Afin de mieux comprendre les enjeux de l’anonymisation des données, la société Compuware France, éditeur de logiciels américain dans ce domaine, a organisé un séminaire sur le thème en la présence d’Alain Pannetrat, Ingénieur Expert, service de l’expertise informatique à la CNIL.

Face aux dangers que peut faire peser l’informatique sur les libertés, la CNIL est chargée de veiller au respect de la loi “Informatique et libertés” qui lui confie 5 missions principales, que nous présente Alain Pannetrat : informer, garantir le droit d’accès, recenser les fichiers, contrôler et réglementer.

La CNIL ne dépend d’aucune autorité

La sécurité des données personnelles et les techniques d’anonymisation font partie de ses préoccupations. La CNIL est une autorité administrative indépendante composée de 17 membres. Le président est élu par ses pairs. La CNIL ne dépend d’aucune autorité. Elle dispose d’un budget d’environ 10 millions d’euros. L’effectif qui la compose est de 100 personnes, essentiellement des juristes. Alain Pannetrat fait, quant à lui, partie de l’équipe d’expertise informatique.

La CNIL est trop souvent perçue comme une entité de sanction, alors qu’elle a également un rôle d’information. Les missions de la CNIL sont, en effet, d’informer et de conseiller les autorités, les professionnels ainsi que le grand public. Elle contrôle également les fichiers (lors de la déclaration des fichiers ; elle contrôle également sur place). Depuis 2004, la CNIL peut sanctionner. Ces sanctions servent souvent d’exemples, car c’est souvent ce qui fait réagir les gens.

La Loi Informatique et Libertés s’applique aux traitements qui utilisent les données à caractère personnel appelés à figurer dans les fichiers. Les données à caractère personnel sont toutes les informations relatives à une personne physique identifiée ou susceptible de l’être directement (état civil) ou indirectement (adresse, numéro de sécurité sociale, de téléphone, carte d’identité, compte bancaire, adresse email, IP, photo, plaque d’immatriculation,…).

Pourquoi anonymiser ?
– pour ne plus avoir de données à caractère personnel
– pour protéger le patrimoine de l’entreprise car certains sous-traitants travaillent aussi pour les concurrents
– pour protéger l’image de l’entreprise

Le responsable de traitement est l’entité qui définit les finalités et les moyens du traitement. L’appel à un sous-traitant ne décharge pas pour autant le responsable de traitement de ses responsabilités.

Comment transférer les données à caractère personnel en dehors des frontières ?

– soit le pays est en concordance : états membres de l’UE (+ Islande, Lichtenstein, Norvège), hors UE vers les pays qui ont une législation adéquate
– sinon il faut une autorisation de la CNIL

La CNIL n’impose pas de méthode d’anonymisation, seul le résultat compte. Différentes méthodes existent : suppression ou masquage, chiffrement, hachage.
Le hachage permet une transformation à sens unique des données. Il permet de rendre les données anonymes tout en pouvant les tracer. Il remplace les données à caractère personnel par un nombre totalement anonyme calculé par un algorithme irréversible. Il faut utiliser un algorithme de « hachage » à clé secrète (HMCA, DES3-CRC-MAC).

Il faut penser à l’anonymisation dès la conception du projet informatique

Malgré ces techniques, bien anonymiser n’est pas chose simple. Une donnée mal anonymisée, c’est une donnée que l’on peut retrouver, par exemple par croisement de données internes ou externes. Il est parfois difficile de trouver la bonne technique. Il faut penser à l’anonymisation et à la protection des données personnelles dès la conception du projet informatique. Parfois, des traitements qui paraissent anodins peuvent devenir non anonymes à cause du recoupement d’informations.

Un projet de labellisation des solutions d’anonymisation est en cours à la CNIL

Un projet de labellisation des solutions d’anonymisation est en cours à la CNIL. « C’est un processus complexe, mais nous travaillons actuellement dessus. Il est cependant trop tôt pour pouvoir donner une date et savoir qu’elle forme ce projet prendra ». Histoire à suivre… qui intéresse évidemment grandement les éditeurs de ce type de solutions, tels que Compuware.

La transmission, l’accès et le stockage des données doivent impérativement être sécurisés

Fondé en 1973 par son Président et CEO, Peter Karmanos, Compuware est devenu le 5ème éditeur mondial de logiciels et de services. Depuis 30 ans, Compuware aide les entreprises à optimiser leurs ressources informatiques et à intégrer les technologies et les applications innovantes, en maîtrisant la fiabilité et la performance de leurs applications.

Jamais un individu n’aura donné ses informations aussi facilement sans se poser de questions. Force de constater que les données transitent aujourd’hui partout et ce de manière de plus en plus transparente, certains points doivent, comme le rappelle Compuware être impérativement sécuriser :
–  la transmission des données
–  le stockage des données (de production, archivées, de test)
–  l’accès aux données : qui accède aux données et pourquoi ?

Gestion des identités et mise en conformité sont les principales priorités

Une étude parue en octobre 2007 a montré quelles furent les priorités 2007 pour les DSI/RSSI. Pour 50% des personnes sondées, l’accès et la gestion des identités représentent la principale priorité. Pour 49% d’entre eux, la mise en conformité sera le principal focus. Pour répondre à ces priorités, les RSSI souhaitent faire appel à des consultants, ainsi qu’à des outils, les données étant nombreuses et complexes. A l’heure actuelle, on parle beaucoup d’externalisation, d’Offshore, d’Outsourcing. Mais plus on s’éloigne de la production (prestataires,…), plus le risque est grand.

Dans ce contexte, Compuware a développé la solution « Compuware Data Privacy », afin de permettre aux DSI de se conformer aux nouvelles dispositions légales. Avec cette solution, la problématique s’articule autour :
– de la signature d’accords de non divulgation
– d’une limitation de l’accès sécurisé aux données confidentielles et sensibles
– d’une application des règles minimales d’anonymisation
– et de la mise en œuvre des solutions avec processus et procédures.

« Compuware Data Privacy » : méthodologie, technologie et expertise

Cette solution repose sur trois piliers fondamentaux : la méthodologie, la technologie et l’expertise.

1) Méthodologie :
–  phase d’analyse du SI. Il s’agit d’identifier quelles sont les données sensibles, donc candidates à l’anonymisation
–  phase de conception et définition des stratégies, des règles d’anonymisation des données,…
–  mise en œuvre : conception et déploiement de la solution, industrialisation du processus

2) Technologie : constitution d’une plate-forme outillée

3) Expertise et accompagnement que l’on fournit, assistance pour mener à bien ces projets.

A travers ces différentes étapes, il est nécessaire de prendre en compte les côtés technique, organisationnel, légal, humain, temporel,… De plus, dans le plan du projet, la phase de préparation est primordiale mais trop souvent sous-estimée. Il faut, en outre, trouver une entité dans l’entreprise qui va piloter le projet. L’objectif de notre solution est d’industrialiser un processus répétitif et cohérent d’anonymisation.