État de l'art de la ré-identification : NDSS 2012, WP216 en 2014 et CNIL 2025📋

Avertissement documentaire et juridique

La notice publique de la CNIL relative à Qwant↗ (ouvre dans une nouvelle fenêtre), publiée en 2025, expose une analyse conduite en 2019 « au regard notamment des recommandations et jurisprudences pertinentes à l'époque des faits ». Cette conclusion constitue une corroboration institutionnelle ultérieure pour le traitement examiné en 2019, pas un audit ni une validation officielle du code de 2016. La règle n'est pourtant pas née en 2025 : en 2016, l'article 2 de la loi Informatique et Libertés imposait déjà de tenir compte de l'identification indirecte et l'avis WP216 de 2014 fournissait la grille d'individualisation, de corrélation et d'inférence.

1. Réponse synthétique📋

Le risque décrit dans T1 et T2 n'était pas une intuition isolée ou apparue avec le RGPD :

1. en 2012, une étude présentée à NDSS par des chercheurs de Microsoft a mesuré, sur les propres journaux Bing et Hotmail de Microsoft, le pouvoir d'individualisation du couple User-Agent + préfixe IPv4 /24 ;
2. en 2014, l'avis 05/2014 du G29, enregistré sous le numéro WP216, a fourni la grille européenne permettant de distinguer anonymisation et pseudonymisation à partir des risques d'individualisation, de corrélation et d'inférence ;
3. en 2019, lors des contrôles dont les pièces ont été obtenues par la voie PRADA, la CNIL a copié le code et des éléments de production, examiné l'AUID construit à partir de l'IP complète et du User-Agent, puis rappelé à Qwant les trois critères de WP216 ; Qwant contestait encore en novembre sa qualification comme donnée personnelle, alors que l'enjeu était précisément son caractère de donnée personnelle indirectement identifiante (DPI), et les positions étaient décrites comme « plutôt tranchées » ;
4. après le changement de gouvernance de 2020, Qwant a décidé de réévaluer intégralement sa politique et de prendre pleinement en compte les contrôles CNIL ; en 2025, la CNIL a rendu publique la conclusion de l'analyse menée en 2019 : les données transmises à Microsoft étaient pseudonymisées plutôt qu'anonymes et l'information publique de 2019 était insuffisante.

La conclusion proportionnée est la suivante :

En 2016, la science publiée, la loi Informatique et Libertés et la doctrine européenne suffisaient déjà à exclure qu'une IPv4 privée de son seul dernier octet soit réputée anonyme par principe. La publication CNIL de 2025 confirme que le traitement Qwant-Microsoft qu'elle avait examiné en 2019 relevait de la pseudonymisation, non de l'anonymisation. Elle ne porte pas sur un audit du code historique de 2016 et ne peut donc pas être présentée comme la validation officielle de chaque déploiement de cette année.

2. Correction de référence : « WP14 » désigne ici l'avis 05/2014, document WP216📋

La formule « WP14 » apparaît parfois comme une abréviation informelle combinant le thème de l'avis et son année. Elle n'est pas la référence documentaire exacte.

Le document pertinent est :

• l'avis 05/2014 du groupe de travail « Article 29 » sur les techniques d'anonymisation↗ (ouvre dans une nouvelle fenêtre) ;
• adopté le 10 avril 2014 ;
• enregistré sous le numéro WP216.

Dans la suite du dossier, la formulation recommandée est donc :

avis 05/2014 du G29 sur les techniques d'anonymisation (WP216)

Cette précision évite de confondre l'année 2014 avec le numéro du document de travail.

3. Les trois niveaux de preuve à ne pas confondre📋

L'état de l'art établit qu'une préoccupation était sérieuse et vérifiable. Il ne remplace pas la preuve du code, du déploiement, des journaux d'exécution ou de l'intention.

4. NDSS 2012 : Microsoft mesure le suivi d'hôtes sur ses propres journaux📋

L'article de Ting-Fang Yen, Yinglian Xie, Fang Yu, Roger Peng Yu et Martín Abadi, Host Fingerprinting and Tracking on the Web: Privacy and Security Implications↗ (ouvre dans une nouvelle fenêtre), a été présenté le 8 février 2012 au symposium NDSS.

Les affiliations publiées comprennent Microsoft Research Silicon Valley et Microsoft Corporation. L'étude exploite trois jeux de données internes de Microsoft, dont :

• un mois de requêtes Bing collectées en août 2010 ;
• un mois de connexions Hotmail ;
• des informations comprenant notamment le User-Agent, l'adresse IP, l'horodatage et un identifiant de cookie pseudonymisé et persistant.

Les chercheurs comparent plusieurs empreintes afin de reconnaître un même hôte :

Pour une IPv4, supprimer le dernier octet revient normalement à conserver le préfixe /24. Le résultat directement pertinent pour T2 est donc 79,33 %, et non « plus de 80 % ». Il n'est inférieur que de 1,29 point à celui obtenu avec l'adresse IP complète.

4.1. Ce que signifie la précision de 79,33 %📋

La « précision » mesurée par l'article ne signifie pas que Microsoft retrouvait le nom et le prénom d'une personne dans 79,33 % des cas. Elle désigne la proportion des empreintes étudiées ne correspondant qu'à un seul identifiant matériel dans le jeu de validation.

Le résultat établit une capacité d'individualisation technique et de corrélation :

• distinguer un hôte ou terminal ;
• reconnaître ses retours ;
• relier ses événements et ses recherches ;
• enrichir ensuite l'empreinte au moyen d'autres journaux ou identifiants.

Il ne démontre pas, à lui seul :

• que Qwant transmettait exactement le même ensemble d'attributs lors de chaque requête en 2016 ;
• que ce chemin était déployé et exécuté dans tous les cas ;
• qu'un utilisateur de Qwant avait effectivement été nommé ou ré-identifié.

4.2. Portée temporelle📋

L'étude a été publiée quatre ans avant les tweets T1 et T2. Elle rend donc inexacte l'idée selon laquelle le pouvoir distinctif du couple User-Agent + IP /24 aurait été inconnu de l'état de l'art en août 2016.

Sa valeur est renforcée par son contexte : elle provient de chercheurs affiliés à Microsoft et porte directement sur les journaux Bing du destinataire concerné par le flux discuté dans le dossier.

5. WP216 en 2014 : la grille européenne de l'anonymisation📋

L'avis 05/2014 du G29 était disponible plus de deux ans avant les tweets. Il distinguait déjà :

• l'anonymisation, qui doit empêcher raisonnablement et durablement l'identification ;
• la pseudonymisation, qui réduit le lien immédiat avec l'identité sans supprimer nécessairement les possibilités d'individualisation ou de corrélation ;
• la généralisation, qui rend une valeur moins précise mais ne garantit pas à elle seule l'anonymat.

Le G29 examine trois risques :

1. individualisation : peut-on isoler les données d'une personne ou d'un même sujet ?
2. corrélation : peut-on relier plusieurs enregistrements concernant le même sujet ?
3. inférence : peut-on déduire une information concernant ce sujet ?

Appliquée à T1 et T2, cette grille déplace la question. Il ne suffit pas de demander :

« Le dernier octet de l'adresse IP a-t-il été supprimé ? »

Il faut demander :

« Le préfixe restant, combiné au User-Agent, à la requête, à l'heure, à un cookie, à un identifiant publicitaire ou aux données déjà détenues par Bing, permet-il encore d'individualiser ou de corréler un utilisateur ou son terminal par des moyens raisonnables ? »

NDSS apporte un résultat empirique sur cette corrélation. WP216 fournit la grille permettant d'apprécier sa conséquence pour la qualification d'anonymat.

5.1. La norme positive déjà en vigueur en 2016📋

La distinction n'était pas seulement scientifique ou doctrinale. Dans sa version en vigueur en 2016↗ (ouvre dans une nouvelle fenêtre), l'article 2 de la loi Informatique et Libertés qualifiait déjà de donnée personnelle toute information relative à une personne identifiée ou pouvant l'être, directement ou indirectement. Pour apprécier l'identifiabilité, il fallait considérer l'ensemble des moyens disponibles ou accessibles au responsable du traitement ou à toute autre personne. La communication par transmission constituait elle-même un traitement.

Il en résulte une articulation chronologique précise :

• la source normative applicable en 2016 résidait notamment dans la loi Informatique et Libertés ;
• la grille technique européenne disponible en 2016 était déjà explicitée par WP216, adopté en 2014 ;
• la CNIL en 2019 puis en 2025 a appliqué et confirmé cette grille dans le dossier Qwant, sans inventer après coup la distinction entre anonymisation et pseudonymisation.

6. L'application à search_web.php et search_ads.php📋

Le chapitre consacré à l'usage de Bing comme source de résultats reconstitue l'historique 2016 de search_web.php. Le chemin visible transmet la requête à Bing Azure ou Bing V5, reçoit de Bing une réponse déjà sélectionnée et ordonnée, puis adapte et filtre ces résultats dans Qwant.

Le chapitre consacré aux tweets, au code et à l'alerte interne établit que search_ads.php préparait un appel vers Bing Ads comprenant notamment :

• la requête ;
• le User-Agent d'origine ;
• X-Search-ClientIP, ramené au préfixe IPv4 /24 ;
• le Referer.

Le fichier apparaît dans 127 tags datés du 17 juin au 22 décembre 2016. Cette continuité documente un chemin de code versionné et étiqueté ; elle ne suffit pas, sans les configurations et journaux, à quantifier son exécution réelle en production.

Le chapitre consacré au coût de Bing et Bing Ads rapproche également ce flux du modèle publicitaire et de la nécessité d'attribuer les événements et les clics.

Les deux fichiers n'ont donc pas le même rôle probatoire :

La correspondance entre search_ads.php et l'état de l'art est précise : le dernier octet de l'IPv4 est remplacé par 0, le User-Agent d'origine est recopié, et l'ensemble accompagne un événement — la requête — susceptible d'être corrélé. La notice CNIL de 2025 décrit à son tour des transmissions à Microsoft destinées tant à la fourniture de résultats Bing qu'à la publicité contextuelle.

Cette continuité étaye directement l'examen de la prétention d'anonymat. Elle ne prouve pas que Microsoft a effectivement nommé une personne ou que le code a été conçu à cette fin.

7. CNIL 2025 : deux ensembles distincts📋

7.1. Les publications générales sur le traçage et l'anonymisation📋

Dans sa page Nouvelles méthodes de traçage en ligne : quelles solutions pour se protéger ?↗ (ouvre dans une nouvelle fenêtre), mise à jour le 10 février 2025, la CNIL classe notamment l'adresse IP et l'empreinte numérique parmi les techniques permettant de reconnaître un internaute ou de reconstituer son historique.

Dans son projet de recommandation de 2025 relatif aux traitements de données de localisation des véhicules connectés↗ (ouvre dans une nouvelle fenêtre), la CNIL reprend explicitement WP216 et demande notamment :

• que le caractère anonyme soit démontré par une analyse concluant à un risque de ré-identification négligeable ;
• que cette analyse prenne en compte la littérature scientifique et les moyens raisonnablement accessibles ;
• que ses résultats soient documentés et réévalués avec l'évolution des connaissances ;
• que les mesures de sécurité ou garanties contractuelles ne soient pas confondues avec une technique d'anonymisation.

Le projet porte principalement sur la localisation automobile. Ses exemples ne sont donc pas directement transposables à des journaux de recherche web. Sa méthode générale confirme toutefois qu'un nom donné au procédé ou la suppression d'un attribut ne suffisent pas à établir l'anonymat.

7.2. Le dossier Qwant : contrôle en 2019, publication de la conclusion en 2025📋

Le dossier de plainte CNIL communiqué après occultation, les PV et annexes biffés OCR, les documents de plainte biffés OCR et leur analyse fusionnée P79 documentent un second ensemble, propre à Qwant :

• lors du contrôle du 10 juillet 2019, la CNIL a copié search_ads.php ainsi que des captures relatives au flux publicitaire, aux en-têtes, aux logs et à la fonction d'anonymisation de l'IP ;
• lors du contrôle du 26 septembre 2019, Qwant a décrit l'AUID comme un hash de l'adresse IP complète et du User-Agent, susceptible de rester identique pendant une journée dans certaines conditions ; la CNIL a aussi copié des requêtes regroupées sous dix hashes ;
• le 15 novembre 2019, Qwant contestait la qualification de l'AUID comme donnée personnelle ; la position finalement retenue est qu'il ne s'agissait pas d'une donnée directement identifiante, mais d'une donnée personnelle indirectement identifiante (DPI) ; une note interne CNIL qualifie les positions respectives de « plutôt tranchées » et juge une nouvelle rencontre nécessaire ;
• le 6 février 2020, un courriel de Qwant invoque la volonté de sa « nouvelle gouvernance » de répondre aux observations complémentaires ;
• le 16 octobre 2020, le nouveau président écrit que la gouvernance a été « profondément renouvelée », qu'il a demandé une réévaluation intégrale de la politique de protection des données et la pleine prise en compte des contrôles et analyses de la CNIL ;
• les 20 et 22 octobre 2020 viennent ensuite la transmission puis la mise en ligne annoncée de la politique révisée, accompagnée d'extraits du registre des traitements et d'un amendement signé avec Microsoft ;
• un courrier versé au dossier OCR rappelle à Qwant WP216, ses trois critères et la nécessité de démontrer l'anonymisation ; à défaut de démontrer que les personnes ne sont pas identifiables par des moyens raisonnablement susceptibles d'être employés, les données ne doivent pas être dites anonymisées ;
• le statut exact et la notification de ce courrier OCR doivent être établis à partir du dossier non biffé, mais son raisonnement est ensuite confirmé par la notice publique officielle.

Une précision technique évite de fusionner deux mécanismes : dans le flux Bing Ads documenté en 2016, l'en-tête emporte une IPv4 tronquée au /24 avec le User-Agent ; dans le contrôle de 2019, l'AUID est décrit comme un hash SHA-256 de l'IP complète et du User-Agent, avec un sel renouvelé tous les 90 jours. L'un ne doit pas être présenté comme le hash de l'autre.

La formule « l'AUID n'était pas une DP mais une DPI » doit donc être développée pour éviter l'ambiguïté : il n'identifiait pas directement une personne par son nom, mais permettait une identification ou une individualisation indirecte. Une DPI demeure juridiquement une donnée personnelle ; c'est précisément pourquoi le jeu n'était que pseudonymisé.

Le code de 2016, les pièces PRADA issues des contrôles de 2019 et la notice publique de 2025 convergent sur un point de qualification, mais ils ne portent ni sur le même mécanisme exact ni sur la même date. Le code de 2016 matérialise requête + User-Agent + IPv4 /24 dans le flux Bing Ads ; le contrôle de 2019 documente notamment l'AUID et les flux alors présentés à la CNIL. Le constat de 2019 ne dispense donc pas de prouver séparément l'exécution et le déploiement du code de 2016.

Cette convergence sur la qualification ne signifie pas que Qwant l'avait acceptée pendant les contrôles. La chronologie OCR établit au contraire une rupture de gouvernance : maintien d'une position contraire et « plutôt tranchée » en novembre 2019, puis décision déclarée de suivre les conclusions de la CNIL après le renouvellement de la gouvernance en 2020.

La notice publique officielle de 2025↗ (ouvre dans une nouvelle fenêtre) indique en effet que la CNIL avait, dès 2019, qualifié les données de personnelles et non anonymes, après des analyses approfondies conduites au regard des recommandations et jurisprudences pertinentes à l'époque des faits. Elle expose notamment que :

• les données transmises à Microsoft n'étaient pas anonymes mais pseudonymisées ;
• la politique de confidentialité de 2019 les présentait comme anonymes ;
• la finalité publicitaire et la base légale n'étaient pas correctement indiquées ;
• Qwant avait corrigé sa politique en 2020, après le renouvellement de sa gouvernance et la réévaluation intégrale demandée par son nouveau président ;
• la mesure retenue était un rappel aux obligations légales, sans caractère de sanction ;
• la notice de la CNIL a qualifié rétrospectivement l'origine des manquements d'« erreur d'analyse initiale », « sans intentionnalité » de contourner le RGPD, et dit avoir pris en compte la bonne foi ainsi que la coopération de Qwant « tout au long de la procédure ».

Cette dernière proposition est l'appréciation publiée par l'autorité pour motiver le choix d'un rappel plutôt que d'une amende. Elle ne peut pas être lue comme le constat d'une adhésion substantielle continue : le dossier communiqué montre au contraire que Qwant niait encore le caractère personnel de l'AUID le 15 novembre 2019, que les positions étaient « plutôt tranchées », puis que Qwant a elle-même rattaché sa nouvelle posture au renouvellement de sa gouvernance en 2020. La notice ne produit par ailleurs ni analyse Qwant datée de 2016, ni protocole ou rapport appliquant alors les trois critères de WP216, ni auteurs, jeu de données, scénarios d'attaque et résultats qui démontreraient l'existence et la bonne foi d'une « analyse initiale ». Les contrôles menés en 2019 ne montrent pas que la CNIL a audité les objets Git ou le code déployé en 2016.

La chronologie des politiques de confidentialité documente séparément le passage public du vocabulaire d'« anonymisation » à celui de « pseudonymisation ».

Il faut donc distinguer :

Il serait donc trompeur de présenter la procédure CNIL comme un audit rétrospectif du code de 2016. Sa conclusion constitue une corroboration institutionnelle ultérieure du problème de qualification pour les traitements examinés en 2019. La démonstration propre à 2016 repose séparément sur la loi alors applicable, WP216, NDSS et les objets de code versionnés.

8. Articulation avec P32 : deux fonctions probatoires différentes📋

La page P32, « Auto-identification de Qwant » analyse l'avertissement du 7 septembre 2016. Elle montre que Qwant a elle-même :

• identifié les tweets génériques comme concernant son entreprise ;
• relié T1 et T2 à sa promesse de « préservation de l'anonymité des recherches » ;
• relié T3 à son partenaire Microsoft ;
• placé cette interprétation au fondement d'une sanction disciplinaire.

La présente page répond à une autre question : la préoccupation technique ainsi rattachée à Qwant appartenait-elle déjà à l'état de l'art ?

La mise en relation des deux pages établit une chaîne documentaire limitée mais précise :

NDSS 2012
mesure le pouvoir de User-Agent + IP /24 sur des journaux Bing
                         ↓
WP216 en 2014
fournit les tests d'individualisation, corrélation et inférence
                         ↓
Code Qwant en 2016
search_web.php envoie la requête à Bing ;
search_ads.php transmet requête + User-Agent + IPv4 /24 + Referer
                         ↓
T1 et T2 en août 2016
formulent une préoccupation générique sur la pseudo-anonymisation et l'IP tronquée
                         ↓
Qwant, le 7 septembre 2016
s'identifie elle-même comme concernée et rattache les tweets à sa promesse d'anonymat
                         ↓
Contrôles CNIL en 2019
copie du code, des configurations et d'extraits ; application de WP216
                         ↓
Position Qwant en novembre 2019
qualification personnelle contestée ; AUID indirectement identifiant (DPI)
                         ↓
Nouvelle gouvernance en 2020
réévaluation intégrale et décision déclarée de suivre les conclusions CNIL
                         ↓
Notice CNIL en 2025
rend publique la qualification : pseudonymisation, non anonymisation

Cette chaîne permet de soutenir que :

• T1 et T2 soulevaient un problème techniquement sérieux au regard de connaissances publiques antérieures ;
• le rattachement à Qwant a été écrit par Qwant elle-même ;
• les contrôles de 2019 et leur publication en 2025 établissent institutionnellement, pour les traitements Qwant-Microsoft examinés, la distinction entre anonymisation et pseudonymisation.

Elle ne démontre pas, à elle seule :

• que les décideurs de Qwant avaient personnellement lu NDSS ou WP216 en 2016 ;
• que Qwant avait conduit en 2016 une analyse documentée selon les critères de WP216 ;
• qu'ils connaissaient chaque capacité de corrélation de Microsoft ;
• qu'une ré-identification effective avait eu lieu ;
• qu'ils avaient l'intention de tromper ;
• qu'une infraction ou la nullité d'une sanction est judiciairement établie.

9. Grille probatoire finale📋

9.1. Établi par les sources antérieures aux tweets📋

• Microsoft Research avait publié en 2012 une mesure du pouvoir de suivi du couple User-Agent + IP /24 sur des journaux Bing.
• Le résultat publié pour cette combinaison était de 79,33 % de précision, contre 80,62 % avec l'IP complète.
• WP216 distinguait dès 2014 anonymisation, pseudonymisation et généralisation.
• WP216 fournissait une grille d'évaluation fondée sur l'individualisation, la corrélation et l'inférence.

9.2. Établi dans le dossier CNIL relatif aux contrôles de 2019📋

• En 2019, la CNIL a copié search_ads.php, des configurations d'en-têtes Microsoft et des extraits de production.
• Le contrôle a documenté un AUID fondé sur l'adresse IP complète et le User-Agent, ainsi que des regroupements de requêtes par hashes.
• La CNIL a opposé à Qwant les critères d'individualisation, de corrélation et d'inférence publiés dans WP216 en 2014.
• En novembre 2019, Qwant contestait la qualification personnelle de l'AUID ; la CNIL retenait son caractère indirectement identifiant, donc celui d'une DPI, et les positions restaient « plutôt tranchées ».
• Après le changement de gouvernance, Qwant a annoncé en 2020 la réévaluation intégrale de sa politique et la prise en compte des conclusions de la CNIL.
• La notice de 2025 rend publique la conclusion issue de l'analyse de 2019 : données pseudonymisées plutôt qu'anonymes et information insuffisante.

9.3. Non établi par l'état de l'art seul📋

• Le contenu exact de tous les flux Qwant-Bing effectivement exécutés en 2016.
• Le nombre ou la proportion de requêtes concernées.
• L'existence d'un test d'anonymisation réalisé par Qwant en 2016 selon l'individualisation, la corrélation et l'inférence.
• Un audit par la CNIL des objets Git, des tags ou du code effectivement déployé en 2016.
• Une ré-identification nominative ou technique effectivement accomplie.
• La connaissance personnelle et l'intention de chaque décideur.
• Une pratique commerciale trompeuse, une escroquerie ou une autre infraction.
• La qualification judiciaire définitive des tweets comme alerte protégée.

10. Conclusion📋

Oui, le risque évoqué dans T1 et T2 appartenait déjà à l'état de l'art disponible en 2016. NDSS avait fourni dès 2012 une démonstration empirique directement fondée sur les journaux Bing ; WP216 avait fourni en 2014 la grille européenne distinguant anonymisation et pseudonymisation.

Les contrôles CNIL de 2019 et leur publication en 2025 ne créent pas ce savoir après les faits. Ils apportent une corroboration institutionnelle ultérieure pour le traitement Qwant-Microsoft examiné en 2019. Ils n'établissent ni un audit du code de 2016, ni l'existence d'une analyse Qwant contemporaine appliquant WP216. Les OCR montrent en outre que l'acceptation de la qualification de pseudonymisation par Qwant n'est intervenue qu'après le changement de gouvernance de 2020, et non sous la gouvernance qui soutenait encore la position contraire en novembre 2019.

La portée la plus solide de cette chronologie est donc :

La préoccupation technique exprimée en août 2016 était antérieurement documentée, scientifiquement sérieuse et juridiquement intelligible. Le code Qwant de 2016 matérialise le recours à Bing pour les résultats et, dans search_ads.php, le faisceau requête + User-Agent + IPv4 /24 + Referer. Qwant s'est identifiée elle-même comme l'entreprise concernée dans son avertissement. Aucune analyse Qwant de 2016 appliquant les critères de WP216 n'est produite. Après les contrôles CNIL de 2019, l'ancienne gouvernance maintenait encore une position contraire ; la décision déclarée de prendre en compte les conclusions de la CNIL intervient après le renouvellement de 2020. La CNIL a rendu publique en 2025 la qualification issue de son analyse de 2019 : pseudonymisation, non anonymisation.

11. Articulation avec le reste du dossier📋

• P32 — Auto-identification de Qwant dans l'avertissement du 7 septembre 2016
• Tweets, code, alerte interne et démonstration détaillée de l'état de l'art
• Communications de Qwant sur l'anonymat et l'anonymisation
• Déclarations de Guillaume Champeau sur l'IP tronquée, Bing Ads et la pseudonymisation
• Coût de Bing et Bing Ads
• Dossier de plainte CNIL communiqué après occultation
• Politiques de confidentialité de Qwant relatives à Microsoft
• Analyse fusionnée des contrôles CNIL 2019-2020 et des pièces obtenues via PRADA