Anonymisation

L’anonymisation rend irréversiblement impossible l’identification d’une personne dans un jeu de données. La CNIL la décrit comme un ensemble de techniques qui empêchent l’identification « par quelque moyen que ce soit et de manière irréversible ». Une donnée réellement anonyme sort du champ du RGPD, selon son considérant 26. La pseudonymisation, elle, laisse les données dans ce champ.

Comment ça fonctionne ?

L’anonymisation se juge sur trois critères posés par le G29 en 2014. L’avis 05/2014 du groupe de travail « Article 29 » (WP216), adopté le 10 avril 2014, les définit ainsi.

• Individualisation : la possibilité d’isoler les enregistrements qui identifient une personne.
• Corrélation : la capacité de relier au moins deux enregistrements relatifs à la même personne, dans une base ou entre deux bases.
• Inférence : la possibilité de déduire, avec une probabilité élevée, la valeur d’un attribut à partir d’autres attributs.

La CNIL range les techniques d’anonymisation en deux familles : randomisation et généralisation. La randomisation altère les valeurs en gardant leur répartition globale. La généralisation réduit la précision, par exemple l’année de naissance au lieu de la date complète. Selon la CNIL, un jeu qui ne remplit pas les trois critères exige une évaluation démontrant un risque de réidentification négligeable.

Exemple

Le prix Netflix illustre une anonymisation mise en échec par recoupement. L’avis 05/2014 du G29 rapporte les travaux d’Arvind Narayanan et Vitaly Shmatikov, présentés à l’IEEE Symposium on Security and Privacy en 2008. Selon l’avis, 8 évaluations de films données sur 14 jours suffisaient à rendre un enregistrement unique. Les chercheurs ont rapproché le jeu publié par Netflix d’une base publique d’évaluations, IMDB, pour réidentifier des utilisateurs. Le recoupement avec une source ouverte, méthode ordinaire de l’OSINT, a suffi.

À ne pas confondre avec

• Pseudonymisation : elle remplace les identifiants directs par un alias et reste réversible avec une information supplémentaire. Selon le G29, elle constitue « une mesure de sécurité utile, mais non une méthode d’anonymisation ».
• Chiffrement : le détenteur de la clé retrouve toutes les données en clair. Selon le G29, les données personnelles y figurent toujours, sous forme chiffrée ; l’article 32 du RGPD le range parmi les mesures de sécurité.
• Réidentification : l’opération inverse, qui rattache à une personne des données présentées comme anonymes. Elle mesure l’échec d’une anonymisation.

Ce que dit le droit

Le considérant 26 du RGPD exclut les informations anonymes du règlement. Une personne reste identifiable si des moyens « raisonnablement susceptibles d’être utilisés » permettent de l’identifier. Le texte cite le coût, le temps nécessaire et les technologies disponibles au moment du traitement.

• Traitement préalable : selon le G29, anonymiser constitue un traitement ultérieur de données personnelles, qui doit être compatible avec la finalité d’origine.
• Pas d’obligation générale : la CNIL précise que le RGPD n’impose pas d’anonymiser. L’article 89 demande toutefois de travailler sans identification quand la recherche ou la statistique le permet.
• Fausse anonymisation : un jeu publié comme anonyme mais contenant des données personnelles peut constituer une violation de données, selon la CNIL. Il faut alors le retirer et, en cas de risque, notifier la CNIL.
• Relativité : la CJUE a jugé le 4 septembre 2025 (C-413/23 P) que des données pseudonymisées ne sont pas personnelles « en toute hypothèse et pour toute personne ». Le détail figure dans la fiche pseudonymisation.

À jour au 27/09/2026.