Par Haas Avocats
Plusieurs spécialistes ont l’habitude de dire que l’anonymat n’existe pas. Que n’importe quelle attaque en ré-identification peut permettre d’isoler et identifier une personne concernée. D’aucuns pourraient dire que mettre ses données en ligne auprès de Meta ou Google revient à donner ses poules à un renard. La CNIL le dit parfaitement « Ce que vous publiez sur Internet, même sous pseudo, peut permettre de vous identifier et de révéler votre vie privée ».
Le principe de la ré-identification par le recoupage est d’agréger suffisamment de données sur une personne concernée (photo, géolocalisation, amis, abonnés/abonnements, etc) afin de l’identifier.
A elle seule, une donnée peut même en révéler d’autres. Une simple photographie peut alors permettre d’identifier la localisation de la photographie, sa date, voire le photographe lui-même.
L’affaire du drapeau de Shia Laboeuf «He will not divide us » en est le parfait exemple : seuls apparaissaient un drapeau et le ciel en stream. Ce dernier a pu être localisé en 48h après croisement, des posts instagram de l’acteur, du passage des avions, des étoiles, etc. Le drapeau a ensuite été déplacé dans une pièce où seuls le drapeau et un mur étaient visibles. Là encore, à travers le croisement de la lumière du soleil et de la zone d’habitation d’un proche de l’acteur, le drapeau a pu être localisé.
Plus concrètement, la CNIL prend cet exemple « en recoupant une publication de photographie sur un réseau social sous pseudonyme, un avis laissé sur un restaurant et les données du footing matinal géolocalisé publiées pour comparer ses performances, il est possible d’identifier une personne, son travail et son adresse personnelle ».
Ces techniques de ré-identification font partie d'une discipline connue sous le nom de Renseignement d'Origine Source Ouverte (ROSO) ou Open Source Intelligence (OSINT).
La CNIL le souligne très bien, le ROSO/OSINT ouvre plusieurs possibilités :
Il convient de noter que le traitement de ces données doit s’effectuer dans le cadre du RGPD[1]. La CNIL rappelle même que « utiliser le ROSO en vue de révéler des informations relatives à la vie privée, familiale ou professionnelle d'une personne ou permettant de l'identifier ou de la localiser et l’exposant à un risque direct, qui ne peut être ignoré, d’atteinte à sa personne ou à sa famille, est passible de 3 ans d’emprisonnement et de 45 000 euros »[2].
Comme le dit l’adage « vivons heureux, vivons cachés ! ». Comme exposé plus haut l’anonymat n’existe pas » pourtant, cela n’empêche pas de limiter les risques de ré-identification. Dans ce cadre, il convient d’éviter la porosité des comptes en mettant en place une certaine étanchéité entre ces derniers à travers les mesures suivantes :
Le net est un environnement particulier, avec ses propres codes. Comme tout environnement, à l’image de la ceinture de sécurité dans une voiture, ou regarder à droite et à gauche avant de traverser, il convient donc d’adopter les mesures de prudence appropriées si, bien entendu, on souhaite contrôler ses données.
***
Le cabinet HAAS Avocats est spécialisé depuis plus de vingt-cinq ans en droit des nouvelles technologies et de la propriété intellectuelle. Il accompagne de nombreux acteurs du numérique dans le cadre de leurs problématiques judiciaires et extrajudiciaires relatives au droit de la protection des données ou dans l’implémentation ou la mise à jour de votre procédure d’alerte professionnelle. Dans un monde incertain, choisissez de vous faire accompagner par un cabinet d’avocats fiables. Pour nous contacter, cliquez ici.
[1] Règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (Reglement General Sur La Protection Des Donnees)
[2] Article 223-1-1 du Code pénal