Anonymisation vs pseudonymisation : ce que dit vraiment le RGPD

Le RGPD traite très différemment deux opérations qu’on confond souvent parce qu’elles se ressemblent en pratique : remplacer un nom par un identifiant, ou remplacer une adresse e-mail par un hachage. La différence entre les deux ne tient pas à la technique utilisée, mais à un seul critère : la réversibilité.

La pseudonymisation, telle que définie par le règlement, consiste à traiter une donnée de façon à ce qu’elle ne puisse plus être attribuée à une personne sans recourir à des informations supplémentaires — une table de correspondance, une clé de hachage, un secret de déchiffrement — conservées séparément. Tant que ces informations supplémentaires existent quelque part, chez quiconque dans la chaîne de traitement, la donnée pseudonymisée reste une donnée à caractère personnel au sens du RGPD, avec toutes les obligations que cela implique (base légale, durée de conservation, droits des personnes).

L’anonymisation, au sens du considérant 26 du RGPD, va plus loin : elle doit rendre impossible, en pratique et de manière irréversible, toute réidentification de la personne, par quelque moyen que ce soit — y compris par recoupement avec d’autres sources de données. Une fois ce seuil atteint, le RGPD ne s’applique plus aux données concernées : c’est une sortie du champ du règlement, pas une simple mesure de sécurité à l’intérieur de celui-ci.

Le groupe de travail “Article 29” (avis 05/2014, toujours la référence utilisée par la CNIL) a posé trois critères cumulatifs pour évaluer si une anonymisation est réellement atteinte : l’individualisation (impossible d’isoler un individu dans le jeu de données), la corrélation (impossible de relier deux enregistrements à la même personne, y compris entre plusieurs jeux de données), et l’inférence (impossible de déduire, avec une probabilité significative, la valeur d’un attribut à partir des autres). Si l’un de ces trois risques subsiste, le jeu de données reste, au sens du RGPD, pseudonymisé — pas anonyme.

En pratique, un traitement automatique appliqué colonne par colonne (masquage, hachage) protège efficacement contre une lecture directe du fichier, mais ne garantit à lui seul aucun de ces trois critères : un hachage déterministe reste corrélable d’une ligne à l’autre du même fichier, et le jeu de données dans son ensemble peut rester individualisant si d’autres colonnes, prises ensemble, identifient une personne de façon unique. C’est pourquoi un tel traitement doit être considéré comme une pseudonymisation — une réduction de risque utile et nécessaire, mais qui ne dispense pas des obligations RGPD applicables aux données personnelles.