« Ce ne sont que des métadonnées. » Après les révélations publiques de cet été, la phrase rassure beaucoup moins. Un système de communication produit naturellement des données autour du contenu : qui contacte qui, quand, depuis quel appareil, pendant combien de temps et par quel réseau.

Pour acheminer un appel, l’opérateur connaît le numéro source, la destination, l’antenne, le début et la durée. Pour un courriel, les serveurs traitent expéditeur, destinataires, heure, adresse IP et identifiant du message. Même si le corps reste chiffré, une partie de cette enveloppe doit être visible aux composants qui routent.

Le graphe révèle ce qu’une ligne cache

Prenons quatre enregistrements :

1. A appelle une clinique trois fois le matin;
2. A contacte ensuite son gestionnaire;
3. le soir, A se trouve près d’un hôpital;
4. le lendemain, A appelle un assureur.

Aucun message n’est lu. La séquence permet pourtant des hypothèses sensibles. À grande échelle, on construit un graphe où les comptes sont des nœuds et les communications des liens. La fréquence, la réciprocité et les communautés rendent certains rôles visibles.

Pseudonymiser A avec un numéro aléatoire réduit l’exposition directe, mais ses contacts et ses horaires peuvent le réidentifier. Croiser domicile probable, travail et annuaire public suffit parfois. L’anonymisation n’est donc pas une opération unique; c’est une évaluation du risque de recoupement.

La collecte opérationnelle doit avoir une fin

Une donnée peut être nécessaire quelques heures pour livrer et diagnostiquer, quelques mois pour facturer ou plus longtemps sous obligation. Ces finalités ne justifient pas toutes le même détail. Je séparerais les journaux d’exploitation, la facturation et l’analyse, avec accès et rétention propres.

Le chiffrement protège les transferts et les disques, mais pas une requête autorisée trop large. Les accès aux métadonnées doivent suivre des rôles, une approbation, un audit et des alertes sur les extractions massives. Une copie exportée dans un tableur échappe vite à ces contrôles.

La qualité a aussi des conséquences. Une antenne indique une zone, pas une position exacte. Une adresse IP peut être partagée. Présenter une inférence comme un fait peut toucher une personne. Les systèmes qui prennent une décision devraient garder provenance, incertitude et possibilité de contestation.

Traiter l’accès massif comme un incident

Une requête légitime peut devenir une fuite par son volume. Je fixerais des seuils selon le rôle : nombre de personnes consultées, période et vitesse d’export. Le service détecte une lecture anormale, suspend l’export ou demande une approbation supplémentaire, puis enregistre la justification. Une panne de ce contrôle ne doit pas autoriser par défaut les extractions sensibles. Les sauvegardes et copies analytiques reçoivent les mêmes règles de sécurité, avec restauration auditée. Cette défense ne corrige pas toutes les inférences, mais elle limite le cas où un compte autorisé transforme tranquillement des métadonnées dispersées en fichier complet.

Je ferais un inventaire des champs produits par une opération de communication, puis demanderais pour chacun : qui en a besoin, pour quelle durée, à quelle précision et avec quelle preuve d’accès. Retirer le contenu ne rend pas le reste banal. La bonne pratique est de minimiser l’enveloppe autant que le message.