En bref
- Pseudonymisation : les données ne peuvent plus être attribuées à une personne sans information supplémentaire. Elles restent des données personnelles (considérant 26 du RGPD).
- Anonymisation : l'identification est impossible en pratique et de manière irréversible. Le RGPD ne s'applique pas aux informations anonymes.
- Trois questions suffisent à tester un résultat : peut-on isoler une personne, relier ses données à un autre ensemble, déduire une information sur elle ?
- Un PDF caviardé est le plus souvent pseudonymisé : il réduit fortement le risque, il ne vous dispense pas des obligations du RGPD.
Les définitions exactes
Les deux notions ne sont pas deux degrés d'une même opération. Le RGPD définit la pseudonymisation dans son article 4 ; il ne définit pas l'anonymisation, mais en fixe l'effet dans son considérant 26. La CNIL en donne une définition opérationnelle.
Pseudonymisation : « le traitement de données à caractère personnel de telle façon que celles-ci ne puissent plus être attribuées à une personne concernée précise sans avoir recours à des informations supplémentaires, pour autant que ces informations supplémentaires soient conservées séparément et soumises à des mesures techniques et organisationnelles afin de garantir que les données à caractère personnel ne sont pas attribuées à une personne physique identifiée ou identifiable »
« Les données à caractère personnel qui ont fait l'objet d'une pseudonymisation et qui pourraient être attribuées à une personne physique par le recours à des informations supplémentaires devraient être considérées comme des informations concernant une personne physique identifiable. […] Il n'y a dès lors pas lieu d'appliquer les principes relatifs à la protection des données aux informations anonymes »
« L'anonymisation est un traitement qui consiste à utiliser un ensemble de techniques de manière à rendre impossible, en pratique, toute identification de la personne par quelque moyen que ce soit et de manière irréversible. »
Le même considérant 26 donne l'échelle de mesure : pour savoir si une personne est identifiable, il faut prendre en considération l'ensemble des moyens raisonnablement susceptibles d'être utilisés par le responsable du traitement ou par toute autre personne, en tenant compte du coût, du temps nécessaire et des technologies disponibles. Ce n'est donc pas une question de bonne foi du destinataire, mais de moyens.
Ce qui les distingue, point par point
| Critère | Pseudonymisation | Anonymisation |
|---|---|---|
| Identification | Possible avec une information supplémentaire : table de correspondance, contexte, données tierces | Impossible en pratique, par quelque moyen que ce soit |
| Réversibilité | Réversible, selon la CNIL | Irréversible |
| Statut au regard du RGPD | Données personnelles : le règlement s’applique | Informations anonymes : le règlement ne s’applique pas (considérant 26) |
| Obligations qui restent | Base légale, information des personnes, minimisation, sécurité, durée de conservation, contrat avec les sous-traitants | Aucune au titre du RGPD sur le résultat, à condition que l’anonymat tienne dans la durée |
| Exemple | Des conclusions où les noms deviennent [NOM_1] et [NOM_2], mais qui citent le poste, la ville et les dates | Des statistiques agrégées sur un effectif suffisant, sans détail individuel |
La CNIL le résume ainsi : « L'opération de pseudonymisation est également réversible, contrairement à l'anonymisation. » Elle précise aussi qu'avec la pseudonymisation, « il est toutefois bien souvent possible de retrouver l'identité » des personnes grâce à des données tierces.
La pseudonymisation n'est pas pour autant une demi-mesure. Selon la CNIL, elle « constitue une des mesures recommandées par le RGPD pour limiter les risques liés au traitement de données personnelles ». Elle réduit l'exposition en cas de fuite, sert la minimisation, et protège les personnes vis-à-vis des destinataires qui n'ont pas les moyens de les retrouver.
Trois critères pour parler d’anonymisation
Les autorités européennes de protection des données ont fixé trois risques qu’une anonymisation doit écarter. La CNIL les reprend dans sa page de référence :
- L'individualisation : il ne doit pas être possible d'isoler un individu dans le jeu de données.
- La corrélation : il ne doit pas être possible de relier entre eux des ensembles de données distincts concernant un même individu.
- L'inférence : il ne doit pas être possible de déduire, de façon quasi certaine, de nouvelles informations sur un individu.
Ces critères viennent de l'avis 05/2014 du groupe de travail « article 29 » du 10 avril 2014 sur les techniques d'anonymisation, prédécesseur du Comité européen de la protection des données (CEPD). Ils ont été pensés pour des jeux de données, mais ils s'appliquent sans difficulté à un document isolé. Or un document décrit souvent une seule personne : dès que son contexte est précis, l'individualisation est presque acquise.
La CNIL donne un exemple qui vaut pour tous les documents : une base de CV où seuls les nom et prénoms ont été remplacés par un numéro qui ne correspond qu'à une personne « permet d'individualiser cette personne. Dans ce cas, cette base de données est considérée comme pseudonymisée et non comme anonymisée ».
Travaux européens en cours
Le CEPD a adopté le 16 janvier 2025 des lignes directrices 01/2025 sur la pseudonymisation, dans une version soumise à consultation publique. À la date de ce guide, nous n'avons pas trouvé de version finale publiée : vérifiez l'état du texte avant de vous y référer.
Pourquoi un PDF caviardé reste souvent pseudonymisé
Remplacer « Sophie Martin » par [NOM_1] retire un identifiant direct. Mais un document ne se résume jamais à ses noms. Des conclusions qui évoquent « la responsable comptable de l'agence de Quimper, licenciée le 3 mars » désignent une personne aussi sûrement que son nom, pour quiconque connaît l'entreprise ou peut la trouver en quelques recherches.
Le repère lui-même joue le rôle du numéro de l'exemple de la CNIL : [NOM_1] désigne toujours la même personne d'un bout à l'autre du document. C'est ce qui garde le texte lisible, et c'est aussi ce qui permet d'isoler cette personne. Les éléments qui trahissent le plus souvent quelqu'un dans un document sont les suivants :
- Poste, fonction ou grade, surtout s’ils sont uniques dans l’organisation
- Nom de l’employeur, de l’établissement, du service ou de l’agence
- Commune, quartier ou adresse partielle
- Dates précises : naissance, embauche, licenciement, hospitalisation, audience
- Montants rares : salaire, indemnité, prix de vente, préjudice
- Faits singuliers : accident, sinistre, litige relayé par la presse
- Numéros de dossier, de contrat, de sinistre ou de matricule
- Signatures, tampons, en-têtes et logos, en particulier sur un scan
Aucun outil ne peut décider seul si ces éléments rendent la personne identifiable : cela dépend du destinataire, de ce qu'il sait déjà et des moyens dont il dispose. C'est une appréciation, et elle revient au responsable du traitement.
Une méthode en cinq étapes pour juger un document
- 1. Nommez le destinataire et la finalité. Un confrère adverse, une IA générative, un expert ou le public n’ont ni les mêmes connaissances, ni les mêmes moyens de recoupement.
- 2. Retirez les identifiants directs. Noms, adresses, e-mails, téléphones, numéros de sécurité sociale, IBAN, SIRET, dates de naissance.
- 3. Relisez avec les yeux du destinataire. Pour chaque passage, demandez-vous s’il permet d’isoler une personne, de la relier à une autre source ou d’apprendre quelque chose sur elle.
- 4. Généralisez ou retirez les quasi-identifiants gênants. « Une agence en Bretagne » plutôt que « l’agence de Quimper », « en 2025 » plutôt qu’une date au jour près, lorsque la finalité le permet.
- 5. Qualifiez honnêtement le résultat. Si une identification reste raisonnablement possible, traitez le document comme pseudonymisé : les règles du RGPD continuent de s’appliquer à sa transmission.
Minimiser, même sans anonymiser
Le RGPD n'exige pas d'anonymiser tout ce que vous transmettez. Il exige que les données soient « adéquates, pertinentes et limitées à ce qui est nécessaire au regard des finalités pour lesquelles elles sont traitées » (article 5.1.c). Un document pseudonymisé et réduit à ce que le destinataire doit savoir répond déjà à cette exigence.
Pour les pièces produites en justice, la jurisprudence va dans le même sens : la Cour de cassation impose au juge d'ordonner, au besoin d'office, l'occultation des données personnelles non indispensables sur les documents communiqués. La page anonymiser des pièces de procédure détaille ce cas.
Où se situe BlinDoc, honnêtement
BlinDoc fait du caviardage : il repère les identifiants directs, vous faites valider chaque détection, puis il livre un PDF reconstruit à partir du texte où chaque valeur retirée est remplacée par un repère. Il ne garantit pas qu'un document est anonyme au sens du RGPD, et nous ne le présentons pas ainsi.
| Ce que BlinDoc fait | Ce qu’il ne fait pas |
|---|---|
| Repère noms, adresses, e-mails, téléphones, dates de naissance, IBAN, SIRET, SIREN, numéros de sécurité sociale et raisons sociales | Juger si le contexte restant permet d’identifier la personne |
| Valide IBAN, SIRET, SIREN et numéro de sécurité sociale par leur clé de contrôle | Généraliser un poste, une date ou un lieu à votre place |
| Vous laisse sélectionner à la main un matricule, un poste ou une date à retirer | Qualifier juridiquement le document livré |
| Joint un rapport de caviardage limité aux types et aux volumes retirés, sans les valeurs | Conserver une table de correspondance que vous pourriez récupérer plus tard |
Sur la correspondance entre repères et valeurs d'origine : elle n'existe que dans la mémoire vive du serveur, le temps de votre travail, et disparaît au plus tard une heure après le dépôt du document. Elle ne figure ni dans le PDF livré, ni dans le rapport. En revanche, vous conservez le document d'origine : de votre côté, la réidentification reste possible, ce qui est une raison de plus de qualifier le livrable de pseudonymisé.
Nos mesures de détection et leurs limites sont publiées sur la page méthode et mesures ; le traitement des données est décrit sur la page sécurité.
Sources
- Règlement (UE) 2016/679 (RGPD), articles 4 et 5, considérant 26 · EUR-Lex
- CNIL, « L’anonymisation de données personnelles », 19 mai 2020
- Groupe de travail « article 29 », avis 05/2014 sur les techniques d’anonymisation (WP216), 10 avril 2014
- CEPD, lignes directrices 01/2025 sur la pseudonymisation, version soumise à consultation publique