Pseudonymisation : remplacer les identités sans perdre le fil

Ce que dit l’article 4, point 5, du RGPD

Le RGPD définit la pseudonymisation comme le traitement de données personnelles de telle façon qu’elles ne puissent plus être attribuées à une personne concernée précise sans recourir à des informations supplémentaires, pour autant que celles-ci soient conservées séparément et soumises à des mesures techniques et organisationnelles empêchant l’attribution à une personne identifiée ou identifiable.

Deux éléments coexistent : la donnée transformée (le pseudonyme) et les informations supplémentaires qui permettent de revenir à l’original, comme une table de correspondance ou une clé secrète. Si ces informations restent à côté du document, il n’y a pas de pseudonymisation efficace, seulement un changement d’étiquettes.

Pourquoi ce sont toujours des données personnelles

Le considérant 26 du RGPD est clair : les données pseudonymisées qui pourraient être attribuées à une personne au moyen d’informations supplémentaires sont des informations concernant une personne identifiable. Pour l’organisme qui garde la table, toutes les obligations demeurent : base légale, information, droits et sécurité. La CNIL rappelle elle aussi que la pseudonymisation, contrairement à l’anonymisation, est réversible.

Nuance récente : dans l’arrêt C-413/23 P (Contrôleur européen de la protection des données contre CRU, 4 septembre 2025), la Cour de justice a admis que des données pseudonymisées peuvent ne pas être personnelles pour un destinataire dépourvu de moyens raisonnables de réidentification. Le responsable qui pseudonymise reste, lui, tenu par le RGPD et doit informer les personnes sur les destinataires.

Une garantie citée à plusieurs reprises par le RGPD

Le RGPD n’impose pas de manière générale de pseudonymiser, mais il la cite comme exemple de mesure appropriée :

• Article 25 : protection des données dès la conception et par défaut.
• Article 32 : sécurité du traitement, aux côtés du chiffrement.
• Article 6, paragraphe 4 : critère de compatibilité d’un traitement ultérieur.
• Article 89 : garanties pour l’archivage, la recherche scientifique ou historique et la statistique.

En janvier 2025, le Comité européen de la protection des données a adopté les lignes directrices 01/2025 sur la pseudonymisation, en version soumise à consultation publique. Elles introduisent le domaine de pseudonymisation : l’ensemble des personnes ou entités à l’égard desquelles le pseudonyme doit empêcher l’attribution.

Exemples de pseudonymisation dans des documents

Pour les documents, la technique la plus utile est la substitution cohérente : chaque personne reçoit toujours le même pseudonyme dans tout le texte, et dans tout le lot si plusieurs fichiers sont traités ensemble.

D’autres techniques existent : compteurs, nombres aléatoires, hachage avec clé secrète. Erreur fréquente : hacher sans clé un numéro au format connu, ce qui permet de recalculer toutes les valeurs possibles. Et les identifiants indirects (fonction, adresse, dates) peuvent toujours trahir la personne.

Pseudonymiser avec Anonimatum

La pseudonymisation d’Anonimatum détecte les données personnelles grâce à une IA propre hébergée dans l’UE et les remplace de manière cohérente selon des profils, par exemple un profil « Justice » pour les décisions. La table de correspondance est conservée chiffrée et permet de revenir en arrière si nécessaire. Pour choisir entre les deux techniques, voir anonymiser ou pseudonymiser.