Dans une base de données, remplacer un nom par un code ne suffit pas à rendre les informations anonymes. Si une table de correspondance ou d’autres indices permettent de retrouver une personne, les données restent identifiables et le RGPD continue de s’appliquer.
La différence entre anonymisation et pseudonymisation repose donc sur la possibilité de réidentification, évaluée selon les moyens raisonnablement accessibles et le contexte d’utilisation. Pour comprendre où se situe cette limite, il faut examiner les critères de risque, les techniques employées et les obligations qui subsistent.
A retenir : anonymisation, pseudonymisation et RGPD
- L’anonymisation exige une impossibilité raisonnable de réidentifier les personnes
- La pseudonymisation réduit les risques sans supprimer le caractère personnel
- Les rapprochements entre fichiers peuvent révéler des identités indirectes
- La méthode doit être documentée selon l’usage et les destinataires
Comment distinguer anonymisation et pseudonymisation des données
Cette distinction juridique commence par une question pratique : une personne peut-elle encore être retrouvée à partir des informations conservées ? Le résultat dépend des données elles-mêmes, mais aussi des ressources disponibles pour les analyser.
La pseudonymisation conserve une possibilité de rapprochement
Selon le RGPD, la pseudonymisation consiste à séparer les données d’identification des informations traitées, en protégeant les éléments supplémentaires qui permettraient de rétablir le lien. Un code client ou un identifiant chiffré ne rend donc pas automatiquement les données anonymes, surtout si l’organisation conserve la clé.
Une entreprise qui remplace les noms de ses clients par des numéros peut toujours les reconnaître au moyen de sa table de correspondance. Selon la CNIL, cette mesure contribue à la protection des données et à la sécurité des données, mais elle ne fait pas sortir le traitement du champ du RGPD.
Principales différences entre les deux démarches :
- Pseudonymisation : lien rétabli grâce à une information supplémentaire protégée
- Anonymisation : absence de moyen raisonnable permettant d’identifier une personne
- Pseudonymisation : données personnelles toujours soumises aux obligations du RGPD
- Anonymisation : données hors du RGPD si l’identification n’est plus raisonnablement possible
L’anonymisation suppose une irréversibilité évaluée en contexte
Selon le considérant 26 du RGPD, l’identifiabilité s’apprécie en tenant compte des moyens raisonnablement susceptibles d’être utilisés. L’impossibilité technique de réidentification ne signifie donc pas qu’aucune personne, dans aucun scénario imaginable, ne pourrait retrouver une identité ; elle exige une analyse concrète du risque et des moyens accessibles.
La suppression des noms ne suffit pas si l’âge, la commune et la date d’un événement permettent de distinguer une personne. Une fois les données véritablement anonymisées, leur traitement sort du RGPD, mais l’opération d’anonymisation elle-même porte sur des données personnelles et doit être encadrée.
| Question | Pseudonymisation | Anonymisation |
|---|---|---|
| Identifiants directs | Remplacés ou séparés | Supprimés ou transformés |
| Clé de rapprochement | Conservée et protégée | Absente ou inutilisable |
| Risque résiduel | Réidentification possible sous conditions | Identification non raisonnablement réalisable |
| Régime du RGPD | Applicable aux données traitées | Non applicable aux données anonymes |
Évaluer le risque de réidentification dans un jeu de données
Une fois la différence posée, l’analyse doit porter sur les façons dont les informations pourraient être isolées, rapprochées ou interprétées. Un fichier apparemment neutre peut révéler davantage lorsqu’il est associé à une autre source.
Tester l’individualisation, la corrélation et l’inférence
La CNIL reprend trois risques souvent utilisés pour examiner l’efficacité d’une anonymisation : isoler un enregistrement, relier plusieurs informations concernant une même personne, ou déduire une donnée sensible à partir des éléments conservés. Ces tests aident à repérer les failles, sans remplacer l’évaluation du contexte réel.
Considérons un export de fréquentation contenant une date, une petite commune et une catégorie d’activité rare. Même sans nom, la combinaison peut désigner un événement connu et permettre d’identifier son participant. Selon la CJUE, l’arrêt Breyer invite à considérer les moyens raisonnablement susceptibles d’être employés, plutôt qu’à examiner les données isolément.
Risques à examiner avant diffusion :
- Attributs rares combinés, comme une date précise et une petite zone
- Jointures possibles avec des fichiers internes ou des données publiques
- Séquences d’activités révélant un profil ou un parcours individuel
- Informations déduites malgré la suppression des identifiants directs
Adapter les transformations à l’usage prévu
Le niveau de détail utile à une équipe statistique n’est pas toujours nécessaire à un prestataire. Regrouper les dates par semaine, élargir les zones géographiques ou publier des résultats agrégés peut réduire les rapprochements, à condition de vérifier que les autres variables ne recréent pas une signature unique.
La décision de la CJUE dans l’affaire CEPD c/ CRU, rendue le 4 septembre 2025, souligne aussi que les moyens d’identification peuvent différer selon les acteurs. Un destinataire dépourvu de clé et de moyens raisonnables de rapprochement peut se trouver dans une situation différente de celle du responsable qui conserve cette clé ; cela ne supprime pas les obligations de ce dernier.
Transformations à examiner selon la diffusion :
- Généraliser les dates, les lieux et les catégories trop détaillés
- Supprimer les clés techniques et contrôler les liens entre tables
- Limiter les données transmises au besoin réel du destinataire
- Tester les rapprochements avec des sources accessibles dans le contexte
Documenter l’anonymisation et sécuriser les données personnelles
Après les tests, la robustesse dépend également de la manière dont les fichiers circulent et de la capacité de l’organisation à justifier ses choix. Une transformation valable pour un usage interne peut devenir insuffisante après une transmission à un partenaire disposant d’autres informations.
Garder une trace des choix et des limites
La documentation devrait décrire les transformations réalisées, les attributs conservés et les scénarios de réidentification examinés. Elle précise également les destinataires, les modalités d’accès et les limites d’utilisation, afin que l’équipe puisse réévaluer la confidentialité si le contexte évolue.
Par exemple, une société qui partage des tendances d’usage avec un prestataire peut remplacer les dates quotidiennes par des périodes plus larges et regrouper les localisations. Elle doit aussi vérifier les exports précédents : plusieurs fichiers séparément peu révélateurs peuvent, une fois rapprochés, dévoiler des trajectoires individuelles.
Éléments utiles au dossier de décision :
- Finalité du partage et niveau de détail réellement nécessaire
- Transformations appliquées aux colonnes, clés et relations entre tables
- Scénarios de rapprochement et résultats des vérifications effectuées
- Conditions de diffusion, destinataires et usages interdits
Choisir la méthode selon le besoin opérationnel
Lorsque le suivi d’une même personne reste nécessaire, par exemple pour une étude longitudinale, la pseudonymisation peut réduire l’exposition tout en préservant ce lien. La clé doit alors être conservée séparément, avec des accès restreints et des mesures de sécurité adaptées.
Pour publier des statistiques ou réutiliser des données sans lien individuel, l’anonymisation peut être plus appropriée, au prix d’une perte de granularité. Avant de qualifier un jeu de données d’anonyme, il reste essentiel de vérifier les risques, de documenter les conclusions et de refaire l’analyse si les destinataires ou les sources disponibles changent.
| Besoin | Approche à considérer | Point de vigilance |
|---|---|---|
| Suivi longitudinal | Pseudonymisation | Protection renforcée de la clé |
| Rapport statistique partagé | Agrégation ou anonymisation | Risque de petits groupes distinctifs |
| Transmission à un prestataire | Minimisation et pseudonymisation | Destinataire et moyens de rapprochement |
| Publication de données ouvertes | Anonymisation vérifiée | Recoupement avec des sources externes |
Sources : Règlement (UE) 2016/679, considérants 26 et article 4, paragraphe 5 ; CJUE, Breyer, C-582/14 ; CJUE, CEPD c/ CRU, C-413/23 P.
