Réaliser l'AIPD d'un projet d'anonymisation de documents

Anonymiser des documents ressemble davantage à une mesure de protection qu'à un risque. Pourtant, l'anonymisation est elle-même un traitement de données personnelles : quelqu'un — ou un outil — doit lire des décisions de justice, des dossiers médicaux, des dossiers administratifs ou des bulletins de paie complets pour décider de ce qu'il faut masquer, souvent avec de l'intelligence artificielle et à grande échelle. Si le résultat est publié ou communiqué, une erreur expose des données de façon définitive. C'est pourquoi de nombreux projets d'anonymisation exigent une analyse d'impact relative à la protection des données (AIPD). Voici quand elle s'impose et comment la conduire, étape par étape.

Votre projet nécessite-t-il une AIPD ?

L'article 35 du RGPD impose une AIPD lorsqu'un traitement est susceptible d'engendrer un risque élevé pour les droits et libertés des personnes, notamment en cas de recours à de nouvelles technologies. Les lignes directrices WP248 rév.01, reprises par le Comité européen de la protection des données, proposent neuf critères ; à partir de deux, une AIPD est en principe requise. Un projet d'anonymisation en réunit souvent plusieurs :

• Données sensibles ou à caractère hautement personnel : santé, infractions, mineurs, victimes, situation financière.
• Traitement à grande échelle : archives entières, milliers de décisions, fonds documentaire historique.
• Usage innovant : détection automatique des données personnelles par IA.
• Personnes vulnérables : patients, mineurs, justiciables, salariés.
• Croisement de données : lorsque le document anonymisé est publié et peut être rapproché d'autres sources.

La CNIL a publié la liste des types d'opérations de traitement pour lesquelles une AIPD est requise, ainsi qu'une méthode et un logiciel PIA gratuits, présentés sur sa page dédiée à l'analyse d'impact relative à la protection des données. Même si vous concluez qu'une AIPD n'est pas obligatoire, documentez ce tri : le principe de responsabilité (article 5.2) impose de pouvoir justifier la décision. Pour une définition rapide, voir notre glossaire : analyse d'impact.

Étape 1 : décrire le traitement et son périmètre

L'article 35.7 fixe le contenu minimal : description systématique du traitement et de ses finalités, évaluation de la nécessité et de la proportionnalité, évaluation des risques, mesures envisagées. Pour un projet d'anonymisation, la description doit répondre précisément aux questions suivantes :

• Quels documents : typologies (décisions, comptes rendus médicaux, contrats), formats (PDF natif, scans, Word, e-mails avec pièces jointes) et volume estimé.
• Pour quoi faire : diffusion publique, communication de documents administratifs, transmission à des chercheurs, réutilisation pour entraîner des modèles, archivage.
• Quel résultat : anonymisation irréversible ou pseudonymisation réversible. Ce n'est pas la même chose : une donnée pseudonymisée reste une donnée personnelle.
• Qui intervient : équipe de relecture, fournisseur de l'outil (sous-traitant), destinataires du résultat.
• Où et combien de temps : localisation des serveurs, conservation des originaux, des versions anonymisées et des tables de correspondance.

Au titre de la nécessité et de la proportionnalité, expliquez pourquoi diffuser moins ne suffit pas et pourquoi le niveau d'anonymisation retenu correspond à la finalité. Recueillez l'avis du délégué à la protection des données, obligatoire selon l'article 35.2 lorsqu'un DPO a été désigné.

Étape 2 : identifier les risques propres à l'anonymisation

Les risques génériques (accès illégitime, violation de données) demeurent, mais un projet d'anonymisation présente des risques spécifiques que l'AIPD doit nommer. Le tableau ci-dessous est indicatif ; vraisemblance et gravité dépendent du contexte :

N'oubliez pas le risque inverse : un caviardage excessif peut rendre inexploitable une décision publiée ou un jeu de données de recherche. Ce n'est pas une atteinte à la vie privée, mais cela compromet la finalité, et l'AIPD doit justifier l'équilibre. Soyez concret sur le risque de réidentification : avec quelles sources publiques le document pourrait être croisé, et qui aurait intérêt à le faire.

Étape 3 : mesures et risque résiduel

Pour chaque risque, décrivez les mesures techniques et organisationnelles et évaluez le risque restant. Celles qui font généralement la différence :

Notre checklist d'anonymisation conforme au RGPD aide à n'oublier aucun contrôle. Si le risque résiduel est acceptable, l'AIPD se conclut par la validation du responsable de traitement et un plan de suivi.

Étape 4 : faut-il consulter la CNIL ?

L'article 36 impose de consulter l'autorité de contrôle avant le traitement lorsque l'AIPD révèle un risque élevé que les mesures ne permettent pas de réduire. La CNIL dispose alors d'un délai pouvant aller jusqu'à huit semaines, prolongeable de six semaines pour les traitements complexes. En pratique, un projet d'anonymisation bien conçu devrait rarement en arriver là : un risque résiduel élevé signale qu'il faut renforcer les mesures (plus de relecture, moins de données diffusées, davantage de généralisation). Si la consultation reste nécessaire, transmettez l'AIPD complète et les informations prévues à l'article 36.3.

Ce qu'Anonimatum apporte à votre AIPD

Le choix de l'outil fait partie de l'AIPD. Anonimatum facilite la démonstration de plusieurs mesures : son IA propre s'exécute sur des serveurs situés dans l'Union européenne, sans envoi du texte à des API externes de modèles de langage ; il combine détection par IA et par motifs ; il impose un aperçu et une validation humaine avant application ; le caviardage supprime le contenu et les métadonnées peuvent être effacées ; les tables de pseudonymisation sont stockées chiffrées ; le tableau de bord de groupe comprend un journal d'audit. Politeia Soft est certifiée ENS (référentiel de sécurité espagnol) niveau moyen, Anonimatum compris ; détails sur notre page sécurité. Consultez les offres et commencez en ligne.