Anonymisateur de FEC et de DSN

1. Objet et périmètre

A3C Confidentialité est un outil autonome dédié à la pseudonymisation, à l’anonymisation assistée et au contrôle de fichiers FEC et DSN. Les deux modules partagent un socle commun tout en conservant leurs règles métier propres.

Le socle commun mutualise : traitement local, pseudonymes cohérents, HMAC-SHA-256, coffres chiffrés AES-GCM, fichiers multiples, profils JSON, contrôle des résidus, empreintes SHA-256, archives ZIP, rapports, assistants, modes experts et notice versionnée.

Le module FEC est opérationnel. Le module DSN est en recette métier avancée et produit exclusivement des fichiers dérivés non déclaratifs.

2. Assistant de confidentialité — FEC

Choisissez d’abord l’usage du fichier :

• Analyse IA / outil d’analyse : pseudonymisation analytique, données comptables utiles conservées.
• Audit / prestataire externe : masquage renforcé, montants et dates réels conservés.
• Analyse pluriannuelle : pseudonymisation HMAC déterministe pour retrouver les mêmes pseudonymes entre plusieurs FEC.
• Démonstration / formation / développement : jeu de données dérivé avec transformation cohérente des dates et montants.

3. Réglages automatiques

L’assistant sélectionne automatiquement le niveau de protection, les familles de comptes 401, 411, 421 à 427, 455 et 467, les champs textuels à traiter, le masquage éventuel des comptes, la méthode d’alias et les transformations nécessaires. Une synthèse « Recommandation A3C » affiche ce qui sera conservé et transformé.

4. Paramètres avancés

Le bouton Afficher les paramètres avancés donne accès à tous les réglages experts : niveau technique, préfixes de comptes personnalisés, champs, conservation des racines, alias séquentiels ou HMAC, table de correspondance et options du jeu de données dérivé. Une modification manuelle reste sous la responsabilité de l’utilisateur.

5. Analyse pluriannuelle et HMAC

Le profil pluriannuel active HMAC-SHA-256. Saisissez ou générez une clé d’au moins 12 caractères et conservez-la séparément. La même clé doit être réutilisée pour reproduire les mêmes pseudonymes d’un exercice à l’autre. Sans cette clé, la continuité des pseudonymes n’est pas garantie.

6. Contrôles automatiques

• détection du séparateur et de l’encodage ;
• contrôle des 18 colonnes FEC standard ;
• validation stricte de Débit, Crédit et Montantdevise ;
• contrôle structure / montants / dates avant-après ;
• empreintes SHA-256 source et sortie ;
• recherche de résidus : e-mail, téléphone, IBAN, liens internet, NIR potentiel, suites de 9/14 chiffres.

7. Procédure recommandée

1. Charger de 1 à 5 FEC et lire le diagnostic consolidé.
2. Choisir la finalité dans l’Assistant de protection.
3. Lire la synthèse « Recommandation A3C ».
4. En profil pluriannuel, utiliser « Configurer HMAC / coffre », renseigner et conserver la clé HMAC.
5. Ouvrir les paramètres avancés uniquement si nécessaire.
6. Valider l’avertissement puis lancer le traitement.
7. Examiner avant/après, résidus et rapport.
8. Valider humainement puis exporter.

8. Table de correspondance

Elle reste facultative et désactivée par défaut. Disponible en pseudonymisation analytique, elle permet une ré-identification locale. Elle ne doit jamais être transmise avec le FEC pseudonymisé.

9. Limites

Un FEC peut rester identifiable par combinaison de montants, dates, comptes ou événements singuliers. La pseudonymisation et le masquage réduisent l’exposition mais ne garantissent pas une anonymisation irréversible. Le jeu de données dérivé n’est pas un FEC légal ou probant.

10. Mode expert

Le bouton « Ouvrir la grille experte » affiche une fenêtre surgissante regroupant les 18 champs FEC et l’ensemble des paramètres avancés. Pour chaque champ, l’utilisateur choisit une règle compatible avec sa nature : conserver, pseudonymiser, supprimer, décaler une date, réduire une date au mois ou à l’année, arrondir ou transformer un montant. Les comptes sensibles peuvent être ciblés par familles, règle personnalisée ou expression régulière.

11. Détecteurs sensibles avancés

Le Mode expert peut signaler, remplacer ou supprimer dans les textes les signatures suivantes : e-mail, téléphone, IBAN, BIC/SWIFT, SIREN, SIRET, TVA intracommunautaire française, NIR potentiel, liens internet et IPv4. Ces détecteurs constituent des aides au contrôle et ne garantissent pas à eux seuls l’absence de toute donnée identifiante.

12. Profils JSON avancés

Une politique Expert peut être exportée au format JSON puis rechargée pour reproduire la même configuration sur d’autres FEC. Le profil ne contient pas le FEC et n’exporte pas la clé HMAC. La configuration active est reprise dans le rapport de contrôle.

13. Contrôles avancés

L’utilisateur peut imposer des contrôles de sortie : structure identique, valeurs numériques valides, équilibre débit/crédit, conservation des totaux et absence de certains résidus. La structure reste toujours un contrôle obligatoire. Une configuration Expert ne dispense jamais du contrôle humain avant export.

14. FEC multiples V0.8

Vous pouvez charger simultanément de 1 à 5 FEC. Les fichiers sont lus et contrôlés séparément, mais une même table de pseudonymisation est partagée pendant la session : une même valeur reçoit donc le même alias séquentiel dans tous les exercices. En HMAC, la cohérence repose en plus sur la clé secrète. Les transformations du mode dérivé utilisent un même décalage de dates et un même coefficient de montants pour préserver la comparabilité inter-exercices. Lorsque plusieurs FEC sont traités, l’export est regroupé dans une archive ZIP locale contenant les fichiers protégés et un manifeste A3C.

15. Coffre de réconciliation chiffré

Le coffre .a3cvault contient les correspondances et les tables internes nécessaires à la continuité des alias. Avant export, il est chiffré localement par AES-GCM 256 bits. La clé de chiffrement est dérivée de la phrase secrète par PBKDF2-SHA-256 avec sel aléatoire et 250 000 itérations. La phrase secrète n’est jamais stockée dans le coffre. Un coffre existant peut être importé pour poursuivre une série de traitements avec les mêmes alias séquentiels.

16. Règles de sécurité du coffre

• Utiliser une phrase secrète d’au moins 12 caractères, idéalement longue et unique.
• Conserver la phrase secrète séparément du coffre.
• Ne pas transmettre le coffre avec les FEC protégés au même destinataire.
• En cas de perte de la phrase secrète, le coffre ne peut pas être restauré par l’outil.
• Le CSV de correspondance reste disponible à titre exceptionnel mais est moins sûr car non chiffré.

17. Recette et durcissement V0.9.0

Avant traitement, chaque FEC fait désormais l’objet de contrôles supplémentaires : en-têtes dupliqués, champs critiques absents, lignes dont le nombre de colonnes diffère de l’en-tête, guillemets non refermés, valeurs numériques invalides et empreintes identiques entre fichiers. En FEC multiples, l’outil signale aussi les structures de colonnes différentes et les SIREN détectés différents. Les anomalies structurelles bloquantes empêchent le traitement ; les divergences non bloquantes sont signalées pour examen.

Les fichiers volumineux (à partir de 50 Mo) font l’objet d’un avertissement de performance sans être rejetés. La recette V0.9.0 couvre les imports, la pseudonymisation séquentielle/HMAC, le Mode expert, le jeu dérivé, le ZIP, le coffre AES-GCM, les validations et les principaux cas d’erreur.

18. Module DSN — V0.10.9

Le module DSN lit localement le format physique séquentiel Sxx.Gyy.zz.aaa,'valeur', détecte notamment la version de norme, le mois principal déclaré, les blocs individus et les blocs employeur/établissement. Deux périmètres sont proposés : Individus uniquement ou Individus + employeur. Depuis la V0.10.8, Individus + employeur est sélectionné par défaut, y compris après réinitialisation ; l’utilisateur peut toujours revenir à Individus uniquement.

Le traitement protège notamment NIR, noms, prénoms, adresse, matricule, NTT, anciennes données d’identité en bloc changement et, si demandé, les identifiants/coordonnées de l’employeur et de ses établissements. Les numéros de contrat peuvent être pseudonymisés de manière cohérente dans leurs différentes occurrences. Pour les dates de naissance, seul le jour est neutralisé à 00, tandis que le mois et l’année sont conservés ; cette convention est également appliquée à l’ancienne date de naissance. Les coordonnées bancaires sont toujours pseudonymisées dans les rubriques BIC/IBAN des blocs S21.G00.20 et S21.G00.60. Lorsque le périmètre inclut l’employeur, tout identifiant de lieu de travail à 14 chiffres dans S21.G00.40.019, S21.G00.41.013 ou S21.G00.85.001 est remplacé par le SIRET conventionnel 12000001300244 afin de préserver les liaisons entre rubriques. Une option indépendante permet également de pseudonymiser l’émetteur de la DSN : bloc S10.G00.01 (SIREN, NIC, raison sociale, adresse) et données directement identifiantes du bloc S10.G00.02 Contact émetteur (nom/prénom, adresse mél, téléphone, fax). La civilité du contact reste conservée. Les rémunérations et cotisations restent conservées, à l’exception des identifiants de liaison explicitement pseudonymisés tels que les numéros de contrat.

Le contrôle Avant/Après comporte désormais un défilement vertical synchronisé : l’ascenseur central pilote simultanément les deux tableaux. L’utilisateur peut afficher 60, 200 ou toutes les rubriques. Lorsque l’émetteur est ciblé, un contrôle dédié vérifie qu’aucune rubrique identifiante prévue dans S10.G00.01 ou S10.G00.02 n’est restée inchangée.

Le fichier produit est non déclaratif : les alias peuvent ne plus respecter les contraintes de format attendues pour un dépôt DSN. Il est destiné à l’analyse, à la recette ou à une transmission encadrée, jamais à un redépôt.

18 bis. Contrôle des résidus DSN — V0.10.3

Après chaque traitement, l’ensemble des rubriques produites est contrôlé à la recherche de motifs pouvant révéler des données personnelles ou professionnelles : e-mails, IBAN, BIC, téléphones, NIR potentiels, SIREN/SIRET et valeurs sources sensibles ciblées qui seraient restées strictement identiques. Les détections critiques bloquent l’export ; les motifs non critiques sont signalés pour examen humain. Le contrôle automatique ne remplace pas une revue visuelle et peut produire des faux positifs.

Pour chaque SIRET potentiel, l’utilisateur peut activer une identification par l’API publique officielle de l’Annuaire des Entreprises, laquelle synthétise notamment les données du RNE et de Sirene. Seul le numéro SIRET détecté est transmis ; aucune autre rubrique de la DSN n’est envoyée. Lorsqu’un SIRET est reconnu comme appartenant à un organisme social (URSSAF, CPAM, CARSAT, MSA, caisse de retraite, prévoyance, mutuelle, France Travail, etc.), il est automatiquement reclassé en information autorisée : il n’est ni comptabilisé comme anomalie, ni comme motif à corriger. Si l’API n’est pas disponible ou si l’entité n’est pas reconnue comme organisme social, le SIRET reste simplement « à examiner » sans être bloquant à lui seul.

18 ter. Adresse mél de l’individu — V0.10.3

La rubrique S21.G00.30.018 correspond à l’adresse mél personnelle ou professionnelle de l’individu. Elle est désormais pseudonymisée par défaut avec les autres données d’identité de l’individu et intégrée au Mode expert DSN ainsi qu’au contrôle des valeurs sources sensibles.

18 ter bis. Entité d’affectation et émetteur — V0.10.5

La rubrique S21.G00.20.002 — Entité d’affectation des opérations — est désormais pseudonymisée par défaut. Elle peut contenir notamment un identifiant d’établissement ou un axe de regroupement lié au paiement ; sa valeur est remplacée par un alias cohérent de type AFFECTATION_…. Elle est également intégrée à la grille experte DSN et au contrôle des valeurs sources sensibles.

L’option Émetteur de la DSN + contact émetteur est maintenant précochée par défaut. Elle reste désactivable par l’utilisateur lorsqu’il souhaite volontairement conserver l’émetteur, mais la recommandation A3C est de le pseudonymiser pour une transmission extérieure.

18 ter. Cohérence et DSN événementielles — V0.10.0

Le moteur contrôle désormais explicitement que les valeurs de liaison pseudonymisées restent cohérentes lorsqu’elles réapparaissent dans plusieurs blocs ou plusieurs fichiers chargés. La synthèse distingue les natures de déclarations détectées : DSN mensuelle, signalement arrêt de travail, reprise, fin de contrat, amorçage ou autres natures reconnues. Les règles d’identité et de contrat restent partagées entre ces fichiers dans une même session.

18 ter A. Cohérence DSN fiabilisée — V0.10.9

Le contrôle de cohérence distingue désormais les clés de liaison fortes des champs descriptifs. Les NIR/NTT, contrats, coordonnées bancaires, affectations et lieux de travail restent soumis à une cohérence stricte lorsqu’ils réapparaissent. En revanche, les noms, prénoms, adresses, villes, codes postaux et matricules ne sont plus rapprochés globalement sur leur seule valeur : deux personnes distinctes peuvent légitimement partager la même valeur tout en recevant des pseudonymes différents.

Le moteur contrôle en complément que les alias produits à l’intérieur d’un même bloc Individu reposent sur un identifiant personne commun. Seules les ruptures de liaison réellement pertinentes font passer le contrôle en anomalie. Un volet « Voir les incohérences de liaison » détaille alors le fichier, la ligne, la rubrique, la valeur source et les deux résultats contradictoires. Le rapport DSN reprend le même diagnostic.

18 quater. Mode expert DSN — V0.10.0

Une grille surgissante permet de piloter les rubriques sensibles connues une par une. Pour chaque rubrique, l’utilisateur peut choisir Conserver, Pseudonymiser ou Neutraliser. Les règles Expert surchargent l’Assistant uniquement pour les rubriques configurées ; les autres rubriques restent sous les règles standard. Des préréglages permettent de revenir au réglage A3C, de tout pseudonymiser ou de tout conserver.

18 quinquies. DSN multiples, coffre et recette — V0.10.0

Le module DSN peut traiter jusqu’à cinq fichiers simultanément avec des tables de pseudonymisation partagées. Un coffre .a3cdsnvault peut désormais être exporté puis réimporté pour poursuivre la continuité des alias entre sessions. Il est chiffré localement en AES-GCM 256 bits ; la clé est dérivée de la phrase secrète par PBKDF2-SHA-256 avec 250 000 itérations. La phrase secrète n’est jamais enregistrée dans le coffre.

Un bouton d’autocontrôles exécute une petite batterie technique embarquée et produit un rapport téléchargeable. Ces tests ne constituent ni une certification DSN, ni une recette exhaustive de tous les logiciels de paie : une recette métier sur des DSN réelles et variées reste nécessaire avant une qualification V1.

18 ter ter. Organismes sociaux identifiés par rubrique — V0.10.5

Les rubriques S21.G00.15.002 et S21.G00.20.001 correspondent, dans le périmètre métier retenu par A3C, à des identifiants d’organismes sociaux. Lorsqu’un motif SIREN ou SIRET est détecté dans l’une de ces deux rubriques, il est automatiquement classé en information — organisme social et n’est ni qualifié d’anomalie, ni comptabilisé comme motif à examiner.

Pour un SIRET, l’identification facultative via RNE/Sirene reste disponible afin d’afficher la dénomination correspondante ; une indisponibilité de l’API ou une absence de correspondance ne remet pas en cause la qualification issue de la rubrique DSN elle-même.

18 ter quater. Affectation de bordereau et PAS — V0.10.7

La rubrique S21.G00.22.002 — Entité d’affectation des opérations du bordereau de cotisation — est pseudonymisée par défaut, comme S21.G00.20.002. Elle rejoint la même table de pseudonymisation d’affectation et le Mode expert DSN.

Erratum V0.10.7 : S21.G00.50.008 — Identifiant du taux de prélèvement à la source — est une donnée sensible. Elle est désormais obligatoirement remplacée par une série de chiffres 9 comportant exactement le même nombre de caractères que la valeur d’origine. Exemple : AB12345 → 9999999. Le contrôle vérifie ce masque et n’interprète pas les 9 produits comme un SIREN, SIRET ou NIR potentiel.

18 quater. Rubriques explicitement non sensibles — V0.10.3

Les rubriques S21.G00.54.005 et S21.G00.86.005 sont classées dans A3C Confidentialité comme non sensibles. Leur contenu n’est pas anonymisé du seul fait de ces rubriques et le contrôle des résidus n’y recherche pas de SIREN, SIRET, NIR ou autre motif numérique susceptible de provoquer un faux positif.

Cette exclusion porte sur la qualification de sensibilité dans le résidus : elle évite qu’une valeur métier parfaitement légitime soit remontée comme anomalie ou donnée à examiner.

18 quinquies. Liens internet — V0.11.3

Toute donnée contenant un lien internet est désormais pseudonymisée automatiquement, quel que soit le module, le profil ou le Mode expert. Les formes reconnues comprennent http://, https://, ftp://, la forme dégradée ftp//: ainsi que www.. Le lien est remplacé par un alias cohérent de type LIEN_000001 ; le reste du texte est conservé lorsqu’il existe. Un lien restant après traitement constitue un résidu critique et bloque la validation du fichier produit.

19. Interface adaptative FEC / DSN

Le choix FEC ou DSN adapte l’ensemble du formulaire. Le module FEC affiche ses contrôles comptables, ses règles de comptes et ses exports dédiés. Le module DSN affiche son lecteur séquentiel, ses règles de pseudonymisation, son contrôle des résidus, ses comparaisons avant/après et ses contrôles de cohérence.

19. Évolution de la notice

La notice fait partie de chaque livraison. Le numéro de version, la date, les nouveaux profils, les contrôles, les choix avancés et l’historique doivent être actualisés avec le code. Le bouton de téléchargement génère toujours la notice correspondant à la version exécutée.