Le 16 janvier 2025, le Comité européen de la protection des données (CEPD) a adopté ses lignes directrices 01/2025 sur la pseudonymisation, soumises à consultation publique jusqu’au 14 mars 2025. Elles arrivent à point pour les équipes qui hésitent entre chiffrement ou tokenisation pour protéger un fichier de salariés ou une base de données de santé. Les deux techniques rendent la donnée illisible, mais ne produisent pas les mêmes effets au regard du RGPD, et aucune n’aboutit à une anonymisation.
Trois techniques, trois mécanismes
Le chiffrement classique, par exemple en AES-256, transforme une valeur à l’aide d’une clé. Le résultat n’a plus la forme de la donnée d’origine : un numéro de sécurité sociale devient une suite de caractères sans rapport. Quiconque détient la clé retrouve la valeur.
Le chiffrement préservant le format (FPE, dont l’algorithme FF1 est le plus connu) produit un résultat qui ressemble à la donnée d’origine : un numéro à quinze chiffres reste un numéro à quinze chiffres. L’intérêt est pratique, les applications existantes acceptent la valeur chiffrée sans modification de leurs champs. Au regard du RGPD, il s’agit toujours d’un chiffrement, et la clé suffit à revenir au clair.
La tokenisation par coffre remplace la valeur par un jeton aléatoire, sans lien mathématique avec elle. La correspondance entre jeton et valeur réelle est conservée dans un coffre, lui-même chiffré et isolé. Pour retrouver la donnée, il faut accéder au coffre. Une analyse publiée par Veilio résume bien la différence face à un vol : une copie chiffrée reste une donnée en attente de sa clé, alors qu’un jeton isolé ne contient rien tant que le coffre tient.
Chiffrement ou tokenisation : la qualification RGPD
L’article 4, point 5, du RGPD définit la pseudonymisation comme un traitement qui empêche d’attribuer les données à une personne précise sans recourir à des informations supplémentaires, à condition que celles-ci soient conservées séparément et protégées par des mesures techniques et organisationnelles. La séparation fait partie de la définition.
Une tokenisation dont le coffre est géré à part, avec des droits d’accès distincts, répond à cette définition. Un chiffrement dont la clé est stockée sur le même serveur que les données, accessible aux mêmes administrateurs, y répond beaucoup plus difficilement. Le CEPD demande au responsable de définir un « domaine de pseudonymisation », c’est-à-dire le périmètre des personnes et systèmes qui ne doivent pas pouvoir réattribuer les données, et de vérifier que les informations de rattachement n’y entrent pas.
Les données pseudonymisées restent des données personnelles pour le responsable de traitement qui peut les réidentifier. Le CEPD le rappelle, et l’arrêt de la Cour de justice du 4 septembre 2025 (C-413/23 P, CEPD contre CRU) l’a confirmé tout en précisant qu’un destinataire dépourvu de moyens raisonnables de réidentification peut, de son côté, ne pas traiter de données personnelles. Cette nuance intéresse les transmissions à un prestataire ou à un partenaire de recherche. Elle ne change rien pour l’organisme qui garde la clé ou le coffre.
L’anonymisation suppose que la réidentification devienne impossible par des moyens raisonnables, pour quiconque, y compris le responsable lui-même (considérant 26). Un coffre que l’organisme peut ouvrir, une clé qu’il conserve : dans les deux cas, on reste dans le champ du RGPD, avec toutes ses obligations.
Ce que la pseudonymisation apporte concrètement
Elle figure parmi les mesures de sécurité citées par l’article 32 et parmi les moyens de protection dès la conception de l’article 25. Elle pèse aussi lors d’une violation : l’article 34 dispense d’informer les personnes lorsque les données ont été rendues incompréhensibles pour qui n’est pas autorisé à y accéder, ce qui suppose que la clé ou le coffre n’ait pas été compromis en même temps que la base.
Choisir pour des données de santé ou des données RH
Pour une base de données de santé exploitée au quotidien par des professionnels qui ont besoin de la valeur réelle, le chiffrement au repos et en transit est la base, et la gestion des clés (stockage dans un module dédié, rotation, séparation des rôles) détermine sa valeur réelle. L’hébergement de données de santé et les référentiels de l’ANS ajoutent leurs propres exigences.
Pour des extractions destinées à des statistiques, à un entrepôt de données ou à un prestataire qui n’a pas besoin de l’identité, la tokenisation par coffre est souvent plus adaptée : le destinataire travaille sur des jetons stables, le rattachement reste chez le responsable.
Côté RH, le chiffrement préservant le format rend service pour protéger un numéro de sécurité sociale ou un IBAN dans un logiciel de paie qui impose un format de champ. Il ne dispense pas de restreindre les accès : un gestionnaire de paie qui voit la donnée en clair à l’écran n’est pas protégé par le chiffrement de la base.
Ce que l’organisme doit vérifier
- Où sont stockées les clés ou le coffre, et qui peut y accéder : si ce sont les mêmes personnes que pour les données, la séparation exigée par l’article 4, point 5, n’est pas acquise.
- Le registre des traitements et la documentation de sécurité décrivent-ils la technique réellement employée, sans la qualifier d’anonymisation ?
- Les contrats avec l’éditeur ou l’hébergeur précisent-ils qui gère les clés ?
- La procédure de violation de données prévoit-elle de vérifier si la clé ou le coffre ont été atteints avant de conclure à l’absence de risque ?
- L’analyse d’impact, quand elle est requise, tient-elle compte de la mesure retenue et de ses limites ?
Les DPO du réseau DPO FRANCE aident les établissements de santé, services de santé au travail et directions RH à choisir la mesure de protection adaptée et à la documenter. DPO SUITE conserve la description des mesures de sécurité par traitement, les analyses d’impact et le registre des violations, avec les éléments qui permettent de justifier le choix retenu.
