Pseudonymisation ou anonymisation : deux régimes, deux usages

La pseudonymisation, anonymisation réversible dans le langage courant, remplace le nom d'une personne par un code ; l'anonymisation vraie coupe tout lien avec elle. Le verdict est net : une donnée pseudonymisée reste une donnée personnelle soumise au RGPD, une donnée anonyme en sort, par exemple pour publier un jeu ouvert.

Quelle est la différence entre anonymisation et pseudonymisation ?

La différence entre l'anonymisation et la pseudonymisation tient à la réversibilité. L'article 4, point 5, du règlement général sur la protection des données définit la pseudonymisation comme un traitement de données personnelles réalisé de façon qu'elles ne puissent plus être attribuées à une personne précise sans recourir à des informations supplémentaires, conservées séparément et protégées par des mesures techniques et organisationnelles. La donnée pseudonymisée reste donc une donnée personnelle : la clé existe, quelque part, et permet de revenir au nom. Le prénom ou l'adresse mail ne sont plus visibles, mais la personne reste identifiée pour qui détient cette clé.

L'anonymisation consiste au contraire à rendre impossible, de manière irréversible, l'identification d'une personne par tout moyen raisonnablement utilisable. Le considérant 26 du RGPD en tire la conséquence juridique : les informations anonymes ne relèvent plus du règlement. Un fichier véritablement anonymisé se conserve sans limite de durée, se partage ou se publie sans base légale, sans information des personnes concernées et sans inscription au registre des traitements.

Le statut juridique des deux procédés n'a donc rien de commun. La pseudonymisation est une mesure de sécurité, citée par l'article 25 (protection des données dès la conception) et l'article 32 (sécurité du traitement) : elle réduit le risque sans changer le régime applicable. L'anonymisation est une sortie du champ du texte, qui ne vaut que si elle résiste aux tentatives de réidentification. Les conseils pratiques pour protéger les données d'une organisation partent de cette distinction, car elle décide de toutes les obligations qui suivent.

Le tableau compare les deux procédés sur les critères qui décident du choix.

Comment fonctionne la pseudonymisation des données ?

La pseudonymisation des données consiste à isoler les données directement identifiantes (nom, prénom, numéro de sécurité sociale, adresse électronique) du reste du jeu de données, puis à les remplacer par un pseudonyme. La table de correspondance qui relie chaque pseudonyme à une identité est stockée à part, sous la responsabilité du responsable de traitement, avec des droits d'accès restreints à quelques personnes nommément désignées. La technique remplace les identifiants en conservant les variables utiles à l'analyse, ce qui garde au fichier son fonctionnement d'origine pour les statisticiens.

Les techniques de pseudonymisation courantes

Table de correspondance (tokenisation)

Un numéro aléatoire remplace le nom ; la table permet le retour à l'identité, pour corriger une erreur ou recontacter un patient.

Fonction de hachage avec clé secrète

Un algorithme de type HMAC transforme toujours le nom en un code identique, ce qui permet de relier deux fichiers. Sans clé, un simple hachage d'un numéro de téléphone se casse en calculant toutes les valeurs possibles.

Chiffrement

La donnée chiffrée redevient lisible avec la clé de déchiffrement : c'est une technique de pseudonymisation, jamais une anonymisation.

Tiers de confiance

Un organisme extérieur détient seul la clé, et les équipes qui exploitent le fichier ne voient que des codes.

Prenons un exemple : dans un fichier de patients, « Martine Durand, née le 3 avril 1961 » devient « P-48213, 1961 ». La date de naissance réduite à l'année abaisse le risque d'identification, mais le code permet encore de suivre la patiente d'une consultation à l'autre. Les données restent personnelles, et le RGPD s'applique en entier : information, droits, sécurité, durée de conservation.

Pourquoi utiliser la pseudonymisation plutôt qu'anonymiser ?

La pseudonymisation sert les projets qui ont besoin de relier une information à un individu sans exposer son identité à tous les intervenants. L'article 89 du RGPD la cite parmi les garanties attendues pour la recherche scientifique, historique ou statistique, et l'article 6, paragraphe 4, la mentionne avec le chiffrement parmi les garanties qui rendent un traitement ultérieur compatible avec la finalité initiale. Une étude de cohorte qui suit des milliers de participants pendant dix ans ne peut pas travailler sur des données anonymes : elle doit rattacher chaque nouvelle mesure au bon dossier. La mise en œuvre d'un tel projet répond aussi à un objectif éthique : un chercheur en science des données qui n'a accès qu'à des codes ne voit jamais l'identité des participants, ce qui renforce le respect de la protection de la vie privée.

Côté sécurité juridique, la pseudonymisation limite aussi les conséquences d'une violation de données. Un fichier volé qui ne contient que des codes, sans la table, expose beaucoup moins les personnes qu'un fichier nominatif ; l'évaluation du risque, qui conditionne la notification à la CNIL et aux personnes, en tient compte. Elle ne dispense pour autant d'aucune obligation : le traitement garde sa base légale, son registre et, si besoin, son analyse d'impact.

Quelles données peuvent être pseudonymisées ?

Toute donnée à caractère personnel peut être pseudonymisée, c'est-à-dire toute information susceptible de se rattacher à un individu identifiable, y compris les données sensibles comme les données de santé. Les identifiants indirects méritent autant d'attention que le nom : code postal, date de naissance, profession, sexe. En 2000, la chercheuse Latanya Sweeney a montré que la combinaison du code postal, du sexe et de la date de naissance suffisait à identifier de manière unique environ 87 % de la population des États-Unis. Les informations indirectement identifiantes se généralisent donc (année au lieu de la date complète, département au lieu de la commune) pendant que les identifiants directs sont remplacés.

Les techniques d'anonymisation et leurs limites

Les techniques d'anonymisation se rangent en deux familles, décrites par le groupe des autorités européennes (G29) dans son avis 05/2014 du 10 avril 2014. La randomisation modifie les valeurs pour casser le lien avec l'individu : ajout de bruit, permutation, confidentialité différentielle. La généralisation dilue chaque personne dans un groupe : agrégation, k-anonymat, l-diversité. Aucune technique ne suffit seule, et le choix dépend de l'usage prévu des données.

Cet avis pose trois critères, que la CNIL reprend dans ses ressources sur l'anonymisation : impossible d'individualiser une personne, impossible de relier deux ensembles de données qui la concernent, impossible d'en déduire une information nouvelle sur elle. Quand un jeu de données ne remplit pas les trois, la CNIL attend une évaluation du risque de réidentification, documentée et revue dans le temps, qui fonde la qualification juridique du fichier.

L'affaire du concours Netflix Prize illustre le danger. En 2006, Netflix publie les notes de films de 480 000 abonnés, noms retirés ; deux chercheurs de l'université du Texas, Arvind Narayanan et Vitaly Shmatikov, réidentifient une partie des abonnés en croisant ces notes avec des critiques publiques signées sur le site IMDb. Retirer les noms n'est pas anonymiser. Autre exemple, en 2014, la ville de New York diffuse les données de 173 millions de courses de taxi avec des numéros de licence hachés en MD5 : un développeur retrouve les numéros d'origine en quelques heures, faute de clé secrète.

Quels sont les outils d'anonymisation ?

Plusieurs outils d'anonymisation libres servent aux statisticiens et aux équipes data. ARX, développé à l'Université technique de Munich, applique k-anonymat et confidentialité différentielle et mesure le risque résiduel. Amnesia, issu du projet européen OpenAIRE, traite des fichiers tabulaires. Le paquet sdcMicro, pour le langage R, sert aux instituts statistiques pour les microdonnées. Les données synthétiques, générées pour reproduire les propriétés statistiques d'un fichier réel, offrent une autre voie, à condition de vérifier qu'elles ne recopient pas des enregistrements réels. La CNIL publie aussi un guide de la sécurité des données personnelles, disponible et accessible gratuitement, qui aide à choisir les mesures adaptées à chaque traitement.

Ce que change l'arrêt SRB de la Cour de justice

La Cour de justice de l'Union européenne a jugé, le 4 septembre 2025 (affaire C-413/23 P, CEPD contre CRU), que des données pseudonymisées ne sont pas des données personnelles pour tout le monde. Pour le destinataire qui ne détient pas la clé et n'a aucun moyen raisonnable d'identifier les personnes, elles peuvent ne pas l'être. Pour le responsable de traitement qui garde la table de correspondance, elles le restent, et son obligation d'information s'apprécie de son point de vue, au moment de la collecte. Ce changement de point de vue répond à une question ancienne : une même donnée change-t-elle de nature selon celui qui la détient ? La réponse de la Cour est oui, et elle ouvre de nouveaux scénarios de partage avec de nouveaux destinataires.

La portée juridique de cette approche relative reste encadrée : l'appréciation se fait au cas par cas, selon les moyens dont dispose réellement le destinataire, ses éventuels accès à d'autres sources et les garanties contractuelles. Le Comité européen de la protection des données avait adopté, le 16 janvier 2025, des lignes directrices 01/2025 sur la pseudonymisation, soumises à consultation publique, qui insistaient sur le « domaine de pseudonymisation », c'est-à-dire le cercle des acteurs qui ne doivent pas pouvoir lever le pseudonyme. La Cour a déjà tranché dans d'autres affaires la mise en balance des droits des personnes, comme pour le droit à l'oubli opposé à Google en 2019 ; ici, elle déplace la frontière de la notion de donnée personnelle. Une proposition de la Commission européenne de novembre 2025, dite omnibus numérique, vise à inscrire cette lecture dans le texte : le contenu final dépend du Parlement et du Conseil, à vérifier avant de s'en prévaloir.

Comment garantir la sécurité des données pseudonymisées ?

La sécurité des données pseudonymisées repose d'abord sur l'isolement de la clé. Les mesures qui reviennent dans les recommandations de la CNIL et des lignes directrices européennes :

• stocker la table de correspondance ou la clé secrète sur un système distinct, avec des droits d'accès nominatifs et journalisés ;
• ne transmettre aux équipes et aux sous-traitants que les colonnes utiles à leur mission ;
• renouveler les clés, avec une mise à jour des droits qui retire les accès des personnes quittant le projet ;
• tester la résistance du fichier à un recoupement avec des sources publiques avant tout partage ;
• conduire une analyse d'impact quand le traitement porte sur des données sensibles ou à grande échelle.

Le contrat avec un prestataire, sous-traitant au sens de l'article 28, interdit expressément toute tentative de réidentification : c'est la garantie juridique qui complète la garantie technique. Le délégué à la protection des données vérifie ce cadre, qu'il s'agisse d'un DPO externe ou interne ; pour un projet de recherche ou un partage de données de santé, l'avis d'un avocat spécialisé en droit des données personnelles reste utile avant la signature, car la qualification change le régime de toute la chaîne.

Quel procédé choisir selon le projet ?

• Recherche médicale et suivi de cohorte : pseudonymisation, avec un tiers de confiance pour la clé ; l'anonymisation empêcherait de rattacher les nouvelles mesures.
• Publication en open data : anonymisation par agrégation ou généralisation, puis test de réidentification avant la mise à disposition du public.
• Environnement de test et de recette : données synthétiques ou pseudonymisées, aucun développeur n'ayant besoin de reconnaître un individu ; une copie brute de la production sur un serveur de test reste la fuite la plus banale.
• Tableaux de bord et statistiques internes : agrégats à partir d'un seuil de personnes par case, ce qui revient à anonymiser le résultat.
• Entraînement d'un modèle d'intelligence artificielle : pseudonymisation par défaut, car un modèle peut mémoriser et restituer des données d'entraînement ; la CNIL a publié des recommandations sur le développement des systèmes d'IA qui traitent ce point.

Quand la qualification juridique d'un fichier reste incertaine, le traiter comme pseudonymisé protège mieux : les obligations du RGPD continuent de s'appliquer, et une erreur de qualification ne laisse pas des personnes identifiables hors de tout cadre. L'application du règlement reste alors certaine, y compris face à l'action d'une personne qui saisit la CNIL ; la question se pose surtout pour chaque individu d'un fichier partagé avec un partenaire.

Hachage, chiffrement et jeux de test face au RGPD

Une donnée hachée est-elle anonyme ?

Une donnée hachée n'est pas anonyme : le même nom produit toujours le même condensat, et un attaquant qui teste toutes les valeurs possibles d'une adresse électronique ou d'un numéro retrouve l'original. Le hachage relève de la pseudonymisation, plus robuste avec une clé secrète.

Des données chiffrées restent-elles personnelles ?

Des données chiffrées restent personnelles pour celui qui détient la clé, puisque le déchiffrement redonne l'identité. Le chiffrement est une mesure de sécurité au sens de l'article 32, qui réduit le risque en cas de vol.

Faut-il une base légale pour anonymiser des données ?

L'opération d'anonymisation porte sur des données encore personnelles : c'est un traitement, qui doit être compatible avec la finalité de la collecte. Le cadre juridique ne s'efface qu'une fois le résultat réellement anonyme.

La réutilisation de données collectées pour une autre finalité reste une exception encadrée par l'article 6, paragraphe 4 : l'anonymisation en vue de statistiques passe le plus souvent ce test, la vente d'un fichier « anonymisé » à un tiers beaucoup plus rarement.