Un document anonymisé reste-t-il soumis au RGPD ?

Si l’anonymisation est effective et que la personne n’est plus identifiable par des moyens raisonnables, non. Des données seulement pseudonymisées, par exemple des noms remplacés par des codes avec une table de correspondance, restent des données personnelles.

Faut-il une AIPD pour anonymiser ?

Pas systématiquement. Tout dépend du traitement global : la publication de données sensibles ou le traitement à grande échelle de données de santé l’exigeront souvent. L’article 35 et les listes publiées par la CNIL aident à trancher.

Les initiales suffisent-elles ?

Rarement. Des initiales associées à une fonction, une date ou une commune permettent souvent de reconnaître la personne. Mieux vaut occulter ou utiliser un pseudonyme neutre, puis relire le contexte.

Qui doit relire l’anonymisation ?

Une autre personne que celle qui l’a réalisée, au moins sur un échantillon. Pour une publication ou des données sensibles, une relecture intégrale est préférable.

Checklist anonymisation RGPD des documents

Avant d’anonymiser : finalité, base légale et risques

L’anonymisation est elle-même un traitement de données personnelles. Avant d’ouvrir le premier fichier, notez pourquoi vous le faites, qui recevra le résultat et quel niveau de risque de réidentification est acceptable. Transmettre un rapport à un auditeur tenu au secret n’a rien à voir avec une mise en ligne en open data.

Avant de commencer

La finalité est écrite (publication, transmission à un tiers, recherche, formation…).
La base légale du traitement initial est identifiée et la compatibilité de l’anonymisation vérifiée.
Vous avez examiné si le traitement dans son ensemble exige une analyse d’impact (AIPD) au titre de l’article 35, par exemple en présence de données sensibles à grande échelle.
Vous avez tranché entre pseudonymisation (réversible, les données restent personnelles) et anonymisation irréversible.
Un inventaire des identifiants directs et indirects existe pour ce type de document.
Le principe de minimisation des données est appliqué : ce qui n’est pas nécessaire à la finalité est retiré, même si ce n’est pas un nom.
Un responsable de la tâche et un second relecteur sont désignés.

Identifiants indirects souvent oubliés

Fonctions uniques (« la directrice de l’unique école de la commune »), liens de parenté, surnoms.
Dates exactes de naissance, d’hospitalisation, d’accident ou de licenciement associées à un lieu.
Adresses, références cadastrales, immatriculations, numéros de dossier ou de contrat.
Montants très précis, comme une indemnité inhabituelle.
Signatures manuscrites, tampons, QR codes et codes de vérification renvoyant à l’original.
Contenu des en-têtes, pieds de page, commentaires, suivi des modifications et propriétés du fichier.

Pendant : méthode, liste blanche et cohérence

Règle pratique : traiter de la même façon ce qui est identique. Si « Jean Martin » (fictif) apparaît page 2 comme « M. Martin » et page 14 comme « J. M. », les trois mentions doivent être occultées ou remplacées par le même pseudonyme. La CNIL rappelle les trois critères du G29 pour juger une anonymisation : individualisation, corrélation et inférence.

Pendant le traitement

La technique est choisie et justifiée : suppression (occultation irréversible), généralisation (année au lieu de la date complète) ou substitution cohérente.
Une liste blanche fixe les termes qui restent visibles (nom de l’organisme, élus et agents agissant dans leurs fonctions, textes cités).
Toutes les variantes d’un même nom sont traitées de la même manière dans le document et dans les pièces du même dossier.
Les données sensibles (santé, origine, orientation sexuelle, convictions, données génétiques ou biométriques) et les données d’infraction font l’objet d’une vigilance renforcée.
Les documents scannés passent par l’OCR avant toute recherche ; ce que l’OCR ne lit pas (manuscrit, tampons) est masqué par zones.
Images, graphiques et tableaux incorporés sont contrôlés en plus du texte.
L’occultation supprime le contenu sous-jacent : pas de rectangle noir posé par-dessus, pas de texte blanc.

Après : vérification et principe de responsabilité

L’article 5.2 du RGPD impose au responsable de traitement de respecter le règlement et d’être en mesure de le démontrer. Concrètement, la version finale passe des tests simples mais systématiques, et les choix discutables sont consignés avec leur justification.

Vérification finale

Test de recherche : les noms, numéros et adresses e-mail de l’inventaire sont recherchés dans le fichier final, sans résultat.
Test du copier-coller : le texte sous chaque occultation est sélectionné et collé dans un éditeur ; rien n’apparaît.
Métadonnées supprimées : auteur, titre, historique, commentaires, versions antérieures (voir comment supprimer les métadonnées d’un PDF).
Le nom du fichier ne contient aucune donnée personnelle (« Recours_Martin_Jean.pdf » trahit ce que le contenu masque).
Un second relecteur a contrôlé un échantillon ou la totalité, selon le risque.
Le risque résiduel de réidentification a été évalué au regard des informations déjà publiques.
Les décisions sont tracées ; l’original est conservé en accès restreint ou supprimé selon sa durée de conservation.

Modèle de registre des décisions

Imprimez ce tableau ou reprenez-le dans votre fichier de suivi. Les exemples sont fictifs ; l’essentiel est que chaque ligne indique ce qui a été fait, pourquoi et par qui cela a été vérifié.

Registre des décisions d’anonymisation (exemple fictif)
Date	Document ou lot	Donnée ou catégorie	Décision	Motif	Responsable / relecteur
03/11/2026	Décision n° 45/2026	Nom du requérant	Occulter	Particulier sans rôle public	A. M. / L. R.
03/11/2026	Décision n° 45/2026	Nom du chef de service signataire	Conserver	Agit dans l’exercice de ses fonctions	A. M. / L. R.
04/11/2026	Lot de comptes rendus médicaux	Date d’hospitalisation	Généraliser au mois et à l’année	Utile à l’étude ; la date exacte identifie	P. S. / L. R.
04/11/2026	Lot de comptes rendus médicaux	Diagnostic	Conserver	Finalité de recherche ; reste anonymisé	P. S. / DPO

La place d’Anonimatum dans cette checklist

Anonimatum associe une IA propre, exécutée sur des serveurs situés dans l’UE, à des motifs (numéros d’identité, IBAN, téléphones), une liste blanche et des zones manuelles, avec un aperçu qui permet à une personne de valider avant l’occultation irréversible. L’outil applique aussi l’OCR aux scans, supprime les métadonnées, pseudonymise de façon cohérente et tient un journal d’audit par groupe. Il ne remplace ni la relecture humaine ni le registre des décisions : il les accélère. Découvrez l’anonymiseur de PDF.

Checklist pour anonymiser des documents conformément au RGPD