Dans l'ère numérique actuelle, où la protection des données et la confidentialité des utilisateurs sont des enjeux majeurs, l'anonymisation de données émerge comme une solution incontournable pour concilier sécurité et exploitation des informations. Dans cet article, nous allons plonger au cœur de cette pratique cruciale en explorant principes fondamentaux, méthodes de mise en œuvre et enjeux.
Rappel anonymisation vs pseudonymisation
Premièrement, il est indispensable de rappeler la distinction entre anonymisation et pseudonymisation, qui sont des notions différentes mais très souvent confondues. Au premier abord, le terme « anonymisation » évoque la notion de masque, de dissimulation. On s'imagine alors que le principe d'anonymisation revient à masquer les attributs directement identifiants d'un individu (nom, prénom, numéro de sécurité sociale etc.). Ce raccourci constitue justement le piège à éviter. En effet, le masquage de ces paramètres définit plutôt une pseudonymisation. La pseudonymisation implique la substitution de données directement identifiantes par des données indirectement identifiantes alors que l'anonymisation, elle, vise à rendre impossible la réidentification des individus à partir des données traitées.
1.1 Comprendre les deux notions en détails…
Selon la CNIL, la pseudonymisation est un « traitement de données personnelles réalisé de manière qu'on ne puisse plus attribuer les données relatives à une personne physique sans information supplémentaire ». Elle constitue une des mesures recommandées par le RGPD pour limiter les risques liés au traitement de données personnelles. Mais la pseudonymisation n'est pas une méthode d'anonymisation. La pseudonymisation réduit simplement la corrélation d'un jeu de données avec l'identité originale d'un individu concerné et constitue par conséquent une mesure de sécurité utile mais non absolue. En effet, comme dit précédemment, la pseudonymisation consiste à remplacer les données directement identifiantes (nom, prénom...) d'un jeu de données par des données indirectement identifiantes (alias, numéro dans un classement, etc.) empêchant ainsi la réidentification directe des individus. Cela implique donc que la pseudonymisation ne constitue pas une protection infaillible car l'identité d'un individu peut être déduite à partir d'une combinaison de plusieurs informations appelée "quasi identifiants". Ainsi, en pratique, des données pseudonymisées restent potentiellement réidentifiantes indirectement par croisement d'informations. L'identité de l'individu peut être trahie par une de ses caractéristiques indirectement identifiantes. Cette transformation est donc réversible, justifiant le fait que des données pseudonymisées soient toujours considérées comme des données personnelles. À ce jour, les techniques de pseudonymisation les plus utilisées reposent sur des systèmes cryptographiques à clé secrète, des fonctions de hachage, du chiffrement déterministe ou encore de la Tokenization.
L'anonymisation, elle, consiste à utiliser des techniques de façon à rendre impossible, en pratique, la réidentification des individus à l'origine des données personnelles anonymisées. Ce traitement a un caractère irréversible qui implique que les données anonymisées ne sont plus considérées comme des données personnelles, sortant ainsi du cadre d'application du RGPD. Pour caractériser l'anonymisation, le groupe de travail « Article 29 » (G29, auquel a succédé le Comité européen de la protection des données, CEPD) retient 3 critères dans son avis 05/2014 sur les techniques d'anonymisation (WP216, adopté le 10 avril 2014) :
- Individualisation : les données anonymes ne doivent pas permettre de distinguer un individu. De ce fait, même en disposant de l'ensemble des informations quasi identifiantes relatives à un individu, il doit être impossible de distinguer celui-ci dans une base une fois anonymisé.
- Corrélation : les données anonymes ne doivent pouvoir être ré-identifiées en les croisant avec d'autres jeux de données. Ainsi il doit être impossible de relier deux ensembles de données provenant de sources différentes concernant le même individu. Une fois anonymisées, les données de santé d'un individu ne doivent pas pouvoir être reliées à ses données bancaires sur la base d'informations communes.
- Inférence : les données ne doivent pas permettre de déduire de l'information additionnelle sur un individu de façon raisonnable. Il doit être par exemple impossible de déterminer avec certitude l'état de santé d'un individu à partir de données anonymes. C'est lorsque ces trois critères sont respectés que des données sont considérées comme anonymes à proprement parlé. Elles changent alors de statut juridique : elles ne sont plus considérées comme des données personnelles et sortent du cadre du RGPD.
1.2 Un exemple concret illustrant les risques de la pseudonymisation
L'« affaire AOL (America On Line)» illustre de manière parfaite le malentendu qui existe entre la pseudonymisation et l'anonymisation. En 2006, une base de données contenant vingt millions de mots-clés figurant dans les recherches effectuées par plus de 650000 utilisateurs au cours d'une période de 3 mois a été diffusée publiquement, sans autre mesure destinée à préserver la vie privée que le remplacement de l'identifiant d'utilisateur AOL par un attribut numérique (pseudonymisation). Malgré ce traitement, l'identité et la localisation de certains utilisateurs ont été rendues publiques. En effet, les requêtes transmises à un moteur de recherches, surtout si elles peuvent être couplées avec d'autres attributs, comme les adresses IP ou d'autres paramètres de configuration, ont un potentiel d'identification très élevé. Cet incident ne constitue qu'un exemple parmi les nombreux écueils montrant qu'un ensemble de données pseudonymisées n'est pas anonyme ; le simple fait de modifier l'identité n'empêche pas un individu d'être ré-identifié à partir d'informations quasi identifiantes (âge, sexe, code postal). Dans de nombreux cas, il peut se révéler aussi facile d'identifier un individu dans un ensemble de données pseudonymisées qu'à partir des données originales (jeu du « Qui est ce ? »). Ainsi, ces distinctions cruciales sont à prendre en compte dans vos projets pour garantir à la fois la sécurité des données et leur utilité.
2. Pourquoi anonymiser des données ?
Anonymiser des données est indispensable pour plusieurs raisons fondamentales. Tout d'abord, l'anonymisation est la seule technique garantissant au plus au point la protection de la vie privée des individus en évitant les risques de ré-identification des personnes concernées par les données. Cette mesure renforce la conformité aux réglementations de protection des données telles que le RGPD, assurant ainsi la confiance des utilisateurs. Ensuite, l'anonymisation permet une réutilisation libre et sécurisée des données. En éliminant les contraintes liées à la confidentialité, les entreprises peuvent exploiter ces données pour des analyses, développer la recherche, l'IA ou même des développements de produits, sans compromettre la vie privée des individus. Enfin, au-delà de la protection de la vie privée, anonymiser les données peut également apporter d'autres gains significatifs. Cela inclut une réduction des coûts liés à la gestion et à la sécurité des données sensibles, la réduction du risque d'amende par la CNIL, ainsi qu'une amélioration de la confiance des clients et des partenaires dans les pratiques de l'entreprise en matière de confidentialité des données. En somme, l'anonymisation des données constitue une pratique idéale pour concilier les impératifs de protection de la vie privée avec les besoins croissants en matière d'exploitation et d'analyse des données.
3. Les méthodes d'anonymisation : ce que dit l'avis 05/2014 du G29
L'avis 05/2014 (WP216) range les techniques d'anonymisation en deux familles : la randomisation, qui altère la véracité des données, et la généralisation, qui en dilue la précision. Chaque technique y est évaluée au regard des trois critères vus plus haut (individualisation, corrélation, inférence), avec ses erreurs courantes et ses échecs documentés. La conclusion de l'avis est sans ambiguïté : aucune technique ne satisfait à elle seule, de façon certaine, les trois critères. Un processus d'anonymisation robuste combine donc plusieurs techniques, choisies au cas par cas selon le contexte et la finalité.
3.1 La randomisation : altérer la véracité des données
- Ajout de bruit : les attributs sont rendus moins précis tout en conservant la distribution générale (l'avis prend l'exemple d'une taille mesurée au centimètre et publiée à ± 10 cm près). Le bruit ne suffit jamais seul : l'avis cite la base Netflix, « anonymisée » par suppression des identifiants et léger bruit sur les notes, dans laquelle 99 % des utilisateurs restaient identifiables de manière unique à partir de 8 évaluations et de dates connues à 14 jours près (Narayanan et Shmatikov, 2008).
- Permutation : les valeurs d'un attribut sont échangées entre enregistrements, ce qui conserve exactement leur distribution mais casse le lien avec l'individu. Piège classique : permuter au hasard des attributs logiquement liés. Si le revenu est permuté indépendamment de la situation professionnelle, l'incohérence (un PDG à 5 000, un chômeur à 43 000) se voit et la permutation peut être inversée.
- Confidentialité différentielle : le responsable ne publie pas la base, il répond à des requêtes en ajoutant un bruit calibré aux résultats. Deux limites relevées par l'avis : tant que les données d'origine sont conservées, les résultats restent des données personnelles pour celui qui les détient ; et faute de journal des requêtes, un attaquant peut les enchaîner jusqu'à isoler une personne. Il faut donc tracer les requêtes, car leur caractère intrusif est cumulatif.
3.2 La généralisation : diluer les attributs
- Agrégation et k-anonymat : chaque individu est regroupé avec au moins k autres qui partagent les mêmes valeurs d'attributs (une région plutôt qu'une ville, une année plutôt qu'une date de naissance, une tranche de salaire de 20 000 à 30 000 EUR plutôt qu'un montant). Le k-anonymat protège bien contre l'individualisation mais pas contre l'inférence : si toutes les personnes nées en 1964 d'un groupe partagent le même diagnostic, savoir qu'une personne née en 1964 figure dans la base suffit à connaître son diagnostic. Autres erreurs relevées par l'avis : ignorer certains quasi-identifiants pour gonfler artificiellement k, ou retenir un k trop faible.
- l-diversité : extension du k-anonymat qui impose, dans chaque classe d'équivalence, au moins l valeurs différentes pour l'attribut sensible. L'inférence n'est plus certaine, mais elle reste probabiliste si les valeurs sont mal réparties (une classe de 11 personnes dont 10 ont le même diagnostic ne protège presque rien).
- t-proximité : affinement de la l-diversité, qui exige que la répartition des valeurs sensibles dans chaque classe reste proche de leur répartition dans l'ensemble de la base.
3.3 Ce que chaque technique laisse passer
L'avis résume les forces et faiblesses de chaque technique au regard des trois risques (individualisation / corrélation / inférence) :
- Pseudonymisation : risque d'individualisation oui, de corrélation oui, d'inférence oui. C'est la confirmation qu'elle n'anonymise pas.
- Hachage / tokenisation : oui / oui / peut-être pas.
- Ajout de bruit : oui / peut-être pas / peut-être pas.
- Permutation (« substitution » dans le tableau de l'avis) : oui / oui / peut-être pas.
- Agrégation ou k-anonymat : non / oui / oui.
- l-diversité : non / oui / peut-être pas.
- Confidentialité différentielle : peut-être pas / peut-être pas / peut-être pas.
Lecture opérationnelle : les techniques de généralisation traitent l'individualisation, celles de randomisation limitent l'inférence, et c'est leur combinaison, documentée, qui permet de viser les trois critères.
3.4 Mettre en œuvre : les bonnes pratiques du G29 et de la CNIL
- Partir de la finalité. La fiche CNIL « L'anonymisation de données personnelles » (19 mai 2020) recommande d'identifier les informations à conserver, de distinguer l'important du secondaire et de définir la finesse acceptable pour chaque information conservée.
- Supprimer les identifiants directs et les valeurs rares. L'exemple de la CNIL : l'âge suffit à ré-identifier un centenaire.
- Documenter la technique employée. Le G29 recommande de divulguer la technique ou la combinaison de techniques appliquée, surtout avant une diffusion du jeu de données.
- Ne pas « publier et oublier ». Le risque résiduel se réévalue régulièrement, car les techniques de ré-identification progressent. À défaut de remplir parfaitement les trois critères, la CNIL demande de démontrer, par une évaluation approfondie, que le risque de ré-identification par des moyens raisonnablement susceptibles d'être utilisés est négligeable.
- Anticiper l'échec. Selon la CNIL, un jeu de données publié comme « anonyme » qui contient en réalité des données personnelles peut constituer une violation de données : retrait immédiat, notification à la CNIL si la violation présente un risque (article 33 du RGPD), information des personnes si ce risque est élevé (article 34).
L'anonymisation est elle-même un traitement de données personnelles, qui doit trouver sa place dans votre registre avec sa finalité et sa base légale. Pour documenter ces évaluations sans y passer vos journées, découvrez Leto en démo.
3.5 2026 : le CEPD met à jour la doctrine de 2014
Le 7 juillet 2026, le CEPD a adopté les lignes directrices 02/2026 sur l'anonymisation, soumises à consultation publique jusqu'au 30 octobre 2026. Elles se présentent comme la mise à jour de l'avis 05/2014 et intègrent l'arrêt de la CJUE du 4 septembre 2025 (C-413/23 P, CEPD contre CRU). Elles reprennent trois critères (pas d'isolement d'un enregistrement, pas de liaison, pas d'inférence) et précisent qu'un responsable ayant évalué un jeu de données comme anonyme selon l'avis 05/2014 avant leur publication n'a pas à refaire cette évaluation, une réévaluation périodique restant une bonne pratique. Notre analyse : Anonymisation RGPD : l'EDPB propose de réécrire la doctrine de 2014. Pour la frontière avec la pseudonymisation, voir aussi notre guide sur les enjeux de la pseudonymisation des données.
Questions fréquemment posées
Quelle est la différence entre anonymisation et pseudonymisation ?
La pseudonymisation remplace les identifiants directs (nom, numéro client) par un alias : les données peuvent encore être rattachées à une personne avec des informations supplémentaires, elles restent donc des données personnelles soumises au RGPD (article 4, point 5). L'anonymisation rend la ré-identification impossible en pratique et de manière irréversible : les données sortent du champ du RGPD. Dans son avis 05/2014, le G29 rappelle que la pseudonymisation n'est pas une méthode d'anonymisation.
Des données anonymisées sont-elles encore soumises au RGPD ?
Non, dès lors que l'anonymisation est effective : le considérant 26 du RGPD exclut les données rendues anonymes de telle manière que la personne concernée n'est pas ou plus identifiable. Deux réserves toutefois. L'opération d'anonymisation est elle-même un traitement de données personnelles, qui doit reposer sur une base légale. Et si le risque de ré-identification par des moyens raisonnablement susceptibles d'être utilisés n'est pas négligeable, les données redeviennent des données personnelles.
Quels sont les 3 critères pour vérifier qu'une donnée est anonyme ?
L'avis 05/2014 du G29, repris par la CNIL, retient l'individualisation (impossible d'isoler un individu dans le jeu de données), la corrélation (impossible de relier des ensembles de données concernant un même individu) et l'inférence (impossible de déduire, de façon quasi certaine, une information nouvelle sur un individu). Les lignes directrices 02/2026 du CEPD, en consultation jusqu'au 30 octobre 2026, conservent ce triptyque.
Quelle technique d'anonymisation choisir ?
Aucune ne suffit seule. D'après l'avis 05/2014, aucune technique ne satisfait de façon certaine aux trois critères : le k-anonymat empêche l'individualisation mais pas l'inférence, l'ajout de bruit limite l'inférence mais laisse l'individualisation possible. Le choix se fait au cas par cas, en combinant généralisation et randomisation selon la finalité, la nature des données et les destinataires du jeu de données.
Faut-il refaire ses anonymisations après les lignes directrices 02/2026 du CEPD ?
Pas obligatoirement. Le CEPD précise qu'un responsable ayant évalué un jeu de données comme anonyme selon l'avis 05/2014 avant la publication des nouvelles lignes directrices n'est pas tenu de refaire cette évaluation. Il recommande en revanche de réévaluer périodiquement la probabilité de ré-identification, ce que l'avis de 2014 demandait déjà.
Sources
- Groupe de travail « Article 29 », avis 05/2014 sur les techniques d'anonymisation (WP216), adopté le 10 avril 2014.
- CNIL, L'anonymisation de données personnelles, 19 mai 2020.
- CEPD, lignes directrices 02/2026 sur l'anonymisation, version 1.0 adoptée le 7 juillet 2026 pour consultation publique.
