Au sens du RGPD, une donnée n'est anonyme que si plus personne ne peut raisonnablement retrouver la personne à qui elle se rapporte. Dès qu'une clé ou une table de correspondance existe quelque part, la donnée est seulement pseudonymisée. Elle reste alors une donnée personnelle, et le règlement s'applique en entier.
Pourquoi le mot compte autant
Écrire « données anonymisées » dans un registre des activités de traitement simplifie la suite. Une donnée réellement anonyme sort en effet du champ du RGPD. Base légale, information des personnes, durée de conservation, contrat avec le prestataire, analyse d'impact : rien de tout cela ne s'applique plus.
Le mot vient souvent de l'outil lui-même, dont la documentation commerciale parle d'anonymisation. Or il a en droit un sens précis, que la plupart de ces outils ne remplissent pas.
Ce que disent le texte et les autorités
Le considérant 26 du RGPD exclut du règlement les informations anonymes. Pour savoir si une personne reste identifiable, il faut tenir compte de tous les moyens raisonnablement susceptibles d'être utilisés, par quiconque. Le coût, le temps et les technologies disponibles entrent en ligne de compte.
L'article 4, point 5), définit la pseudonymisation : les données ne peuvent plus être attribuées à une personne sans informations supplémentaires, conservées séparément. Autrement dit, la personne est masquée, mais le moyen de la retrouver existe toujours.
Selon l'avis du G29 de 2014 sur les techniques d'anonymisation, aucune technique ne suffit à elle seule à rendre des données anonymes. Les lignes directrices du CEPD de 2025, le texte le plus récent, confirment qu'une donnée pseudonymisée reste une donnée personnelle.
La CNIL reprend les trois critères du G29 : l'individualisation, la corrélation et l'inférence. Au Royaume-Uni, l'ICO se demande ce que pourrait obtenir un « intrus motivé », compétent mais sans moyens exceptionnels. Cette approche ne s'applique pas en France, mais elle aide à se poser les bonnes questions.
Quatre questions pour appliquer le critère du raisonnable
Le RGPD n'exige pas une réidentification absolument impossible. Le seuil reste pourtant élevé, parce qu'il vaut à l'égard de n'importe qui et qu'il évolue avec les outils. Posez donc ces quatre questions, dans l'ordre.
- Une clé, une table de correspondance ou une copie des originaux existe-t-elle encore, sur un poste, chez un prestataire ou dans une sauvegarde ? Si oui, la donnée est pseudonymisée.
- Peut-on isoler une personne ? Si une seule salariée de la comptabilité a été licenciée en mars, le dossier la désigne, même sans son nom.
- Peut-on relier le fichier à une autre source ? Une date de naissance, une commune et la fin d'un RIB suffisent souvent.
- Peut-on déduire une information sur quelqu'un ? Un arrêt de travail suivi d'un aménagement de poste en dit long sur sa santé.
La première question écarte le plus de fichiers, et c'est pourtant la moins posée. Remplacer un NIR par un code ne change rien à sa nature tant qu'une table relie l'un à l'autre.
Pourquoi un codage n'est pas une anonymisation
Quand un fichier ressort couvert de codes, on écrit « anonymisé » comme on écrirait « envoyé », pour constater qu'une opération a été faite. En droit, pourtant, le mot affirme que plus personne ne peut retrouver les personnes. Or un codage n'est utile que parce qu'on peut revenir en arrière, grâce à la table de correspondance. C'est cette table qui rend fausse la phrase « nous avons anonymisé ».
Or une donnée que l'on croit anonyme n'est plus traitée comme personnelle : pas de durée de conservation, un prestataire sans contrat adapté, une analyse d'impact qui conclut à un risque négligeable. Les personnes concernées perdent alors les garanties du règlement.
Ce que la pseudonymisation impose encore
Le RGPD encourage la pseudonymisation : protection dès la conception (article 25), sécurité (article 32), recherche (article 89), traitement ultérieur compatible (article 6, paragraphe 4). Elle ne dispense pas pour autant des autres obligations. La base légale, l'information, la conservation, les droits des personnes et l'encadrement des transferts restent dus.
Un prestataire qui traite ces données pour vous reste un sous-traitant au sens de l'article 28. Pour un avocat ou un expert-comptable s'ajoute le secret professionnel, que le RGPD ne règle pas. Voyez à ce sujet comment caviarder un PDF juridique sans passer par le cloud.
Ce que fait notre propre outil
Encoder remplace chaque valeur détectée par un code court et réversible. La correspondance reste dans le Registre de codes, sur votre machine, et Décoder s'en sert pour restituer le texte. C'est donc de la pseudonymisation réversible, décrite dans notre article sur le codage réversible.
Le Registre est un fichier SQLite local, volontairement non chiffré, car les documents sources sont déjà en clair sur le même disque. Son export, en revanche, est un fichier JSON en clair, qui réidentifie entièrement tout document encodé qu'il accompagne. Chaque dossier a ses propres codes. Seuls les codes ajoutés à la main dans le Registre valent pour toute la Bibliothèque.
Caviarder, à l'inverse, supprime le texte au lieu de le masquer. La suppression vaut aussi hors de la page visible : métadonnées XMP, texte des PDF balisés, champs de formulaire. C'est l'option qui peut approcher l'anonymisation, si aucune table n'est exportée et si le reste du document résiste aux quatre questions.
La détection combine des motifs (NIR, IBAN, RIB) et un modèle qui reconnaît les noms et les organisations. Une couche facultative fondée sur un modèle de langage s'y ajoute, désactivée par défaut. Aucun modèle local ne repère pourtant tous les identifiants, d'où l'étape Réviser.
L'application de bureau fonctionne hors ligne, et l'offre Pro supprime aussi la vérification de licence et les rapports de plantage. L'application gratuite pour navigateur envoie un signal anonyme à son lancement. Dans les deux cas, le document ne quitte pas votre machine.
La mention à porter au registre
La formulation exacte est moins flatteuse : « données pseudonymisées, table de correspondance conservée localement, accès réservé aux personnes habilitées ». Elle restera vraie le jour où la CNIL vous demandera de la justifier, ce que l'article 5, paragraphe 2, vous oblige à pouvoir faire.
Questions fréquentes
L'anonymisation me libère-t-elle de mes obligations ?
Pour des données réellement anonymes, oui, puisque le considérant 26 les place hors du règlement. Deux réserves s'imposent toutefois. D'abord, selon le G29, l'opération d'anonymisation est elle-même un traitement. Ensuite, une réidentification impossible aujourd'hui peut devenir possible demain, avec une nouvelle source.
Faut-il anonymiser ou pseudonymiser ?
Tout dépend du besoin de revenir un jour à l'original. S'il existe, pseudonymisez, et dites-le dans votre registre. Sinon, supprimez les identifiants. Vérifiez ensuite que le reste ne permet ni d'isoler une personne, ni de la relier à une autre source, ni de déduire quoi que ce soit sur elle.
Chiffrer la table de correspondance suffit-il ?
Non. Une table chiffrée reste une clé, et quiconque peut la déchiffrer peut réidentifier les personnes. C'est d'ailleurs pourquoi notre Registre de codes n'est pas chiffré : sa protection repose sur le poste qui l'héberge.