Anonymisation ou pseudonymisation : la différence en RGPD

Deux mots que l'on confond, deux régimes juridiques opposés. Définitions, critères de contrôle, décision européenne de 2025 et erreurs fréquentes.

Une base de clients dont les noms ont été remplacés par des numéros est-elle anonymisée ? Non. Elle est pseudonymisée, et le RGPD s'y applique en entier. Cette confusion coûte cher : un fichier jugé « anonyme » est transmis à un prestataire, publié ou conservé sans limite, alors que la loi le traite toujours comme un fichier de données personnelles. Cet article pose la différence entre anonymisation et pseudonymisation, les critères qui permettent de trancher et les conséquences concrètes pour une entreprise.

La différence en une phrase

La pseudonymisation remplace les identifiants directs (nom, e-mail, numéro de sécurité sociale) par un alias, tout en gardant un moyen de revenir à la personne. L'anonymisation supprime ce moyen : plus personne ne peut retrouver l'individu, y compris celui qui a produit le fichier. La première réduit le risque. La seconde fait sortir les données du champ du RGPD, à condition d'être réellement irréversible.

La CNIL le dit sans détour : l'anonymisation consiste à rendre impossible, en pratique, toute identification de la personne, et elle ne doit pas être confondue avec la pseudonymisation, qui reste réversible grâce à des informations supplémentaires.

Ce que dit le texte du RGPD

L'article 4, point 5, du règlement (UE) 2016/679 définit la pseudonymisation comme un traitement de données personnelles de telle façon qu'elles ne puissent plus être attribuées à une personne précise sans recourir à des informations supplémentaires. Ces informations supplémentaires doivent être conservées séparément et protégées par des mesures techniques et organisationnelles.

Le considérant 26 en tire la conséquence : des données pseudonymisées qui pourraient être attribuées à une personne par le recours à des informations supplémentaires restent des informations concernant une personne identifiable. Le même considérant précise que les principes de protection ne s'appliquent pas aux informations anonymes. Pour apprécier si une personne est identifiable, il faut tenir compte de l'ensemble des moyens raisonnablement susceptibles d'être utilisés, par exemple le coût et le temps nécessaires, compte tenu des technologies disponibles.

Le texte ne définit donc pas l'anonymisation par un procédé. Il la définit par un résultat : l'impossibilité raisonnable de réidentifier. C'est là que se logent les erreurs.

Deux régimes, des obligations très différentes

Le tableau ci-dessous résume ce qui change selon que vos données sont pseudonymisées ou anonymisées.

Deux points méritent d'être soulignés. D'abord, selon la CNIL, le RGPD n'impose pas d'obligation générale d'anonymiser : c'est un choix de l'organisme, par exemple pour conserver des statistiques après la fin de la durée de conservation. Ensuite, l'opération d'anonymisation est elle-même un traitement de données personnelles, puisqu'elle part de données personnelles. Elle suppose une finalité compatible et une base légale, ce que rappelle l'avis 05/2014 du groupe de travail « Article 29 ».

Les trois critères pour juger qu'un jeu de données est anonyme

Dans son avis 05/2014 sur les techniques d'anonymisation, adopté en avril 2014, le G29 (ancêtre du Comité européen de la protection des données) retient trois tests. La CNIL les reprend sur son site. Un jeu de données n'est anonyme que s'il les passe tous.

• Individualisation : il ne doit pas être possible d'isoler un individu dans le jeu de données.
• Corrélation : il ne doit pas être possible de relier entre eux des jeux de données distincts concernant une même personne.
• Inférence : il ne doit pas être possible de déduire, avec une probabilité significative, une information nouvelle sur une personne.

Si l'un des trois critères n'est pas rempli, la CNIL indique que le responsable de traitement doit démontrer par une évaluation approfondie que le risque de réidentification par des moyens raisonnablement susceptibles d'être utilisés est négligeable. La charge de la preuve pèse sur celui qui revendique l'anonymat.

Pourquoi une base « anonymisée » se réidentifie souvent

Supprimer le nom et l'adresse ne suffit pas. Les quasi-identifiants (code postal, date de naissance, sexe, profession, horaires de passage) permettent de recouper un fichier avec une autre source. Deux travaux de recherche souvent cités l'illustrent. La chercheuse Latanya Sweeney a montré en 2000 qu'environ 87 % de la population américaine pouvait être identifiée de manière unique par la combinaison code postal, date de naissance et sexe. En 2013, une équipe menée par Yves-Alexandre de Montjoye a établi, sur 1,5 million de traces de téléphonie mobile, que quatre points de localisation datés suffisaient à singulariser 95 % des individus. Ces chiffres portent sur des données anciennes, américaines pour le premier, de téléphonie mobile pour le second. D'autres travaux ont réestimé le premier à la baisse. Ils prouvent le mécanisme, pas un taux applicable à votre fichier.

La leçon pratique : un fichier sans nom mais avec une date de naissance complète, un code postal et une fonction rare est un fichier pseudonymisé au mieux, pas anonymisé.

Techniques de pseudonymisation et d'anonymisation

Pseudonymisation : on garde la clé, séparément

• Table de correspondance : un identifiant aléatoire remplace le nom, la table reliant les deux est stockée dans un autre système à accès restreint.
• Chiffrement : la clé de déchiffrement joue le rôle d'information supplémentaire.
• Hachage avec sel secret : l'e-mail est remplacé par une empreinte. Sans sel, un attaquant retrouve l'e-mail en hachant une liste d'adresses connues : la protection est faible.
• Tokenisation : fréquente pour les numéros de carte bancaire.

Anonymisation : on détruit le lien

Le G29 range les techniques en deux familles. La randomisation altère la véracité des données (ajout de bruit, permutation, confidentialité différentielle). La généralisation diminue la précision (tranches d'âge à la place de l'âge, département à la place de la commune, agrégation). Le k-anonymat, qui garantit qu'au moins k personnes partagent les mêmes valeurs de quasi-identifiants, relève de la généralisation. Le même avis constate qu'aucune technique n'offre à elle seule de garantie absolue : elles se combinent, et le résultat se teste.

Quel que soit le procédé, un cas ne laisse aucun doute : si vous conservez la table de correspondance, vous n'avez pas anonymisé. Vous avez pseudonymisé.

Ce que change l'arrêt de la CJUE du 4 septembre 2025

Dans l'affaire C-413/23 P (CEPD contre CRU), la Cour de justice de l'Union européenne a jugé que des données pseudonymisées ne sont pas nécessairement des données personnelles pour toute personne qui les reçoit. Le Conseil de résolution unique avait transmis à Deloitte des commentaires d'actionnaires sous forme pseudonymisée. Pour le CRU, qui détenait la clé, ces données restaient personnelles. Pour un tiers sans moyen raisonnable de réidentifier, la qualification peut être différente et dépend du contexte, d'après les fiches de la Cour et les commentaires de cabinets que nous avons consultés.

Attention aux lectures hâtives. L'arrêt ne dit pas qu'une base pseudonymisée sort du RGPD. Il dit que l'appréciation se fait au cas par cas, du point de vue de celui qui détient les données. Celui qui a pseudonymisé, lui, reste dans le champ du règlement. L'obligation d'information des personnes s'apprécie, selon la Cour, au moment de la collecte et du point de vue du responsable initial. Nous n'avons pas pu consulter le texte intégral de l'arrêt : pour une décision engageante, lisez-le sur le site de la Cour.

Un exemple pratique : partager des données avec un prestataire

Une mutuelle veut confier l'analyse de ses remboursements à un prestataire. Trois options.

1. Elle remplace le nom par un numéro et garde la table. C'est de la pseudonymisation. Les données de santé restent des données personnelles sensibles : il faut une base légale, un contrat de sous-traitance (article 28), et le prestataire est tenu à la sécurité. Le risque de réidentification existe si le prestataire croise avec une autre source.
2. Elle supprime les identifiants mais garde âge exact, commune et acte médical rare. Un individu reste isolable. Le critère d'individualisation échoue : ce n'est pas de l'anonymisation.
3. Elle agrège par tranche d'âge et par département, supprime les cas à effectif inférieur à un seuil et teste le recoupement avec les sources accessibles. Les trois critères sont documentés. Le fichier peut être considéré comme anonyme, et cette conclusion se consigne par écrit.

Cinq erreurs fréquentes

• Appeler « anonyme » un fichier dont on garde la clé.
• Remplacer l'e-mail par son hachage sans sel et conclure à l'anonymat.
• Oublier que le croisement avec une autre source suffit à réidentifier.
• Ne pas documenter l'analyse : en cas de contrôle, la charge de la preuve incombe à l'organisme.
• Anonymiser un jeu de données une fois pour toutes, alors que les moyens de réidentification progressent. L'évaluation se renouvelle.

Outils : de quoi s'équiper

Un projet sérieux combine gouvernance et outils. Des solutions de conformité comme Provacy ou OneTrust aident à tenir le registre des traitements et à documenter les analyses. Du côté de la protection des données stockées, Druva et Commvault proposent chiffrement et contrôle d'accès, utiles pour protéger la clé d'une pseudonymisation. Zivver sécurise les échanges de fichiers sensibles par e-mail. Ces outils ne remplacent pas l'analyse de réidentification : ils ne produisent pas d'anonymat.

À retenir

• La pseudonymisation est réversible avec une information supplémentaire : le RGPD s'applique.
• L'anonymisation exige une irréversibilité réelle, testée sur trois critères : individualisation, corrélation, inférence.
• La preuve de l'anonymat se constitue et se conserve.
• Selon la CJUE (2025), la qualification dépend de celui qui détient les données, mais le responsable qui garde la clé reste soumis au règlement.

Sources consultées

• Règlement (UE) 2016/679, article 4 point 5, article 32, considérant 26 : EUR-Lex.
• CNIL, « L'anonymisation de données personnelles » : cnil.fr, consulté le 5 novembre 2026.
• Groupe de travail « Article 29 », avis 05/2014 sur les techniques d'anonymisation (WP216), 10 avril 2014.
• CJUE, 4 septembre 2025, CEPD / CRU, C-413/23 P : curia.europa.eu.
• L. Sweeney, « Simple Demographics Often Identify People Uniquely », Carnegie Mellon University, 2000. Y.-A. de Montjoye et al., « Unique in the Crowd », Scientific Reports, 2013.

FAQ : questions fréquentes

Les 6 questions ci-dessous reprennent ce que les acheteurs demandent le plus ; elles sont aussi publiées en données structurées Schema.org.