Questions et réponses: confidentialité différentielle

En quoi les technologies améliorant la confidentialité peuvent-elles contribuer à accroître la valeur des données détenues par les pouvoirs publics?

Georges-Simon Ulrich:

Les technologies améliorant la confidentialité (TAC, PET en anglais pour privacy enhancing technologies), telles que la confidentialité différentielle, permettent d’utiliser les données de manière sécurisée et confidentielle tout en protégeant la vie privée des individus. Ce faisant, elles peuvent aider à exploiter tout le potentiel des données des pouvoirs publics. Grâce aux TAC, les pouvoirs publics peuvent tirer des enseignements des données sensibles tout en les préservant d’un usage abusif ou d’un accès non autorisé. En protégeant la vie privée, les TAC autorisent des analyses plus exhaustives des données et facilitent la collaboration entre les administrations publiques ainsi qu’avec les partenaires externes tels que les universités et la société civile. Les décideurs disposent ainsi de bases plus solides pour prendre des décisions et élaborer des stratégies, ce qui se traduit par de meilleurs services publics et d’autres bénéfices pour la collectivité.

Pourquoi l’Office fédéral de la statistique se concentre-t-il sur la confidentialité différentielle?

Georges-Simon Ulrich:

L’OFS est la plaque tournante de l’écosystème des données en Suisse. Il applique le principe «once-only», selon lequel les informations ne doivent être collectées qu’une seule fois auprès des citoyens pour être ensuite partagées par tous les services de l’État. Respecter ce principe tout en garantissant la confidentialité des données exige de réglementer strictement l’accès aux données et de gérer attentivement les risques de divulgation. En tant qu’administrateur de données très sensibles, l’OFS reçoit de nombreuses demandes d’accès de la part de diverses parties prenantes, mais il ne peut en principe pas y donner suite, car il est lié par le secret statistique. De plus, la publication des statistiques induit un risque de réidentification des individus, laquelle constitue une violation de la vie privée. L’OFS est à même de relever ce défi grâce à la solide expérience qu’il a acquise en matière de contrôle de divulgation statistique (méthodes fiables pour protéger les informations sensibles, qui permettent néanmoins de réaliser les analyses statistiques nécessaires). Pour limiter les risques liés à la divulgation d’informations, la confidentialité différentielle – à laquelle recourent déjà les autorités d’autres pays (p. ex., le bureau du recensement américain) – promet une approche plus fiable, plus souple et plus solide sur le plan théorique que les méthodes traditionnelles.

Pourquoi est-il important pour les citoyens que les pouvoirs publics s’intéressent à la confidentialité différentielle?

Georges-Simon Ulrich:

Les pouvoirs publics ont tout intérêt à explorer le potentiel de la confidentialité différentielle, car celle-ci est cruciale pour préserver la confiance des citoyens. La confidentialité différentielle réduit le risque d’extraction d’informations personnelles identifiables (IPI) lors de la publication de statistiques officielles ou de l’utilisation des données par d’autres acteurs, par exemple, pour mener des recherches ou améliorer des services. En garantissant ainsi le respect et la protection de la vie privée, elle renforce la confiance de la population dans les pouvoirs publics. Les citoyens sont alors plus enclins à soutenir des initiatives fondées sur des données et à y participer. Quant aux administrations publiques, elles peuvent ainsi prendre des décisions éclairées et améliorer leurs services pour le bien public.

Quel effet la confidentialité différentielle peut-elle à votre avis avoir sur l’utilisation des données et la science des données?

Bertrand Loison:

La confidentialité différentielle permet d’analyser des données confidentielles sans compromettre la vie privée des individus. Elle garantit la protection des données sensibles tout en permettant aux spécialistes des données d’en extraire de précieuses informations. En s’appuyant sur la réputation de fiabilité et de sécurité des pouvoirs publics, la confidentialité différentielle est à même de favoriser l’application de solutions plus complètes et innovantes fondées sur les données. Cette dynamique permet non seulement d’améliorer l’efficacité des pouvoirs publics, mais aussi de renforcer la confiance de la population dans l’utilisation des données, et favorise en fin de compte des décisions éclairées tout en générant un apport positif pour la société.

Pourquoi choisir le DSCC pour promouvoir l’utilisation de la confidentialité différentielle?

Christine Choirat:

En tant que centre d’innovation, le DSCC cherche des moyens de faire avancer la science des données au sein de l’administration suisse. L’accès aux données sensibles représente un besoin bien réel dans tous les domaines de la société, d’où l’importance de faire avancer cette cause: sans donnée, pas de science des données.

Pourquoi une collaboration avec OpenDP?

Christine Choirat:

OpenDP est à l’avant-garde pour ce qui est de faciliter l’accès à la confidentialité différentielle grâce à une implémentation digne de confiance. Leur programme de partenariat (fellowship programme) nous a permis de participer à la fois à la création de solutions pratiques et à la promotion des méthodologies de confidentialité différentielle dans différents domaines.

Quelles garanties formelles peut-on donner aux citoyens concernant la protection de leurs données personnelles?

Raphaël de Fondeville:

La confidentialité différentielle (CD) est un cadre mathématique formel qui protège contre l’extraction d’informations personnelles identifiables (IPI) à partir d’une statistique, d’un algorithme d’intelligence artificielle ou, plus généralement, de tout produit dérivé de données personnelles. Les mécanismes de protection satisfaisant aux conditions de la CD garantissent en particulier qu’il n’est pas possible d’extraire des informations personnelles de manière totalement fiable (niveau de confiance de 100%). Il est donc impossible de déterminer avec certitude, par exemple, si un individu souffre ou non d’une maladie donnée. Les extractions présentant un niveau de confiance plus bas sont par contre possibles. Grâce à la confidentialité différentielle, on peut contrôler jusqu’à quel niveau l’auteur d’une attaque peut accroître le niveau de confiance obtenu: si l’auteur estime à 10% la probabilité qu’Alice souffre d’une pathologie rare, la CD fera en sorte qu’en utilisant les informations rendues disponibles grâce aux données de l’administration publique, l’auteur ne pourra pas accroître ce niveau de confiance au-delà, par exemple, de 40%. Cette garantie est à l’épreuve du temps, car elle est indépendante des informations et des moyens techniques disponibles aujourd’hui ou à l’avenir. De plus, la CD offre une transparence totale sur les mesures de protection sans compromettre la garantie de confidentialité: la possibilité de rendre publics les paramètres exacts du mécanisme de randomisation permet aux utilisateurs de prendre en compte, et éventuellement de corriger, son influence sur le résultat.

Comment pourrait-on appliquer la confidentialité différentielle dans des scénarios réels pertinents pour les autorités suisses (par exemple, dans les analyses de données pour les services publics)?

Raphaël de Fondeville:

Chaque fois qu’un produit de données est créé et partagé avec ses destinataires, il y a un risque d’extraction d’informations personnelles identifiables. Il faut comprendre et contrôler ce risque pour préserver la confiance du public. Nous préconisons par conséquent d’appliquer la CD à toute utilisation de données au sein et en dehors de l’administration lorsque les données sont utilisées à d’autres fins que celles pour lesquelles elles ont été collectées. Beaucoup croient hélas encore que l’anonymisation est possible, mais cette supposition ne résiste pas à un examen technique. La création d’un produit de données comporte en effet toujours un risque d’extraction d’IPI. Il est toutefois possible de mesurer ce risque grâce à la CD, ce qui permet aux pouvoirs publics comme à la population de peser les avantages du produit de données et les risques de divulgation d’informations personnelles. Il faudrait donc toujours recourir à la CD lorsque des données sont rendues accessibles à des fins de recherche ou lorsqu’elles sont mises à la disposition d’un autre service de l’administration suisse à des fins d’analyse. De plus, il est indispensable de pouvoir quantifier le risque d’extraction d’IPI dans des secteurs comme la santé publique, où des échanges de données ont lieu entre organismes publics et privés.

Comment décrire les applications spécifiques de la confidentialité différentielle que vous avez explorées dans le cadre du partenariat avec OpenDP?

Raphaël de Fondeville:

La CD offre des garanties contre la divulgation d’informations personnelles au niveau individuel. Le risque d’extraction augmente toutefois lorsque les données sont géoréférencées, c’est-à-dire lorsqu’un individu est associé à un lieu précis (sa résidence principale, p. ex.). Lorsqu’un grand nombre d’individus ont la même localisation géographique, l’extraction d’informations concernant un individu peut constituer une menace pour les informations potentiellement sensibles de tout le groupe. Les moyens de contrôler le risque de divulgation grâce à la randomisation ne sont pas aussi développés pour les données géoréférencées que pour les données individuelles. Dans le cadre du programme de partenariat, nous avons par conséquent examiné les solutions possibles.

Quelles sont les limites actuelles?

Raphaël de Fondeville:

La plupart des techniques actuelles reposent sur des solutions ad hoc qui n’offrent pas les mêmes avantages que la CD: elles n’assurent pas une garantie sur le long terme et ne permettent pas de quantifier le risque pour tous les produits de données. Proposer une approche randomisée pour quantifier le risque d’extraction d’IPI au niveau tant individuel que géographique serait très utile pour préserver, voire renforcer la confiance de la population dans les pouvoirs publics.

Pouvez-vous nous donner un exemple d’utilisation de la confidentialité différentielle dans le cadre du partenariat et des avantages qu’elle pourrait représenter pour l’administration fédérale?

Pauline Maury-Laribière:

L’utilisation des données implique toujours un compromis entre utilité et confidentialité. L’effet du mécanisme de randomisation est d’autant plus important pour maintenir un certain niveau de confidentialité lorsque la distribution des données fait ressortir des valeurs extrêmes (ce qui est le cas par exemple pour les données sur les salaires). Or, plus le niveau de confidentialité est élevé, plus l’utilité des données est limitée. Dans le cadre du partenariat avec OpenDP, nous avons essayé de développer des solutions qui limitent l’effet du mécanisme de randomisation tout en garantissant la confidentialité des données.

Quelles sont les limites actuelles?

Pauline Maury-Laribière:

S’il est nécessaire d’avoir des solutions théoriques, il est tout aussi important de fournir aux statisticiens des outils fiables pour faire des recherches dans les données. Leur utilisation efficace et sûre constitue un véritable défi qu’OpenDP a entrepris de relever (la bibliothèque d’OpenDP). Des outils de la science des données tels que Polars (une bibliothèque permettant de travailler efficacement avec des tableaux) sont par exemple implémentés dans la bibliothèque d’OpenDP, pour qu’il soit possible d’utiliser les algorithmes de la CD.