Réidentification

Ce que ça change pour une organisation

La réidentification consiste à retrouver l’identité d’une personne dans un jeu de données dont les identifiants directs ont été retirés, en le recoupant avec d’autres sources. Ce risque sépare la pseudonymisation de l’anonymisation : selon la CNIL, la pseudonymisation est réversible et les données conservent un caractère personnel, alors que l’anonymisation doit rendre toute identification impossible en pratique et de manière irréversible.

Les autorités européennes retiennent trois critères pour juger qu’un jeu de données est anonyme : on ne doit pouvoir ni isoler un individu (individualisation), ni relier des jeux de données distincts concernant une même personne (corrélation), ni déduire de façon quasi certaine de nouvelles informations sur elle (inférence). À défaut de les remplir parfaitement, le responsable du traitement doit démontrer, par une évaluation approfondie, que le risque d’identification par des moyens raisonnablement susceptibles d’être utilisés est négligeable, puis assurer une veille, les techniques évoluant.

Exemple

Dans une étude de 2000 fondée sur le recensement américain de 1990, Latanya Sweeney a établi que 87 % de la population (216 millions sur 248 millions) avait probablement une combinaison unique de code postal à cinq chiffres, de sexe et de date de naissance. Elle a montré qu’en recoupant sur ces trois champs une liste électorale achetée vingt dollars avec des données hospitalières sans nom, on pouvait rattacher des diagnostics à des personnes nommées.

En France, la CNIL a écarté en mai 2026 l’argument d’IQVIA selon lequel ses entrepôts de santé étaient anonymes, au vu d’un identifiant unique par patient, de la profondeur des données et de leur combinaison possible avec des données publiques.

À ne pas confondre avec

• La pseudonymisation, qui remplace les identifiants directs par des alias tout en laissant la réidentification possible ; les données restent personnelles.
• L’anonymisation, procédé visant à rendre la réidentification impossible en pratique ; c’est le risque de réidentification qui permet de vérifier qu’elle est réussie.
• L’identification directe, qui s’appuie sur un identifiant explicite comme un nom ou un numéro, alors que la réidentification exploite des recoupements indirects.