Analyse d'Impact (AIPD)
L'analyse d'impact (ou Analyse d'Impact sur la Protection des Données) vient compléter l'évaluation technique. Là où le rapport technique mesure un risque théorique de réidentification, l'analyse d'impact évalue la vraisemblance et la gravité de ce risque dans le monde réel.
Ce rapport prend en compte le contexte global de l'utilisation des données :
- Probabilité d'occurrence : Les éléments nécessaires pour mener une attaque sont-ils raisonnablement accessibles ?
- Impact : Quelles seraient les conséquences si une attaque réussissait, compte tenu de la sensibilité des données ?
- Niveau de confiance : Qui sont les destinataires des données ?
- Sujets des données : Qui sont les personnes concernées ?
- Variables démographiques : Combien de variables pourraient être utilisées pour des attaques ?
Moyens raisonnables et modèle d’attaquant
L’analyse d’impact ne doit pas être réduite à un exercice théorique sur « toutes les attaques possibles ». La bonne question est de savoir si un attaquant raisonnable, disposant des moyens raisonnablement susceptibles d’être utilisés dans le monde réel, pourrait réidentifier des individus à partir du jeu de données diffusé.
Cela inclut :
- l’accès à des informations externes ou à des registres publics,
- des stratégies de rapprochement réalistes,
- des capacités techniques concrètes et un investissement en temps raisonnable,
- ainsi que le contexte de sécurité réel du partage.
C’est pourquoi l’évaluation est contextuelle : le même jeu de données peut être acceptable dans un cadre d’accès contrôlé et inacceptable dans le cadre d’une diffusion large ou ouverte.
Pour une grille de lecture pratique sur la manière dont les « moyens raisonnables » sont évalués dans les cas concrets, voir Comment évalue-t-on si un moyen est raisonnable ?.
Prise de décision
Ces deux rapports sont complémentaires et permettent d'avoir une vision complète pour la décision finale : le risque résiduel de réidentification est-il raisonnable au regard du contexte ?
- Si oui : Les données sont considérées comme anonymes dans ce contexte.
- Si non : Des mesures supplémentaires peuvent être ajoutées (chiffrement, partage restreint, etc.).
Possibilité de personnalisation
Le rapport d'analyse d'impact automatiquement généré s'adapte en fonction du contexte d'utilisation des données, la sensibilité et le niveau de confiance accordé au destinataire renseignés par l'utilisateur. Le format de ce rapport est également volontairement éditable (docx) pour répondre aux besoins spécifiques de personnalisation et d'arbitrage de chaque organisation ou secteur d'activité.