Anonymiser un fichier Excel sans que les données puissent être reconstituées

Identifiants directs et quasi-identifiants

Pour des données tabulaires, il faut distinguer deux types de colonnes. Les identifiants directs (nom, NIR, e-mail, téléphone, IBAN) désignent une personne à eux seuls et doivent presque toujours être supprimés ou remplacés. Les quasi-identifiants (date de naissance, code postal, poste, sexe, date d’entrée) semblent anodins un par un, mais combinés ils peuvent isoler une ligne : dans une petite commune, « cheffe de service, née en 1971, code postal 20XXX » peut ne désigner qu’une seule personne.

S’y ajoute une troisième catégorie souvent oubliée : les colonnes de texte libre comme Observations, Motif ou Commentaires, où l’on trouve de tout, du nom d’un proche à un diagnostic. Ces cellules ne se traitent pas comme une valeur unique ; il faut les lire et y détecter les données personnelles.

Décider du traitement de chaque colonne

La question est la même pour chaque colonne : le destinataire en a-t-il besoin ? Sinon, on la supprime. S’il en a besoin pour relier des données sans savoir qui est qui, on la pseudonymise. S’il en a besoin telle quelle et qu’elle n’identifie personne, on la garde. Le principe de minimisation des données règle la plupart des cas avant même de parler de techniques.

Ce qu’on ne voit pas dans un tableur

• Feuilles masquées et très masquées. Une feuille masquée n’apparaît pas dans les onglets mais ses données restent dans le fichier ; une feuille « très masquée » via VBA n’apparaît même pas dans Afficher.
• Lignes et colonnes masquées ou filtrées. Masquer la colonne NIR ou filtrer des lignes ne supprime rien.
• Formules. Une cellule peut afficher un total tout en pointant vers une feuille masquée remplie de noms, ou vers un classeur externe dont le chemin révèle des noms de dossiers ou d’utilisateurs.
• Caches des tableaux croisés dynamiques. Un tableau croisé conserve une copie de ses données sources ; même si la feuille source est supprimée, un double-clic sur une valeur peut reconstituer les lignes de détail.
• Commentaires, notes et propriétés du classeur, avec auteurs, dates et chemins.
• Graphiques et noms définis pointant vers des plages contenant des données personnelles.

L’inspecteur de document d’Excel repère feuilles, lignes et colonnes masquées, commentaires et propriétés, mais il ne décide pas à votre place du sort de chaque colonne visible. Pour les tableaux croisés, le plus sûr est de les coller en valeurs ou de les supprimer avant diffusion ; pour les formules qui dépendent de données que vous retirez, collez les résultats en valeurs.

Retirer les noms ne suffit pas : le risque de réidentification

Dans des données tabulaires, le risque ne tient pas à une cellule mais à la combinaison de colonnes. Le k-anonymat mesure précisément cela : un jeu de données est k-anonyme si chaque combinaison de quasi-identifiants se retrouve dans au moins k lignes. L’avis du G29 sur les techniques d’anonymisation et la CNIL le présentent comme une façon de gérer le risque, pas comme une garantie absolue : si les k lignes partagent la même donnée sensible, celle-ci reste révélée.

En pratique : généralisez (année plutôt que date, département plutôt que code postal), regroupez les catégories à faibles effectifs, supprimez les lignes uniques quand elles n’apportent rien et évaluez le risque avant toute publication, par exemple d’un jeu de données en open data. Un outil peut masquer ou remplacer des colonnes ; dire si le résultat est anonyme dépend du contexte et du destinataire.

Pseudonymiser de façon cohérente

Si le destinataire doit suivre une même personne entre lignes, feuilles ou fichiers (les paies de janvier et de février, par exemple), la substitution doit être cohérente : le même NIR devient toujours le même substitut. Si cette colonne sert de clé entre la feuille Personnel et la feuille Paie, les deux doivent recevoir la même valeur, sinon les jointures cassent. Les données pseudonymisées restent des données personnelles et la table de correspondance doit être conservée à part et protégée. Plus de détails sur la pseudonymisation de documents.

Avec Anonimatum

Depuis la version 1.9.0, Anonimatum traite les tableurs colonne par colonne en .xlsx, .xls, .ods et .csv : il suggère le type de donnée de chaque colonne et vous choisissez de conserver, masquer, remplacer, pseudonymiser ou détecter dans le texte (utile pour les colonnes d’observations). Le résultat sort dans le même format, avec ses feuilles, sa mise en forme et ses formules. Chaque tranche de 50 lignes consomme 1 page de quota : un registre de 2 000 lignes compte pour 40 pages.

Pour rester cohérent entre fichiers, la table partagée d’un dossier attribue le même substitut à une même donnée dans tous ses documents. Si vous travaillez sur la paie, la page anonymiser des bulletins de paie en PDF et Excel reprend les cas courants.