CSVW-EO: un standard de métadonnées pour la science des données Eyes-Off

La science des données «Eyes-Off» (ou à l’aveugle) consiste à fournir aux chercheurs et aux utilisateurs un moyen d’analyser des jeux de données sensibles sans qu’ils aient accès aux données brutes sous-jacentes. Plutôt que de donner accès à des données individuelles, cette approche met à disposition des utilisateurs une description formelle et structurée des données permettant l’exploration de ces données, le développement d’algorithmes et l’obtention de résultats, le tout dans un cadre conçu pour préserver la confidentialité.

La confidentialité différentielle y joue un rôle primordial. Elle consiste en une méthodologie mathématique conçue pour réduire le risque qu’une quelconque information concernant une personne en particulier puisse être extraite ou déduite des résultats de l’analyse statistique. En d’autres termes, même lors de publication ou de diffusion des résultats, la confidentialité différentielle offre une garantie rigoureuse que la contribution de chaque individu à ces résultats reste effectivement confidentielle.

Reste que la mise en œuvre de la confidentialité différentielle est loin d’être aisée. Pour correctement la mettre en œuvre, il faut bien connaître la structure des données, notamment savoir combien de fois une même personne est susceptible d’apparaître dans un jeu de données, quels encodages sont publics et quelles hypothèses peuvent être faites avec certitude en matière de structure des données. C’est là qu’interviennent les métadonnées: en formalisant ces propriétés structurelles, les métadonnées constituent le fondement selon lequel les mécanismes de la confidentialité différentielle peuvent être calibrés de manière correcte et sûre.

Sur les plateformes de science des données «Eyes-Off» – Lomas, par exemple – les utilisateurs doivent être en mesure de comprendre les données mises à leur disposition, sans toutefois y avoir accès directement. Autrement dit, ils doivent savoir quels jeux de données sont disponibles, connaître leur structure ainsi que les types de requêtes statistiques susceptibles d’être effectués. Ils doivent aussi savoir développer et tester des algorithmes intégrant des mesures de confidentialité différentielle. Il s’agit dès lors de développer un standard en matière de métadonnées, standard qui doit répondre à l’ensemble des besoins ci-dessus, sans jamais divulguer les données brutes.

L’idée est alors de recourir à des jeux de données factices. Il s’agit de jeux de données qui reproduisent fidèlement les propriétés structurelles des données originales – à savoir leur organisation, les types de variables, les catégories d’encodage connues et les dépendances internes – mais qui ne contiennent aucune information réelle ou sensible. Précisons que toutes les valeurs d’un jeu de données factice sont générées de manière aléatoire, tout en gardant fidèlement la structure des données réelles: ce jeu factice est donc réaliste dans sa forme, bien que son contenu soit aléatoire.

Ces jeux de données factices ne contiennent donc aucune information réelle sur une personne, mais ils sont très utiles dans la pratique. Ils permettent aux développeurs et aux chercheurs de mettre au point, de tester et de valider des algorithmes de traitement des données dans un environnement réaliste, afin de s’assurer que leur code fonctionne correctement et produise des résultats au format attendu, avant d’interagir avec les données réelles, qui elles sont protégées.

Pour répondre à ces besoins, nous présentons le standard CSVW-EO. Ce nouveau standard de métadonnées a été conçu comme extension du standard CSVW (CSV on the Web), un standard W3C bien connu pour la description de données tabulaires. Bien qu’initialement conçu pour documenter la structure et les types de contenu d’un jeu de données, le standard CSVW ne tient pas compte des exigences spécifiques des systèmes de données visant à préserver la confidentialité. L’extension Eyes-Off comble cette lacune en ajoutant deux éléments essentiels: d’une part des saisies respectueuses de la vie privée qui permettent d’appliquer correctement la confidentialité différentielle, et d’autre part des propriétés de modélisation structurelle permettant la génération de jeux de données factices réalistes.

Concrètement, le standard CSVW-EO complète les descriptions normalisées des jeux de données avec les éléments suivants:

• La contribution maximale, qui définit le nombre maximal d’occurrences d’un individu dans un jeu de données, constitue un paramètre essentiel pour calibrer correctement les mesures de confidentialité différentielle.
• Les clés de regroupement publiques, telles que les mois civils ou les régions administratives, qui correspondent à des catégories dont l’existence est de notoriété publique et dont la divulgation ne présente donc aucun risque.
• Les contraintes structurelles entre les variables – la date du traitement d’un patient doit impérativement être postérieure à sa date de naissance, par exemple – contribuent à garantir que les jeux de données factices générés par le système restent réalistes et cohérents en termes de contenu.
• Les définitions de partition, qui décrivent la subdivision possible d’un jeu de données, par exemple par filtrage ou par regroupement, garantissent que les mesures de confidentialité différentielle soient correctement appliquées à chaque sous-ensemble.
• Des annotations structurelles additionnelles qui permettent de mieux caractériser l’organisation et les propriétés des données.

Notons que tous ces champs sont facultatifs et qu’il faut les vérifier un à un avec la plus grande attention avant de les publier avec un jeu de données. En effet, même les métadonnées peuvent – involontairement – divulguer des informations sensibles. Prenons un exemple: dire que le mois de février 2026 compte 28 jours ne présente aucun risque, cette information étant de notoriété publique et ne révélant rien sur qui que ce soit. En revanche, indiquer qu’un patient donné s’est rendu cinq fois à l’hôpital en février 2026, même si son nom n’est pas mentionné, divulgue une information susceptible d’être utilisée pour identifier ou profiler le patient en question: il faut donc protéger la confidentialité de cette information, au même titre que les données sous-jacentes.

Produire des métadonnées précises et complètes est une tâche exigeante qui requiert une grande rigueur technique et un jugement avisé. Pour faciliter ce processus, nous avons développé la bibliothèque Python csvw-eo, une bibliothèque open source qui accompagne le standard et couvre l’ensemble du flux de travail lié aux métadonnées. Cette bibliothèque est capable de:

• générer un fichier de métadonnées provisoire à partir d’un jeu de données existant, offrant ainsi un point de départ qui réduit considérablement le travail manuel;
• générer des jeux de données factices à partir de métadonnées validées, permettant ainsi de développer et de tester des algorithmes dans un environnement respectant la vie privée;
• valider les métadonnées à la fois par rapport au schéma CSVW-EO et à un ensemble de règles SHACL, un mécanisme de validation formel qui vérifie la cohérence interne et l’exactitude des métadonnées.

L’intégration aux systèmes de confidentialité différentielle existants, tels qu’OpenDP ou SmartNoise SQL, permet aux utilisateurs de passer aisément de la description des métadonnées à la mise en œuvre concrète des mesures de protection de la vie privée.

Reste que l’automatisation à elle seule ne suffit pas: à chaque étape, la vérification par l’humain reste un élément essentiel du processus, ce d’autant plus lorsqu’il s’agit de métadonnées générées automatiquement. Comme vu plus haut, les métadonnées peuvent – par inadvertance – révéler des informations sensibles, et un système automatisé n’a pas le jugement contextuel nécessaire pour détecter de tels risques. Loin d’être une étape facultative, la vérification par un expert apporte une garantie fondamentale au système.

Documentation disponible sous CSVW-EO. Code source disponible sous dscc-admin-ch/csvw-eo: Extension «Eyes-Off» de CSVW pour la science des données et distribution via csvw-eo · PyPI.