En bref
La ré-identification, c'est retrouver une personne dans des données présentées comme anonymes.
Elle passe rarement par le nom : elle vient de la combinaison d'informations banales (date de naissance, code postal, profession) ou du croisement avec une autre source.
On réduit le risque en traitant aussi ces identifiants indirects : généraliser, agréger, écarter les combinaisons trop rares.
Un nom effacé ne rend pas une personne anonyme.
Une date de naissance, un code postal et un métier laissés en clair peuvent suffire à la retrouver.
C’est le risque de ré-identification, et c’est lui qui décide si des données sont réellement anonymisées.
Qu’est-ce que la ré-identification ?
La ré-identification, c’est retrouver l’identité d’une personne à partir de données présentées comme anonymes.
Les identifiants évidents ont bien été traités : nom, e-mail, téléphone.
Mais les informations restantes, seules ou croisées avec une autre source, désignent encore quelqu’un.
Le RGPD en tire la conséquence (considérant 26) : on tient compte de tous les moyens raisonnablement susceptibles d’être utilisés pour identifier une personne.
Tant qu’une ré-identification reste raisonnablement possible, les données restent personnelles et le RGPD s’applique.
Identifiants directs et identifiants indirects
- Les identifiants directs.
Ils désignent une personne à eux seuls : nom, e-mail, numéro de téléphone, IBAN, numéro de sécurité sociale. - Les identifiants indirects, ou quasi-identifiants.
Pris un par un, ils semblent anodins : code postal, date de naissance, sexe, profession, date d’un événement.
Le danger vient de leur combinaison.
Un code postal, une date de naissance et un sexe peuvent devenir presque uniques dans une commune ou une population donnée.
Dans un document, ils se cachent aussi dans le texte libre : « notre directrice commerciale à Lyon », « le patient opéré le 12 mars ».
C’est pour cela qu’il faut analyser le contenu des comptes rendus et des champs libres, pas seulement les colonnes.
Le croisement de données : une voie fréquente
Une ré-identification ne demande souvent aucun piratage.
Il suffit de rapprocher le jeu de données d’une autre source :
- Des données publiques.
Annuaires, réseaux professionnels, presse locale. - Des bases externes.
Fichiers achetés, jeux de données publiés par d’autres organismes. - D’autres sources internes.
Base RH, CRM, historique de commandes.
Chaque croisement réussi transforme une ligne « anonyme » en personne nommée.
Les 3 critères du G29 pour mesurer le risque
L’avis 05/2014 du groupe de l’article 29 (devenu le CEPD) pose trois questions :
- L’individualisation.
Peut-on isoler une personne dans le jeu de données, même sans connaître son nom ? - La corrélation.
Peut-on relier les données d’une même personne entre deux jeux de données ? - L’inférence.
Peut-on déduire une information sur une personne avec une quasi-certitude ?
Une seule réponse positive suffit : le risque subsiste et les données ne sont pas anonymes.
En 2026, le CEPD a repris ces trois critères dans ses lignes directrices sur l’anonymisation : pas d’isolement, pas de lien, pas d’inférence.
Il précise aussi que le risque s’apprécie selon les moyens de celui qui reçoit les données.
Le détail de ces critères et des méthodes est dans notre guide de l’anonymisation des données.
Exemple : un jeu de données partagé pour une analyse interne
Une entreprise prépare un extrait pour son équipe data.
Avant le partage, elle traite les éléments évidents : nom, e-mail, numéro de téléphone.
Elle conserve en revanche une localisation très précise, des dates exactes et un historique détaillé d’actions.
En croisant cet extrait avec la base RH, le CRM ou l’historique de commandes, un analyste peut retrouver certaines personnes.
L’anonymisation n’était que partielle : le risque de ré-identification demeure.
Exemple : les projets d’IA
Les jeux de données d’entraînement sont volumineux et riches en détails.
Les croisements y sont fréquents, et un modèle peut faire ressortir des régularités inattendues.
Une anonymisation insuffisante peut donc être mise en défaut par la richesse même des données.
La préparation doit porter sur les combinaisons de variables conservées, pas seulement sur les noms.
Comment réduire le risque de ré-identification
- Repérer tous les identifiants.
Les directs comme les indirects, dans les colonnes et dans le texte libre. - Évaluer les croisements possibles.
Quelles autres sources le destinataire peut-il consulter ? - Généraliser.
Une date de naissance devient une tranche d’âge, une adresse devient une commune ou un département. - Agréger.
Des totaux ou des moyennes plutôt que des lignes individuelles, quand l’usage le permet. - Écarter les combinaisons trop rares.
Une profession unique dans une petite commune suffit à désigner quelqu’un. - Limiter les détails temporels et comportementaux.
Une date exacte ou un historique fin servent rarement l’analyse autant qu’ils exposent la personne. - Adapter le niveau de traitement à l’usage.
Une publication demande plus de précautions qu’un test interne.
L’objectif n’est pas de détruire la donnée : c’est de garder ce qui sert l’analyse en écartant ce qui identifie.
C’est tout l’enjeu de l’anonymisation statistique.
À l’inverse, remplacer les noms par des pseudonymes ne réduit pas ce risque : c’est de la pseudonymisation, et les données restent soumises au RGPD.
Avec NymData
NymData détecte les données sensibles de vos documents et de vos bases, y compris dans le texte libre, sur vos serveurs :
- Cartographie.
Vous voyez quelles données sont présentes avant de modifier quoi que ce soit. - Anonymisation.
Chaque donnée détectée est remplacée par son type ([PERSONNE], [EMAIL]…), ou caviardée dans un PDF. - Personnalisé.
Une méthode différente pour chaque type de donnée, selon l’usage prévu. - Rapport d’audit.
Chaque traitement indique ce qui a été détecté et traité.
Questions fréquentes
Qu'est-ce que la ré-identification ?
C'est le fait de retrouver l'identité d'une personne à partir de données présentées comme anonymisées.
Si elle reste raisonnablement possible, les données restent des données personnelles au sens du RGPD.
Qu'est-ce qu'un quasi-identifiant ?
Une donnée qui n'identifie pas seule une personne, mais qui y contribue une fois combinée à d'autres.
Par exemple : le code postal, la date de naissance, le sexe ou la profession.
Pourquoi supprimer le nom ne suffit-il pas ?
Parce que la combinaison des données restantes peut être unique.
Une date de naissance, un code postal et un sexe suffisent parfois à désigner une seule personne.
Comment évaluer le risque de ré-identification ?
En vérifiant les trois critères du G29 : peut-on isoler une personne, relier ses données entre deux jeux, ou déduire une information sur elle ?
Si la réponse est oui à l'un d'eux, le risque subsiste.
Des données pseudonymisées peuvent-elles être ré-identifiées ?
Oui, par définition : la correspondance avec l'identité existe quelque part.
C'est pourquoi elles restent soumises au RGPD.