Mise à jour octobre 2026 : méthodes de l'avis 05/2014 et ce que chacune garantit, affaire AOL, bonnes pratiques de mise en œuvre (G29 et CNIL), lignes directrices 02/2026 du CEPD.
L'anonymisation des données personnelles est l'une des stratégies les plus puissantes pour être conforme au RGPD tout en conservant la valeur de vos données. Mais attention : une "fausse anonymisation" peut vous exposer à des sanctions sévères. Ce guide expert vous explique tout.
Par définition, une donnée personnelle est "toute information se rapportant à une personne physique identifiée ou identifiable" (article 4 du RGPD). En d'autres termes, dès lors qu'une information permet d'identifier directement ou indirectement une personne physique, cette information est une donnée personnelle et est soumise au RGPD.
Pour qu'une donnée ne soit plus une donnée personnelle, il faut donc que cette donnée ne permette plus du tout d'identifier directement ou indirectement une personne physique. C'est précisément le rôle et l'objectif de l'anonymisation des données.
On peut donc définir l'anonymisation des données comme étant le processus de modification d'une information afin qu'elle ne permette plus d'identifier directement ou indirectement une personne physique.
Dans cet article, vous trouverez :
- La définition complète et les enjeux de l'anonymisation des données ;
- La distinction entre anonymisation, pseudonymisation et chiffrement ;
- Les techniques d'anonymisation de l'avis 05/2014 et ce que chacune laisse passer ;
- Les 3 critères pour vérifier la robustesse de votre anonymisation ;
- Un guide pratique de mise en œuvre, et ce que changent les lignes directrices 02/2026 du CEPD.
Anonymisation vs pseudonymisation : différences essentielles
L'anonymisation : sortir du champ du RGPD
Une donnée est anonymisée quand il n'est plus possible d'identifier la personne physique à laquelle cette donnée se rapporte, de façon irréversible.
Le règlement européen précise ainsi dans son considérant 26 que :
"Les principes de la protection des données ne devraient donc pas s'appliquer aux informations anonymes, c'est-à-dire aux informations ne concernant pas une personne physique identifiée ou identifiable, ni aux données à caractère personnel rendues anonymes de telle manière que la personne concernée n'est plus identifiable."
Ce texte est très important. Il signifie que si vous anonymisez correctement vos données, vous pouvez utiliser librement ces données sans être concerné par le RGPD. C'est donc un outil formidable pour les entreprises qui veulent faire de l'analyse de données, de la data science ou de l'IA sans être soumises aux contraintes du RGPD.
Attention toutefois : comme nous allons le voir, il peut être très difficile d'anonymiser correctement des données, et les cas de ré-identification sont nombreux. L'opération d'anonymisation est d'ailleurs elle-même un traitement de données personnelles : elle doit avoir une finalité et une base légale, et figurer dans votre registre.
La pseudonymisation : réduire les risques sans sortir du RGPD
La pseudonymisation est définie à l'article 4 du RGPD comme le "traitement de données à caractère personnel de telle façon que celles-ci ne puissent plus être attribuées à une personne concernée précise sans avoir recours à des informations supplémentaires, pour autant que ces informations supplémentaires soient conservées séparément et soumises à des mesures techniques et organisationnelles afin de garantir que les données à caractère personnel ne sont pas attribuées à une personne physique identifiée ou identifiable".
En clair : la pseudonymisation remplace les données identifiantes par des pseudonymes (tokens, hachages, codes), mais conserve une clé de correspondance. La ré-identification reste possible avec cette clé.
⚠️ Contrairement à l'anonymisation, les données pseudonymisées restent des données personnelles soumises au RGPD. La pseudonymisation est une mesure de sécurité recommandée (article 32 RGPD), pas une échappatoire au RGPD.
L'affaire AOL : pseudonymiser n'est pas anonymiser
L'affaire AOL illustre le malentendu. En 2006, AOL diffuse publiquement environ vingt millions de requêtes saisies par plus de 650 000 utilisateurs sur trois mois, avec pour seule protection le remplacement de l'identifiant de chaque utilisateur par un numéro. Malgré cette pseudonymisation, l'identité et la localisation de certains utilisateurs ont été retrouvées : des requêtes de moteur de recherche, surtout croisées avec d'autres attributs, ont un très fort potentiel d'identification. Changer l'identifiant n'empêche pas de ré-identifier une personne à partir de ses quasi-identifiants (âge, sexe, code postal, habitudes de recherche).
Tableau comparatif : Anonymisation vs Pseudonymisation vs Chiffrement
Pour résumer et comprendre les différences clés :
Anonymisation : Supprime tout lien avec la personne de manière irréversible. Résultat : Données anonymes (hors RGPD). Usage : Analyses statistiques, R&D, IA, open data.
Pseudonymisation : Remplace les identifiants par des pseudonymes (clé conservée). Résultat : Données personnelles (dans le RGPD). Usage : R&D médicale, tests logiciels, analytique interne.
Chiffrement : Rend les données illisibles sans clé de déchiffrement. Résultat : Données personnelles (dans le RGPD). Usage : Protection en transit, stockage sécurisé, accès restreint.
Les techniques d'anonymisation reconnues par le CEPD
La référence reste l'avis 05/2014 sur les techniques d'anonymisation (WP216), adopté le 10 avril 2014 par le groupe de travail « Article 29 » (G29), auquel a succédé le Comité européen de la protection des données (CEPD) en 2018. Il range les techniques en deux familles : la randomisation, qui altère la véracité des données, et la généralisation, qui en dilue la précision. Chaque technique y est évaluée au regard des trois critères présentés plus bas, avec ses erreurs courantes. Sa conclusion : aucune technique ne satisfait seule, de façon certaine, les trois critères. Un processus robuste en combine plusieurs, choisies selon le contexte et la finalité.
1. Les techniques de randomisation
La randomisation consiste à modifier les valeurs des données de manière à ce qu'elles ne correspondent plus exactement aux valeurs réelles des individus, tout en conservant certaines propriétés statistiques du jeu de données.
Principales méthodes de randomisation :
- Ajout de bruit (noise addition) : Modification de valeurs numériques en ajoutant un bruit aléatoire. Ex : un âge de 35 ans devient 33 ou 37 ans aléatoirement. Le bruit ne suffit jamais seul : l'individu reste isolable, seule la valeur est faussée.
- Permutation (shuffling) : Mélange des valeurs d'un attribut entre les différents enregistrements, ce qui conserve exactement leur distribution. Ex : les codes postaux de 1000 clients sont redistribués aléatoirement entre eux. Piège classique relevé par l'avis : permuter indépendamment des attributs logiquement liés. Si le revenu est permuté sans la situation professionnelle, l'incohérence (un PDG à 5 000, un chômeur à 43 000) se voit et la permutation peut être inversée.
- Confidentialité différentielle : le responsable ne publie pas la base, il répond à des requêtes en ajoutant un bruit calibré aux résultats. Deux limites relevées par l'avis : tant que les données d'origine sont conservées, les résultats restent des données personnelles pour celui qui les détient ; et faute de journal des requêtes, un attaquant peut les enchaîner jusqu'à isoler une personne. Les requêtes doivent donc être tracées.
2. Les techniques de généralisation
La généralisation consiste à remplacer une valeur précise par une valeur plus générale, moins discriminante. Cette approche réduit la granularité des données.
Principales méthodes de généralisation :
- Agrégation statistique : Remplacement de valeurs individuelles par des statistiques de groupe (moyenne, médiane, fourchette). Ex : au lieu du salaire exact (52 340€), on indique la tranche (50 000-55 000€).
- Suppression / masquage : Suppression pure et simple de certains attributs identifiants ou de parties d'une valeur. Ex : un numéro de sécurité sociale "1 85 02 75 056 088 65" devient "1 85 02 75 *** *** **"
- Floutage géographique : Remplacement d'une adresse précise par une zone géographique plus large. Ex : au lieu de "12 rue de la Paix, Paris 75001", on indique "Paris 1er" ou "Île-de-France".
- K-anonymat : Garantit que chaque combinaison de quasi-identifiants apparaît au moins k fois dans le jeu de données. Ex : si k=5, au moins 5 personnes partagent la même combinaison âge/sexe/code postal. Le k-anonymat protège contre l'individualisation, pas contre l'inférence : si toutes les personnes d'un groupe partagent le même diagnostic, savoir qu'une personne y figure suffit à connaître le sien. Autres erreurs relevées par l'avis : ignorer certains quasi-identifiants pour gonfler artificiellement k, ou retenir un k trop faible.
- L-diversité : Améliore le k-anonymat en garantissant que chaque groupe d'équivalence contient au moins l valeurs distinctes pour les attributs sensibles. L'inférence n'est plus certaine, mais elle reste probable si les valeurs sont mal réparties.
- T-proximité : affinement de la l-diversité, qui exige que la répartition des valeurs sensibles dans chaque groupe reste proche de leur répartition dans l'ensemble de la base.
3. Les données synthétiques et autres méthodes avancées
Ces techniques créent de nouveaux jeux de données qui préservent les propriétés statistiques des données originales sans contenir de données réelles.
- Données synthétiques (Synthetic Data) : Génération d'un nouveau jeu de données statistiquement représentatif mais sans correspondance avec des individus réels. Technologie émergente utilisant l'IA générative (GANs, VAEs). Elle n'est pas traitée par l'avis de 2014 : un modèle entraîné sur des données réelles peut en mémoriser certaines, et le jeu généré doit être évalué avec les mêmes trois critères.
4. Ce que chaque technique laisse passer
L'avis 05/2014 résume les risques résiduels de chaque technique, dans l'ordre individualisation / corrélation / inférence :
- Pseudonymisation : oui / oui / oui. C'est la confirmation qu'elle n'anonymise pas.
- Hachage / tokenisation : oui / oui / peut-être pas.
- Ajout de bruit : oui / peut-être pas / peut-être pas.
- Permutation (« substitution » dans le tableau de l'avis) : oui / oui / peut-être pas.
- Agrégation ou k-anonymat : non / oui / oui.
- L-diversité : non / oui / peut-être pas.
- Confidentialité différentielle : peut-être pas / peut-être pas / peut-être pas.
Lecture opérationnelle : la généralisation traite l'individualisation, la randomisation limite l'inférence, et c'est leur combinaison, documentée, qui permet de viser les trois critères.
Les 3 critères CEPD pour valider une anonymisation robuste
L'avis 05/2014 définit 3 critères pour évaluer la robustesse d'une technique d'anonymisation, repris par la CNIL et aujourd'hui par le CEPD. Ces critères sont cumulatifs : une anonymisation doit résister aux trois pour être considérée comme véritablement efficace.
Critère 1 : Individualisation
Est-il possible d'isoler un individu dans le jeu de données ?
Une bonne technique d'anonymisation doit rendre impossible l'identification d'un enregistrement unique correspondant à un individu spécifique.
Exemple d'échec : Un jeu de données médicales avec âge, sexe et code postal permet souvent d'identifier des individus uniques, surtout pour les profils rares (femme de 95 ans dans un village de 200 habitants).
Critère 2 : Corrélation (ou "linkability")
Est-il possible de relier plusieurs enregistrements concernant la même personne dans un même jeu de données ou entre plusieurs jeux de données ?
Une bonne anonymisation doit également protéger contre les attaques de liaison entre différentes bases de données.
Exemple d'échec célèbre : En 2006, Netflix a publié un jeu de données "anonymisé" des notes de films d'environ 500 000 abonnés, sans identifiants et avec un léger bruit. Des chercheurs (Narayanan et Shmatikov, 2008, cités par l'avis 05/2014) ont montré que 8 notes et des dates connues à 14 jours près suffisaient à identifier de manière unique 99 % des abonnés, et ont relié certains d'entre eux à leurs avis publics sur IMDb.
Critère 3 : Inférence
Est-il possible de déduire avec une probabilité significative des informations sur un individu, même sans l'identifier formellement ?
Ce critère vise à protéger contre les attaques d'inférence : même sans identifier précisément une personne, la capacité à déduire des informations sensibles la concernant constitue une atteinte à sa vie privée.
Exemple d'échec : L'avis 05/2014 prend un jeu de données de santé k-anonymisé et l-diversifié dans lequel un groupe de 11 personnes compte 10 fois le même diagnostic. Personne n'y est isolable, mais savoir qu'une personne appartient à ce groupe permet de déduire sa pathologie avec une probabilité de plus de 90 %. Ce jeu de données n'est pas anonyme et doit être protégé au titre des données personnelles.
Aucune technique ne remplit seule ces trois critères de façon certaine. À défaut, la CNIL demande de démontrer, par une évaluation approfondie, que le risque de ré-identification par des moyens raisonnablement susceptibles d'être utilisés est négligeable.
Mettre en œuvre une anonymisation : les bonnes pratiques du G29 et de la CNIL
- Partir de la finalité. La fiche CNIL « L'anonymisation de données personnelles » (19 mai 2020) recommande d'identifier les informations à conserver, de distinguer l'important du secondaire et de définir la finesse acceptable pour chaque information conservée.
- Supprimer les identifiants directs et les valeurs rares. L'exemple de la CNIL : l'âge suffit à ré-identifier un centenaire.
- Documenter la technique employée. Le G29 recommande de divulguer la technique ou la combinaison de techniques appliquée, surtout avant une diffusion du jeu de données.
- Ne pas « publier et oublier ». Le risque résiduel se réévalue régulièrement, car les techniques de ré-identification progressent.
- Anticiper l'échec. Selon la CNIL, un jeu de données publié comme « anonyme » qui contient en réalité des données personnelles peut constituer une violation de données : retrait immédiat, notification à la CNIL si la violation présente un risque (article 33 du RGPD), information des personnes si ce risque est élevé (article 34).
2026 : le CEPD met à jour la doctrine de 2014
Le 7 juillet 2026, le CEPD a adopté les lignes directrices 02/2026 sur l'anonymisation, soumises à consultation publique jusqu'au 30 octobre 2026. Elles se présentent comme la mise à jour de l'avis 05/2014 et intègrent l'arrêt de la CJUE du 4 septembre 2025 (C-413/23 P, CEPD contre CRU). Elles reprennent trois critères (pas d'isolement d'un enregistrement, pas de liaison, pas d'inférence) et précisent qu'un responsable ayant évalué un jeu de données comme anonyme selon l'avis 05/2014 avant leur publication n'a pas à refaire cette évaluation, une réévaluation périodique restant une bonne pratique. Notre analyse : Anonymisation RGPD : l'EDPB propose de réécrire la doctrine de 2014.
Pour vous aider à chaque étape de votre conformité, pensez à utiliser Leto, le logiciel RGPD. Réserver une démo avec nos experts.
Questions fréquentes sur l'anonymisation des données
Quelle est la différence entre anonymisation et pseudonymisation ?
L'anonymisation rend l'identification d'une personne physique impossible en pratique et de manière irréversible : les données sortent du champ du RGPD. La pseudonymisation remplace les identifiants directs par des alias (tokens, hachages), mais la ré-identification reste possible avec des informations supplémentaires, comme la clé de correspondance : ces données restent des données personnelles soumises au RGPD (article 4, point 5). Dans son avis 05/2014, le G29 rappelle que la pseudonymisation n'est pas une méthode d'anonymisation.
Quelles sont les techniques d'anonymisation reconnues par l'avis 05/2014 ?
L'avis 05/2014 du G29, dont le CEPD est le successeur, distingue deux familles : la randomisation (ajout de bruit, permutation, confidentialité différentielle), qui altère la véracité des données, et la généralisation (agrégation, k-anonymat, l-diversité, t-proximité), qui en réduit la précision. Les données synthétiques, plus récentes, ne sont pas traitées par cet avis et doivent être évaluées avec les mêmes critères. Chaque technique présente des compromis entre utilité des données et niveau d'anonymisation.
Quelle technique d'anonymisation choisir ?
Aucune ne suffit seule. D'après l'avis 05/2014, aucune technique ne satisfait de façon certaine aux trois critères : le k-anonymat empêche l'individualisation mais pas l'inférence, l'ajout de bruit limite l'inférence mais laisse l'individualisation possible. Le choix se fait au cas par cas, en combinant généralisation et randomisation selon la finalité, la nature des données et les destinataires du jeu de données.
Quels sont les 3 critères du CEPD pour valider une vraie anonymisation ?
L'avis 05/2014, repris par la CNIL, retient trois tests : l'individualisation (peut-on isoler un individu dans le jeu de données ?), la corrélation (peut-on relier des enregistrements concernant la même personne, dans un jeu ou entre plusieurs ?) et l'inférence (peut-on déduire avec une probabilité significative une information sur un individu ?). Si la réponse est non aux trois, l'anonymisation est considérée robuste. Ces tests tiennent compte des moyens raisonnablement susceptibles d'être utilisés pour tenter une ré-identification. Les lignes directrices 02/2026 du CEPD conservent ce triptyque.
L'anonymisation affranchit-elle définitivement du RGPD ?
Oui, à condition que l'anonymisation soit effective : le considérant 26 du RGPD exclut les données rendues anonymes de telle manière que la personne concernée n'est plus identifiable. Ces données ne sont alors plus soumises aux durées de conservation, à l'exigence de base légale ni aux droits des personnes. Deux réserves : l'opération d'anonymisation est elle-même un traitement de données personnelles, qui doit reposer sur une base légale ; et si le risque de ré-identification par des moyens raisonnablement susceptibles d'être utilisés n'est pas négligeable, les données restent des données personnelles. La preuve de l'anonymisation effective repose sur le responsable de traitement.
Quels outils utiliser pour anonymiser des données conformément au RGPD ?
Plusieurs outils existent selon la nature des données : ARX Data Anonymization Tool (open-source, spécialisé k-anonymat et l-diversité), sdcMicro (package R pour les données d'enquêtes statistiques), bibliothèques Python (pandas pour la généralisation, Faker pour la génération de données fictives), outils cloud (AWS Macie, Google Cloud DLP pour la détection et le masquage automatiques). Pour les données textuelles (emails, documents), des outils de NER (Named Entity Recognition) permettent de détecter et masquer les entités personnelles. Quelle que soit l'approche, la validation selon les 3 critères reste nécessaire avant de considérer les données comme anonymisées.
Faut-il refaire ses anonymisations après les lignes directrices 02/2026 du CEPD ?
Pas obligatoirement. Le CEPD précise qu'un responsable ayant évalué un jeu de données comme anonyme selon l'avis 05/2014 avant la publication des nouvelles lignes directrices n'est pas tenu de refaire cette évaluation. Il recommande en revanche de réévaluer périodiquement la probabilité de ré-identification, ce que l'avis de 2014 demandait déjà.
Sources
- Groupe de travail « Article 29 », avis 05/2014 sur les techniques d'anonymisation (WP216), adopté le 10 avril 2014.
- CNIL, L'anonymisation de données personnelles, 19 mai 2020.
- CEPD, lignes directrices 02/2026 sur l'anonymisation, version 1.0 adoptée le 7 juillet 2026 pour consultation publique.
