Anonymisation

Ce que ça change pour une organisation

Anonymiser n’est pas retirer les noms d’un fichier : c’est appliquer des techniques qui rendent l’identification impossible en pratique, de façon irréversible. La législation sur la protection des données ne s’applique alors plus aux données, ce qui en permet la diffusion ou la réutilisation, par exemple en données ouvertes. Le niveau d’exigence est élevé : les autorités européennes retiennent trois critères, l’impossibilité d’isoler une personne (individualisation), de relier des jeux de données concernant un même individu (corrélation) et de déduire des informations sur elle avec quasi-certitude (inférence). Si l’un d’eux n’est pas rempli, le responsable doit démontrer que le risque de ré-identification est négligeable.

L’appréciation tient compte de tous les moyens susceptibles d’être raisonnablement mis en œuvre, par le responsable ou par un tiers. L’anonymisation est elle-même un traitement ultérieur de données personnelles, qui doit être compatible avec la finalité d’origine, et un risque résiduel subsiste. Un jeu de données publié comme anonyme alors qu’il contient des données personnelles peut constituer une violation : il faut le retirer rapidement, informer la CNIL si le risque est réel et les personnes concernées si le risque est élevé.

Exemple

Le 5 septembre 2024, la CNIL a sanctionné Cegedim Santé d’une amende de 800 000 euros, notamment pour avoir traité sans autorisation des données de santé collectées auprès de médecins dans le cadre d’un « observatoire » et transmises à ses clients pour des études. La société soutenait que ces données étaient anonymes ; la CNIL a jugé qu’elles étaient seulement pseudonymes, la ré-identification des personnes restant techniquement possible, et que la réglementation s’appliquait donc.

À ne pas confondre avec

• La pseudonymisation : elle remplace les identifiants directs par un pseudonyme tout en gardant une possibilité de ré-identification avec des informations supplémentaires, de sorte que les données restent des données personnelles.
• Le simple retrait des noms et prénoms : il ne suffit pas, l’identification restant souvent possible par recoupement avec des données tierces.