Aller au contenu principal

Foire Aux Questions (FAQ)

⚠️ Travail en cours
Cette page est en cours de rédaction. Les informations peuvent être incomplètes ou sujettes à modification.

Cette section rassemble les réponses aux questions les plus fréquemment posées concernant la méthode d’anonymisation Avatar. L’anonymisation est un processus complexe, influencé par le cadre légal, la structure du jeu de données et l’usage prévu. Vous trouverez ici des éclaircissements clés et bonnes pratiques pour optimiser l’utilisation de l’outil.

❓ Peut-on revenir à l’individu original à partir d’un jeu de données anonymisé ?​

Non, il est impossible d’inverser un enregistrement anonymisé pour retrouver l’individu original.
Pour qu’un processus soit qualifié d’anonymisation, il doit être irréversible selon les normes légales.
La méthode Avatar introduit des variations stochastiques lors de la modélisation locale de chaque enregistrement synthétique pour empêcher toute réversibilité. Voir plus dans la section méthodologie.

❓ La méthode fonctionne-t-elle sur de petits jeux de données (quelques dizaines d’enregistrements) ?​

Oui, la méthode supporte les petits jeux de données — avec quelques précautions :

  • Un faible nombre d’individus augmente le risque de réidentification du fait de l’unicité.
    À niveau de confidentialité égal, moins de propriétés statistiques peuvent être préservées que dans un grand jeu de données.

  • Les données générées reflètent l’intervalle de confiance des données sources.
    Moins il y a d’enregistrements, plus cet intervalle est large, donc les résultats peuvent varier davantage d’une itération à l’autre.

❓ La méthode permet-elle l’anonymisation de texte libre ?​

Pas directement. Le texte libre est non structuré et il n’existe pas encore de cadre légal clair définissant ce qu’est un texte anonyme.

Cependant, il est possible de structurer le texte via du NLP, d’anonymiser la version structurée avec Avatar, puis de régénérer du texte (si besoin) avec un modèle de langage.
Cela garantit que les données personnelles ne servent pas à entraîner un modèle.
Nous avons déjà implémenté ce flux de travail — contactez-nous pour en savoir plus.

❓ Peut-on anonymiser des images avec cette méthode ?​

Pas pour le moment. Il n’existe pas de définition légale claire de ce qui rend une image anonyme.

Toutefois, vous pouvez anonymiser les données structurées liées à des images pseudonymisées, puis les réassocier ensuite via un appariement probabiliste.
Ce cadre a été utilisé dans des cas réels — contactez-nous pour plus de détails.

❓ L’anonymisation nécessite-t-elle le consentement des utilisateurs ?​

Pas forcément.
Quand l’anonymisation est correctement réalisée et démontrable, elle est considérée comme compatible avec la finalité initiale de collecte des données au regard du RGPD.

La méthode Avatar fournit automatiquement deux rapports complémentaires (évaluation technique et analyse d'impact) qui peuvent être transmis à votre DPO.
Ainsi, le consentement explicite des utilisateurs n’est pas requis pour l’anonymisation avec Avatar.

❓ Comment évalue-t-on si un moyen est raisonnable ?​

Le CEPD/EDPB ne demande pas qu’un moyen soit impossible dans l’absolu. Il demande si un moyen est raisonnablement susceptible d’être utilisé dans le monde réel, en tenant compte du coût, du temps, de la faisabilité technique et du contexte réel de diffusion.

L’évaluation doit donc prendre en compte plusieurs éléments concrets :

  • Chaîne de moyens : le destinataire n’a pas besoin de savoir exécuter l’attaque lui-même. S’il a la possibilité technique ou financière de faire appel à un tiers spécialisé pour le faire, c’est un moyen raisonnable.
  • Multiplicité des entités : l’évaluation ne se limite pas au destinataire légitime. Elle doit couvrir les collaborateurs indélicats, les proches ou voisins, les journalistes d’investigation, les autorités publiques, les entreprises aux pratiques douteuses et les cybercriminels.
  • L’illusion de l’absence de motivation : le CEPD proscrit de conclure à l’anonymat au prétexte qu’un acteur n’aurait « aucun intérêt » à réidentifier.
  • Les moyens illégaux ne sont pas automatiquement exclus : le respect de la loi par les acteurs légitimes ne peut être que présumé. On ne peut conclure qu’un moyen n’est pas raisonnable simplement parce qu’il est illégal.
  • La faiblesse des contrats : une clause contractuelle interdisant la réidentification est utile, mais elle ne sert qu’à compléter des mesures techniques et organisationnelles. Elle ne suffit jamais à elle seule à établir l’anonymat.

En bref, la question n’est pas de savoir si un acteur malveillant serait prêt à fournir un effort, mais si un tel effort est réaliste, proportionné et techniquement possible au regard de la valeur des informations concernées. C’est là l’essentiel du test des « moyens raisonnables ».

Pour la source officielle, voir les lignes directrices du CEPD/EDPB sur l’anonymisation : EDPB Guidelines 02/2026 on anonymisation.

❓ Puis-je anonymiser toute ma base de données d’un coup pour plusieurs cas d’usage ?​

Oui, l’outil supporte l’anonymisation d’une base entière en une seule fois. Une exécution sur base de données lit une base de données, anonymise chaque groupe de tables liées, et écrit le résultat dans une autre base.
Cependant, il est recommandé de scinder les projets d’anonymisation par cas d’usage quand c’est possible.

Cela vous permet d’affiner le compromis confidentialité/utilité pour chaque finalité, et d’obtenir des avatars de meilleure qualité.
Plus d’informations dans le guide pas-à-pas.

❓ La méthode supporte-t-elle les matrices larges ?​

Oui — la méthode peut traiter des jeux de données avec plus de variables que d’enregistrements.
Toutefois, cette configuration augmente le risque de réidentification, car chaque enregistrement devient très remarquable.

À niveau de confidentialité égal, moins de propriétés statistiques peuvent être préservées dans des matrices larges que dans des jeux avec plus d’individus que de variables.

❓ La méthode réduit-elle la variance du jeu de données ?​

Légèrement, oui.
Pour protéger les individus uniques, la méthode recentre automatiquement les individus avec des valeurs rares, ce qui entraîne une petite réduction de la variance.

Cependant, les signaux faibles — comme ceux dans les petits groupes ou événements rares — sont préservés, garantissant l’utilisabilité du jeu pour analyse et modélisation. La méthode a déjà été utilisée avec succès dans ce contexte pour entraîner des algorithmes de détection de fraude, qui sont par nature rares.

❓ Peut-on préserver certains résultats exactement dans le jeu anonymisé ?​

Oui, la méthode peut être configurée pour préserver certaines valeurs exactes.
Cela impacte naturellement la confidentialité, mais cet impact est quantifié par les métriques du rapport, vous aidant à évaluer si le compromis est raisonnable dans votre contexte.

❓ Quel niveau de biais la méthode introduit-elle ?​

Les résultats issus des données synthétiques tombent généralement dans l’intervalle de confiance des données originales.

  • Les signaux moins structurés (par exemple bruités ou moins robustes) sont sujet à plus de variabilité.
  • Les signaux bien structurés et stables sont préservés quasiment à l’identique.

La méthode comprend une part d’aléatoire ; il est donc possible d’effectuer plusieurs itérations pour se rapprocher de vos indicateurs clés, surtout si vous savez ce que vous souhaitez cibler.

❓ Pourquoi un modèle centré sur le patient a-t-il été choisi pour l’anonymisation ?​

Le choix d’un modèle centré patient garantit transparence, explicabilité et contrôle. Contrairement aux modèles génératifs IA, cette approche permet aux data scientists de bien comprendre et piloter le processus, réduisant les risques de dérives ou fuites cachées de réidentification. Cela facilite aussi l’explication de la protection des données aux personnes concernées. Ce modèle permet également d’obtenir des métriques de confidentialité au niveau individuel, impossibles dans les approches agrégées.

❓ La méthode peut-elle conserver les caractéristiques de petits groupes d’individus ?​

Oui — la méthode peut préserver des motifs rares mais non uniques dans les données. Les individus uniques sont automatiquement recentrés pour réduire le risque de réidentification, ce qui aide aussi à nettoyer les données. Cependant, si un petit groupe partage une caractéristique rare, vous pouvez préserver ce groupe en réglant le paramètre d’anonymisation k en dessous de la taille du groupe. Cela rend la méthode adaptée à l’analyse d’événements rares ou de sous-populations sans compromettre la confidentialité.

❓ Quand mes données sont-elles considérées comme anonymes ?​

L’anonymat des données n’est pas un statut binaire — il dépend du contexte d’usage, de la sensibilité des données et du réalisme des scénarios d’attaque qui pourraient être menés contre elles. Pour l’évaluer, il faut mesurer le risque résiduel de réidentification selon les critères définis par le CEPD. La méthode Avatar prend en charge à la fois l’approche simplifiée et l’approche contextuelle décrites dans les recommandations officielles.

L’approche simplifiée correspond à une évaluation prudente, fondée sur le pire cas, adaptée aux scénarios de diffusion stricte comme l’open data ou la diffusion large vers un public extérieur. L’approche contextuelle correspond à une évaluation plus précise, adaptée au cas réel d’usage, au destinataire, à la finalité, au niveau de sensibilité et aux protections mises en place.

La méthode Avatar fournit des métriques automatiques et des seuils recommandés pour les cas stricts comme l’open data. Ces métriques sont compilées dans un rapport technique qui permet de quantifier le risque résiduel et de documenter l’évaluation. Si le risque reste trop élevé à l'issue du traitement, des protections supplémentaires peuvent être appliquées pour garantir la conformité.

En savoir plus dans la section Metrics de confidentialité

En complément, un AIPD (Rapport d’Analyse d’Impact) est automatiquement fourni afin d’évaluer la probabilité de survenue d’attaques potentielles contre le dispositif d’anonymisation ainsi que l’impact en cas de succès. De manière schématique, le rapport technique évalue le risque résiduel de ré-identification lié à certaines menaces, tandis que l’AIPD mesure la probabilité et la gravité de ces menaces dans le contexte d’usage.

Les recommandations récentes du CEPD soulignent qu’un jeu de données ne peut être considéré comme anonyme que pour un cas d’usage donné, lorsque le risque résiduel reste suffisamment faible et que les mesures techniques et organisationnelles sont proportionnées à ce risque. Il est important de noter qu’il ne s’agit pas d’un test de « 100 % de protection sur chaque métrique » : la question est de savoir si le risque résiduel est acceptable dans son contexte, et si les hypothèses et protections retenues restent proportionnées au modèle d’attaque réaliste.

Lorsque ce risque résiduel est jugé trop élevé, des mesures techniques et organisationnelles supplémentaires peuvent être mises en place afin de renforcer la robustesse du dispositif.

❓ Cette méthode peut-elle servir à l’augmentation de données ?​

Nous avons développé des paramètres permettant de générer des jeux de données synthétiques plus grands que l'original tout en préservant les propriétés statistiques. Vous pouvez ainsi augmenter la taille de votre jeu de données ou rééquilibrer les modalités de groupes sous-représentés. Nous calculons également des métriques de confidentialité spécifiques pour les données augmentées afin de garantir que les risques de réidentification restent acceptables. En savoir plus dans la section augmentation de données.

❓ Comment la méthode gère-t-elle les données manquantes ?​

La méthode supporte nativement les données manquantes et peut reproduire les mêmes schémas d’absence (MAR, MNAR, etc.) dans le jeu synthétique. Cela est utile quand l’absence elle-même est porteuse de sens statistique. Il est aussi possible de générer une version sans aucune donnée manquante si nécessaire pour les tâches suivantes.

❓ Quels modèles de projection sont utilisés dans le processus ?​

Les modèles de projection sont choisis automatiquement selon votre jeu de données :

  • PCA pour les données numériques
  • MCA pour les données catégorielles
  • FAMD pour les jeux mixtes
  • FPCA ou transformées de Fourier pour les séries temporelles

Tous ces modèles sont réversibles, conformément à la méthodologie de l’approche avatar. Cela permet d’obtenir un jeu synthétique avec la même structure et codage que l’original. Les méthodes non réversibles comme t-SNE ou UMAP ne sont pas utilisées pour cette raison.

❓ Comment gérez-vous les variables calculées et les règles métier ?​

Nous recommandons d’exclure les variables calculées (ex. IMC) du processus uniquement lorsque la variable calculée et ses composants (ex. taille, poids) sont présents dans le jeu. Dans ce cas, il vaut mieux anonymiser seulement les composants et recalculer la variable dérivée ensuite. Cela garantit la cohérence logique et évite la redondance. L’outil inclut aussi des processeurs pour appliquer des règles métier, comme la gestion des dates séquentielles ou des contraintes de somme fixe.

❓ Qui est responsable en cas de mauvaise anonymisation des données ?​

En tant que sous-traitant, la société octopize fournit un outil d’anonymisation ainsi qu’une évaluation technique des risques résiduels de réidentification. Cette analyse permet au responsable du traitement (utilisateur de l’outil) de prendre une décision éclairée, en fonction du contexte d’usage des données.

Conformément au RGPD, la responsabilité finale de la conformité de l’anonymisation incombe au responsable du traitement. Le rapport technique aide à cette décision, mais la responsabilité juridique demeure du responsable du traitement.

Voir Article 24 RGPD – Responsabilité du responsable du traitement

💡 D’autres questions arrivent bientôt — n’hésitez pas à nous contacter si votre cas spécifique n’est pas couvert ici.

  • La méthode supporte-t-elle les données génomiques ?
  • Caractéristiques des données et impacts
  • Existe-t-il des exemples comparant données originales et anonymisées ?
  • Comment anonymiser un flux de données ?
  • Comment gérer l’anonymisation dans les bases relationnelles ?
  • Comment anonymiser les séries temporelles ?
  • Peut-on anonymiser des traces GPS ?
  • Gestion des variables calculées et règles métier