AnonymFilesRisque de ré-identification : définition, exemples et mesure
Le risque de ré-identification, c'est la possibilité de retrouver une personne dans des données dont on a retiré les noms, en isolant ce qui la concerne, en le reliant à une autre source ou en déduisant une information à son sujet. Il se mesure par le k-anonymat pour un tableau et par des attaques simulées pour du texte. Dans un dossier juridique, il tient surtout aux identifiants indirects : numéro de RG, juridiction, dates, montants, fonction rare.
Qu'est-ce que le risque de ré-identification ?
Ré-identifier, c'est rattacher à une personne précise des données qui ne portaient plus son nom. Le risque existe dès qu'il reste, dans la copie, des éléments qui, seuls ou combinés à d'autres informations, désignent quelqu'un.
On distingue deux familles d'éléments :
- Les identifiants directs désignent seuls une personne : nom, e-mail, téléphone, IBAN, numéro de sécurité sociale. Ce sont ceux qu'on retire en premier.
- Les identifiants indirects, ou quasi-identifiants, ne désignent personne seuls mais deviennent identifiants en combinaison : une date de naissance, une commune, une profession, un montant, une date d'événement.
Le RGPD pose la règle au considérant 26 : pour savoir si une personne est identifiable, il faut tenir compte de l'ensemble des moyens « raisonnablement susceptibles d'être utilisés » par le responsable du traitement ou par toute autre personne. Ce qu'un tiers sait déjà compte donc autant que ce que contient la copie. C'est aussi ce qui sépare l'anonymisation, irréversible, de la pseudonymisation, où la table de correspondance permet de revenir aux personnes : voir anonymisation ou pseudonymisation selon le RGPD.
Quels sont les trois critères du G29 ?
Dans son avis 05/2014 sur les techniques d'anonymisation, adopté le 10 avril 2014, le groupe de travail « article 29 » (G29, devenu le CEPD) évalue toute technique selon trois risques. La CNIL les reprend dans sa page sur l'anonymisation de données personnelles :
| Critère | Définition (G29 et CNIL) | Exemple dans un dossier |
|---|---|---|
| Individualisation | La possibilité « d'isoler une partie ou la totalité des enregistrements identifiant un individu » ; pour la CNIL, « il ne doit pas être possible d'isoler un individu dans le jeu de données ». | [PERSONNE_1] est « la seule associée de la SELARL » citée dans la pièce. |
| Corrélation | La capacité de relier entre eux au moins deux enregistrements concernant la même personne, dans la même base ou dans deux bases distinctes. | La date et le montant d'une condamnation, rapprochés d'un article de presse locale. |
| Inférence | La possibilité de déduire, « avec un degré de probabilité élevé, la valeur d'un attribut à partir des valeurs d'un ensemble d'autres attributs ». | Un arrêt de travail suivi d'un aménagement de poste laisse deviner une maladie. |
Le G29 en tire une mise en garde qui vaut pour tout envoi à une IA : les données pseudonymisées « ne peuvent être assimilées à des informations anonymisées puisqu'elles continuent à permettre l'individualisation d'une personne concernée et la corrélation entre différents ensembles de données ».
Ces critères viennent d'être actualisés. Le CEPD a adopté le 7 juillet 2026, pour consultation publique, des lignes directrices 02/2026 sur l'anonymisation qui actualisent l'avis de 2014 et reformulent les trois tests en anglais : No Record Isolation, No Linkage et No Inference (pas d'enregistrement isolé, pas de liaison, pas d'inférence). Le CEPD y précise que l'anonymat s'apprécie du point de vue de chaque entité concernée, en particulier de celle à qui les données sont destinées.
Quels incidents célèbres de ré-identification ?
Quatre cas reviennent dans toute la littérature. Chacun illustre un mécanisme différent.
| Cas | Ce qui avait été retiré | Comment la ré-identification a eu lieu | Mécanisme |
|---|---|---|---|
| Sweeney, 2000 | Les noms, dans des données démographiques | 87 % de la population des États-Unis (216 millions sur 248) avait probablement une combinaison unique de code postal à cinq chiffres, sexe et date de naissance. | Individualisation par quasi-identifiants |
| AOL, 2006 | Le nom des utilisateurs, remplacé par un numéro | Sur 20 millions de requêtes publiées, le New York Times a retrouvé l'utilisatrice n° 4417749 à partir de ses seules recherches (commune, nom de famille, quartier). | Le contenu lui-même identifie |
| Netflix Prize, 2006-2008 | Les noms d'environ 500 000 abonnés | Narayanan et Shmatikov montrent qu'avec 8 notes de films (dont 2 peuvent être fausses) et des dates à 14 jours près, 99 % des abonnés sont uniques ; ils en retrouvent par croisement avec IMDb. | Corrélation avec une source publique |
| Taxis de New York, 2014 | Numéros de licence et de plaque, hachés en MD5 | Vijay Pandurangan calcule le hachage de tous les numéros possibles (environ 22 millions) en moins de deux minutes, et relie chaque course à son véhicule et à son chauffeur. | Pseudonyme déduit de la valeur d'origine |
Trois leçons pour un cabinet :
- Le contenu identifie. Pour AOL, aucune donnée « personnelle » au sens courant n'avait été publiée : ce sont les recherches elles-mêmes qui ont désigné Thelma Arnold, 62 ans, qui a confirmé au journal : « Those are my searches ». Un dossier client raconte une histoire, et l'histoire identifie.
- Peu d'éléments suffisent. Trois champs pour Sweeney, huit notes pour Netflix. Ce qui compte n'est pas le nombre d'éléments restés dans la copie, mais leur rareté combinée.
- Un pseudonyme ne doit jamais se calculer. Pour les taxis, il suffisait de hacher tous les numéros possibles. Pandurangan conseillait lui-même d'attribuer un nombre totalement aléatoire à chaque identifiant : c'est le principe d'une table de correspondance bien faite.
Quels identifiants indirects dans un dossier juridique ?
Une fois les noms, adresses et coordonnées remplacés par des étiquettes, voici ce qui peut encore désigner l'affaire. Le guide du CNB sur l'IA (avril 2026) appelle à rester vigilant sur l'identification par croisement, même après pseudonymisation, et cite lui-même « montants, noms de projets donnés en interne, façon de rédiger un contrat ».
| Identifiant indirect | Pourquoi il identifie | Que faire avant l'IA |
|---|---|---|
| Numéro de RG ou Portalis | Avec la juridiction, il désigne une seule affaire. Le confrère adverse, le greffe ou une partie la reconnaît aussitôt. | Le supprimer : l'IA n'en a jamais besoin. |
| Juridiction et chambre | Un petit tribunal, une chambre spécialisée ou une date d'audience réduisent fortement le nombre d'affaires possibles. | Garder le type de juridiction (« un conseil de prud'hommes »), retirer la ville si elle n'importe pas. |
| Dates | Date de naissance, d'embauche, de licenciement, d'accident : une date complète est un quasi-identifiant fort. | Garder les délais utiles au raisonnement, généraliser le reste au mois ou à l'année. |
| Montants | Un montant au centime (indemnité, prix de cession, créance) se retrouve dans un jugement, un article ou une comptabilité. | L'arrondir ou le remplacer par un ordre de grandeur, sauf si le calcul exact est la tâche demandée. |
| Fonction rare | « Le maire de », « le chef du service de cardiologie », « l'unique associée » : une fonction peut valoir un nom. | La remplacer par une catégorie (« un élu local », « un médecin hospitalier »). |
| Lieux précis | Une petite commune, un lieu-dit, une enseigne, un numéro de lot ou de parcelle. | Élargir la zone (département, région), comme le recommande le CNB. |
| Noms de projets, marques, références | Un nom de code interne ou une référence de contrat renvoie directement au client. | Le masquer comme un nom propre. |
| Données de santé | Un arrêt maladie, un handicap ou un diagnostic rare permettent l'inférence et sont des données sensibles (article 9 du RGPD). | Ne garder que ce que la tâche exige ; voir notre page santé. |
Un exemple fictif montre l'effet de combinaison. Après pseudonymisation, une phrase devient : « [PERSONNE_1], directrice financière de [ORGANISATION_1], licenciée le 3 mars 2025, réclame 412 318,27 € devant le conseil de prud'hommes de Brive, RG 25/00142 ». Plus aucun nom, et pourtant le numéro de RG suffit à désigner l'affaire, et la fonction, la date et la ville suffisent à quiconque connaît le bassin d'emploi. Pour une analyse juridique, « [PERSONNE_1], cadre dirigeante, licenciée début 2025, réclame environ 400 000 € devant un conseil de prud'hommes » donne à l'IA tout ce dont elle a besoin.
Comment mesurer le risque de ré-identification ?
Le k-anonymat, pour les tableaux. Défini par Latanya Sweeney en 2002, il demande que chaque personne d'un jeu de données ne puisse pas être distinguée d'au moins k - 1 autres sur ses quasi-identifiants. On mesure k comme la taille du plus petit groupe de personnes partageant la même combinaison : k = 1 signifie qu'au moins une personne est unique. Le G29 en souligne deux limites : le k-anonymat n'empêche pas l'inférence (si toutes les personnes du groupe ont le même diagnostic, le connaître suffit), et l'erreur classique consiste à gonfler k en oubliant certains quasi-identifiants. La l-diversité, qui exige plusieurs valeurs sensibles différentes dans chaque groupe, corrige en partie le premier défaut.
Les attaques simulées, pour le texte. Un dossier n'est pas un tableau : les identifiants indirects sont dispersés dans des phrases. Le banc d'essai RAT-Bench, publié en février 2026 par une équipe d'Imperial College London, mesure ce risque directement. Il génère des textes synthétiques contenant des identifiants directs et indirects, les fait passer dans douze outils d'anonymisation, puis demande à un modèle de langage « attaquant » de retrouver ce qu'il peut. Une personne est comptée comme ré-identifiée si l'attaquant retrouve un identifiant direct, ou si les attributs indirects retrouvés la placent parmi moins de cinq personnes dans la population des États-Unis (le seuil k = 5 courant pour les publications de données).
Trois résultats à retenir :
- Sans anonymisation, le taux moyen de ré-identification est de 99 % ; avec le meilleur outil testé, il reste de 30 %.
- Le risque passe de 44 % quand les identifiants sont écrits sous leur forme standard à 69 % quand ils sont écrits de façon non standard.
- Les attributs exprimés seulement de façon implicite restent difficiles : la plupart des outils ne réduisent pas ce risque-là.
Ces chiffres portent sur des textes américains synthétiques, pas sur des dossiers français. Ils confirment pourtant ce que chaque praticien constate : une détection automatique enlève l'essentiel des identifiants directs, pas toute l'histoire. Notre propre mesure de détection, sur un corpus fictif, est publiée dans mesure de détection et test hors ligne, et la comparaison avec Presidio dans Presidio : comparatif de détection mesuré.
Le test du connaisseur, pour un cabinet. À défaut de calcul, une question simple : une personne qui connaît l'affaire (confrère adverse, salarié du client, journaliste local) la reconnaîtrait-elle dans la copie ? Si oui, il reste un identifiant indirect à traiter.
Comment réduire le risque avant d'utiliser une IA ?
- Minimiser. N'envoyez que les pièces et les passages utiles à la tâche. Le CNB recommande de « limiter la mise en contexte à ce qui est strictement nécessaire », et l'article 5 du RGPD l'impose par le principe de minimisation.
- Remplacer les identifiants directs par des étiquettes stables. [PERSONNE_1], [ORGANISATION_2] : la même personne garde la même étiquette dans toutes les pièces, pour que l'IA suive le raisonnement sans connaître les noms.
- Supprimer ce dont l'IA n'a pas besoin. Numéros de RG et Portalis, références de contrat, numéros de lot, noms de projet.
- Généraliser ce qui doit rester. C'est la technique que le G29 associe au k-anonymat : une date en mois ou en année, un montant en fourchette, une ville en région, une fonction en catégorie.
- Relire à côté de l'original. En cherchant les identifiants indirects du tableau précédent, puis en faisant le test du connaisseur.
- Garder la table chez vous. Ni dans la conversation, ni avec la copie : voir les règles de la table de correspondance.
Ce que la relecture côte à côte apporte, et ses limites
AnonymFiles est conçu autour de cette étape. Ce qu'il fait :
- Il traite les identifiants directs sur le poste. Noms, organisations, adresses, coordonnées et dates privées sont détectés par deux modèles installés sur l'ordinateur ; les e-mails, téléphones et IBAN le sont par des règles. Rien ne part sur le réseau.
- Il garde une étiquette par personne sur tout le dossier, et les étiquettes se renomment.
- Il affiche chaque pièce à côté de sa copie. Vous voyez ce qui a été masqué et ce qui reste, et vous masquez à la main un numéro de RG, un montant ou une fonction rare.
- Il n'exporte rien sans validation, pièce par pièce. Une pièce validée doit l'être à nouveau si l'original, les règles ou la copie changent.
Ses limites, honnêtement :
- Pas de calcul statistique du risque. L'application ne calcule ni k-anonymat ni probabilité de ré-identification : un dossier de quarante pièces n'est pas une base de données, et aucun outil ne sait ce que le confrère adverse ou la presse locale connaissent déjà.
- Les identifiants indirects restent votre décision. Les montants se masquent à la main ; une fonction rare, une juridiction ou une date d'audience ne sont pas des noms, et c'est à vous de juger s'ils désignent l'affaire.
- La détection n'est pas parfaite. Aucune ne l'est : c'est pourquoi la relecture est obligatoire avant l'export, et non une option.
Pour aller plus loin : comment fonctionne AnonymFiles, la page logiciel de pseudonymisation pour avocats et nos cas d'usage.
Questions fréquentes
Qu'est-ce que le risque de ré-identification ?
C'est la possibilité de retrouver une personne dans des données dont on a retiré les noms, en combinant ce qui reste avec d'autres informations. Le G29 la décompose en trois risques : isoler l'enregistrement d'une personne (individualisation), relier deux jeux de données qui la concernent (corrélation) et déduire une information sur elle (inférence).
Quelle différence entre identifiant direct et identifiant indirect ?
Un identifiant direct désigne seul une personne : nom, e-mail, numéro de téléphone, IBAN. Un identifiant indirect, ou quasi-identifiant, ne la désigne pas seul mais la retrouve en combinaison : code postal, date de naissance et sexe, ou dans un dossier juridique le numéro de RG, la juridiction, une date d'audience, un montant ou une fonction rare.
Comment mesurer le risque de ré-identification ?
Pour un tableau de données, on mesure le k-anonymat : le nombre minimal de personnes qui partagent la même combinaison de quasi-identifiants, k = 1 signifiant qu'une personne est unique. Pour du texte libre, des bancs d'essai comme RAT-Bench simulent un attaquant qui tente de déduire les identifiants restés dans la copie. Pour un dossier, le test pratique reste de se demander qui, connaissant l'affaire, la reconnaîtrait.
Des données pseudonymisées présentent-elles un risque de ré-identification ?
Oui, par définition : la table de correspondance permet de revenir aux personnes, et les identifiants indirects restés dans la copie aussi. C'est pourquoi le G29 et la CNIL rappellent que des données pseudonymisées restent des données personnelles. La pseudonymisation réduit le risque, elle ne le supprime pas.
Le numéro de RG permet-il d'identifier une affaire ?
Oui. Un numéro de répertoire général, associé à la juridiction, désigne une seule affaire. Quiconque y a accès, comme le confrère adverse, le greffe ou une partie, peut relier la copie pseudonymisée au dossier. Retirez-le, ou remplacez-le par une mention générique, avant tout envoi à une IA.
Comment réduire le risque de ré-identification avant d'utiliser une IA ?
En trois gestes : supprimer ce dont l'IA n'a pas besoin (numéro de RG, références internes), généraliser ce qui doit rester (une date en mois, un montant en ordre de grandeur, une ville en région, une fonction en catégorie), et n'envoyer que les pièces utiles à la tâche. Puis relire la copie à côté de l'original avant l'envoi.
Un logiciel peut-il garantir l'absence de ré-identification ?
Non. Aucun outil ne sait ce qu'un tiers connaît déjà de votre client. Le banc d'essai RAT-Bench montre que même les meilleurs outils laissent passer des identifiants indirects. Un logiciel détecte et masque les identifiants directs et vous montre la copie ; la décision sur les identifiants indirects reste humaine.