Qu'est-ce que l'anonymisation ? Définition, méthodes et exemples

La définition de l'anonymisation selon le RGPD et la CNIL

Le RGPD ne définit pas l'anonymisation dans son article 4, mais il en fixe les effets dans son considérant 26 : les principes de protection des données ne s'appliquent pas aux informations anonymes, c'est-à-dire ne concernant pas une personne identifiée ou identifiable, ni aux données rendues anonymes de telle manière que la personne n'est plus identifiable. Pour en juger, le texte demande de tenir compte de l'ensemble des moyens raisonnablement susceptibles d'être utilisés, au regard du coût, du temps nécessaire et de l'état de la technique.

La CNIL, dans sa fiche sur l'anonymisation des données personnelles, la décrit comme un ensemble de techniques visant à rendre impossible, en pratique, toute identification de la personne, par quelque moyen que ce soit et de manière irréversible. Trois critères permettent de vérifier le résultat :

• l'individualisation : on ne peut plus isoler une personne dans le jeu de données ;
• la corrélation : on ne peut plus relier ces données à d'autres données concernant la même personne ;
• l'inférence : on ne peut plus déduire avec quasi-certitude une information nouvelle sur une personne.

Deux conséquences en découlent. D'abord, l'anonymisation s'apprécie au cas par cas, selon les informations dont dispose le destinataire : un document anonyme pour un lecteur extérieur peut rester identifiant pour un collègue de la personne. Ensuite, elle est une opération irréversible : si une table permet de retrouver les noms, les données sont pseudonymisées et restent des données personnelles. Les textes applicables sont rassemblés sur la page réglementation.

Les méthodes d'anonymisation : randomisation et généralisation

L'avis 05/2014 du G29, le groupe des autorités européennes devenu le Comité européen de la protection des données, classe les techniques d'anonymisation en deux grandes familles, souvent combinées. La CNIL reprend cette classification.

Ces techniques ont été pensées pour des bases de données. Pour un document (contrat, compte rendu, courrier, rapport), la démarche s'adapte en quatre gestes :

1. supprimer les identifiants directs : nom, adresse, email, téléphone, numéro de sécurité sociale, IBAN ;
2. masquer par une étiquette neutre, comme [PERSONNE] ou [ADRESSE], quand la mention doit rester visible ;
3. généraliser les identifiants indirects : âge plutôt que date de naissance, région plutôt qu'adresse, « un cadre du service » plutôt que l'intitulé exact du poste ;
4. vérifier les contenus cachés (métadonnées, commentaires, historique) et relire le résultat avec les trois critères.

Le remplacement d'un nom par un alias stable, comme PERSONNE_001, n'est pas en lui-même une anonymisation : c'est une pseudonymisation, utile et légitime, mais réversible tant que la correspondance existe quelque part. Elle ne devient une étape vers l'anonymisation que si la table est détruite, ou jamais créée, et si les identifiants indirects ont aussi été traités.

Exemples d'anonymisation réussie et d'anonymisation manquée

• Un modèle de contrat de travail. Le service RH retire le nom, l'adresse et le numéro de sécurité sociale du salarié, remplace la rémunération par une tranche et l'intitulé du poste par une fonction générique. Le modèle peut circuler sans désigner personne.
• Un cas clinique pour l'enseignement. Le compte rendu perd l'identité du patient, mais aussi la commune, la date d'admission et la profession, qui suffiraient à le reconnaître dans un petit établissement.
• Les décisions de justice en accès libre. Les noms des personnes physiques parties ou tiers sont occultés avant diffusion, et les autres éléments identifiants peuvent l'être aussi lorsque leur divulgation porterait atteinte à la sécurité ou à la vie privée des personnes.

À l'inverse, un exemple célèbre montre les limites d'une anonymisation superficielle. En 2006, AOL a publié des millions de requêtes de recherche où chaque utilisateur était remplacé par un simple numéro. Des journalistes du New York Times ont pourtant retrouvé l'identité de l'une des personnes à partir du contenu de ses recherches : noms de lieux, de commerces, de proches. Le numéro était un pseudonyme ; le contenu restait identifiant.

Biffer aide à appliquer ces principes sur votre ordinateur, hors ligne. Le logiciel détecte les identifiants directs et les champs propres à 18 métiers, vous laisse choisir pour chaque type de donnée entre pseudonymiser, masquer ou conserver, et vide les métadonnées. Sans table de correspondance, et après traitement des identifiants indirects, le document se rapproche de l'anonymisation ; la relecture finale vous revient. La page anonymiser un document détaille ces réglages.