Anonymisation des données : définition, méthodes et RGPD

L’anonymisation des données est souvent réduite à « masquer des noms ».

C’est en réalité une transformation précise, avec un critère simple : plus personne ne doit pouvoir être identifié.

Ce guide donne la définition du RGPD, les critères à vérifier, les méthodes et la façon de choisir un outil.

Qu’est-ce que l’anonymisation des données ?

Anonymiser des données, c’est les transformer pour qu’aucune personne ne puisse plus être identifiée, directement ou indirectement.

La transformation doit être irréversible : aucune information, même conservée à part, ne doit permettre de revenir en arrière.

Le RGPD en tire une conséquence claire (considérant 26) : des données réellement anonymisées ne sont plus des données personnelles.

Elles sortent du champ du règlement.

C’est tout l’intérêt de l’anonymisation : une copie anonymisée peut être partagée, testée ou analysée sans exposer les personnes.

Anonymisation ou pseudonymisation : ne pas confondre

1. Pseudonymisation.
   L’identité est remplacée par un pseudonyme (Jean Dupont devient PERSON_7b94f21c). Un lien avec la personne reste possible : les données restent soumises au RGPD.
2. Anonymisation.
   Le lien est supprimé définitivement. Les données ne sont plus personnelles.

La comparaison complète est dans notre guide pseudonymisation ou anonymisation.

Les 3 critères d’une anonymisation réussie

Les autorités européennes de protection des données (avis 05/2014 du groupe de l’article 29, devenu le CEPD) retiennent trois risques à écarter :

1. L’individualisation.
   On ne doit pas pouvoir isoler une personne dans le jeu de données, même sans connaître son nom.
2. La corrélation.
   On ne doit pas pouvoir relier les données d’une même personne entre deux jeux de données.
3. L’inférence.
   On ne doit pas pouvoir déduire une information sur une personne avec une quasi-certitude.

Si l’un de ces risques subsiste, les données ne sont pas anonymes : elles sont au mieux pseudonymisées.

Les principales méthodes d’anonymisation

1. Suppression.
   La donnée est effacée du fichier : une colonne entière, ou une valeur dans un texte. Sûre, mais l’information disparaît.
2. Remplacement par le type de donnée.
   Jean Dupont devient [PERSONNE], un IBAN devient [IBAN]. Le document reste lisible et on sait ce qui a été anonymisé.
3. Caviardage.
   Dans un PDF, la donnée est recouverte d’un rectangle opaque et effacée du fichier, pas seulement cachée.
4. Généralisation.
   La précision est réduite : une date de naissance devient une tranche d’âge, un code postal devient un département. Utile pour garder une valeur statistique.
5. Agrégation.
   Les données individuelles sont regroupées en totaux ou en moyennes. Idéal pour les tableaux de bord et la publication.
6. Randomisation.
   Les valeurs sont légèrement modifiées au hasard, de façon à conserver les tendances d’ensemble.
7. Données synthétiques.
   Un jeu de données artificiel reproduit les propriétés statistiques du vrai. Il faut toutefois vérifier qu’il ne recopie pas des cas réels trop rares.

Ce qui n’est pas de l’anonymisation

Plusieurs pratiques courantes portent le nom d’anonymisation sans en être :

1. Les étoiles.
   Un UPDATE clients SET nom = '****' casse les formats (e-mail invalide, téléphone incohérent) et les liens entre tables. Les données deviennent inutilisables, et les colonnes restées en clair peuvent encore identifier quelqu’un.
2. Le chiffrement.
   Avec la clé, on retrouve la donnée d’origine. C’est une mesure de sécurité, pas une anonymisation.
3. Le hachage.
   Une même valeur donne toujours la même empreinte : on peut relier les données et, pour des valeurs prévisibles (e-mails, numéros), retrouver l’original. C’est de la pseudonymisation.
4. Les faux noms réalistes ou les identifiants internes.
   Jean Dupont devient Auguste Lacroix, ou un e-mail devient un numéro client : pratique pour les tests, mais c’est de la pseudonymisation si la correspondance existe quelque part.

Comment choisir la bonne méthode

Le choix dépend de ce que deviendront les données :

1. Partage à l’extérieur ou publication.
   Remplacement par le type de donnée ou caviardage, avec un traitement des identifiants indirects (dates, lieux, professions) : le lien avec les personnes doit disparaître.
2. Environnement de test.
   Des valeurs réalistes et cohérentes d’une table à l’autre, pour que les applications fonctionnent.
3. Analyse et statistiques.
   Généralisation et agrégation, pour garder les tendances. Voir notre article sur l’anonymisation statistique.
4. Suivi d’une même personne dans le temps.
   Un pseudonyme stable : c’est alors de la pseudonymisation, avec les obligations du RGPD qui vont avec.

Dans un même fichier, on combine souvent plusieurs méthodes : une par type de donnée.

Les étapes d’une démarche d’anonymisation

Une seule donnée oubliée suffit à identifier une personne.

Un nom masqué, mais une date de naissance, un code postal et une profession laissés en clair : la personne reste reconnaissable.

La démarche suit donc toujours le même ordre :

1. Détecter.
   Repérer toutes les données qui identifient une personne, y compris dans les champs libres, les colonnes mal nommées et le texte des documents. Voir comment identifier les données sensibles.
2. Classer.
   Distinguer les identifiants directs (nom, e-mail, IBAN) des identifiants indirects (date, lieu, profession).
3. Choisir la méthode.
   Une par type de donnée, selon l’usage prévu.
4. Traiter sur une copie.
   La source reste intacte ; seule la version anonymisée circule.
5. Vérifier le risque résiduel.
   Contrôler qu’aucune combinaison restante ne permet de ré-identifier une personne.

Logiciel d’anonymisation des données : les critères

Sur quelques fichiers, une relecture manuelle est possible.

Dès que les volumes ou les formats se multiplient, un outil devient nécessaire.

Les critères qui comptent :

1. La détection automatique.
   L’outil trouve les données personnelles dans les colonnes comme dans le texte libre, sans que vous ayez à tout lister.
2. Le choix des méthodes.
   Anonymisation, pseudonymisation, identifiant constant : selon l’usage, pas une seule règle pour tout.
3. Les formats couverts.
   Documents (PDF, Word, Excel, PowerPoint, CSV) et bases de données, avec la mise en forme conservée.
4. Le lieu du traitement.
   Pour des données sensibles, un outil installé sur vos serveurs évite de les envoyer à un service extérieur.
5. La traçabilité.
   Un rapport de ce qui a été détecté et traité, à présenter en cas de contrôle.

Avec NymData

NymData détecte les données sensibles de vos documents et de vos bases, puis applique la méthode choisie, sur vos serveurs :

1. Anonymisation.
   Chaque donnée détectée est remplacée par son type ([PERSONNE], [IBAN]…), ou caviardée dans un PDF.
2. Pseudonymisation réaliste.
   Les noms sont remplacés par d’autres noms crédibles.
3. Identifiant constant.
   Une même personne reçoit le même code (PERSON_7b94f21c) dans vos fichiers Word, Excel, CSV et vos bases, dans tout le projet.
4. Personnalisé.
   Une méthode différente pour chaque type de donnée.

Le mode Cartographie permet d’abord d’analyser les données sans rien modifier, et chaque traitement produit un rapport d’audit.

Voir comment fonctionne NymData