Qu’est-ce que l’irréversibilité de l’anonymisation ?

Irréversibilité de l’anonymisation : définition

L’irréversibilité de l’anonymisation désigne la propriété d’un processus qui empêche qu’une personne soit de nouveau identifiée à partir du résultat anonymisé, au moyen de ressources raisonnablement susceptibles d’être disponibles. Dans le traitement des images et des vidéos, elle concerne la possibilité de relier des visages floutés, des plaques d’immatriculation masquées et les métadonnées associées à une personne identifiable.

Au titre du règlement général sur la protection des données (RGPD) de l’Union européenne, des données ne sont anonymes que lorsqu’il n’est plus possible d’identifier la personne concernée. Le considérant 26 impose d’évaluer l’ensemble des moyens raisonnablement susceptibles d’être utilisés pour identifier une personne, y compris les technologies disponibles, le coût, le temps nécessaire et les évolutions technologiques. Si une réidentification demeure raisonnablement probable, les images restent des données à caractère personnel et le RGPD continue de s’appliquer.

L’irréversibilité ne se résume donc pas à l’application d’un effet de floutage visible. Un visage peut être visuellement masqué alors que la vidéo permet toujours d’identifier une personne grâce à ses vêtements, au lieu, aux caractéristiques du véhicule, aux habitudes de déplacement, au son, aux horodatages, aux identifiants de caméra ou à l’accès à un fichier original non flouté.

Pourquoi l’irréversibilité détermine le statut des données d’image et de vidéo

Le RGPD distingue l’anonymisation de la pseudonymisation. Des données pseudonymisées peuvent être rattachées à une personne grâce à des informations complémentaires. Des données anonymes ne peuvent pas raisonnablement être rattachées à une personne. Cette distinction détermine si les images sont réglementées en tant que données à caractère personnel.

Un responsable du traitement ne peut pas établir le caractère anonyme de données en se fondant uniquement sur les propriétés mathématiques ou visuelles d’un filtre de floutage. L’évaluation doit prendre en compte l’ensemble de l’environnement de traitement. Elle doit notamment déterminer qui détient les images originales, qui peut accéder aux coordonnées des masques, si une vidéo peut être reliée à une autre source caméra et si des données publiques ou internes permettent d’identifier une personne.

Irréversibilité du floutage des visages et des plaques d’immatriculation

Le floutage des visages et le floutage des plaques d’immatriculation sont couramment utilisés pour réduire l’identifiabilité dans les images enregistrées. Leur efficacité dépend de la qualité de la détection, de la couverture des masques, de leur cohérence au fil du temps et de la suppression ou de la protection des fichiers sources originaux.

Pour anonymiser une vidéo, une analyse de la protection des données doit évaluer les conditions techniques suivantes :

• Couverture de la détection : les visages et les plaques d’immatriculation doivent être détectés dans toutes les images pertinentes, y compris lors de vues partielles ou de profil, de flou de mouvement, d’occultations et de changements d’éclairage.
• Persistance du masque : le masque de floutage doit rester aligné sur le visage ou la plaque d’immatriculation pendant tout le déplacement. Un masque qui se décale, même brièvement, peut révéler des informations permettant l’identification.
• Intensité du floutage et surface du masque : le masque doit dissimuler suffisamment de détails visuels. La pixellisation, les effets de mosaïque et le flou gaussien peuvent présenter des risques différents liés aux informations résiduelles.
• Gestion des fichiers originaux : conserver une copie non floutée rend le processus réversible pour les personnes ayant accès à cette copie.
• Minimisation des métadonnées : les horodatages, la géolocalisation précise, les noms de caméras, les identifiants de véhicules et le son peuvent permettre une identification indirecte.
• Rapprochement avec des données externes : une personne floutée peut rester identifiable lorsque les images sont combinées avec des registres de contrôle d’accès, des plannings, des publications sur les réseaux sociaux ou un autre angle de caméra.

Gallio PRO détecte et floute automatiquement les visages et les plaques d’immatriculation dans les fichiers image et vidéo. Il ne réalise pas d’anonymisation en temps réel ni d’anonymisation de flux vidéo. Il ne détecte pas automatiquement les logos, les tatouages, les badges nominatifs, les documents ou le contenu affiché sur des écrans. Lorsque ces éléments créent un risque d’identification, ils peuvent nécessiter un masquage manuel dans l’éditeur manuel intégré.

Indicateurs clés pour évaluer la qualité de l’anonymisation

L’irréversibilité constitue une conclusion juridique et contextuelle, mais les indicateurs techniques apportent des éléments probants à l’appui de cette conclusion. Les indicateurs de détection doivent être mesurés sur des images représentatives, incluant les angles de caméra, conditions d’éclairage, paramètres de compression et habitudes de déplacement utilisés dans l’environnement de traitement réel.

Le RGPD ne fixe aucun rayon minimal de floutage, aucune taille de bloc de pixels ni aucun seuil de rappel unique permettant de rendre automatiquement une vidéo anonyme. Un paramètre technique peut réduire la possibilité de reconnaître directement une personne tout en laissant subsister une identification indirecte. Le test approprié consiste à déterminer si l’identification reste raisonnablement probable dans le contexte de traitement concerné.

Limites et mesures de contrôle pratiques

L’anonymisation doit être conçue comme un processus, et non comme l’application d’un filtre unique. Un processus défendable associe la détection automatique, un contrôle qualité manuel lorsque le risque le justifie, une gestion sécurisée des fichiers sources et des tests documentés.

1. Définissez la communication prévue et les destinataires probables des images traitées.
2. Identifiez les identifiants directs, y compris les visages et les plaques d’immatriculation.
3. Identifiez les identifiants indirects, tels que le son, le lieu, les uniformes, les marquages de véhicules et le contexte de l’événement.
4. Appliquez le floutage des visages et le floutage des plaques d’immatriculation à toutes les images pertinentes.
5. Vérifiez les détections manquées, les masques partiels et les détails propres à la scène susceptibles de permettre l’identification.
6. Limitez l’accès aux images originales non floutées, supprimez-les ou protégez-les séparément.
7. Documentez le modèle de menace, la méthode de test, les risques résiduels et les décisions de conservation.

Normes et références

Le RGPD ne prescrit pas une méthode technique unique d’anonymisation. Il exige une évaluation contextuelle de l’identifiabilité. Les sources suivantes fournissent le cadre juridique principal et une terminologie technique largement utilisée.

Équivalent aux États-Unis

Les États-Unis ne disposent pas d’un équivalent fédéral général du critère du RGPD applicable aux données anonymes d’image et de vidéo. Les règles pertinentes sont sectorielles et propres à chaque État. Par exemple, la Health Insurance Portability and Accountability Act (HIPAA) prévoit des normes de désidentification pour les informations de santé protégées à l’article 45 CFR 164.514, tandis que la California Consumer Privacy Act (CCPA), modifiée par la California Privacy Rights Act (CPRA), définit les informations désidentifiées à la section 1798.140(m) du California Civil Code.

Aucun de ces cadres ne crée de règle universelle selon laquelle de simples effets de floutage rendent des images anonymes. Les organisations doivent évaluer si les images peuvent encore raisonnablement être rattachées à une personne au regard du droit applicable, des stipulations contractuelles, d’une ordonnance judiciaire, des règles relatives aux documents publics ou de leur politique interne de protection des données.