Définition
Pseudonymiser ou anonymiser avant une IA : la différence
Pseudonymisation et anonymisation ne sont pas la même chose. Limites selon la CNIL, critères de l'anonymat et exercice pratique avant une saisie.
Mis à jour le
Pseudonymiser et anonymiser sont deux opérations différentes, et les confondre est une erreur courante. Pseudonymiser, c'est remplacer les identifiants directs, comme un nom ou un numéro de client, par des identifiants indirects. Anonymiser, c'est rendre l'identification impossible en pratique, de manière irréversible. La CNIL le formule ainsi : la pseudonymisation est réversible, contrairement à l'anonymisation.
La conséquence est simple. Un texte pseudonymisé reste une donnée personnelle, et ses règles de saisie restent les mêmes. Une donnée anonymisée, elle, peut sortir du champ du RGPD, à condition que l'anonymat tienne réellement.
Les trois critères de l'anonymat
Les autorités européennes de protection des données retiennent trois critères. Un jeu de données est anonyme si l'on ne peut pas :
- Individualiser : isoler une personne dans le jeu de données ;
- Corréler : relier deux jeux de données distincts concernant une même personne ;
- Inférer : déduire avec une quasi-certitude de nouvelles informations sur une personne.
Les limites des techniques
La CNIL rappelle que les deux grandes familles de techniques, la randomisation et la généralisation, réduisent la précision des données. Leur exploitation future s'en trouve limitée. Si les trois critères ne sont pas tous remplis, le responsable doit démontrer, par une évaluation approfondie, que le risque de ré-identification est négligeable, en tenant compte des moyens raisonnablement susceptibles d'être utilisés.
Les techniques de ré-identification évoluent. La CNIL demande donc une veille régulière. Une anonymisation faite un jour peut ne plus tenir un autre jour.
Exercice pratique : un message client
Prenez un message réel, par exemple une demande de devis. Faites les quatre étapes sur une copie, jamais sur l'original.
| Étape | Message avant | Message après | Ce qui reste identifiant ? |
|---|---|---|---|
| 1. Retirer le nom | « Bonjour Madame Dupont, … » | « Bonjour, … » | Oui, si le reste décrit une seule personne |
| 2. Retirer l'adresse | « … au 12 rue du Port à Ciboure » | « … dans une commune du littoral » | Possible si la commune est très petite |
| 3. Retirer les dates et montants précis | « … le 14 mars, 4 800 € » | « … au printemps, un montant de l'ordre de quelques milliers d'euros » | Moins, mais une situation rare peut suffire |
| 4. Vérifier les recoupements | Qui pourrait reconnaître ce client avec ce texte ? | Décision : garder ou ne pas saisir | À trancher par le dirigeant |
L'exercice montre qu'on peut retirer des identifiants sans rendre le texte anonyme. Le dernier test est humain : si quelqu'un de l'entreprise, ou un tiers proche du client, reconnaît la personne, le texte n'est pas anonyme.
Liste de vérification
- Les noms, adresses, numéros et contacts sont retirés ou remplacés.
- Les dates, montants et lieux précis sont généralisés quand ils ne servent pas à la tâche.
- Le texte est relu pour repérer les recoupements possibles.
- Un texte pseudonymisé est traité comme une donnée personnelle.
- Les données sensibles au sens de la CNIL ne sont pas saisies, même pseudonymisées.
Les catégories qui ne doivent jamais entrer dans un outil, même pseudonymisées, sont décrites dans la page données sensibles. Le classement des documents, avant toute transformation, est traité dans la page classer ses données. Ce que la transformation ne garantit pas est repris dans la page limites.
Questions fréquentes
Un nom remplacé par un numéro rend-il une donnée anonyme ?
Non. La CNIL illustre le critère d'individualisation par une base où seul un numéro remplace le nom. Une telle base ne suffit pas à empêcher d'isoler une personne. C'est une pseudonymisation, et les données restent personnelles.
Pseudonymiser suffit-il pour saisir des données dans une IA ?
Non. La CNIL indique que, pseudonymisées, les données conservent un caractère personnel, car il est bien souvent possible de retrouver l'identité grâce à des données tierces.
Peut-on publier un jeu de données présenté comme anonyme ?
Seulement si l'anonymat est démontré. La CNIL indique que publier comme anonyme un jeu qui contient en réalité des données personnelles peut constituer une violation de données.
Sources
Pages consultées pour écrire cet article :