Check-list du DPO : l’anonymisation documentaire en 15 points

En tant que délégué à la protection des données, évaluer un processus d’anonymisation documentaire suppose de vérifier des aspects techniques, juridiques et organisationnels. Cette check-list en 15 points vous permet d’auditer n’importe quel flux d’anonymisation — manuel ou automatisé — et de détecter les risques avant qu’ils ne se transforment en incidents ou en sanctions.

Évaluation technique

• L’anonymisation est-elle irréversible ? A-t-elle été testée par des tentatives de réidentification ?
• Le contenu sous-jacent du PDF est-il supprimé, ou seulement la couche visuelle ?
• Les métadonnées des fichiers sont-elles nettoyées (auteur, historique des révisions, commentaires masqués) ?
• L’outil détecte-t-il tous les types de données personnelles pertinents (numéro d’identité, téléphone, e-mail, IBAN, adresse) ?
• La version du modèle ou de l’outil utilisée pour chaque traitement est-elle journalisée ?

Évaluation juridique et organisationnelle

• Existe-t-il une base juridique documentée pour le traitement préalable à l’anonymisation ?
• Une AIPD a-t-elle été réalisée si le traitement fait intervenir l’IA ou des données sensibles ?
• Le contrat de sous-traitance (le cas échéant) comporte-t-il des clauses relatives à l’anonymisation ?
• Existe-t-il un protocole de relecture humaine pour les documents à haut risque ?
• Les originaux sont-ils conservés avec un accès restreint et une durée de conservation définie ?

Évaluation de l’infrastructure

Prochaines étapes

Si un point de cette check-list n’est pas respecté, priorisez les actions correctives en fonction du risque : d’abord l’irréversibilité technique, ensuite le lieu de traitement, enfin la documentation organisationnelle. Un processus d’anonymisation bien audité est votre meilleure défense face à un contrôle de l’autorité, comme la CNIL en France.