Anonymisation RGPD : sortir du règlement, vraiment

Supprimer les noms d'un fichier client, hacher des adresses email, exporter des statistiques de campagne : beaucoup d'entreprises présentent ces opérations comme une anonymisation. Le plus souvent, elles n'ont fait que pseudonymiser, et les données restent soumises au règlement. Cet article explique ce que recouvre l'anonymisation RGPD, pourquoi la pseudonymisation ne produit pas le même effet, et comment repérer les erreurs de qualification courantes.

Qu'est-ce qu'une donnée anonymisée au sens du RGPD ?

Une donnée est anonymisée lorsqu'il est devenu impossible, en pratique et de façon irréversible, de retrouver la personne qu'elle concerne. Le RGPD ne s'applique alors plus à cette donnée. Cette sortie du champ d'application est la raison d'être de l'anonymisation RGPD, et ce qui la rend exigeante.

Le règlement ne définit pas l'anonymisation dans un article, mais son considérant 26 pose la règle : les principes de protection des données ne s'appliquent pas aux informations anonymes, ni aux données rendues anonymes de telle manière que la personne ne soit plus identifiable. Pour en juger, il faut tenir compte de l'ensemble des moyens raisonnablement susceptibles d'être utilisés, dont le coût, le temps nécessaire et les technologies disponibles (règlement (UE) 2016/679 sur EUR-Lex). La CNIL en tire la conséquence : une fois les données réellement anonymisées, elles peuvent être conservées au-delà de leur durée initiale (CNIL, l'anonymisation de données personnelles).

Pourquoi la pseudonymisation ne fait pas sortir du RGPD

La pseudonymisation remplace les éléments directement identifiants par un code ou un numéro, en conservant à part de quoi revenir à la personne. Les données restent des données personnelles et toutes les obligations du règlement continuent de s'appliquer.

L'article 4, point 5, du RGPD définit la pseudonymisation comme un traitement après lequel les données ne peuvent plus être attribuées à une personne précise sans informations supplémentaires, celles-ci étant conservées séparément et protégées (article 4 reproduit sur cnil.fr). Le règlement la cite comme mesure de sécurité aux articles 25, paragraphe 1, et 32, paragraphe 1, point a), aux côtés du chiffrement (chapitre IV sur cnil.fr). Le considérant 26 précise que les données pseudonymisées restent des informations concernant une personne identifiable, ce que le Comité européen de la protection des données a rappelé dans ses lignes directrices de janvier 2025 (communiqué du CEPD).

Les trois critères pour juger une anonymisation

Une anonymisation s'évalue sur trois critères définis par le groupe de travail « article 29 » dans son avis 05/2014 du 10 avril 2014, repris par la CNIL. Si les trois sont remplis, le jeu de données est anonyme. Sinon, le responsable doit démontrer que le risque de réidentification est négligeable.

• Individualisation : il ne doit pas être possible d'isoler les enregistrements qui correspondent à une seule personne.
• Corrélation : il ne doit pas être possible de relier deux enregistrements concernant la même personne, dans une même base ou entre deux bases.
• Inférence : il ne doit pas être possible de déduire, avec une forte probabilité, la valeur d'un attribut à partir des autres.

Le G29 souligne qu'aucune technique ne satisfait avec certitude aux trois critères (avis 05/2014 sur les techniques d'anonymisation). La CNIL décrit deux familles à combiner : la randomisation, qui rend les attributs moins précis, et la généralisation, qui élargit leur échelle, par exemple en ne gardant que l'année de naissance. Elle demande aussi une veille régulière, car une anonymisation RGPD jugée solide peut être fragilisée par de nouvelles données publiques ou de nouveaux outils.

Quatre situations où l'on croit anonymiser

Dans les PME, les erreurs de qualification se concentrent sur quelques opérations courantes. Chacune laisse subsister un moyen de retrouver la personne : parler d'anonymisation RGPD revient alors à abandonner des obligations qui courent toujours.

Que faire quand l'anonymisation n'est pas atteinte ?

Si le jeu de données ne passe pas les trois critères, il faut l'assumer comme pseudonymisé : le traitement reste au registre, la durée de conservation s'applique et les personnes conservent leurs droits. La pseudonymisation garde toute sa valeur comme mesure de sécurité.

L'article 5, paragraphe 1, point e), autorise une conservation plus longue à des fins statistiques, dans les conditions de l'article 89. L'article 11, paragraphe 1, dispense le responsable d'obtenir des informations supplémentaires dans le seul but d'identifier une personne lorsque les finalités ne l'exigent plus (chapitre II sur cnil.fr). Ni l'une ni l'autre de ces dispositions ne transforme des données pseudonymisées en données anonymes. À l'inverse, la CNIL indique qu'un jeu de données publié comme anonyme, mais qui contient encore des données personnelles, peut constituer une violation de données : il faut le retirer rapidement, informer la CNIL si le risque est réel et les personnes s'il est élevé. Documenter l'évaluation réalisée et la date de sa dernière revue reste la meilleure protection du responsable de traitement.

À retenir

• L'anonymisation RGPD fait sortir les données du champ du règlement, parce qu'elle rend l'identification impossible de façon irréversible (considérant 26).
• La pseudonymisation est une mesure de sécurité définie à l'article 4, point 5 : les données restent personnelles et toutes les obligations demeurent.
• Trois critères servent de test : individualisation, corrélation et inférence, définis par le G29 en 2014 et repris par la CNIL.
• Supprimer les noms, hacher des emails ou remplacer un nom par un numéro n'est pas une anonymisation tant qu'un moyen de retrouver la personne subsiste.