Publié dans Droit

9

La CNIL va tenter de désanonymiser 850 000 identifiants publicitaires géolocalisés

La CNIL va tenter de désanonymiser 850 000 identifiants publicitaires géolocalisés

Comme annoncé dans son plan stratégique 2022-2024, la CNIL « souhaite rendre visibles les flux de données des applications mobiles », et lance donc une étude basée sur « un jeu de données de géolocalisation obtenu auprès d’un data broker (courtier de données) ».

Elle lui a demandé, « dans les mêmes conditions que n’importe quel potentiel client », à pouvoir accéder à « un échantillon de données correspondant à la France [...] présentées comme anonymisées par le revendeur de données ».

Ce fichier est constitué de données de géolocalisation horodatées associées à près de 5 millions d’identifiants publicitaires de smartphones (Android et iOS) sur une période d'environ une semaine en 2021.

La CNIL « vérifiera si, sur la base de ce jeu de données, elle est en capacité de réidentifier les personnes et, dans l’affirmative, elle informera individuellement celles-ci. »

L'autorité précise que ce travail de réidentification ne concernera que les seuls identifiants publicitaires « pour lesquels au moins dix points de localisation sont présents », soit « environ 850 000 identifiants publicitaires différents ».

Un projet qui devrait durer 15 mois, « à l’issue desquels les données seront supprimées », l'étude devant déboucher sur plusieurs publications sur le site du Laboratoire d'innovation numérique de la CNIL (LINC). 

9

Tiens, en parlant de ça :

Pilule rouge et bleue avec des messages codés

Europol milite pour un chiffrement de bout en bout « flexible »

Here we go again

17:00 Sécu 10
Collectif La Barbe

Inclusion dans la tech : critiqué, le CEO de Qovery menace une internaute de poursuites

Re:Qovery

14:49 Société 16
La Section 702 de la loi sur la surveillance du renseignement étranger (Foreign Intelligence Surveillance Act – FISA)

L’extension des prestataires américains devant collaborer avec la NSA fait polémique

All your base are belong to US

12:25 DroitSécu 10
9

Fermer

Commentaires (9)


Une emission de john oliver (U.S.) où il rend compte, entre autre, de la facilité a déanonymiser ces fameuses données :



https://www.youtube.com/watch?v=wqn3gR1WTcA



Paupiette5000 a dit:


Une emission de john oliver (U.S.) où il rend compte, entre autre, de la facilité a déanonymiser ces fameuses données :



https://www.youtube.com/watch?v=wqn3gR1WTcA




Est-ce que c’est sur des données prétraitées suivant les lois US ou CNIL ? Ça change énormément en fonction des juridictions.



La CNIL « vérifiera si, sur la base de ce jeu de données, elle est en capacité de réidentifier les personnes et, dans l’affirmative, elle informera individuellement celles-ci. »




Admettons que la CNIL identifie une personne en retrouvant ses nom et prénom : comment va-telle les informer ? Elle envoie un e-mail à [email protected] ? Ça a des chances de fonctionner mais c’est un peu amateur. Et pour les autres, je ne vois pas, l’e-mail n’étant pas forcément présent/en clair dans le jeu de données…


Adresse IP + horodatage = identité.
D’où le pseudonymat.



Je pense que l’idée est de corréler le trafic à une signature, puis de trouver dans le lot un seul maillon permettant de remonter à du trafic identifié.


Berbe

Adresse IP + horodatage = identité.
D’où le pseudonymat.



Je pense que l’idée est de corréler le trafic à une signature, puis de trouver dans le lot un seul maillon permettant de remonter à du trafic identifié.


D’accord, mais ça ne répond pas à ma question : comment la CNIL va contacter la personne ?
Elle va demanser aux FAI de fournir les infos pour chaque IP relevée ?


Jarodd

D’accord, mais ça ne répond pas à ma question : comment la CNIL va contacter la personne ?
Elle va demanser aux FAI de fournir les infos pour chaque IP relevée ?


Le tag Réidentification ne renvoie qu’un seul résultat sur le site de la CNIL, à savoir cette annonce. Je pense et j’espère que la méthodo sera détaillée dans une prochaine publication car c’est très intéressant.


Je ne pense pas que la CNIL contactera les personnes identifiées.
Si je comprends bien l’opération, c’est une étude qui vise à prouver si oui ou non il est possible de dé-anonymiser des données annoncées comme étant anonymisées. Si la dé-anonymisation est un succès, cela pourrait suggérer de nouvelles mesures d’anonymisation plus solides, ou bien demander à réduire les données collectées. Simples exemples.



C’est important car il n’y a pas que la pub qui est concernée. Exemple : des données judiciaires (comptes rendus de procès, divorces, etc) sont compilées en base de données et anonymisées. Je parle de ça car c’était mon boulot fut un temps, et si l’anonymisation n’est pas aussi robuste qu’annoncée (tip : je n ‘ai jamais eu de retour sur les performances de notre anonymisation, on a juste retiré les noms prénoms et adresses. Automatiquement, donc avec de possibles erreurs. Mais est-ce suffisant ?) alors il y aura du boulot pour ré-anonymiser tout ça.



Je ne pense pas que la CNIL contactera les personnes identifiées.




C’est pourtant ce qui est dit dans la news :




La CNIL « vérifiera si, sur la base de ce jeu de données, elle est en capacité de réidentifier les personnes et, dans l’affirmative, elle informera individuellement celles-ci. »




L’information pourra être faite par courrier postal. Avec les informations de géolocalisation, il y a de grande chance de réussir à trouver le domicile des personnes concernées. Les contacter sera donc facile.


bin a prioris le jeux pour la cnil c’est de trouver toutes les infos que les publicitaires pourrait eux meme trouver en analysant les meme données. Le simple fait qu’elle puisse te contacter est donc la preuve de ce qu’elle cherche à prouver