L’anonymisation des données personnelles vise à empêcher leur rattachement à une personne identifiable. Supprimer les noms ne suffit pas : les lieux, dates, valeurs rares et croisements possibles doivent être examinés. La décision dépend des moyens raisonnablement susceptibles d’être utilisés pour réidentifier, notamment du coût, du temps et des technologies disponibles. Considérant 26 du RGPD.
Anonymisation ou pseudonymisation : quelle différence ?
La pseudonymisation empêche l’attribution directe sans information supplémentaire, qui doit être protégée séparément. Elle réduit certains risques mais ne permet pas au responsable qui détient les informations de correspondance de considérer son fichier comme anonyme. Un code client stable ou le hachage d’une adresse ne démontre pas, à lui seul, une anonymisation.
Des informations véritablement anonymes sortent du champ des données personnelles. L’opération réalisée sur le fichier source reste toutefois un traitement à analyser : base juridique, finalité, sécurité et droits des personnes. Les autres obligations, contrats et secrets protégés peuvent également limiter la réutilisation d’un résultat anonyme.
Les trois critères à examiner
L’avis 05/2014 du groupe Article 29 examine l’individualisation, la corrélation et l’inférence. Ils permettent de construire une analyse concrète des attaques possibles, au-delà de la suppression des identifiants directs.
| Risque | Question opérationnelle |
|---|---|
| Individualisation | Peut-on isoler une personne ou une trajectoire unique dans le résultat ? |
| Corrélation | Peut-on relier des enregistrements à l’aide d’autres données accessibles ? |
| Inférence | Peut-on déduire une information sur une personne avec une forte certitude ? |
La CNIL précise que, si ces critères ne sont pas parfaitement remplis, une évaluation approfondie doit démontrer un risque d’identification négligeable au regard des moyens raisonnablement susceptibles d’être utilisés. Le nom d’une technique ou un seuil numérique isolé ne constitue donc pas une validation générale.
Techniques d’anonymisation
Quelles sont les principales méthodes ?
L’avis 05/2014 du groupe Article 29 identifie deux familles de techniques : la randomisation et la généralisation.
La randomisation modifie les valeurs des données pour réduire leur lien avec la personne. Cela inclut l’ajout de bruit (ajouter des variations aléatoires aux valeurs numériques), la permutation (intervertir les valeurs d’un attribut entre les enregistrements) et la confidentialité différentielle (injecter un bruit calibré mathématiquement pour garantir que la présence ou l’absence d’un individu n’affecte pas significativement le résultat d’une requête).
La généralisation réduit la granularité des données. Elle comprend l’agrégation (remplacer des valeurs individuelles par des fourchettes : 35 ans devient « 30-39 ans »), le k-anonymat (s’assurer que chaque combinaison de quasi-identifiants apparaît dans au moins k enregistrements), la l-diversité (garantir que chaque groupe k-anonyme contient au moins l valeurs distinctes pour l’attribut sensible) et la t-proximité (s’assurer que la distribution de l’attribut sensible dans chaque groupe est proche de sa distribution globale).
La suppression, technique la plus radicale, consiste à retirer intégralement les attributs identifiants ou quasi-identifiants. Elle est simple à mettre en oeuvre mais réduit considérablement l’utilité analytique des données.
En pratique, les spécialistes recommandent de combiner plusieurs techniques. Le choix doit répondre aux risques du jeu de données, à son usage et aux limites propres à chaque méthode. Le modèle d’AIPD aide à documenter les risques pour les personnes lorsque le traitement nécessite cette analyse.
Comment vérifier qu’une anonymisation est irréversible ?
L’avis 05/2014 du groupe Article 29 propose trois critères de vérification, repris par la CNIL et le CEPD.
Le critère d’individualisation : il ne doit pas être possible d’isoler un individu dans le jeu de données. Si un enregistrement peut être distingué des autres par une combinaison unique d’attributs, ce risque doit être corrigé ou évalué de manière approfondie.
Le critère de corrélation : il ne doit pas être possible de relier deux enregistrements distincts (dans le même jeu de données ou entre jeux de données différents) à la même personne. Ce critère vise les attaques par croisement de bases.
Le risque d’inférence peut subsister dans un groupe pourtant non individualisable. Dans un exemple fictif, toutes les personnes d’une tranche d’âge au sein d’un groupe ont le même diagnostic. Une personne qui sait qu’un salarié appartient au groupe peut en déduire ce diagnostic, sans avoir besoin d’isoler sa ligne. Ajouter des lignes présentant toutes le même attribut ne corrige pas ce problème.
Exemple fictif : préparer des statistiques de fréquentation
Une association souhaite publier les caractéristiques des participants à ses ateliers. Son fichier source contient nom, âge exact, commune, atelier, date de présence et commentaires libres. Elle souhaite comparer les grandes catégories d’ateliers, sans suivre des personnes d’une publication à l’autre. L’équipe commence donc par définir les indicateurs réellement nécessaires et écarte les champs sans utilité pour ce résultat.
| Élément du fichier | Hypothèse de transformation | Vérification nécessaire |
|---|---|---|
| Nom et coordonnées | Retrait du résultat | Recherche d’identifiants restés dans les commentaires |
| Âge exact | Tranches plus larges | Groupes rares ou combinaison avec le lieu |
| Commune | Regroupement géographique | Possibilité de recoupement avec des publications locales |
| Date précise | Période plus large | Événement unique permettant un rapprochement |
| Commentaires libres | Exclusion du résultat public | Extraits ou anecdotes identifiants conservés ailleurs |
| Identifiant de participant | Absence dans la publication | Possibilité de relier plusieurs versions du tableau |
Cette table décrit des hypothèses de travail, pas une recette assurant l’anonymat. L’équipe simule ensuite le point de vue d’une personne connaissant un participant, celui d’un partenaire disposant d’une liste et celui d’un lecteur ayant accès aux anciens tableaux. Elle examine notamment les catégories peu nombreuses et les différences entre publications successives.
Supposons que la différence entre deux tableaux révèle l’arrivée d’une seule personne dans un atelier rare. La suppression du nom dans chaque version ne résout pas l’inférence créée par la comparaison. L’équipe peut revoir la fréquence de publication, regrouper des catégories ou renoncer à l’indicateur. Elle consigne la perte d’utilité et le risque restant au lieu de choisir automatiquement un seuil de cinq ou dix personnes.
Le dossier de validation à conserver
La fiche doit identifier le fichier source, le résultat examiné, la finalité de publication, les destinataires, les transformations et leurs paramètres. Conservez une description des données externes considérées, des scénarios d’attaque et des résultats, sans diffuser inutilement le fichier source. Le registre des traitements doit rester cohérent avec ce processus.
Attribuez chaque question à un responsable : le métier précise l’utilité, l’équipe technique décrit les transformations et la personne compétente évalue les risques de réidentification. Le DPO, lorsqu’il est désigné, apporte son conseil sur les obligations et la protection des personnes. Une conclusion non résolue doit rester visible ; elle ne devient pas favorable parce que le tableau doit être publié le lendemain.
Prévoyez également le sort des sources et des copies intermédiaires. Conserver le fichier initial dans un répertoire ouvert peut exposer les personnes même si le tableau final est suffisamment protégé. Reliez ces choix à la durée de conservation et aux habilitations réellement appliquées.
Maintenir l’évaluation dans le temps
Les nouvelles bases accessibles et les progrès techniques peuvent modifier le risque. Organisez une veille, un responsable et des événements de réexamen : nouvelle publication, modification de granularité, ajout de destinataires ou découverte d’un rapprochement possible. La CNIL demande une vigilance régulière ; sa fiche ne fixe pas une règle universelle de réévaluation tous les deux ou trois ans.
Si une faiblesse apparaît après diffusion, limitez l’accès lorsque cela est possible, conservez les éléments nécessaires à l’analyse et examinez la situation comme un éventuel incident impliquant des données personnelles. Utilisez le registre des violations pour documenter les faits, le risque et les décisions de notification selon les conditions applicables. Un retrait du fichier ne garantit pas que toutes les copies externes disparaissent.
FAQ
Quelle est la différence entre anonymisation et pseudonymisation sous le RGPD ?
L’anonymisation supprime irréversiblement tous les identifiants permettant de rattacher des données à une personne. La pseudonymisation remplace les identifiants par des codes réversibles. Les données anonymisées échappent au RGPD ; les données pseudonymisées restent des données personnelles.
Une donnée anonymisée peut-elle redevenir personnelle ?
Si la réidentification est possible — même théoriquement pour quelqu’un disposant de moyens raisonnables — la donnée n’est pas véritablement anonyme et reste dans le champ du RGPD. La CNIL et le G29 (WP216) ont publié des critères pour évaluer le risque de réidentification.
Quelles techniques d’anonymisation sont acceptées par les autorités de protection des données ?
La k-anonymité, la l-diversité, la généralisation, la suppression, et le bruit différentiel sont des techniques reconnues. Aucune n’est parfaite — l’évaluation se fait au cas par cas selon le contexte et les données disponibles à l’extérieur pour une réidentification potentielle.
Peut-on anonymiser des données pour éviter les obligations de durée de conservation ?
Des résultats réellement anonymes ne relèvent plus des durées du RGPD. Cela ne permet pas de conserver indéfiniment les sources personnelles ni d’ignorer une obligation applicable au document initial. Décidez séparément du résultat, des sources et des preuves, en tenant compte des autres règles ou engagements pertinents.
Décider avant de diffuser
Validez un résultat déterminé pour un usage et un contexte déterminés. Documentez les attaques examinées, les limites et les conditions de réexamen. Une anonymisation utile doit préserver les informations nécessaires à l’analyse sans laisser une combinaison permettant de retrouver les personnes ; si cette démonstration manque, poursuivez la protection du fichier comme donnée personnelle.
Dernière vérification des sources : 8 septembre 2026.