Anonymisation : quand une donnée cesse d’être personnelle

Ce que signifie anonymiser en protection des données

Le RGPD ne définit pas l’anonymisation dans ses articles. Son considérant 26 décrit le résultat : des informations ne concernant pas une personne physique identifiée ou identifiable, ou des données rendues anonymes de telle manière que la personne n’est pas ou plus identifiable. Les principes de protection des données ne s’y appliquent pas, y compris à des fins statistiques ou de recherche.

Le critère décisif est l’irréversibilité en pratique. Il ne suffit pas que la donnée soit cachée à l’œil : si une table de correspondance est conservée, si le texte reste sous un rectangle noir ou si le contexte trahit la personne, le résultat n’est pas anonyme. Lorsque la réidentification reste possible grâce à des informations supplémentaires, il s’agit de pseudonymisation et les données restent personnelles.

Point souvent oublié : anonymiser est déjà un traitement de données personnelles. Les lignes directrices 02/2026 du Comité européen de la protection des données (CEPD) rappellent qu’il faut une base légale et une documentation, en général la même base que le traitement initial lorsque les finalités sont identiques.

Le critère des moyens raisonnablement susceptibles d’être utilisés

Pour savoir si une personne est identifiable, le considérant 26 du RGPD impose de considérer l’ensemble des moyens raisonnablement susceptibles d’être utilisés, par le responsable du traitement ou par toute autre personne, y compris l’individualisation. Le caractère raisonnable s’apprécie selon des facteurs objectifs : coût et temps nécessaires, technologies disponibles au moment du traitement et leur évolution.

Le risque zéro n’est pas exigé. Depuis l’arrêt de la Cour de justice dans l’affaire C-413/23 P (Contrôleur européen de la protection des données contre CRU, 4 septembre 2025), l’analyse se fait du point de vue de chaque entité : des données peuvent être anonymes pour un destinataire dépourvu de moyens de réidentification et rester personnelles pour l’organisme qui détient la clé.

Techniques et critères : de l’avis 05/2014 aux lignes directrices de 2026

L’avis 05/2014 du groupe de travail « Article 29 » a longtemps servi de référence. Il distinguait la randomisation (ajout de bruit, permutation, confidentialité différentielle) et la généralisation (agrégation, k-anonymat, l-diversité) et vérifiait trois risques : individualisation, corrélation et inférence. La CNIL s’appuie sur ces trois critères dans sa page consacrée à l’anonymisation.

En juillet 2026, le CEPD a adopté les lignes directrices 02/2026 sur l’anonymisation, soumises à consultation publique jusqu’au 30 octobre 2026. Elles reformulent les trois critères (pas d’isolement d’enregistrement, pas de liaison, pas d’inférence) et proposent deux approches, contextuelle et simplifiée. Une analyse menée selon l’avis de 2014 n’a pas à être refaite, mais une réévaluation périodique reste recommandée.

Anonymiser n’est ni supprimer ni occulter à moitié

Pour les administrations, le code des relations entre le public et l’administration subordonne la mise en ligne de documents comportant des données personnelles à un traitement rendant impossible l’identification des personnes, sauf texte contraire ou accord des intéressés.

Anonymiser des documents en pratique

Dans un document, les données personnelles sont partout : en-tête, corps du texte, citations, signature, tampon numérisé et métadonnées du fichier. Une décision fictive évoquant « la directrice de l’unique école du village » identifie quelqu’un sans le nommer. Il faut donc rechercher les identifiants directs et indirects, puis faire relire le résultat par une personne.

Anonimatum associe une IA propre, exécutée sur des serveurs situés dans l’Union européenne, à des motifs (numéro de sécurité sociale, IBAN, téléphone, e-mail) et à des zones visuelles, puis supprime réellement le texte marqué et les métadonnées. Découvrez l’anonymiseur de PDF ou la comparaison anonymiser ou pseudonymiser.