Anonymisation des données et pseudonymisation : faire la différence

Le RGPD définit la pseudonymisation à son article 4, point 5 : un traitement qui empêche d'attribuer les données à une personne précise sans recourir à des informations supplémentaires, à condition que ces informations soient conservées séparément et protégées par des mesures techniques et organisationnelles. Remplacer le nom d'un patient par un numéro, et garder la table de correspondance dans un coffre, c'est pseudonymiser.

L'anonymisation n'est pas définie dans les articles, mais le considérant 26 précise que le règlement ne s'applique pas aux informations anonymes, c'est-à-dire qui ne concernent pas une personne identifiée ou identifiable, compte tenu de l'ensemble des moyens raisonnablement susceptibles d'être utilisés pour l'identifier. La Commission nationale de l'informatique et des libertés (CNIL) la décrit comme un traitement qui rend impossible, en pratique, toute identification de la personne, de manière irréversible.

La pseudonymisation est avant tout une mesure de sécurité et de minimisation : elle réduit les conséquences d'une fuite et limite ce que voient les personnes qui n'ont pas besoin de l'identité. L'avis 05/2014 du groupe de travail « Article 29 » (G29), qui réunissait les autorités européennes avant le CEPD, en décrit les principales techniques :

Le Comité européen de la protection des données (CEPD) a adopté en janvier 2025 des lignes directrices 01/2025 sur la pseudonymisation, soumises à consultation publique. Il y insiste sur la notion de domaine de pseudonymisation : l'ensemble des personnes et des organisations pour lesquelles les données ne doivent pas être rattachables à une personne. Plus ce domaine est bien défini et cloisonné, plus la pseudonymisation est efficace.

L'arrêt CEPD contre CRU (septembre 2025)

Dans un arrêt du 4 septembre 2025 (affaire C-413/23 P), la Cour de justice de l'Union européenne a jugé que des données pseudonymisées restent des données personnelles pour le responsable qui détient la clé, mais peuvent ne pas l'être pour un destinataire qui ne dispose d'aucun moyen raisonnable de réidentifier les personnes. L'affaire concernait le Conseil de résolution unique, qui avait transmis à un cabinet d'audit des commentaires d'actionnaires pseudonymisés, et portait sur le règlement applicable aux institutions européennes, rédigé dans les mêmes termes que le RGPD. La Cour a aussi précisé que l'obligation d'informer les personnes pèse sur le responsable initial, au moment de la collecte.

Cette approche « relative » ne change rien pour celui qui pseudonymise : ses données restent soumises au RGPD. Elle invite en revanche à documenter, pour chaque destinataire, les moyens dont il dispose réellement pour réidentifier. Le contrat avec le sous-traitant et les engagements de ne pas réidentifier en font partie.

Le G29 range les techniques d'anonymisation en deux familles, que la CNIL reprend :

• la randomisation, qui modifie les valeurs pour couper le lien entre les données et la personne tout en préservant la répartition d'ensemble : ajout de bruit, permutation des valeurs entre individus, confidentialité différentielle ;
• la généralisation, qui réduit la précision des valeurs pour qu'une personne se fonde dans un groupe : agrégation, k-anonymat (chaque combinaison de caractéristiques est partagée par au moins k personnes), l-diversité et t-proximité (qui évitent qu'un groupe ait une valeur sensible trop homogène).

L'avis compare ces techniques au regard des trois risques. Sa conclusion est nette : aucune technique ne règle seule les trois, et la pseudonymisation n'en règle aucun. Il faut donc combiner les techniques et choisir au cas par cas, selon l'usage prévu des données.

Pour savoir si un jeu de données est vraiment anonyme, les autorités européennes appliquent trois critères. La CNIL les illustre ainsi :

Si les trois critères sont satisfaits, les données peuvent être considérées comme anonymes. Sinon, il faut une analyse approfondie du risque de réidentification, en tenant compte des données disponibles par ailleurs, des moyens d'un attaquant raisonnable et de l'évolution des techniques. Une anonymisation se réexamine dans le temps : de nouvelles données publiées ailleurs peuvent rendre réidentifiable un jeu qui ne l'était pas.

Ce qui évolue en 2026

Le CEPD a adopté le 7 juillet 2026 un projet de lignes directrices sur l'anonymisation, ouvert à consultation publique jusqu'au 30 octobre 2026. D'après la présentation qu'en fait la CNIL, il tient compte de l'arrêt CEPD contre CRU, conserve les trois critères comme test de référence et propose deux façons d'évaluer le résultat : une approche contextuelle, qui tient compte des capacités réelles de chaque entité susceptible de réidentifier, et une approche simplifiée, plus prudente, qui ignore ces différences. Tant que la version définitive n'est pas adoptée, l'avis 05/2014 reste la référence la plus citée.

1. Analyse détaillée par un cabinet de conseil. Le cabinet doit étudier les parcours de prise de rendez-vous. L'hôpital lui transmet une extraction pseudonymisée : identifiants remplacés par un hachage avec clé secrète conservée par la direction des systèmes d'information, dates de naissance réduites à l'année. Pour l'hôpital, ce sont toujours des données personnelles : le cabinet est sous-traitant, avec un contrat article 28 qui lui interdit toute tentative de réidentification et impose la suppression en fin de mission.
2. Tableau de bord publié dans le rapport annuel. Les chiffres sont anonymisés : nombre de rendez-vous pris en ligne par service et par trimestre, tranches d'âge de dix ans, aucun effectif inférieur à un seuil fixé par l'établissement. Le DPO vérifie les trois critères : aucune personne isolable, aucune donnée individuelle à relier, aucune déduction possible sur un patient. Le tableau peut être publié.