Anonymiser une étude de cas sans détruire sa valeur probante

Contexte de sortie

Le même cas ne se diffuse pas de la même façon à un jury et au web

Ouvrez un ordre de diffusion avant de rédiger. Il indique le critère traité, les destinataires, le support, les conditions d’accès, la probabilité de rediffusion, la zone géographique et une date de revue. Un mémoire remis à une équipe d’évaluation identifiée n’a pas le même environnement qu’une page traduite, indexée et accessible sans limite de temps. Une restriction contractuelle ne rend pas le contenu anonyme. Elle peut toutefois réduire les personnes et sources mobilisables, ce qui influence la forme de diffusion retenue.

Formulez ensuite la proposition à démontrer. L’exemple fictif concerne Atelier Noroît, prestataire de numérisation patrimoniale. Pour répondre à un marché, l’entreprise veut montrer qu’elle sait stabiliser, inventorier et numériser un fonds endommagé tout en maintenant la chaîne de garde. L’acheteur a besoin de connaître la nature du fonds, l’ordre de grandeur, les dommages, le rôle de Noroît, le contrôle qualité et le résultat. Il n’a pas besoin du nom du département ni de la date exacte de la catastrophe.

Le cas source mentionne pourtant une crue survenue en novembre 2023, 2,46 millions de feuillets répartis dans 8 312 boîtes, un dépôt temporaire connu, une méthode de séchage mise en place avec un laboratoire nommé et un taux de 96,8 pour cent de lots acceptés au premier contrôle après seize mois. Articles locaux, délibérations et marché d’urgence permettent de rapprocher ces détails. Le dossier prévoit donc une version pour l’offre seulement. Toute publication publique ferait l’objet d’un autre test.

Distinguez les protections. Le RGPD concerne les personnes physiques identifiables dans les documents, les images, les métadonnées ou le récit. L’identité de la collectivité et les conditions techniques peuvent relever du contrat ou du secret des affaires. Certaines descriptions peuvent aussi accroître un risque de sûreté pour les collections. Un accord de la collectivité ne vaut pas nécessairement autorisation pour les noms d’agents, les données contenues dans le fonds ou les procédés d’un laboratoire partenaire.

Dossier source

La preuve complète reste en retrait pendant que sa version diffusée évolue

Constituez un dossier protégé avec l’entité contractante, l’entité livrante, les personnes mentionnées, le périmètre, les lieux, la chronologie, les sous-traitants, les états de collection, les procès-verbaux, les rapports qualité et les autorisations. Ajoutez les publications déjà connues. Une ancienne brochure n’est pas une source suffisante: elle peut condenser plusieurs périodes, omettre des exclusions ou avoir été autorisée pour un salon seulement.

Décomposez la performance. Les 96,8 pour cent de Noroît concernent des lots présentés au premier contrôle après traitement, selon une grille convenue. Ils ne signifient pas que 96,8 pour cent des feuillets endommagés ont été restaurés, ni qu’aucune reprise n’a eu lieu. Les boîtes exclues pour expertise spécialisée restent hors du dénominateur. La collectivité a choisi les priorités de fonds; Noroît a assuré inventaire, préparation, capture et contrôle interne. Ces distinctions doivent survivre à la suppression de l’identité.

Attribuez les pouvoirs. Le responsable de production valide les opérations réellement réalisées. La personne qui tient le rapport qualité confirme la mesure. Le directeur de compte connaît l’accord du client. Le délégué à la protection des données conseille sur les personnes identifiables, tandis que juriste, sécurité ou détenteur du secret peuvent intervenir sur d’autres protections. L’autorité finale suit la politique de l’organisation. Aucun de ces rôles ne doit emprunter les compétences des autres.

Conservez l’original et créez un dérivé. Le tableau de correspondance entre valeurs sources et valeurs diffusées reste restreint. Un code de projet peut protéger les espaces de travail ordinaires, mais il ne transforme pas le dossier en information anonyme si une table permet de retrouver le client ou une personne. La pseudonymisation demeure une mesure de protection utile; elle ne supprime pas à elle seule les obligations attachées aux données personnelles.

• Gardez séparément les pièces d’origine, le journal de transformation et la sortie.
• Définissez chaque chiffre par sa population, son unité, sa période et ses exclusions.
• Conservez la répartition réelle des tâches entre client, prestataire et partenaire.
• Ne confondez pas validation factuelle et pouvoir de rendre une information publique.
• Protégez le tableau de correspondance comme le cas identifiable.

Inventaire

Un volume, une crue et une durée forment parfois une signature

Relevez les identifiants directs: noms d’organismes et de personnes, logos, adresses, domaines, numéros de marché, cotes, visages, voix et signatures. Ajoutez les quasi-identifiants: territoire, type de fonds, date du sinistre, nombre de boîtes, volume de feuillets, lieu de repli, laboratoire, matériel rare, durée, financement, taux d’acceptation et formulation reprise d’un rapport. La rareté vient souvent de la combinaison, pas d’une seule colonne.

Associez chaque indice au sujet qu’il peut révéler. Le département peut être reconnu sans qu’une personne le soit. Le nom d’un agent dans les propriétés du document peut identifier à la fois l’auteur et l’employeur. Une cote d’archives peut conduire à des personnes décrites dans le fonds. La méthode de traitement peut appartenir à un partenaire. L’analyse doit donc distinguer personne, client, collection, sous-traitant et information commerciale ou de sûreté.

Inspectez les supports au-delà du texte visible. Cherchez les commentaires, versions, feuilles masquées, notes de diapositives, données de graphiques, textes alternatifs, miniatures, coordonnées de photos, objets joints, URL et noms de fichiers. Une occultation graphique peut laisser le texte sélectionnable. Les recommandations de la CNIL rappellent que les métadonnées peuvent aider un attaquant à réidentifier et doivent être limitées lorsqu’elles ne sont pas nécessaires.

Le premier brouillon Noroît remplace le département par “service d’archives territorial”. Pourtant, une photo montre le plan du dépôt provisoire, le nom de fichier contient l’abréviation départementale, un graphique reproduit les seize valeurs mensuelles du rapport public et l’auteur du PDF est une agente de la collectivité. Le registre groupe ces éléments, car le destinataire les recevra dans le même paquet.

Scénarios de recherche

Le jury connaît déjà les événements que le rédacteur croit avoir cachés

Décrivez les groupes qui pourraient chercher. Les archivistes évaluateurs connaissent les sinistres récents, les plans de sauvegarde et les prestataires du domaine. Un concurrent reconnaît un laboratoire ou une chaîne de capture. Les agents du client reconnaissent le vocabulaire du rapport. Pour le web, ajoutez journalistes, chercheurs, moteurs et sources publiées après la mise en ligne. Le test porte sur les moyens raisonnablement susceptibles d’être employés dans ce contexte, sans exiger un scénario omniscient.

Transformez l’inventaire en requêtes contrôlées. Cherchez dommage plus période, type de fonds plus volume, durée plus taux, laboratoire plus territoire, ou une phrase distinctive entre guillemets. Consultez BOAMP, TED, profils d’acheteur, délibérations, données ouvertes, presse institutionnelle, rapports d’activité, publications de prestataires et offres d’emploi. Consignez les mots, la date, la source, le candidat et le niveau de rapprochement. Une absence de résultat reste limitée à cette recherche.

Examinez trois effets. L’individualisation isole-t-elle un organisme ou une personne? La corrélation relie-t-elle le cas à un autre jeu de données ou document? L’inférence révèle-t-elle ensuite une information non publiée? Le G29 et la CNIL emploient ces critères pour juger une anonymisation de données personnelles. Ils aident également à organiser une revue de confidentialité, à condition de ne pas transformer ce cadre en conclusion juridique automatique pour toute information d’entreprise.

Dans le scénario Noroît, le type de fonds et la crue ramènent la recherche à deux départements. Le nombre exact de boîtes conduit au marché d’urgence. Le taux et la durée confirment la mission dans un rapport de commission. Le lecteur ordinaire doit effectuer plusieurs étapes, mais un évaluateur spécialisé en connaît déjà deux. La version d’offre doit donc être testée contre ce savoir professionnel, pas seulement contre une recherche générique.

Transformation

Conservez la mesure utile et élargissez les détails qui servent surtout à retrouver le client

Classez les indices selon leur pouvoir d’identification et leur utilité pour la décision. Supprimez noms, logos, propriétés d’auteur et plans lorsque rien ne justifie leur présence. Transformez une date précise en période si seule la récence compte. Remplacez un territoire étroit par une catégorie exacte. Donnez un seuil ou une tranche de volume calculée depuis le fait source. Décrivez la fonction d’un outil lorsque sa marque n’apporte rien à la comparabilité.

Une généralisation doit rester vraie. À partir de 8 312 boîtes, “plus de 8 000 boîtes” suit une règle claire. “Environ 10 000” modifie la perception de l’échelle. Un service départemental ne devient pas “plusieurs institutions européennes”. Une mission commencée après une crue ne doit pas être déplacée dans une autre année pour tromper les moteurs. Si aucune catégorie fidèle n’est assez large, supprimez l’attribut ou renoncez au cas.

Noroît retire le territoire, la date de crue, le laboratoire, le dépôt et la chronologie calendaire. La version indique un service public patrimonial, plus de 8 000 contenants et plus de deux millions de feuillets touchés par l’eau. Elle conserve le taux de 96,8 pour cent au premier contrôle et les seize mois de production, car le protocole qualité et la période sont prouvés et utiles. Le journal interne explique la règle de chaque seuil.

Ne fabriquez pas un cas composite. Réunir le volume du sinistre A, la méthode du chantier B et le taux du chantier C crée une référence qui n’existe pas. Une statistique de portefeuille peut être publiée comme agrégat si les cas admissibles, le calcul et les droits le permettent. Elle ne doit pas prendre la forme d’un seul chantier réel dans une réponse sur l’expérience antérieure.

Contrôle de fidélité

Une phrase moins identifiable peut devenir plus trompeuse

Pour chaque phrase, conservez une chaîne entre affirmation source, pièce, transformation, affirmation diffusée et conclusion autorisée. Vérifiez le sujet, le périmètre, l’unité, la population, la période, les exclusions et la contribution du prestataire. Retirer “lots présentés au premier contrôle” transforme 96,8 pour cent en taux général de restauration. La phrase est plus courte, mais elle affirme davantage que le rapport.

Contrôlez la contenance des catégories et des nombres. Un seuil doit être compatible avec la valeur source. Une tranche doit la contenir. Une agrégation se recalcule sur les dossiers admissibles. Le vocabulaire demande le même soin. “Fonds patrimonial” est fidèle au cas; “archives historiques nationales” ajouterait un statut absent. “A assuré le traitement” ne doit pas remplacer “a exécuté la préparation et la numérisation sous les choix de priorité du client”.

Faites lire la version à une personne qui connaît le critère mais ignore le client. Demandez-lui ce qu’elle conclut sur la nature du fonds, le volume, le dommage, la responsabilité de Noroît, la méthode, la mesure et le résultat. Comparez ses réponses au dossier source. Une assertion exacte mot à mot peut être trompeuse par omission si le lecteur comprend que tous les feuillets ont été sauvés ou que le taux mesure l’absence totale de reprise.

La formulation retenue précise que Noroît a préparé, inventorié et numérisé plus de 8 000 contenants représentant plus de deux millions de feuillets d’un fonds public touché par l’eau. Sur seize mois de production, 96,8 pour cent des lots présentés ont satisfait le premier contrôle selon la grille convenue; les unités orientées vers expertise spécialisée étaient hors de ce calcul. La collectivité gardait les décisions de priorité et d’élimination. Cette limite renforce la preuve au lieu de l’affaiblir.

• Gardez population, étape de contrôle, période et exclusions avec chaque taux.
• Vérifiez le sens compris par une personne qui ne voit pas le dossier source.
• Ne transformez pas une contribution en responsabilité intégrale.
• Remplacez le cas si la version sûre ne répond plus au critère.
• Traitez séparément étude anonyme, témoignage et référence nominative.

Supports

Le fichier final peut révéler ce que le paragraphe a supprimé

Produisez une copie de diffusion depuis une source maîtrisée. Acceptez les modifications, supprimez commentaires, notes, calques et contenus masqués, vérifiez en-têtes, pieds de page, objets incorporés et données de graphiques. Testez les occultations par sélection, recherche, copie et extraction. Ouvrez les images à part et recherchez coordonnées, inscriptions, miniatures et zones seulement recadrées. Une zone noire posée sur un texte ne garantit pas sa disparition.

Contrôlez les noms et destinations. Une URL visible comme “rapport de référence” peut conserver le domaine client. Le chemin de téléchargement, le titre HTML, le texte alternatif ou le nom d’image peuvent être indexés. Les recommandations françaises relatives à la diffusion de données insistent sur la minimisation et sur l’utilité poursuivie. Une métadonnée inutile qui facilite un recoupement n’a pas sa place dans la sortie.

Relisez l’ensemble remis au destinataire. Un curriculum vitae peut nommer la crue, une fiche partenaire donner le laboratoire et une annexe de planning reproduire les seize mois. Chaque responsable de document peut avoir supprimé le nom tout en laissant au paquet complet la combinaison décisive. Recherchez toutes les valeurs, dates, fonctions et expressions du registre dans la réponse assemblée.

Associez un identifiant contrôlé à la sortie examinée. Une empreinte numérique aide à reconnaître le bon PDF mais ne protège ni le secret ni les personnes. Si une traduction, une illustration ou une valeur change, la correspondance avec le contrôle précédent est rompue. La nouvelle version retourne à la revue de preuve et de diffusion avant d’être utilisée.

Épreuve contradictoire

Un relecteur indépendant doit chercher le client et expliquer son chemin

Confiez la sortie à une personne absente de la transformation. Donnez-lui le profil du destinataire, les sources autorisées et un budget de temps réaliste. Pour un fonds sensible ou un cas comportant des personnes, sollicitez une compétence adaptée en protection des données, divulgation statistique, sécurité ou droit. Le relecteur ne consulte pas le tableau d’identité avant d’avoir terminé son essai.

Le compte rendu contient les requêtes, les candidats, le meilleur rapprochement, les indices décisifs, l’effort, la confiance et les conséquences possibles. Probabilité et gravité ne sont pas fondues dans une moyenne. Reconnaître une collectivité ne signifie pas nécessairement identifier une personne. Cependant, le rapprochement avec une cote, une photographie ou une fonction rare peut ensuite rendre quelqu’un identifiable ou révéler une information restreinte.

Le test Noroît trouve quatre sinistres d’archives possibles. La combinaison “plus de deux millions de feuillets” et seize mois réduit le groupe à deux. Une présentation professionnelle ancienne mentionne le taux exact et désigne le client. La sortie est donc reprise: la durée passe à “plus d’un an de production”, tandis que le taux, essentiel et autorisé, est conservé. Le second essai ne produit plus de correspondance forte dans le scénario fixé. Cette absence n’est pas une garantie contre toute source future.

Prévoyez les décisions avant le test: diffusion autorisée, diffusion limitée, transformation supplémentaire, autorisation nominative requise, autre cas nécessaire, preuve devenue insuffisante ou interdiction. La personne habilitée reçoit la meilleure piste de rapprochement, l’incertitude résiduelle, la gravité et l’utilité pour l’acheteur. Elle ne reçoit pas seulement une note synthétique qui masquerait un indice décisif.

Autorisation

Une nouvelle source publique suffit à rouvrir une ancienne décision

L’autorisation désigne le texte, les pièces, les noms de fichiers et le canal. Elle nomme les personnes ayant vérifié les faits, le pouvoir client ou interne, la protection des données et les autres secrets lorsque ces revues sont nécessaires, puis le responsable de sortie. Sont aussi inscrits la langue, la zone, le type de destinataire, l’indexation, le droit d’extraire des passages, la date et l’échéance. Les hypothèses non résolues restent visibles.

Ajoutez les motifs de réouverture: publication d’un avis d’attribution ou d’une délibération, rapport annuel du client, article sur le sinistre, communication d’un partenaire, correction d’un indicateur, traduction nouvelle, élargissement du public ou retrait d’un accord. Les techniques de recherche et la disponibilité des données évoluent. La CNIL recommande une veille pour préserver dans le temps le caractère anonyme. Le contrôle passé prouve une décision datée, pas une qualité éternelle.

Pour une diffusion limitée, gardez la liste des destinataires et les restrictions transmises. Pour le web, prévoyez le remplacement, la désindexation et le retrait. Si une identification survient, suspendez les nouveaux usages, conservez les versions et journaux, puis faites qualifier l’exposition: donnée personnelle, secret, information de sûreté ou autre obligation. Les responsables compétents décident des corrections et notifications applicables. Une modification silencieuse ne suffit pas.

Le dossier Noroît autorise enfin une seule version française dans un marché déterminé. Il exclut le portfolio public et toute traduction sans revue. Il conserve l’identifiant du PDF, les sources, les transformations, les deux essais et une date de réexamen. La conclusion n’affirme pas que personne ne pourra jamais retrouver le client. Elle montre pourquoi ce destinataire peut recevoir un cas utile, quelles limites le rendent fidèle et qui assume la décision.