Anonymisation des données personnelles selon le RGPD : exigences, techniques et exemples

Qu’est-ce que l’anonymisation RGPD ?

L’anonymisation RGPD consiste à transformer des données personnelles de sorte que les personnes ne soient plus identifiables, en tenant compte des moyens raisonnablement susceptibles d’être utilisés pour les identifier. Le considérant 26 distingue ce résultat de la simple dissimulation d’identifiants évidents. Une information véritablement anonyme échappe au RGPD ; remplacer seulement les noms ne suffit pas à démontrer que ce seuil est atteint. [1]

L’anonymisation décrit un résultat, pas une fonctionnalité logicielle particulière. Pour une équipe qui prépare des documents à destination d’un autre public, la tâche consiste à préserver l’information utile tout en évaluant si les détails restants désignent encore une personne.

Cette distinction compte au quotidien. Un prestataire de paiement peut avoir besoin d’un numéro de compte pour résoudre une transaction. Une collègue préparant un guide de dépannage général n’en a probablement pas besoin. Le même document source peut nécessiter un traitement différent selon ces deux finalités.

Ce que le RGPD exige avant de partager ou de réutiliser des données

L’article 5, paragraphe 1, point c), pose le principe de minimisation des données : les données personnelles doivent être limitées à ce qu’exige la finalité du traitement. L’article 25 relie ce principe à la façon dont les systèmes et les processus sont conçus. L’anonymisation peut soutenir ces objectifs, mais le RGPD n’exige pas que chaque organisation anonymise chaque enregistrement. [1][2][3]

Dans un processus documentaire, commencez par nommer la finalité et le destinataire. Écrire « préparer un exemple de dépannage produit pour le support d’un prestataire » est plus utile qu’écrire « utiliser ces données en interne ». Cela permet à la personne qui relit de décider si le nom d’un client, un horodatage précis ou une référence de transaction contribue à la tâche.

L’acte d’anonymiser des données personnelles constitue lui-même un traitement, de sorte que les obligations s’appliquent tant que vous manipulez l’information d’origine. Vous avez toujours besoin d’une base légale appropriée et de garanties adaptées. Un résultat anonyme ne rend pas rétroactivement licite une collecte qui ne l’était pas. [1]

Traitez séparément la source et la copie destinée au partage. Caviarder un extrait ne retire pas les identifiants du ticket d’origine, des pièces jointes ou des exports antérieurs. Vos dispositifs de conservation et d’accès doivent aussi couvrir ces enregistrements. [2]

Anonymisation, pseudonymisation et masquage : les différences

L’anonymisation vise à supprimer l’identifiabilité. La pseudonymisation réduit le lien avec une personne, alors qu’une information supplémentaire peut rétablir ce lien ; c’est une garantie, pas le même résultat. Le Comité européen de la protection des données (CEPD) explique cette distinction car les termes emportent des conséquences différentes pour la protection des données. [4]

Remplacer les noms de salariés par des codes tout en conservant une table de correspondance séparée est, par exemple, un processus de pseudonymisation. Cela peut permettre des analyses utiles sans montrer les noms à chaque analyste. Tant que les enregistrements restent attribuables au moyen d’informations supplémentaires, ils demeurent des données personnelles. [4]

Le masquage et le caviardage décrivent des opérations. Le masquage peut cacher une partie d’un numéro de compte affiché ; le caviardage peut retirer un nom ou le remplacer par un marqueur. Aucun des deux termes n’indique, à lui seul, si une personne reste identifiable. Une question de relecture utile est : que pourrait-on déduire du résultat et des autres informations disponibles ? [5]

Ne fondez pas une décision d’anonymat uniquement sur la suppression d’une table de correspondance. L’enregistrement d’origine ou des détails distinctifs du texte peuvent encore offrir un chemin de retour vers une personne. Évaluez le résultat dans son contexte, y compris les informations dont dispose le public visé. [5]

Donnée personnelle relative : ce que clarifie l’arrêt de la Cour de justice de 2025

Le 4 septembre 2025, dans l’affaire C-413/23 P, la Cour de justice de l’Union européenne a jugé que des données pseudonymisées ne sont pas automatiquement des données personnelles pour tout destinataire. Si un destinataire ne peut pas lever la pseudonymisation et qu’elle empêche effectivement l’attribution, les données ne sont pas personnelles de son point de vue. Pour le responsable du traitement, qui détient la correspondance, elles le restent. [9]

L’affaire portait sur le règlement 2018/1725 applicable aux institutions de l’UE ; la doctrine en tire des enseignements pour le RGPD. En pratique, qu’une copie partagée soit anonyme pour le destinataire dépend des moyens d’identification dont il dispose raisonnablement, y compris le contexte du texte lui-même. La Cour a aussi précisé que les destinataires doivent être indiqués dès la collecte, même si le lien avec la personne est retiré avant la transmission. [9]

Techniques d’anonymisation courantes et leurs limites

La suppression retire de l’information, comme un champ de contact ou une phrase inutile. La généralisation réduit la précision, par exemple en remplaçant une localisation précise par une zone plus large. Les deux impliquent de décider du niveau de détail dont la tâche a besoin. La CNIL recommande de prendre en compte l’information utile, les valeurs rares et le niveau de détail approprié lors de la conception d’un processus d’anonymisation. [3]

Pour les jeux de données structurés, il existe des techniques formelles, décrites par le groupe de travail « Article 29 » dans son avis 05/2014 : randomisation (ajout de bruit, permutation, confidentialité différentielle) et généralisation (agrégation, k-anonymat, l-diversité, t-proximité). L’avis souligne aussi que supprimer les identifiants directs ne suffit pas à rendre des données anonymes. Ces techniques servent surtout aux bases de données et aux statistiques, moins aux textes libres comme les e-mails ou les tickets. [8]

L’agrégation restitue de l’information sur des groupes plutôt que des enregistrements individuels. La randomisation modifie des valeurs, souvent pour préserver des motifs statistiques utiles tout en réduisant la divulgation. Ces méthodes exigent une conception soignée : un petit groupe ou une combinaison inhabituelle d’attributs peut encore révéler des informations sur une personne. Le glossaire de l’ICO explique ces approches dans le contexte du RGPD britannique. [6]

Pour un extrait de support client, retirer les coordonnées peut préserver toute l’histoire du dépannage. Pour un rapport sur les effectifs, un décompte par service peut être plus utile que des récits individuels par salarié. Pour un jeu de données de recherche publique, des méthodes statistiques spécialisées et une évaluation de divulgation distincte peuvent être nécessaires.

Choisissez la technique en fonction de l’usage prévu. Une méthode adaptée à un tableau de bord ne convient pas automatiquement à du texte libre. Agréger des réclamations peut montrer la fréquence d’une erreur, mais ne peut pas préserver la formulation exacte dont un ingénieur a besoin pour comprendre un message d’erreur ambigu.

DataAnonymiser se concentre sur la détection des détails identifiants et leur remplacement par des marqueurs dans le texte. Il ne transforme pas automatiquement des documents en agrégats statistiques et n’applique pas chacune des techniques décrites ici. Généraliser un récit ou produire une synthèse au niveau du groupe est une étape éditoriale ou analytique distincte.

Exemple 1 : caviarder un ticket de support avant une escalade vers un prestataire

Les exemples suivants sont fictifs et illustratifs, et non des résultats mesurés du produit ni une preuve d’anonymat juridique. Chacun part d’une tâche utile puis examine l’information dont cette tâche n’a pas besoin.

Original : « Merci de contacter Alex Morgan à alex.morgan@example.com. Le paiement a échoué deux fois après la mise à jour de mes informations de facturation. »

Version caviardée illustrative : « Merci de contacter [full_name] à [email]. Le paiement a échoué deux fois après la mise à jour de mes informations de facturation. »

Un ingénieur qui étudie la séquence peut toujours comprendre le symptôme. Les coordonnées du client n’apportent rien à cette investigation. La personne qui traite le dossier peut aussi retirer entièrement la phrase de contact de la copie destinée au partage si le prestataire n’a pas besoin de répondre au client.

Avant de transmettre, vérifiez l’ensemble du ticket. Un objet, une réponse citée, une capture d’écran ou une référence de transaction peuvent contenir des informations que l’extrait ne montre plus. Si le prestataire a besoin d’une référence pour retrouver la transaction, reconnaissez ce besoin et utilisez le processus approuvé de partage de données personnelles, plutôt que de décrire le lot comme anonyme.

Exemple 2 : préparer un scénario RH sans identifier une salariée

Original : « Maya, la seule responsable de l’équipe de nuit de notre agence portuaire, a demandé un changement d’horaire à son retour de congé parental. »

En retirant le nom, il reste : « [first_name], la seule responsable de l’équipe de nuit de notre agence portuaire, a demandé un changement d’horaire à son retour de congé parental. »

Une collègue familière de cette agence peut encore savoir exactement de qui il s’agit. Le mot « seule » signale un poste distinctif ; le lieu et l’événement récent ajoutent du contexte. C’est pourquoi relire un document signifie lire l’histoire, pas seulement vérifier que chaque nom a disparu.

Pour un exercice de formation des managers, une personne pourrait plutôt écrire : « Un salarié a demandé un changement d’horaire après une période de congé. » Cette version retire plusieurs détails tout en préservant la discussion sur la façon de traiter la demande. Il s’agit d’une réécriture manuelle distincte, pas d’une affirmation selon laquelle l’application généralise automatiquement le scénario.

La personne responsable de la formation doit décider si les circonstances restantes sont distinctives pour le public concerné. Lorsque l’incident réel est déjà largement connu, construire un scénario entièrement fictif peut mieux servir l’objectif pédagogique que d’adapter le cas réel.

Exemple 3 : réduire les données personnelles dans un prompt d’IA

Original : « Rédige une réponse à Sam Rivera à sam.rivera@example.com au sujet d’une facture en double. Sam est notre premier client du projet pilote sur l’île, annoncé hier dans le communiqué de presse. »

Remplacer le nom et l’e-mail retire les coordonnées directes. Il reste néanmoins une description qui pourrait relier le client à une annonce publique. Si la tâche consiste simplement à rédiger une réponse polie sur la facturation, ce contexte est inutile.

Un prompt préparé par une personne pourrait dire : « Rédige une réponse polie à un client qui a reçu une facture en double. Explique que nous vérifions les registres de facturation et que nous le recontacterons. » Les instructions utiles sont conservées, et l’histoire distinctive du client est omise.

Relisez l’ensemble du prompt, y compris les exemples et le texte des échanges précédents. Utilisez le service d’IA approuvé pour l’information restante. Le caviardage n’est pas une autorisation automatique de divulguer un document, et le lieu de traitement de l’outil de caviardage ne détermine pas ce qui se passe après avoir collé son résultat dans un autre service.

Comment évaluer le risque de réidentification

La CNIL décrit trois vérifications importantes : si une personne peut être individualisée, si des enregistrements peuvent être corrélés et si des informations sur quelqu’un peuvent être déduites. Elles donnent aux relecteurs un moyen de regarder au-delà des noms et adresses e-mail évidents. [3]

Transformez ces vérifications en questions sur votre propre document. Le texte décrit-il un poste unique ? Une date d’événement pourrait-elle correspondre à une annonce publique ? Un petit groupe fait-il une déclaration révélatrice sur un membre non nommé ? Les exemples ci-dessus montrent comment une phrase ordinaire peut porter plus d’information identifiante que son auteur ne le pensait.

Prenez en compte à la fois l’information et les personnes susceptibles d’y accéder. Les directives britanniques de l’ICO recommandent d’évaluer des méthodes d’identification réalistes et distinguent le partage contrôlé de la publication ouverte. Ces directives sont actuellement en cours de révision à la suite de changements législatifs au Royaume-Uni ; utilisez-les donc comme contexte pratique propre au Royaume-Uni, aux côtés des sources européennes applicables. [5]

Un rapport de risque logiciel peut signaler des identifiants détectés ou une détection incomplète. Il ne peut pas établir tout ce qu’un destinataire sait déjà. Utilisez-le pour orienter la relecture, puis consignez les hypothèses sous-tendant la décision de partage et révisez-les lorsque le public ou les informations disponibles changent.

Un processus pratique pour la minimisation des données au titre du RGPD

1. Définissez la tâche. Notez pourquoi l’information est nécessaire, qui la recevra, et si un extrait plus court ou un exemple fictif suffirait. Décidez quelles parties doivent rester exactes pour que la tâche réussisse.

2. Repérez les détails inutiles. Passez en revue les identifiants directs et le contexte distinctif. Vérifiez le matériel que vous comptez partager, y compris les conversations citées et les pièces jointes, plutôt que de supposer que le paragraphe principal représente l’ensemble du dossier.

3. Caviardez et relisez. Passez le texte concerné dans DataAnonymiser, vérifiez les remplacements et traitez les avertissements de risque résiduel. Si votre offre le permet, ajoutez des termes personnalisés pour les noms sensibles ou les références internes propres au dossier.

4. Relisez ce qui reste de l’histoire. Décidez si une suppression ou une généralisation manuelle supplémentaire est nécessaire. Demandez à une personne connaissant le contexte métier de challenger la copie proposée pour le partage, en particulier pour les sujets liés aux salariés, à la santé ou aux clients.

5. Documentez et maîtrisez la transmission. Consignez la finalité, le destinataire, le résultat de la relecture et les points non résolus dans le processus approuvé par votre organisation. Ne reproduisez pas dans ce document des détails personnels inutiles. En cas de doute sur l’anonymat, traitez le résultat comme une donnée personnelle et obtenez la relecture appropriée avant tout partage.

Où intervient DataAnonymiser : un traitement sous votre contrôle

DataAnonymiser fournit une étape reproductible entre le matériau source et son usage suivant. Il détecte les détails identifiants, les remplace par des marqueurs et présente le résultat avec des informations de relecture. L’objectif est de conserver un texte utile tout en réduisant l’exposition inutile.

Dans l’édition Individual, le contenu est traité sur l’appareil. Enterprise utilise un serveur que votre organisation installe et exploite au sein de son propre réseau, activé par une configuration administrateur explicite. Aucune des deux éditions n’envoie le contenu des documents vers une infrastructure exploitée par DataAnonymiser à des fins de traitement.

Cela donne à votre équipe le contrôle de l’endroit où se déroule l’étape de caviardage. Cela ne dispense pas de relire le résultat ni d’évaluer la destination suivante. La personne qui copie un résultat dans un outil externe prend une décision de partage distincte.

Commencez par un processus récurrent, comme les escalades vers des prestataires ou le matériel de formation interne. Convenez des informations nécessaires, désignez un responsable de la relecture et testez des exemples fictifs représentatifs avant d’introduire de vrais documents. Parlez-nous d’un déploiement Enterprise adapté à l’infrastructure et au processus de relecture de votre organisation.