« Nous l'avons anonymisé » est l'une des affirmations les plus abusives en matière de protection des données. Au regard du RGPD, le mot a un sens précis et exigeant — et la plupart des outils qui prétendent « anonymiser » font en réalité quelque chose que le règlement traite très différemment. Se tromper sur cette distinction est une erreur de conformité aussi courante que coûteuse.
Points essentiels
- Au regard du RGPD, une donnée n'est « anonymisée » que si la réidentification n'est raisonnablement possible par personne — et une donnée véritablement anonymisée sort entièrement du champ du règlement (considérant 26).
- Si vous conservez une table de correspondance ou tout chemin de retour réaliste vers l'individu, la donnée est « pseudonymisée », et non anonymisée, et demeure pleinement soumise au RGPD.
- La plupart des outils qui prétendent « anonymiser » des documents effectuent en réalité une pseudonymisation.
- Anonymiser un document sur l'appareil évite de confier la donnée d'origine, entièrement identifiée, à un sous-traitant tiers.
La réponse en bref
Au regard du RGPD, une donnée n'est anonymisée que si les individus ne peuvent plus être identifiés par quiconque, par quelque moyen raisonnablement susceptible d'être utilisé — auquel cas elle sort entièrement du champ du règlement. Si vous conservez une clé, une table de correspondance ou tout chemin de retour réaliste vers l'individu, vous n'avez fait que pseudonymiser la donnée, et elle demeure pleinement soumise au RGPD. La plupart des outils d'« anonymisation » effectuent en réalité une pseudonymisation, et c'est en confondant les deux que les organisations se font prendre en défaut.
La distinction à laquelle les autorités tiennent réellement
Le RGPD trace une ligne nette entre deux notions que l'on emploie indifféremment :
- Anonymisation — l'identification est irréversiblement impossible, pour vous comme pour des tiers, par quelque moyen raisonnablement susceptible d'être utilisé. Une donnée véritablement anonymisée est hors du champ du RGPD (considérant 26) : aucune base légale, aucun contrat de sous-traitance, aucun droit des personnes concernées.
- Pseudonymisation — les données personnelles sont remplacées par des tokens ou des codes, mais une table de correspondance (ou d'autres moyens) peut encore réidentifier la personne. C'est une mesure de sécurité reconnue (article 4, point 5), mais la donnée demeure une donnée personnelle et reste pleinement dans le champ.
Le test pratique : quelqu'un peut-il, de manière réaliste, remonter jusqu'à l'individu ? Si une clé existe quelque part, il s'agit de pseudonymisation.
Pourquoi cela induit les gens en erreur
Un outil qui remplace chaque nom par « [PERSON_14] » donne l'impression d'anonymiser. Mais si lui — ou vous — conserve la table de correspondance (ce qui est précisément ce qui rend le caviardage réversible utile), la donnée est pseudonymisée, et non anonymisée. Ce n'est pas un défaut ; c'est un statut juridique différent, assorti d'obligations différentes. L'erreur consiste à croire que vous êtes sorti du champ du RGPD alors que ce n'est pas le cas.
Un guide de décision rapide
| Ce que vous avez fait | Statut au regard du RGPD | Conséquence |
|---|---|---|
| Retiré tous les identifiants, conservé aucune clé, réidentification non raisonnablement possible | Anonymisé | Hors du champ du RGPD |
| Remplacé les identifiants par des tokens, conservé une table de correspondance | Pseudonymisé | Toujours une donnée personnelle, toujours dans le champ |
| Tracé des rectangles noirs mais laissé un texte extractible en dessous | Ni l'un ni l'autre — une violation en puissance | Pleine responsabilité, plus un faux sentiment de sécurité |
Comment l'anonymisation sur l'appareil renforce votre posture de conformité
Il y a deux bénéfices indépendants :
- Réduire l'identifiabilité — que ce soit jusqu'à l'anonymisation complète ou jusqu'à la pseudonymisation — diminue les données personnelles que vous exposez lors du partage de documents.
- Le faire sur l'appareil signifie que vous ne confiez pas le document d'origine, entièrement identifié, à un sous-traitant tiers juste pour l'anonymiser — ce qui exigerait en soi un contrat de sous-traitance et créerait une nouvelle exposition. Le traitement local conserve les données personnelles brutes sur votre propre machine ; voyez le caviardage sans le cloud.
Anonymiser des données en les téléversant vers un outil cloud, c'est un peu comme détruire un document en commençant par l'envoyer par la poste à un inconnu.
Questions fréquentes
Anonymiser des données supprime-t-il mes obligations au titre du RGPD ?
Uniquement s'il s'agit d'une véritable anonymisation — irréversible, sans chemin de retour réaliste. Si vous conservez une table de correspondance, c'est de la pseudonymisation et vos obligations demeurent.
Les données pseudonymisées peuvent-elles être partagées librement ?
Non. Ce sont toujours des données personnelles. Elles peuvent être partagées sous réserve de garanties appropriées, mais elles ne sont pas hors du champ du RGPD.
Laquelle utiliser : l'anonymisation ou la pseudonymisation ?
Cela dépend du besoin : suppression définitive et irréversible pour les données que vous n'aurez jamais à récupérer ; tokenisation réversible lorsque vous devez pouvoir rattacher les valeurs en interne.
En résumé
Avant de vous fier au mot « anonymisé », demandez-vous si quelqu'un pourrait, de manière réaliste, réidentifier la personne. Si une clé existe, traitez la donnée comme toujours dans le champ — et gardez l'ensemble du processus sur votre propre machine afin de ne jamais exposer l'original au départ.
promptShield anonymise les PDF et les documents Office entièrement sur votre propre appareil, de sorte que les données personnelles d'origine n'atteignent jamais un sous-traitant tiers — avec à la fois le caviardage définitif et la tokenisation réversible, pour que vous puissiez adapter la méthode à votre base légale. Essayez-le sur votre propre document.
