L’état d’urgence de la vie privée aux États-Unis
(scottaaronson.blog)- Le 4 juin 2026, la directive DAO 216-26 du département du Commerce des États-Unis a ramené les méthodes de protection des statistiques publiques du BEA et du U.S. Census Bureau à des techniques des années 1970, ce qui pourrait compromettre à la fois l’utilité des données publiques détaillées et la protection des répondants
- La directive interdit les techniques modernes de limitation de la divulgation, comme la confidentialité différentielle (differential privacy) et l’injection de bruit, et n’autorise que le coarsening — arrondissement, agrégation, mise en classes — ainsi que la suppression en dernier recours
- L’exemple des brasseries dans County Business Patterns montre qu’un simple coarsening peut rendre les statistiques sectorielles et régionales inutilisables, ou permettre, lorsque plusieurs agrégats sont combinés, de reconstituer les valeurs d’entreprises individuelles avec de l’algèbre de niveau lycée
- Le Census Act fait de la divulgation permettant d’identifier des données fournies par une personne ou une entreprise précise une infraction pénale, et les taux de réponse au recensement comme la confiance dans les statistiques fédérales reposent fortement sur la garantie de confidentialité
- Indépendamment des désaccords au sein de la communauté scientifique sur les techniques de protection de la vie privée, il faut rejeter une approche dans laquelle des acteurs politiques, plutôt que les experts des agences statistiques fédérales, interdisent unilatéralement le choix des méthodes
Comment DAO 216-26 modifie la protection de la confidentialité des statistiques publiques
- Le 4 juin 2026, le secrétaire au Commerce des États-Unis a émis DAO 216-26, limitant les techniques de protection de la confidentialité pouvant être utilisées dans toutes les publications du BEA et du U.S. Census Bureau
- Cette directive ramène les moyens de protection des statistiques publiques à des techniques du début des années 1970, revenant sur plus d’un demi-siècle de protection des sujets des données et de progrès méthodologiques
- Grâce aux avancées des technologies de protection de la confidentialité, le Census Bureau a pu partager davantage de données à des niveaux plus fins
- En conséquence, l’utilité des statistiques pourrait diminuer, le nombre de statistiques publiables pourrait se réduire, ou le niveau de protection pourrait s’affaiblir
Contexte politique et conflit juridique
- Derrière DAO 216-26, les intérêts politiques pèsent davantage que la validité scientifique
- Cette directive est critiquée pour avoir contourné les procédures administratives légalement requises
- Elle met en œuvre les promesses faites par les concepteurs du Project 2025 de la Heritage Foundation et reflète la rhétorique et les malentendus du Center for Renewing America (CRA), fondé par Russell Vought, directeur de l’OMB
- La note explicative du CRA sur la confidentialité différentielle du recensement 2020 indique que « même si la question de la citoyenneté était ajoutée au recensement, tant que la confidentialité différentielle est utilisée, il est impossible de déterminer le statut d’une personne »
- Or le masquage de ces données relatives à des caractéristiques individuelles est précisément exigé par le Census Act, c’est-à-dire le 13 U.S. Code Section 9
- Cette disposition érige en infraction pénale toute divulgation permettant d’identifier les données fournies par une personne précise
- La confidentialité est également importante pour inciter les personnes à répondre au recensement
Techniques interdites et techniques autorisées
- DAO 216-26 interdit non seulement la confidentialité différentielle, mais aussi des techniques modernes d’évitement de la divulgation et même certaines techniques plus anciennes
- La principale technique autorisée se limite au « coarsening »
- Il s’agit de réduire le niveau de détail ou de précision des statistiques publiées
- L’arrondissement, l’agrégation, le regroupement et l’utilisation de plages de valeurs en font partie
- La « suppression » consiste à retirer explicitement certaines valeurs, mais elle n’est autorisée qu’en dernier recours
- La « noise infusion » consiste à modifier un jeu de données en y ajoutant des valeurs aléatoires ou du bruit, et elle est interdite
- L’injection de bruit a été conçue pour répondre à la demande croissante de données détaillées dans un cadre juridique de confidentialité interdisant la publication de données réidentifiables
Portée sur les produits de données existants
- Le coarsening et la suppression suffisaient globalement pour des statistiques agrégées au niveau national comme les Principal Federal Economic Indicators
- Mais ces techniques sont mal adaptées aux données d’entreprises et démographiques à des niveaux géographiques et sectoriels fins
- L’interdiction de l’injection de bruit revient à interdire la principale technique d’évitement de la divulgation utilisée dans des dizaines de publications de données au cours des 30 dernières années
- L’input noise infusion est utilisée depuis 2002 dans les Quarterly Workforce Indicators et était prévue pour les statistiques du BEA
- Le swapping est utilisé depuis 1990 dans les publications du recensement décennal
- La confidentialité différentielle est utilisée depuis 2008 pour partager les données de déplacements domicile-travail OnTheMap et dans les publications fondées sur le recensement 2020
- Jusqu’à la récente directive, la confidentialité différentielle était également prévue pour le recensement 2030
- Le BEA Working Paper WP2026-9 est indiqué comme ayant été supprimé par le département du Commerce
Ce que montre l’exemple de County Business Patterns
- DAO 216-26 est difficilement compatible avec la double obligation du Census Bureau : fournir à la fois confidentialité et aptitude à l’usage
- L’exemple de County Business Patterns donné par Nathan Goldschlag illustre la tension qui apparaît lorsque les statistiques d’activité économique sont ventilées par secteur et par zone géographique
- Si un petit comté ne compte qu’une seule brasserie et que le nombre exact d’employés est publié, les informations d’une entreprise sont révélées telles quelles
- S’il y a deux brasseries, un propriétaire peut soustraire les employés de sa propre entreprise du nombre total d’employés pour connaître l’effectif de son concurrent
- Même s’il y en a trois ou plus, si le total des employés n’est pas publié, un entrepreneur potentiel envisageant d’entrer sur le marché aura du mal à obtenir les informations nécessaires
- Dans cet exemple, le coarsening rend les statistiques publiées inutilisables
Un scénario où le coarsening seul permet tout de même une reconstitution
- Un autre exemple montre que le coarsening peut aussi échouer à préserver la confidentialité
- Un comté fictif comporte deux villages, North Bend et South Bend, chacun avec une brasserie
- North Bend possède une entreprise d’embouteillage mobile
- South Bend possède une entreprise d’embouteillage fixe
- Il y a au total 4 entreprises liées à la bière
- La brasserie de North Bend et l’entreprise d’embouteillage de South Bend sont des sociétés cotées
- Le CBP publie cinq statistiques
- Le nombre total d’employés des entreprises liées à la bière à North Bend
- Le nombre total d’employés des entreprises liées à la bière à South Bend
- Le nombre total d’employés des brasseries dans l’ensemble du comté
- Le nombre total d’employés des entreprises d’embouteillage dans l’ensemble du comté
- Le nombre total d’employés des sociétés cotées dans l’ensemble du comté
- Dans ce cas, on obtient 5 équations pour 4 inconnues, et les quatre valeurs A, B, C et E suffisent à déterminer le nombre exact d’employés de chaque entreprise avec de l’algèbre de niveau lycée
- Même appliqué de bonne foi selon la géographie, le secteur et la forme de propriété, le coarsening peut interagir défavorablement et permettre de reconstituer intégralement toutes les valeurs
- La noise infusion perturbe cet ensemble d’équations et empêche une reconstitution exacte
Les limites pratiques d’un retour au « tradstat »
- Le département du Commerce affirme que cette directive constitue un retour aux techniques statistiques traditionnelles des années 1970, c’est-à-dire au « tradstat », et qu’elle est bénéfique pour les consommateurs de données
- La FAQ du BEA indique que cette mise à jour des méthodes de limitation de la divulgation protège les répondants et « fournit au public des informations économiques plus essentielles »
- Mais l’exemple de Goldschlag montre que le coarsening peut produire l’effet inverse
- Par définition, le coarsening réduit l’accès aux informations détaillées
- Dans l’exemple où trois formes de coarsening interagissent mal, la confidentialité peut être rompue par de simples calculs de base en l’absence d’injection de bruit
- Dans le recensement, des méthodes formelles d’injection de bruit comme la confidentialité différentielle servent à garder confidentielles des caractéristiques individuelles telles que le statut de citoyenneté
Pourquoi la confidentialité est importante dans les statistiques fédérales
- Le débat se poursuit au sein de la communauté scientifique sur la meilleure manière de protéger la confidentialité des données des répondants
- Mais DAO 216-26 est présentée comme une mesure motivée par des intérêts politiques plutôt que par la science
- Cette directive pourrait mettre en danger la confiance du public dans le processus de recensement
- Les fonctionnaires tenteront de se conformer à la directive tout en respectant les lois les obligeant à protéger la confidentialité des répondants
- Ils pourraient produire moins de données
- Ils pourraient rendre les données trop grossières pour être utilisables
- Sous pression politique, ils pourraient publier des données dont le masquage se retire facilement, comme dans l’exemple des brasseries
- Quel que soit le choix, la garantie de confidentialité des répondants deviendra plus difficile, et de nombreuses entreprises et personnes pourraient refuser de répondre
- Cela pourrait avoir des conséquences destructrices pour les institutions qui fournissent les « données de la démocratie »
Réponse nécessaire
- Plutôt que de laisser des acteurs politiques écraser les experts statistiques du gouvernement, il faut un investissement profond dans les agences statistiques américaines
- Il faut garantir les effectifs et le soutien permettant aux agences d’améliorer leurs méthodes avec les meilleurs outils disponibles
- Quelles que soient les opinions sur certaines techniques de renforcement de la protection de la vie privée, l’approche antiscientifique dans la gestion des statistiques fédérales doit être rejetée collectivement
- Les actions proposées sont les suivantes
- Partager l’article avec ses réseaux professionnels et ses communautés
- Trouver les coordonnées de son représentant à la Chambre et faire part de ses préoccupations à son Congressional representative
- Demander le retrait du DAO, le respect des procédures administratives appropriées, et que le choix des méthodes techniques équilibrant utilité et confidentialité soit confié aux experts des agences statistiques fédérales
- Pour aider à préserver les working papers du Census et les documents, il est possible de contribuer à la déclaration du Data Rescue Project sur la confidentialité différentielle ou d’utiliser Save Page Now de l’Internet Archive
- Les pages expliquant la noise infusion et la confidentialité différentielle étant déjà mises hors ligne, il est nécessaire d’archiver les pages méthodologiques et la documentation technique associées
1 commentaires
Commentaires sur Hacker News
La directive DAO-216-26 émise le 4 juin 2026 par le secrétaire américain au Commerce interdit la confidentialité différentielle ainsi que plusieurs techniques modernes et anciennes, et limite les techniques publiques d’évitement de la divulgation à la « grossièreté »
Elle interdit aussi l’injection de bruit, une méthode qui consiste à « modifier un jeu de données en y ajoutant des valeurs aléatoires, c’est-à-dire du bruit », bloquant ainsi une technique de protection qui était au cœur de dizaines de publications de données ces 30 dernières années
Les fonctionnaires, en essayant de respecter à la fois la loi qui leur impose de protéger la confidentialité des données des répondants et cet ordre, pourraient publier moins de données, ou les rendre si grossières qu’elles en deviendraient inutiles. Sous pression politique, ils pourraient aussi finir par publier des données facilement réidentifiables ; le niveau de malédiction de l’administration actuelle est extrême
Mais le simple fait qu’ils se soient penchés sur la confidentialité différentielle est déjà surprenant, et ce qui l’est encore plus, c’est qu’après l’avoir examinée ils aient conclu qu’il fallait la supprimer. Quelle logique peut-il bien y avoir là-dedans ?
Pour que les États-Unis soient de nouveau pris au sérieux, beaucoup de gens devront aller en prison, être pendus ou expulsés
Où sont donc passés les lâches belliqueux qui péroraient sur les armes à feu et le deuxième amendement ? Ils continueront à crier à la liberté pendant que leur maison brûle
Et pourtant, certains s’imaginent que s’ils encouragent plus fort leur cher dirigeant, le courant finira aussi par tourner en leur faveur. Ils voient ça comme un match de sport où il faudrait soutenir son équipe même quand elle enfreint ouvertement les règles
Personne ne sait quel impact ce degré de différence de précision a réellement sur l’économie
Ce serait mieux d’utiliser des techniques plus élégantes, et j’ai aussi l’intuition que cette politique est mauvaise, mais je ne vois pas en quoi cela relève d’une « urgence ». Employer ce terme me semble exagéré
L’appel à l’action de cet article consiste à contacter les législateurs, mais le lien pour trouver leurs coordonnées manque. On peut les trouver ici : https://www.congress.gov/members/find-your-member
Quel est l’objectif politique derrière cette directive ? Il y a sûrement un but pas du tout subtil, mais je ne vois pas lequel
Il s’agit de diviser les gens selon des critères arbitraires et de traiter ces groupes comme bon leur semble. Selon les personnes, cela peut signifier l’emprisonnement, l’expulsion, ou pire encore
Quand je lis que « si cet ordre est appliqué, les données publiques du département du Commerce, dont dépendent des décisions cruciales comme l’emplacement où construire des services nécessaires au bien-être de nos communautés, seront détruites », je me dis que cet article ne parle pas de vie privée
Scott donne l’impression d’être un informaticien poussé à adopter un ton exagéré par l’écosystème américain
Si les responsables des données se voient interdire les techniques qu’ils utilisent pour l’anonymisation, ils ne peuvent pas l’anonymiser suffisamment. Ce n’est pas une logique difficile à suivre
Quelqu’un peut-il expliquer pourquoi la Heritage Foundation cible ces techniques statistiques ? Quelle est la motivation politique ?
En outre, les résultats du recensement auraient dû arriver à la Maison-Blanche en décembre 2016, mais, allez savoir comment, ils n’y sont pas parvenus avant le 21 janvier 2017
Je ne sais pas si la confidentialité différentielle y était directement liée, mais elle semble être mise dans le même sac que d’autres problèmes et prise pour cible
L’article présente deux méthodes pour protéger la confidentialité dans les jeux de données, puis attaque les faiblesses théoriques de l’ancienne méthode au moyen d’un scénario artificiel afin d’inciter à choisir l’autre solution, présentée comme plus récente.
Mais il ne décrit pas cette nouvelle solution en détail, à part son nom. Ce que je me demande, c’est 1) s’il y a déjà eu des cas où la dégradation de la granularité a réellement échoué de la manière décrite dans l’article et entraîné une fuite d’informations, 2) comment fonctionne l’« autre » solution que nous devrions souhaiter, et 3) quelle différence de niveau de détail la nouvelle solution a rendue possible alors qu’elle ne l’était pas lorsqu’il fallait effectivement rendre les données plus grossières.
(2) Il s’agit d’ajouter un bruit gaussien soigneusement calibré. Au cours des six dernières années, on a aussi trouvé comment ajouter beaucoup moins de bruit gaussien : “The 2020 Census Disclosure Avoidance System TopDown Algorithm” https://arxiv.org/abs/2204.08986
(3) C’est plus difficile à répondre. Le Bureau du recensement visait en effet à publier des statistiques sous la même forme que lors des décennies précédentes. L’objectif en 2020 était de publier les mêmes statistiques avec les mêmes marges d’erreur, et les éléments disponibles semblent indiquer qu’il a été atteint. “Evaluating Bias and Noise Induced by the U.S. Census Bureau's Privacy Protection Methods” http://arxiv.org/abs/2306.07521, “Evaluating the Impacts of Swapping on the US Decennial Census” http://arxiv.org/abs/2502.01320
Discussion précédente : https://news.ycombinator.com/item?id=48517377
Article lié : https://news.ycombinator.com/item?id=48517377
C’est dommage que cela se soit politisé. Je travaille sur la confidentialité différentielle pour la conformité au GDPR, et c’est une technologie intéressante.
Il y a un fait récent concernant le Congrès que j’aime bien citer.
Le congé parental au niveau fédéral — autrement dit le congé de paternité et de maternité — est soutenu par environ 80 % des adultes américains. Les électeurs démocrates comme républicains y sont favorables, quelle que soit leur orientation politique.
On pourrait donc s’étonner qu’une mesure aussi populaire ne soit pas une obligation fédérale. Le groupe qui s’y oppose, ce sont les entreprises, et les entreprises donnent beaucoup d’argent aux responsables politiques. Il leur revient moins cher de financer des politiciens opposés au congé parental que de payer elles-mêmes ce congé.
Je raconte souvent cette histoire parce qu’elle rappelle qu’il existe des groupes prêts à dépenser beaucoup de temps et d’argent pour faire prévaloir leurs intérêts. Cela peut sembler intimidant, mais si vous appelez votre élu local, cet appel est comptabilisé. Ils veulent savoir ce qui intéresse leurs électeurs ; il suffit donc de les appeler pour le leur dire.
Les 20 % qui s’y opposent peuvent être, par exemple, des propriétaires de petites entreprises. Si les petites entreprises ne sont pas exemptées, elles doivent payer les salariés en congé long tout en payant aussi des remplaçants, ce qu’elles ne peuvent pas se permettre ; et si les petites entreprises sont exemptées, les propriétaires de grandes entreprises détestent tout ce qui donne un avantage relatif aux petites structures.
Donc quand on a d’un côté 80 % des gens qui le veulent mais seulement 1 % qui s’en soucient vraiment, et de l’autre 20 % qui ne le veulent pas mais 75 % qui s’en soucient, le second chiffre est le plus grand.
La Cour suprême a récemment rendu une décision permettant aux riches oligarques de donner des montants illimités à leurs marionnettes préférées — pardon, à leurs politiciens préférés[1].
[1]: https://www.npr.org/2026/06/30/nx-s1-5827039/supreme-court-c...
Le problème, c’est qu’en réalité ces choses ne sont pas « gratuites » : quelqu’un doit en payer le coût.
https://en.wikipedia.org/wiki/Tyranny_of_the_majority
Appeler son élu ne servira strictement à rien[1]
Les data centers aussi continuent d’être approuvés, alors même que les communautés locales y sont presque universellement opposées et que les externalités négatives sont bien plus réelles et immédiates.
La vraie crise se trouve dans un système politique capturé.
Dans l’Australie des années 1990, un parti raciste et suprémaciste blanc appelé One Nation est apparu à la faveur d’une combinaison d’événements étranges, et Pauline Hanson, propriétaire d’un fish-and-chips, est devenue députée. Il y a près de 30 ans, elle a prononcé au Parlement son célèbre premier discours[2].
Après plusieurs scandales, One Nation a disparu pendant un temps, en partie parce que la coalition conservatrice Liberal/National avait, au début des années 2000, de fait absorbé sa plateforme raciste consistant à faire des réfugiés des boucs émissaires. Mais, curieusement, le parti est aujourd’hui revenu. Cela dit, ce n’est pas le point central.
L’Australie utilise le vote préférentiel, ce qu’aux États-Unis on appelle généralement le vote par classement. Les électeurs peuvent numéroter eux-mêmes les candidats, ou suivre l’ordre de préférences enregistré par un parti. Beaucoup choisissent la seconde option, ce qui rend la répartition des préférences importante.
One Nation a adopté une stratégie consistant à distribuer ses préférences contre les sortants : vers Labor dans un siège Liberal, et inversement dans le cas contraire. Cela a effrayé l’establishment politique, au point que les grands partis, pourtant opposés entre eux, se sont mutuellement placés au-dessus de One Nation dans leurs préférences ; One Nation n’a donc obtenu aucun siège, malgré plus de 10 % des voix.
Le fond du problème, c’est que trop de responsables politiques et de partis considèrent leur siège comme leur propriété. Aux États-Unis aussi, les primaires sont souvent traitées comme une simple formalité pour le candidat adoubé par le parti, et le taux de réélection au Congrès est resté au-dessus de 95 % pendant des décennies.
Fait intéressant, le Parti démocrate est actuellement dans un état de rébellion presque ouverte, et ces dernières semaines plusieurs sortants installés depuis 10 à 30 ans ont été battus en primaire par des challengers.
J’ai aussi appris cette semaine un fait amusant. Cela fait environ 18 ans que l’arrêt Citizens United a, de fait, supprimé les limites aux dépenses électorales ; depuis, un tiers de tout l’argent dépensé l’a été dans les primaires de cette année. Plus de 35 millions de dollars ont été dépensés contre Thomas Massie dans sa primaire, ce qui en fait la primaire la plus chère de l’histoire des États-Unis, et ailleurs les montants se chiffrent aussi en millions. Pour un siège de sénateur dans le Maine, les dépenses totales sont estimées à 400 millions de dollars.
Au bout du compte, la seule méthode qui fonctionne est de faire en sorte que les élus craignent de perdre leurs sièges confortables. Si vous êtes resté assis là pendant 30 ans sans rien avoir à montrer, il est temps de partir.
[1]: https://act.represent.us/sign/problempoll-fba
[2]: https://www.youtube.com/watch?v=p2ypTX9ntTQ
Au début, j’étais cynique, du genre « à quoi bon ? », mais quand je l’ai fait pour de vrai, j’ai eu tort : l’expérience a été plutôt bonne.
Aujourd’hui, je pense que les élus ne sont pas toujours en position d’être au plus près des faits. Donc, les contacter pour leur faire part de ce que l’on pense, c’est plutôt leur faire un vrai cadeau.
Surtout sur les sujets des États et des collectivités locales, cela peut réellement avoir un certain effet. Sur les dossiers fédéraux, peut-être moins, mais il y a au moins la satisfaction de recevoir une réponse de confirmation du directeur de cabinet ou d’un assistant parlementaire.
Le bipartisme est un faux choix binaire imposé délibérément, comme des parents qui demandent à leur enfant de choisir entre brocoli et carottes pour lui faire croire qu’il décide lui-même. Les deux partis sont contrôlés par la classe des investisseurs.
S’il reste vague ou évite de donner une réponse ferme, il faut faire ce qu’on peut pour le pousser dehors lors des primaires. Tous les « centristes » finiront par vous vendre au panoptique.
Le plus urgent est de réparer les procédures électorales cassées, comme en Californie, où il faut désormais plus de 30 jours pour « compter » les votes.