Donner a\u0300 la personne faisant l\u2019objet de la de\u0301cision la possibilite\u0301 de faire valoir ses observations.<\/i><\/span><\/span><\/p>\n

3 – Dans le cadre de l\u2019article 44 de la loi du 6 janvier 1978 et dans le respect du secret industriel, de\u0301velopper le contro\u0302le des algorithmes par l\u2019observation de leurs re\u0301sultats, notamment pour de\u0301tecter des discriminations illicites, en renforc\u0327ant a\u0300 cette fin les moyens humains dont dispose la CNIL.<\/i><\/span><\/span><\/p>\n

4 – Analyser les pratiques de diffe\u0301renciation des prix reposant sur l\u2019utilisation des donne\u0301es personnelles, mesurer leur de\u0301veloppement et de\u0301terminer celles qui devraient e\u0302tre qualifie\u0301es de pratiques commerciales illicites ou de\u0301loyales, et sanctionne\u0301es comme telles.<\/i><\/span><\/span><\/p>\n

5 – Encourager la prise en compte de la diversite\u0301 culturelle dans les algorithmes de recommandation utilise\u0301s par les sites internet diffusant des contenus audiovisuels ou musicaux.\u00a0\u00bb<\/i><\/span><\/span><\/p>\n

<\/h2>\n

Le rapport \u00ab\u00a0La nouvelle grammaire du succ\u00e8s, la transformation num\u00e9rique de l\u2019\u00e9conomie fran\u00e7aise\u00a0\u00bb<\/b><\/i><\/span><\/span><\/p>\n

Ce rapport r\u00e9sulte d\u2019une mission confi\u00e9e \u00e0 Philippe Lemoine en janvier 2014 par les ministres Pierre Moscovici, Arnaud Montebourg, Fleur Pellerin et Marylise Lebranchu. Il a \u00e9t\u00e9 remis au Gouvernement en novembre 2014. <\/span><\/span><\/p>\n

Abordant le num\u00e9rique et donc un champ bien plus large que les m\u00e9gadonn\u00e9es, m\u00eame si ces derni\u00e8res sont souvent cit\u00e9es, ce rapport a le m\u00e9rite de mettre en \u00e9vidence que, sur le plan \u00e9conomique, la transformation num\u00e9rique pr\u00e9sente pour la France bien plus d\u2019opportunit\u00e9s que de risques. <\/span><\/span><\/p>\n

Par ailleurs, certaines affirmations incitent \u00e0 la r\u00e9flexion\u00a0: \u00ab\u00a0<\/span><\/span>Nous pourrions affirmer ainsi un droit de chacun sur ses donn\u00e9es personnelles, ouvrant la possibilit\u00e9 de stocker ses donn\u00e9es dans des cloud personnels \u2026<\/i><\/span><\/span>\u00a0\u00bb, \u00ab\u00a0<\/span><\/span>il faut redonner la souverainet\u00e9 de la donn\u00e9e aux particuliers \u2026<\/i><\/span><\/span>\u00a0\u00bb.<\/span><\/span> <\/i><\/p>\n

Le principe de faire confiance aux citoyens, en leur redonnant le contr\u00f4le de leurs donn\u00e9es \u00e0 caract\u00e8re personnel, abord\u00e9 dans ce rapport appara\u00eet de plus en plus fr\u00e9quemment. Cette piste est-elle socialement envisageable sans cr\u00e9er de clivages dans la population, avec des groupes \u00e0 plusieurs vitesses selon leur degr\u00e9 de ma\u00eetrise technologique ?<\/span><\/span><\/p>\n

Le march\u00e9 bifaces<\/b><\/i><\/span><\/span><\/p>\n

C\u2019est peut-\u00eatre l\u2019occasion d\u2019aborder la th\u00e9orie du march\u00e9 bifaces, en lien avec le point pr\u00e9c\u00e9dent, et le pouvoir de l\u2019individu sur ses donn\u00e9es. Cette th\u00e9orie a \u00e9t\u00e9 d\u00e9velopp\u00e9e dans le cadre de l\u2019Ecole d\u2019Economie de Toulouse, impuls\u00e9e par Jean-Jacques Laffont, dans le contexte de l\u2019\u00e9conomie industrielle, au d\u00e9but des ann\u00e9es 2000. Jean Tirole, prix Nobel d4economie en 2014, y a grandement contribu\u00e9.<\/span><\/span><\/p>\n

Un march\u00e9 biface repose sur la co-existence de deux cat\u00e9gories d\u2019acteurs distincts mais d\u00e9pendants l\u2019un de l\u2019autre. Un exemple est celui d\u2019une plate-forme occupant une position centrale sur un march\u00e9, un <\/span><\/span>plate-forme <\/i><\/span><\/span>proposant des services diff\u00e9rents \u00e0 deux faces (ou c\u00f4t\u00e9s) du march\u00e9, avec des prix sp\u00e9cifiques.<\/span><\/span><\/p>\n

M\u00e9dia : un journal vend du contenu au lecteur et des espaces publicitaires aux annonceurs, les cat\u00e9gories des lecteurs et des annonceurs \u00e9tant li\u00e9es sur le march\u00e9 des biens ou services (r\u00e9seau).<\/span><\/span><\/p>\n

Question \u00e9conomiquement majeure : la th\u00e9orie de la valeur appliqu\u00e9e aux donn\u00e9es, les plates-formes centrales ayant un pouvoir de march\u00e9 bilat\u00e9ral : elles d\u00e9cident du prix demand\u00e9 \u00e0 chaque c\u00f4t\u00e9 du march\u00e9 et fixent le plus souvent des prix uniformes (le prix est le m\u00eame pour tous les agents d’un c\u00f4t\u00e9 donn\u00e9 du march\u00e9).<\/span><\/span><\/p>\n

Peut-on assurer techniquement la confidentialit\u00e9\u00a0?<\/b><\/span><\/span><\/p>\n

Les rapports entre \u00ab\u00a0privacy\u00a0\u00bb, la protection de la vie priv\u00e9e, et les bases de donn\u00e9es sont un champ de recherche d\u00e9j\u00e0 abord\u00e9 au milieu des ann\u00e9es 1970. <\/span><\/span><\/span><\/p>\n

Pour tous, le respect de la vie priv\u00e9e est une priorit\u00e9\u00a0: c\u2019est d\u2019ailleurs le genre d\u2019axiome sur lequel tout le monde est d\u2019accord a priori, mais il est bien connu que \u00ab\u00a0le diable est dans le d\u00e9tail\u00a0\u00bb. Comment alors assurer ce respect sur le plan technique, en plus du cadre r\u00e9glementaire\u00a0existant ?<\/span><\/span><\/span><\/p>\n

L\u2019\u00e9mergence des Big Data et l\u2019opportunit\u00e9 \u00e9conomique et de R&D qu\u2019ils pr\u00e9sentent provoquent une r\u00e9flexion actuelle qui fr\u00f4le le grand \u00e9cart. Comment concilier respect de la vie priv\u00e9e et potentiel de relance \u00e9conomique\u00a0? <\/span><\/span><\/span><\/p>\n

Aux Etats-Unis, le PCAST \u2013 instance de conseil en sciences et technologies aupr\u00e8s du Pr\u00e9sident \u2013 croit fermement que \u00ab\u00a0les b\u00e9n\u00e9fices sont incomparablement plus grands que les risques de dommages. \u2026.\u00a0\u00bb<\/span><\/span><\/span><\/p>\n

Il est donc du plus haut int\u00e9r\u00eat de garantir au mieux la confidentialit\u00e9 aux personnes participant \u00e0 des bases de donn\u00e9es, qu\u2019elles soient big ou small, afin de faire vivre avec elles une relation de confiance. <\/span><\/span><\/span><\/p>\n

Deux grands courants de pens\u00e9e semblent appara\u00eetre\u00a0: le premier est de type r\u00e9glementaire, bas\u00e9 sur des garde-fous juridiques\u00a0; le second, nord-am\u00e9ricain, est plus ouvert.<\/span><\/span><\/span><\/p>\n

Au-del\u00e0 des interdits, existe-t-il des r\u00e9ponses techniques \u00e0 ce besoin\u00a0de confidentialit\u00e9 ? <\/span><\/span><\/span><\/p>\n

Le cryptage <\/b><\/i><\/span><\/span><\/p>\n

Comment concilier promesse de confidentialit\u00e9 et de protection de la vie priv\u00e9e tout en utilisant les donn\u00e9es recueillies\u00a0?<\/span><\/span><\/p>\n

Tout d\u2019abord, il faut distinguer tout ce qui est s\u00e9curit\u00e9 informatique (cybers\u00e9curit\u00e9) et protection de vie priv\u00e9e. <\/span><\/span><\/p>\n

Sur le plan de la cybers\u00e9curit\u00e9, les m\u00e9thodes de cryptage \u2013 la cryptographie, ou science du chiffrement, est l\u2019apanage des gendarmes l\u00e0 o\u00f9 la cryptanalyse, science du d\u00e9chiffrement est le terrain de jeu des voleurs \u2013 ont bien \u00e9volu\u00e9 depuis leurs origines il y a plus de trois mill\u00e9naires. Jules C\u00e9sar cryptait les messages qu\u2019il envoyait \u00e0 ses g\u00e9n\u00e9raux\u00a0; le \u00ab\u00a0Grand Chiffre\u00a0\u00bb du Cabinet Noir de Louis XIV, d\u00fb \u00e0 la famille Rossignol des Roches (Antoine, Bonaventure le fils, Antoine-Bonaventure le petit-fils) acquiert au XVII\u00e8me si\u00e8cle une c\u00e9l\u00e9brit\u00e9 mondiale pour l\u2019\u00e9poque. Tout le monde a entendu parler du codage utilis\u00e9 par le t\u00e9l\u00e9graphe de Claude Chappe \u00e0 la fin du XVIII<\/span><\/span><\/span>\u00e8me<\/span><\/span><\/sup><\/span> si\u00e8cle, ou quelques ann\u00e9es plus tard par Samuel Morse. <\/span><\/span><\/span><\/p>\n

Ces m\u00e9thodes permettent de rendre illisible, c\u2019est-\u00e0-dire incompr\u00e9hensible, <\/span><\/span><\/span>un document \u2013 au sens large \u2013 \u00e0 tout acteur ne poss\u00e9dant pas la cl\u00e9. Une technique de chiffrement est dite sym\u00e9trique quand la m\u00eame cl\u00e9 est employ\u00e9e pour coder et pour d\u00e9coder. Elle sera asym\u00e9trique si deux cl\u00e9s diff\u00e9rentes et ind\u00e9pendantes fonctionnent, l\u2019une pour masquer, l\u2019autre pour d\u00e9masquer.<\/span><\/span><\/p>\n

Il faut mentionner les travaux, somme toute r\u00e9cents, de Mme Shafi Goldwasser et Silvio Micali, professeurs au MIT, sur la notion de s\u00e9curit\u00e9 s\u00e9mantique (pr\u00e9-print en 1982, puis article dans <\/span><\/span>Journal of Computer and Systems Sciences<\/i><\/span><\/span>, 1984). Tous deux ont con\u00e7u le premier syst\u00e8me \u00e0 chiffrement probabiliste dont on prouve la s\u00e9curit\u00e9 absolue. Ils ont re\u00e7u, en mars 2013, le Turing Award d\u00e9cern\u00e9 par l\u2019ACM (Association for Computing Macante sera fond\u00e9e sur le cryptage quantique, et la polarisation des photons.<\/span><\/span><\/p>\n

Malgr\u00e9 tous les progr\u00e8s des protocoles de cryptage, les donn\u00e9es peuvent courir des risques m\u00eame en cas de parfaite cybers\u00e9curit\u00e9, que ce soit par hasard, accident, inadvertance, d\u00e9faillance humaine, en plus des tentatives d\u2019intrusion ou de malversation de tierces parties.<\/span><\/span><\/p>\n

On peut n\u00e9anmoins consid\u00e9rer que la cybers\u00e9curit\u00e9 est une condition n\u00e9cessaire \u00e0 la protection de la vie priv\u00e9e, mais pas forc\u00e9ment suffisante.<\/span><\/span><\/p>\n

La vision de Tore Dal\u00e9nius<\/b><\/i><\/span><\/span><\/p>\n

Le bien connu statisticien su\u00e9dois Tore Dalenius a \u00e9nonc\u00e9 en 1977, dans le contexte des bases de donn\u00e9es telles qu\u2019elles existent alors, des principes touchant \u00e0 l\u2019\u00e9thique, au sens du respect de l\u2019intimit\u00e9 et de la vie priv\u00e9e. Dans son article publi\u00e9 dans Statistik Tidskrift (1977), \u00ab\u00a0<\/span><\/span>Towards a methodology for statistical disclosure control\u00a0\u00bb<\/i><\/span><\/span>, Dalenius pose le principe suivant\u00a0: <\/span><\/span><\/p>\n

\u00ab\u00a0Acc\u00e9der \u00e0 une base de donn\u00e9es ne doit pas permettre d\u2019apprendre plus de choses sur un individu que ce qui pourrait \u00eatre appris sans acc\u00e8s \u00e0 cette base de donn\u00e9es.\u00a0\u00bb <\/i><\/span><\/span><\/p>\n

Il ajoute\u00a0que, X(i) \u00e9tant la valeur de la variable X pour l\u2019individu r\u00e9pondant i, si la publication d\u2019un agr\u00e9gat statistique T permet de d\u00e9terminer la valeur X(i) plus pr\u00e9cis\u00e9ment que sans acc\u00e8s \u00e0 T, alors il y a eu faille de confidentialit\u00e9.<\/span><\/span><\/p>\n

Le principe innovant de Dalenius semble simple et coh\u00e9rent. Malheureusement, on peut d\u00e9montrer qu\u2019il ne peut \u00eatre atteint. La raison en est l\u2019existence d\u2019information auxiliaire, c\u2019est-\u00e0-dire une information disponible \u2013 hors de la base de donn\u00e9es initiale \u2013 pour toute personne \u00ab\u00a0tierce partie\u00a0\u00bb ou \u00ab\u00a0adversaire\u00a0\u00bb voulant trouver une faille et acc\u00e9der \u00e0 des donn\u00e9es \u00e0 caract\u00e8re personnel.<\/span><\/span><\/p>\n

Sans en faire la d\u00e9monstration, on peut donner un exemple de l\u2019impossibilit\u00e9 de ce principe. Consid\u00e9rons une base de donn\u00e9es contenant les tailles d\u2019\u00e9chantillons d\u2019hommes adultes de K nationalit\u00e9s, dont l\u2019Italie. Supposons que l\u2019on dispose de l\u2019information auxiliaire\u00a0: \u00ab\u00a0 Monsieur T mesure deux centim\u00e8tres de plus que l\u2019homme italien adulte moyen\u00a0\u00bb. A partir de la base de donn\u00e9es, on d\u00e9duit pr\u00e9cis\u00e9ment la taille de M. T. Et on remarque que, inversement, l\u2019acc\u00e8s \u00e0 la seule information additionnelle fournit relativement peu d\u2019\u00e9l\u00e9ments sur M. T. En outre, le r\u00e9sultat d\u2019impossibilit\u00e9 s\u2019applique que T contribue \u00e0 la base de donn\u00e9es ou pas.<\/span><\/span><\/p>\n

Plus formellement, le th\u00e9or\u00e8me d\u2019impossibilit\u00e9 du principe de Dalenius peut s\u2019\u00e9crire ainsi\u00a0: <\/span><\/span><\/p>\n

Soit S un m\u00e9canisme de protection d\u2019une base de donn\u00e9es, et une faille F dans cette protection.<\/span><\/span><\/p>\n

Pour toute base de donn\u00e9es, il existe toujours une information auxiliaire Z telle que\u00a0:<\/span><\/span><\/p>\n

    \n
  1. \n

    Z seule n\u2019a pas d\u2019utilit\u00e9 pour un \u00ab\u00a0adversaire\u00a0\u00bb<\/span><\/span><\/p>\n<\/li>\n

  2. \n

    Z combin\u00e9e avec les donn\u00e9es prot\u00e9g\u00e9es permet de trouver dans S une faille F avec une probabilit\u00e9 qui tend vers 1<\/span><\/span><\/p>\n<\/li>\n<\/ol>\n

    L\u2019anonymisation <\/b><\/i><\/span><\/span><\/span><\/p>\n

    La premi\u00e8re technique, a priori intuitive, consiste en l\u2019anonymisation des donn\u00e9es. <\/span><\/span><\/p>\n

    Vu de loin, cela revient \u00e0 enlever des bases de donn\u00e9es toutes les variables qui pourraient permettre d\u2019identifier le r\u00e9pondant.<\/span><\/span><\/p>\n

    Nous retrouvons ici la notion de donn\u00e9e \u00e0 caract\u00e8re personnel de la loi de 1978, une donn\u00e9e \u00e9tant consid\u00e9r\u00e9e personnelle d\u00e8s qu\u2019elle est relative \u00e0 un individu identifi\u00e9 ou identifiable de fa\u00e7on directe ou indirecte. Une personne physique sera identifi\u00e9e par son nom, et ais\u00e9ment identifiable par bien d\u2019autres variables. <\/span><\/span><\/p>\n

    Pour l\u2019identifier, on peut disposer d\u2019\u00e9l\u00e9ments comme un code d\u2019immatriculation, l\u2019adresse, l\u2019adresse IP, les num\u00e9ros de t\u00e9l\u00e9phone, un code PIN (Personal Identification Number), des photographies, des composants biom\u00e9triques comme une empreinte digitale ou l\u2019ADN, ou plus g\u00e9n\u00e9ralement tout ensemble de variables permettant par croisement ou recoupement de retrouver un individu dans un ensemble (par exemple, commune de naissance et date de naissance\u00a0; ou bien le bureau de vote). L\u2019identification n\u2019est peut-\u00eatre pas parfaite ou imm\u00e9diate, mais la loi de probabilit\u00e9 de bonne identification s\u2019\u00e9loigne sensiblement de la loi uniforme consid\u00e9r\u00e9e alors comme la loi de \u00ab\u00a0l\u2019ignorance parfaite\u00a0\u00bb.<\/span><\/span><\/p>\n

    Depuis plus d\u2019une dizaine d\u2019ann\u00e9es, les nouvelles technologies de la communication cr\u00e9ent de nombreuses donn\u00e9es de type donn\u00e9es \u00e0 caract\u00e8re personnel. Ainsi, c\u2019est le cas d\u2019un appel pass\u00e9 depuis un t\u00e9l\u00e9phone mobile ou d\u2019une connexion \u00e0 Internet, et de mani\u00e8re plus large, des \u00ab\u00a0logs\u00a0\u00bb (nom donn\u00e9 il y a plusieurs si\u00e8cles aux informations \u00e9l\u00e9mentaires contenues dans les journaux de bord de la marine), c\u2019est-\u00e0-dire des \u201ctraces informatiques\u201d facilement exploitables gr\u00e2ce aux progr\u00e8s des logiciels, et notamment les moteurs de recherche.<\/span><\/span><\/p>\n

    L\u2019anonymisation est un concept qui, \u00e0 premi\u00e8re vue, est simple \u00e0 comprendre et \u00e0 mettre en \u0153uvre, mais il peut se r\u00e9v\u00e9ler complexe et tendre \u00e0 supprimer des variables utiles et pertinentes. En outre, le nombre de failles dans la confidentialit\u00e9 cro\u00eet avec le progr\u00e8s des m\u00e9thodes scientifiques et la probabilit\u00e9 de r\u00e9-identifier un individu augmente, m\u00eame apr\u00e8s anonymisation.<\/span><\/span><\/p>\n

    Bien que restant un \u00ab\u00a0plus\u00a0\u00bb pour la protection, l\u2019anonymisation n\u2019est pas l\u2019avenir et ne saurait \u00eatre une base pour une politique de protection de la vie priv\u00e9e.<\/span><\/span><\/p>\n

    Destruction des donn\u00e9es<\/b><\/i><\/span><\/span><\/p>\n

    Une autre m\u00e9thode consiste \u00e0 supprimer les donn\u00e9es apr\u00e8s une p\u00e9riode conventionnelle d\u2019usage op\u00e9rationnel. Au-del\u00e0 de la duplication toujours possible d\u2019une base de donn\u00e9es, ce non-archivage infini introduit le s\u00e9duisant concept \u00ab\u00a0d\u2019\u00e9ph\u00e9m\u00e8re\u00a0\u00bb. Cependant, en pratique, <\/span><\/span><\/span>des donn\u00e9es \u00ab\u00a0caduques\u00a0\u00bb peuvent encore avoir ou retrouver de la valeur bien apr\u00e8s leur p\u00e9riode de \u00ab\u00a0vie active\u00a0\u00bb, sans compter les historiens ou les chercheurs pour lesquels cette p\u00e9riode est probablement diff\u00e9rente de celle du \u00ab\u00a0milieu des affaires\u00a0\u00bb.\u00a0<\/span><\/span><\/p>\n

    Agr\u00e9gation<\/b><\/i><\/span><\/span><\/span><\/p>\n

    Une id\u00e9e facile \u00e0 mettre en oeuvre consiste \u00e0 agr\u00e9ger les donn\u00e9es individuelles et \u00e0 ne rendre publics ou utilisables que des r\u00e9sultats agr\u00e9g\u00e9s. C\u2019est le principe de la loi de 1951 pour le secret statistique sur les entreprises.<\/span><\/span><\/span><\/p>\n

    Mais que devient la recherche au niveau \u00ab\u00a0micro\u00a0\u00bb, qui s\u2019appuie fr\u00e9quemment sur les mod\u00e8les sur donn\u00e9es individuelles ?<\/span><\/span><\/span><\/p>\n

    En outre, les performances des mod\u00e8les math\u00e9matiques permettent de rendre insuffisante cette approche en autorisant une inf\u00e9rence individuelle invers\u00e9e. <\/span><\/span><\/span>Deux exemples pour en illustrer ses limites. <\/span><\/span><\/span><\/span><\/p>\n

    En 2008, N. Homer, S. Szelinger, M. Redman et alii publient \u00ab <\/span><\/span><\/span><\/span>Resolving individuals contributing trace amounts of DNA to highly complex mixtures using high-density SNP genotyping microararys\u00a0\u00bb <\/i><\/span><\/span><\/span><\/span>dans PLoS Genetics (Public Library of Science). <\/span><\/span><\/span><\/span><\/p>\n

    Cet article est un exemple abouti de l\u2019inf\u00e9rence inverse \u00e9voqu\u00e9e pr\u00e9c\u00e9demment, comme le prouve son r\u00e9sum\u00e9\u00a0: <\/span><\/span><\/span><\/p>\n

    \u00ab <\/span><\/span><\/span><\/span>We use high-density single nucleotide polymorphism (SNP) genotyping microarrays to demonstrate the ability to accurately and robustly determine whether individuals are in a complex genomic DNA mixture. We first develop a theoretical framework for detecting an individual’s presence within a mixture, then show, through simulations, the limits associated with our method, and finally demonstrate experimentally the identification of the presence of genomic DNA of specific individuals within a series of highly complex genomic mixtures, including mixtures where an individual contributes less than 0.1% of the total genomic DNA. These findings shift the perceived utility of SNPs for identifying individual trace contributors within a forensics mixture, and suggest future research efforts into assessing the viability of previously sub-optimal DNA sources due to sample contamination. These findings also suggest that composite statistics across cohorts, such as allele frequency or genotype counts, do not mask identity within genome-wide association studies. The implications of these findings are discussed.\u00a0\u00bb<\/i><\/span><\/span><\/span><\/span><\/p>\n

    Un deuxi\u00e8me exemple\u00a0est fourni par l\u2019article \u201c<\/span><\/span><\/span>Identifying participants in the Personal Genome Project by name\u201d<\/i><\/span><\/span><\/span>, de L. Sweeney, A. Abu et J. Winn. <\/span><\/span><\/span>Travaillant sur le Personal Genome Project (PGP) am\u00e9ricain, les auteurs montrent qu\u2019ils identifient correctement 84 % des profils ; ce taux monte \u00e0 97 % si on rel\u00e2che la notion d\u2019identification stricte, par exemple en acceptant les diminutifs comme Jim pour James ou Andy pour Andrew.<\/span><\/span><\/p>\n

    Obscurcir les donn\u00e9es<\/b><\/i><\/span><\/span><\/span><\/p>\n

    L\u2019obscurcissement des donn\u00e9es \u2013 on parle aussi d\u2019assombrissement ou d\u2019obfuscation (du verbe latin obfusco, obfuscare, ou obfundo, obfundere, assombrir, obscurcir) \u2013 consiste pr\u00e9server la confidentialit\u00e9 en \u00ab\u00a0alt\u00e9rant\u00a0\u00bb les donn\u00e9es. Ceci peut \u00eatre atteint soit indirectement en les plongeant dans des espaces de dimension plus \u00e9lev\u00e9e, principe de dilution, soit directement en les transformant \u2013 le codage n\u2019est pas loin \u2013.<\/span><\/span><\/span><\/p>\n

    Dans la premi\u00e8re famille de m\u00e9thodes, on peut par exemple cr\u00e9er de nouvelles variables additionnelles qui vont augmenter la dimension initiale K du vecteur recueilli, et cr\u00e9er du \u00ab\u00a0brouillard\u00a0\u00bb masquant.<\/span><\/span><\/span><\/p>\n

    Dans la deuxi\u00e8me famille, on distingue les techniques non perturbatrices, comme masquer la valeur de certaines cellules dans un tableau de r\u00e9sultats, enlever des variables pour certains individus, partager seulement un \u00e9chantillon de donn\u00e9es extrait de la base de donn\u00e9es g\u00e9n\u00e9rale, combiner certaines cat\u00e9gories pour des variables \u00e0 modalit\u00e9s. <\/span><\/span><\/span><\/p>\n

    Il y a aussi, et surtout, des m\u00e9thodes directement interventionnistes sur les donn\u00e9es qui vont engendrer du bruit, au sens large. Par exemple, il est possible de modifier certaines variables num\u00e9riques en les arrondissant, ou en les bloquant par troncature \u00e0 des seuils maximum ou minimum. <\/span><\/span><\/span><\/p>\n

    On peut \u00e9galement transformer les K variables en leur appliquant un homomorphisme (X<\/span><\/span><\/span>1, \u2026, <\/span><\/span><\/sub><\/span>X<\/span><\/span><\/span>K<\/span><\/span><\/sub><\/span>) –> (<\/span><\/span><\/span>\uf06a<\/span><\/span><\/span>\uf031<\/span><\/span><\/sub><\/span>\uf028<\/span><\/span><\/span>X<\/span><\/span><\/span>1<\/span><\/span><\/sub><\/span>)<\/span><\/span><\/span>, \u2026, <\/span><\/span><\/sub><\/span>\uf06a<\/span><\/span><\/span>K<\/span><\/span><\/sub><\/span>(X<\/span><\/span><\/span>K<\/span><\/span><\/sub><\/span>)), permuter les valeurs d\u2019une m\u00eame variable entre deux r\u00e9pondants, ou perturber les donn\u00e9es en y ajoutant un bruit al\u00e9atoire X<\/span><\/span><\/span>k<\/span><\/span><\/sub><\/span> –> X<\/span><\/span><\/span>k<\/span><\/span><\/sub><\/span> + <\/span><\/span><\/span>\uf065<\/span><\/span><\/span>k<\/span><\/span><\/sub><\/span>. <\/span><\/span><\/span><\/p>\n

    Certaines transformations (permutation, rotation) laisseront invariantes les statistiques, par exemple lin\u00e9aires, d\u2019autres non.<\/span><\/span><\/p>\n

    Une piste d\u2019investigation particuli\u00e8rement int\u00e9ressante porte le nom de donn\u00e9es synth\u00e9tiques (\u00ab\u00a0synthetic data\u00a0\u00bb), n\u00e9e des travaux sur les donn\u00e9es manquantes de J. Little et D. Rubin.<\/span><\/span><\/p>\n

    Une approche innovante\u00a0: la confidentialit\u00e9 diff\u00e9rentielle<\/b><\/i><\/span><\/span><\/p>\n

    Est apparue depuis le milieu des ann\u00e9es 2000 une autre forme de \u00ab\u00a0privacy\u00a0\u00bb, dont l\u2019une des figures de proue est Cynthia Dwork, chercheuse de Microsoft. Sa philosophie s\u2019inspire tr\u00e8s fortement de celle de Dalenius et peut \u00eatre synth\u00e9tis\u00e9e ainsi\u00a0:<\/span><\/span><\/p>\n

    La probabilit\u00e9 d\u2019une cons\u00e9quence n\u00e9gative quelconque pour l\u2019individu i (par exemple le fait que i se voie refuser un cr\u00e9dit, ou une assurance) ne peut augmenter significativement en raison de la participation de i \u00e0 une base de donn\u00e9es.<\/i><\/span><\/span><\/p>\n

    Tout en sachant qu\u2019il convient de donner du sens \u00e0 l\u2019adverbe \u00ab\u00a0significativement\u00a0\u00bb et qu\u2019il est bien s\u00fbr tr\u00e8s complexe de pr\u00e9dire quelle information, ou combinaison d\u2019informations, pourrait entra\u00eener des cons\u00e9quences n\u00e9gatives au r\u00e9pondant si elle \u00e9tait rendue publique. D\u2019autant plus que, d\u2019une part, cette information peut \u00eatre estim\u00e9e par mod\u00e8le, et que, d\u2019autre part, le vecteur d\u2019informations n\u00e9gatives est potentiellement diff\u00e9rent d\u2019un individu \u00e0 l\u2019autre.<\/span><\/span><\/p>\n

    Cette approche est appel\u00e9e \u00ab\u00a0differential privacy\u00a0\u00bb (intimit\u00e9 ou confidentialit\u00e9 diff\u00e9rentielle), et repose sur des fondements probabilistes et statistiques. Peut-\u00eatre va-t-elle \u00eatre amen\u00e9e \u00e0 se d\u00e9velopper rapidement.<\/span><\/span><\/p>\n

    L\u2019id\u00e9e est de quantifier le risque (probabilit\u00e9) de faille dans la promesse de confidentialit\u00e9, tout en mesurant l\u2019effet de la protection des donn\u00e9es et de la vie priv\u00e9e sur la qualit\u00e9 des r\u00e9sultats et analyses statistiques. <\/span><\/span><\/p>\n

    Un champ de recherche s\u2019ouvre pour d\u00e9velopper des m\u00e9thodes pour analyser les donn\u00e9es apr\u00e8s introduction d\u2019obscurcissement, d\u2019alt\u00e9ration ou toute autre process de modification afin de pr\u00e9server la confidentialit\u00e9.<\/span><\/span><\/p>\n

    Le principe de l\u2019approche peut \u00eatre r\u00e9sum\u00e9 ainsi\u00a0:<\/span><\/span><\/p>\n

      \n
    1. \n

      Promettre \u00e0 une personne appartenant \u00e0 la base de donn\u00e9es qu\u2019une tierce partie (\u00ab\u00a0l\u2019adversaire\u00a0\u00bb) ne pourra rien apprendre de plus sur elle qu\u2019elle accepte de participer ou non. <\/span><\/span><\/p>\n<\/li>\n

    2. \n

      Mesurer pr\u00e9cis\u00e9ment l\u2019efficacit\u00e9 du m\u00e9canisme de protection de la confidentialit\u00e9<\/span><\/span><\/p>\n<\/li>\n

    3. \n

      Maintenir la confidentialit\u00e9 m\u00eame si la tierce partie a acc\u00e8s \u00e0 des donn\u00e9es auxiliaires sur l\u2019individu concern\u00e9<\/span><\/span><\/p>\n<\/li>\n<\/ol>\n

      Une statistique ou fonction randomis\u00e9e (al\u00e9atoire) f garantit la confidentialit\u00e9 diff\u00e9rentielle au niveau <\/span><\/span>\uf061<\/span><\/span> > 0 si et seulement si pour tous jeux de donn\u00e9es voisins D et D\u2019, et pour tout T appartenant \u00e0 Im(f), l\u2019image de f, on a\u00a0:<\/span><\/span><\/p>\n

      e<\/span><\/span>–<\/span><\/span><\/sup>\uf061<\/span><\/span><\/sup> \u2264 \u2264 e<\/span><\/span>\uf061<\/span><\/span><\/sup><\/p>\n

      o\u00f9 deux jeux de donn\u00e9es sont voisins s\u2019ils diff\u00e8rent d\u2019un individu et d\u2019un seul.<\/span><\/span><\/p>\n

      Notons que cela est proche de la technique du Jackknife cr\u00e9\u00e9e par M. Quenouille en 1949 et 1956, qui, dans une logique d\u2019estimation, travaille sur des \u00e9chantillons auxquels il a enlev\u00e9 une observation. <\/span><\/span><\/p>\n

      Plus <\/span><\/span>\uf061\uf020<\/span><\/span>est petit, plus la confidentialit\u00e9 est accrue. Se pose n\u00e9anmoins la question du choix de <\/span><\/span>\uf061<\/span><\/span>.<\/span><\/span><\/p>\n

      La d\u00e9finition de f est \u00e0 prendre au sens large (statistique usuelle comme moyenne, variance, proportion, coefficients d\u2019un mod\u00e8le, jeu de donn\u00e9es synth\u00e9tiques). Un lien existe entre la confidentialit\u00e9 diff\u00e9rentielle et les donn\u00e9es synth\u00e9tiques.<\/span><\/span><\/p>\n","protected":false},"excerpt":{"rendered":"

      Les donn\u00e9es ou statistiques, d\u00e9tenues ou \u00e9labor\u00e9es par des administrations ou des entreprises, sont en g\u00e9n\u00e9ral construites \u00e0 partir d’informations individuelles, ce qui pose la question de la protection des sources, c\u2019est-\u00e0-dire de la vie priv\u00e9e, compte tenu des progr\u00e8s constants de la science et des process de traitement. Comment \u00e9tablir et maintenir la confiance […]<\/p>\n","protected":false},"author":18,"featured_media":1477,"comment_status":"closed","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"_et_pb_use_builder":"","_et_pb_old_content":"","_et_gb_content_width":"","_exactmetrics_skip_tracking":false,"_exactmetrics_sitenote_active":false,"_exactmetrics_sitenote_note":"","_exactmetrics_sitenote_category":0,"footnotes":""},"categories":[99,15,133],"tags":[104,109,106],"class_list":["post-1424","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-big-data","category-data-science","category-themes","tag-big-data","tag-confidentialite","tag-tassi","et-has-post-format-content","et_post_format-et-post-format-standard"],"_links":{"self":[{"href":"https:\/\/variances.eu\/index.php?rest_route=\/wp\/v2\/posts\/1424","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/variances.eu\/index.php?rest_route=\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/variances.eu\/index.php?rest_route=\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/variances.eu\/index.php?rest_route=\/wp\/v2\/users\/18"}],"replies":[{"embeddable":true,"href":"https:\/\/variances.eu\/index.php?rest_route=%2Fwp%2Fv2%2Fcomments&post=1424"}],"version-history":[{"count":0,"href":"https:\/\/variances.eu\/index.php?rest_route=\/wp\/v2\/posts\/1424\/revisions"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/variances.eu\/index.php?rest_route=\/wp\/v2\/media\/1477"}],"wp:attachment":[{"href":"https:\/\/variances.eu\/index.php?rest_route=%2Fwp%2Fv2%2Fmedia&parent=1424"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/variances.eu\/index.php?rest_route=%2Fwp%2Fv2%2Fcategories&post=1424"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/variances.eu\/index.php?rest_route=%2Fwp%2Fv2%2Ftags&post=1424"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}