Tableau de bord : éviter de réidentifier les personnes

Un tableau composé uniquement de nombres peut révéler une information sur une personne. Le risque apparaît lorsqu’un filtre l’isole, lorsqu’un total permet de retrouver une cellule masquée ou lorsque deux versions dévoilent sa contribution. Pour un petit effectif, retirer les noms ne suffit donc pas : il faut examiner ce que le destinataire peut déduire de l’ensemble des résultats accessibles.

La solution dépend du besoin. Vous pouvez réduire le détail, modifier les sorties ou conserver une diffusion restreinte de données personnelles correctement protégées. Il est préférable d’assumer ce dernier statut plutôt que d’annoncer un anonymat que les calculs contredisent.

Évaluer le lecteur et les informations disponibles

Le considérant 26 du RGPD demande de tenir compte des moyens raisonnablement susceptibles d’être utilisés pour identifier une personne, avec les facteurs objectifs pertinents. Dans un tableau interne, les connaissances du lecteur comptent : il peut connaître les participants, leurs dates d’arrivée ou l’unique client d’une petite antenne.

Écrivez donc le public réel de la vue, pas seulement « direction ». Un responsable d’antenne connaît parfois davantage les dossiers individuels qu’un analyste national. Une donnée agrégée peut ne pas présenter les mêmes possibilités de rapprochement pour ces deux personnes.

L’évaluation doit couvrir les autres rapports accessibles, les anciennes versions et les exports. Une page peu détaillée ne suffit pas si le lecteur peut télécharger les lignes sources. Notre guide sur la pseudonymisation et l’anonymisation distingue ces notions ; le présent article porte sur les sorties chiffrées et leurs combinaisons.

Premier calcul : une cellule masquée reste calculable

Exemple entièrement fictif. Une entreprise interroge les usagers de trois sites sur les difficultés rencontrées pendant une prestation. Chaque personne répond une seule fois et indique soit une difficulté, soit son absence. Le projet de tableau suivant présente trente réponses distinctes ; il ne s’agit pas de trente visites pouvant provenir des mêmes personnes.

Le résultat de l’Annexe se calcule : 12 − 7 − 4 = 1. Si le destinataire connaît l’unique répondant de l’Annexe, il apprend que cette personne a signalé une difficulté. Le mot « masqué » ne protège rien dans cette configuration.

Supprimer seulement le total ne règle pas nécessairement le problème. Un autre rapport peut donner le même nombre, ou une sélection de tous les sites dans le tableau peut le recalculer. La protection doit porter sur les résultats complémentaires disponibles au même destinataire.

Une option consiste à regrouper Sud et Annexe : douze répondants et cinq difficultés. Cela supprime cette soustraction dans la vue présentée, à condition que le destinataire ne dispose pas par ailleurs du chiffre exact de Sud. Ce regroupement corrige un chemin de divulgation identifié ; il ne démontre pas à lui seul l’anonymat du résultat.

Deuxième calcul : la différence entre deux versions

Reprenons le même exemple. Une version ultérieure comprend une seule réponse supplémentaire, celle de Camille, et aucune correction des trente précédentes. Le nombre de répondants passe de trente à trente et un ; le nombre de difficultés passe de douze à treize.

Sous ces hypothèses, la différence révèle la réponse de Camille : 13 − 12 = 1. Si le lecteur connaît cette arrivée unique et la stabilité des autres réponses, il n’a besoin ni du nom dans le tableau ni d’un accès aux données sources.

La conclusion serait différente si des réponses anciennes avaient été corrigées ou plusieurs personnes ajoutées : on ne pourrait plus attribuer automatiquement la variation à Camille. Ces hypothèses doivent donc figurer dans l’analyse. Un calcul de divulgation ne doit pas transformer une supposition sur la population en certitude.

Pour réduire ce risque, vous pouvez éviter l’actualisation après chaque réponse et préparer des publications regroupées. Il faut encore examiner la taille et la composition des ajouts, les fenêtres temporelles qui se chevauchent et les versions déjà exportées. Aucun rythme mensuel ou trimestriel ne garantit universellement l’anonymat.

Troisième difficulté : un groupe nombreux peut être révélateur

Un seuil d’effectif est une règle de sortie possible, pas une garantie légale générale. Un groupe de vingt personnes peut être entièrement homogène : si les vingt réponses signalent la même difficulté et si l’appartenance d’une personne au groupe est connue, sa réponse peut être déduite.

Les filtres créent aussi de nouveaux petits groupes. Une vue de cent usagers devient une vue d’une personne après sélection du site, de la semaine et d’un parcours rare. Compter seulement l’effectif du tableau initial ignore ce résultat intermédiaire.

La CNIL présente les risques d’individualisation, de corrélation et d’inférence. Ils aident à organiser les vérifications. Il ne faut toutefois pas les convertir en une formule simpliste : sa présentation des travaux du CEPD de juillet 2026 précise qu’un critère non satisfait appelle une analyse approfondie. Les lignes directrices concernées restent en consultation jusqu’au 30 octobre 2026.

Choisir la précision nécessaire à la décision

Avant de configurer un seuil, précisez l’action attendue. Dans l’exemple, la direction veut déterminer s’il faut revoir la prestation globalement. Elle n’a pas besoin de retrouver les répondants ni d’afficher chaque petite antenne. Le responsable opérationnel chargé de résoudre une réclamation particulière poursuit un autre objectif, avec un circuit d’accès distinct.

Le dossier de réutilisation statistique doit également couvrir les données sources. Une sortie protégée ne rend pas automatiquement licites la collecte initiale, les rapprochements ou la conservation des réponses individuelles.

Voici une fiche de décision remplie pour la vue de pilotage de cet exemple. Elle définit une version candidate à vérifier ; elle ne constitue ni un résultat d’essai réel ni une certification d’anonymat.

Si la direction réclame ensuite un classement des petites antennes, il s’agit d’un changement de besoin à réexaminer. Il ne faut pas réactiver discrètement les dimensions supprimées, ni présenter le classement comme une simple amélioration graphique sans conséquence sur les données révélées.

Vérifier le parcours complet de consultation

Le contrôle proposé commence avec un compte correspondant au destinataire réel. Il examine la vue initiale, les filtres isolés et combinés, les infobulles, les pages de détail et les téléchargements. Une restriction située uniquement dans l’affichage ne protège pas des données que le même compte peut demander directement au service.

Pour les trois difficultés précédentes, la personne chargée de la vérification conserve une courte trace : résultat accessible, calcul ou rapprochement possible, mesure retenue et limite résiduelle. Cette trace doit permettre de refaire le raisonnement sans recopier inutilement les identités dans un rapport partagé.

Vérifiez séparément les exports. Le fichier peut contenir des données sous-jacentes, des éléments en cache ou des feuilles absentes de la vue principale. La maîtrise des exports Excel doit appliquer les mêmes restrictions que le tableau. Un utilisateur ne devrait pas recevoir, par téléchargement, le détail qui lui est refusé à l’écran.

Si une vue révèle encore une réponse individuelle sans justification, retirez cette sortie du périmètre de diffusion et poursuivez les analyses autorisées dans l’espace restreint. N’approuvez pas tout le tableau parce que les autres onglets sont satisfaisants. Après modification, reprenez les combinaisons concernées, y compris celles qui utilisaient un total conservé ailleurs.

Traiter correctement ce qui demeure personnel

Un tableau interne peut contenir des informations identifiantes lorsque le traitement est licite, nécessaire et protégé. L’anonymisation n’est pas une obligation générale applicable à tout indicateur. En revanche, le caractère interne ne permet pas l’accès de tous les salariés à toutes les vues.

Les Art. 5(1)(b)/(c)/(e) et 6(1) encadrent finalité, minimisation, conservation et licéité ; les Art. 25(2) et 32(1) portent notamment sur l’accessibilité par défaut et la sécurité. La procédure doit donc fixer les personnes habilitées, la durée utile des versions et les conditions de remise.

Pour des indicateurs de qualité des demandes RGPD, par exemple, la direction peut recevoir une tendance générale tandis que le pilote conserve un accès aux dossiers nécessaires pour corriger les retards. La séparation des usages évite d’ajouter les identités dans la vue de direction simplement parce qu’elles sont utiles ailleurs.

Une nouvelle source, un filtre, un public élargi ou une série plus fréquente peut modifier le risque. Documentez ces changements et réexaminez la conclusion. Si des données personnelles ont été divulguées à des personnes non autorisées, examinez la violation et les obligations des Art. 33–34 ; retirer le tableau ne remplace pas cette analyse.

Ce qu’il faut retenir

• Masquer une petite cellule est inefficace si les autres résultats permettent de la recalculer.
• Les versions successives, les connaissances du lecteur et les exports font partie du même examen.
• Aucun effectif minimal ne garantit à lui seul l’anonymat de tous les tableaux.
• Une diffusion restreinte de données personnelles peut être justifiée ; ne l’étiquetez pas « anonyme » sans démonstration.

FAQ

Un seuil de dix répondants suffit-il ?

Pas nécessairement. Il faut aussi examiner les réponses homogènes, les filtres, les différences entre publications et les informations connues du destinataire. Le seuil doit être justifié dans son contexte et complété par les protections nécessaires.

Peut-on remplacer une valeur masquée par zéro ?

Ce serait trompeur si zéro signifie réellement absence de réponse ou de difficulté. Distinguez absence de données, valeur nulle et valeur non diffusée. Cette distinction ne doit toutefois pas permettre de retrouver la valeur retirée par un autre calcul.

Faut-il détruire toute version antérieure ?

Déterminez celles dont la conservation reste nécessaire et leurs accès. Le risque de différence peut exister avec des copies déjà remises, même après retrait de l’interface. La conception des nouvelles sorties doit tenir compte de cet historique disponible.

Recevez nos analyses pratiques sur la conformité RGPD dans la newsletter.

Thiébaut Devergranne, docteur en droit et fondateur de donneespersonnelles.fr, travaille depuis plus de vingt ans sur le droit des technologies et la protection des données.