La pseudonymisation figure noir sur blanc dans le RGPD, aux articles 25 et 32. Elle remplace les identifiants directs par des pseudonymes, tout en gardant une clé de correspondance stockée à part. Résultat : la donnée reste exploitable pour vos analyses, mais devient bien plus difficile à rattacher à une personne. Attention à ne pas confondre. Une donnée pseudonymisée n’est pas anonyme. Elle demeure une donnée personnelle, soumise à l’intégralité de vos obligations.
Qu’est-ce que la pseudonymisation, concrètement ?
L’article 4.5 du RGPD la définit précisément. C’est un traitement qui empêche d’attribuer une donnée à une personne sans recourir à une information supplémentaire.
En clair, vous séparez la donnée utile de l’élément qui identifie. Le nom devient un code. L’adresse email devient un jeton. La table de correspondance, elle, part dans un espace chiffré à accès restreint.
La clé de correspondance concentre tout le risque. Traitez-la comme votre actif le plus sensible : accès nominatif, journalisation, sauvegarde chiffrée et séparée.
L’intérêt : garder des statistiques ou un suivi client fiables, sans exposer l’identité. Voici ce que cela donne sur une fiche type.
| Champ | Avant | Après pseudonymisation |
|---|---|---|
| Nom | Marie Dupont | USR-4821 |
| marie.d@exemple.fr | Jeton aléatoire | |
| Clé de correspondance | Aucune | Stockée à part, chiffrée |
Les champs analytiques, eux, restent intacts. Vous conservez l’âge, la région ou l’historique d’achat, sans le nom en clair.
Pseudonymisation ou anonymisation : quelle différence ?
La distinction tient en un mot : la réversibilité. La pseudonymisation se remonte avec la clé. L’anonymisation, jamais.
Une donnée anonymisée sort du champ du RGPD, car plus personne ne peut identifier l’individu. Une donnée pseudonymisée y reste, car le lien existe toujours quelque part.
- Pseudonymisation : réversible, reste une donnée personnelle, toutes les obligations s’appliquent.
- Anonymisation : irréversible, sort du RGPD, plus aucune réidentification possible.
Un exemple parle de lui-même. Remplacer un nom par le code USR-4821 relève de la pseudonymisation. Agréger mille profils en une seule statistique sans détail individuel relève, lui, de l’anonymisation. La différence de valeur, en cas de fuite, est énorme.
Le Conseil d’État l’a confirmé : tant que le risque de réidentification n’est pas négligeable, la donnée reste protégée. Ne présentez donc jamais une base pseudonymisée comme anonyme dans vos documents.
Que protège vraiment la pseudonymisation ?
Elle agit sur deux leviers du RGPD. D’abord la sécurité, exigée par l’article 32. Ensuite la minimisation, l’un des grands principes du RGPD.
Elle sert aussi la protection dès la conception. Limiter d’emblée les données identifiantes accessibles réduit la surface d’exposition de chaque service.
Son intérêt se voit surtout lors d’une fuite. Si un attaquant exfiltre une base pseudonymisée sans la clé, il récupère des codes inexploitables. L’impact réel chute fortement.
Concrètement, une base de codes seuls a une valeur quasi nulle pour un attaquant. C’est tout l’intérêt défensif de la démarche.
Cette réduction pèse dans votre analyse en cas de violation de données. Elle peut éviter une notification aux personnes quand le risque résiduel devient faible. Les règles à suivre sont détaillées par la CNIL.
Arbitrer entre pseudonymisation et anonymisation, choisir la bonne technique, documenter le tout : un accompagnement DPO externalisé pour sécuriser vos traitements vous fait gagner un temps précieux et évite les erreurs coûteuses.
Comment la mettre en place en pratique ?
Plusieurs techniques existent. Aucune n’est parfaite. Le choix dépend de vos usages et du niveau de risque visé.
- Tokenisation : l’identifiant laisse place à un jeton sans lien mathématique avec l’original.
- Hachage avec sel : un algorithme transforme la donnée, le sel bloque les tables précalculées.
- Chiffrement : la clé permet de revenir à l’original, elle doit rester strictement isolée.
Trois règles valent pour toutes ces méthodes. Séparez physiquement la clé, restreignez les accès, tracez chaque consultation. Sans ces garde-fous, la mesure perd tout son sens.
Pensez enfin à décrire la mesure dans votre registre des traitements. Ce sujet devient critique pour les données de santé, où la réidentification expose à des conséquences lourdes.
FAQ
La pseudonymisation est-elle obligatoire ?
Le RGPD ne l’impose pas systématiquement. Il la cite comme mesure de sécurité et de minimisation recommandée. Pour un traitement à risque élevé, elle devient toutefois difficile à écarter. Votre analyse d’impact tranche au cas par cas selon la sensibilité des données concernées.
Une donnée pseudonymisée doit-elle figurer au registre ?
Oui. Elle reste une donnée personnelle. Le traitement s’inscrit donc au registre, avec la finalité, la base légale et les mesures de sécurité appliquées. Mentionner la pseudonymisation valorise votre démarche et documente concrètement le niveau de protection que vous avez retenu.
Le hachage suffit-il à pseudonymiser ?
Pas toujours. Un hachage sans sel reste vulnérable aux tables précalculées, surtout sur des données prévisibles comme un email. Ajoutez un sel, protégez la fonction, et vérifiez que la réidentification exige une information gardée séparément, idéalement hors de la base.
Peut-on rendre une base pseudonymisée anonyme ?
Oui, en supprimant définitivement la clé et tout moyen de réidentification, direct ou indirect. L’opération doit être irréversible et vérifiée. Tant qu’un lien subsiste, même chez un tiers, la base reste pseudonymisée, et donc pleinement soumise au RGPD.
