Données anonymisées : définition

Une donnée anonymisée est une donnée qui a fait l’objet d’un traitement rendant impossible, en pratique et compte tenu des moyens raisonnablement susceptibles d’être utilisés, la réidentification de la personne à laquelle elle se rapportait initialement. Une fois ce seuil atteint, la donnée sort du champ d’application du RGPD, puisqu’elle ne constitue plus une donnée personnelle au sens du règlement.

Techniques d’anonymisation

La suppression des identifiants directs, comme le nom, l’adresse email ou le numéro de téléphone, peut être une étape du processus, mais elle ne suffit pas à elle seule si d’autres informations permettent une identification indirecte. La généralisation réduit la précision d’un champ, remplacer un âge exact par une tranche d’âge, ou une adresse précise par une zone géographique plus large. L’agrégation regroupe des données individuelles en statistiques portant sur un ensemble de personnes, sans conserver d’enregistrement individuel identifiable. L’ajout de bruit statistique introduit une perturbation contrôlée dans les valeurs afin de réduire le risque de reconstitution exacte, tout en cherchant à préserver l’utilité statistique globale de l’ensemble.

Distinction avec la pseudonymisation

Contrairement à l’anonymisation, la pseudonymisation remplace un identifiant par un code ou un alias, mais conserve la possibilité de revenir à l’identité d’origine à l’aide d’une information supplémentaire conservée séparément. Une donnée pseudonymisée reste donc une donnée personnelle soumise au RGPD, alors qu’une donnée véritablement anonymisée ne l’est plus.

Limites

Le Groupe de travail Article 29, prédécesseur du Comité européen de la protection des données, a souligné dans son avis 05/2014 que plusieurs méthodes d’anonymisation présentées comme robustes peuvent se révéler vulnérables à des attaques de réidentification lorsqu’elles sont croisées avec des jeux de données tiers. L’efficacité d’une anonymisation s’apprécie notamment au regard de trois risques : individualiser une personne dans un jeu de données, relier plusieurs enregistrements à une même personne, ou inférer une information la concernant.

L’anonymisation implique aussi un arbitrage entre protection et utilité : plus la donnée est transformée pour réduire le risque de réidentification, plus elle peut perdre en précision pour certains usages analytiques. Une donnée considérée comme anonymisée à un instant donné peut donc nécessiter une réévaluation si le contexte dans lequel elle est exploitée change.

Voir aussi

Données personnelles
RGPD
Sécurisation des données

Sources et références

CNIL. L’anonymisation de données personnelles. Présentation des techniques et du cadre applicable.

Groupe de travail Article 29 (2014). Avis 05/2014 sur les techniques d’anonymisation. Analyse des risques d’individualisation, de corrélation et d’inférence associés aux principales techniques d’anonymisation.