Anonymisation : définition
Rédigé et vérifié par Sonia Di Pasqua, DPO sénior
Mis à jour le
En bref
L'anonymisation est un traitement qui rend impossible, de façon irréversible, l'identification d'une personne à partir des données. Des données réellement anonymes ne sont plus des données personnelles et sortent du champ du RGPD.
Ce qu'il faut comprendre
Pour être anonymes, les données ne doivent plus permettre d'isoler une personne, de relier entre eux plusieurs enregistrements la concernant, ni de déduire des informations sur elle. L'appréciation tient compte de tous les moyens raisonnablement susceptibles d'être utilisés, y compris le croisement avec d'autres sources. Les techniques courantes sont l'agrégation, la généralisation ou l'ajout de bruit statistique.
L'anonymisation est elle-même un traitement de données personnelles : elle doit reposer sur une base légale et être réalisée avant l'exploitation. Une fois atteinte, elle permet de conserver des statistiques au-delà de la durée de conservation des données d'origine, ce qui est l'un de ses usages les plus utiles. Elle doit être réévaluée dans le temps, car de nouvelles données publiques ou de nouveaux outils peuvent rendre possible une réidentification autrefois impossible.
L'erreur fréquente est d'appeler « anonymes » des données simplement pseudonymisées ou dont on a retiré le nom. Une date de naissance, un code postal et un sexe suffisent souvent à retrouver quelqu'un. Si la réidentification reste possible, les données restent personnelles et le RGPD s'applique pleinement. Dans une petite commune ou un petit établissement, le risque est plus grand encore, car chacun connaît ses voisins.
Exemple concret
Une communauté de communes publie un bilan de fréquentation de ses médiathèques. Elle ne diffuse que des totaux par tranche d'âge et par commune, et regroupe les petites communes pour qu'aucune case ne compte moins de quelques usagers. Aucun lecteur ne peut être retrouvé : les données publiées sont anonymes, contrairement au fichier des abonnés dont elles sont issues.
Textes de référence
- RGPD, considérant 26
- RGPD, art. 4, 1)
Le texte intégral du règlement : où lire le RGPD et comment s'y repérer.
