Anonymisation, pseudonymisation, caviardage : quelle différence ?

Une donnée anonymisée ne permet plus à quiconque d'identifier la personne par des moyens raisonnables : le RGPD ne s'applique plus. Une donnée pseudonymisée peut encore être rattachée à la personne grâce à une information supplémentaire, comme une clé ou l'original : elle reste personnelle pour qui la détient. Le caviardage n'est pas une catégorie juridique : c'est le fait de masquer des passages d'un document, et le résultat peut relever de l'un ou de l'autre.

Que dit le RGPD sur l'anonymisation et la pseudonymisation ?

Le RGPD ne définit que la pseudonymisation. Selon l'article 4, point 5, elle empêche d'attribuer les données à une personne précise sans informations supplémentaires, conservées séparément et protégées par des mesures techniques et organisationnelles.

L'anonymisation n'est pas définie dans les articles. Le considérant 26 trace la frontière : des données pseudonymisées attribuables à une personne grâce à des informations supplémentaires concernent une personne identifiable. On tient compte de tous les moyens raisonnablement susceptibles d'être utilisés, par le responsable du traitement ou un tiers, en pesant le coût, le temps et la technologie.

Il n'y a dès lors pas lieu d'appliquer les principes relatifs à la protection des données aux informations anonymes, à savoir les informations ne concernant pas une personne physique identifiée ou identifiable, ni aux données à caractère personnel rendues anonymes de telle manière que la personne concernée ne soit pas ou plus identifiable. (RGPD, considérant 26)

Une information réellement anonyme sort donc du RGPD ; une donnée pseudonymisée y reste. Pour la CNIL, elle conserve un caractère personnel, et la pseudonymisation est réversible, contrairement à l'anonymisation. Son exemple : une base de CV où seuls les noms sont remplacés par des numéros est pseudonymisée, pas anonymisée.

Pourquoi remplacer un nom par une étiquette est-il une pseudonymisation ?

Prenez un courrier de réclamation visant une salariée, Claire Exemple. Vous remplacez partout son nom par [NOM1], son e-mail par [EMAIL1] et le nom d'un collègue par [NOM2]. Le texte reste lisible : on suit qui a fait quoi. C'est l'intérêt des étiquettes cohérentes, et c'est pourquoi il s'agit d'une pseudonymisation.

Le groupe de l'article 29, prédécesseur du Comité européen de la protection des données, l'explique dans son avis 05/2014 : remplacer un attribut par un autre est une mesure de sécurité utile, pas une méthode d'anonymisation. La CNIL reprend les trois critères de cet avis.

• Individualisation : peut-on isoler ce qui concerne une personne ? Avec [NOM1], oui : chaque phrase sur elle porte la même étiquette.
• Corrélation : peut-on relier des données sur la même personne, ici ou ailleurs ? L'étiquette commune le permet.
• Inférence : peut-on déduire, de façon quasi certaine, une information nouvelle sur elle ? Son poste, son équipe, la date de l'incident peuvent suffire.

Le 4 septembre 2025, la Cour de justice de l'Union européenne a apporté une nuance (affaire C-413/23 P). L'affaire visait les institutions de l'Union, mais la Cour lit la notion de donnée personnelle comme dans le RGPD. Des données pseudonymisées ne sont pas personnelles en toute hypothèse et pour toute personne. Pour un destinataire sans moyen raisonnable de réidentifier, elles peuvent ne pas l'être. Pour qui détient les informations supplémentaires, comme vous avec l'original, elles le restent.

Qu'est-ce que le caviardage, et où se situe-t-il ?

Le caviardage, ou occultation, se fait sur un document : vous y masquez un nom, un numéro de compte, une signature, un visage. Sa forme classique est la barre noire. Le mot décrit ce que vous faites à la page, pas le statut juridique de ce qui reste.

Ce statut dépend du résultat. Noircissez les noms d'un contrat en laissant l'adresse, le poste et les dates : les personnes restent le plus souvent identifiables. Remplacer les valeurs par des étiquettes est aussi un caviardage, qui produit un document pseudonymisé.

Laquelle choisir pour votre document ?

1. 1Listez qui verra le document et ce que chacun doit lire.
2. 2Repérez les identifiants directs : noms, e-mails, téléphones, adresses, numéros d'identité et de compte, signatures, photos.
3. 3Repérez les identifiants indirects : postes, dates rares, lieux, petites équipes, faits inhabituels.
4. 4Choisissez des barres noires si le lecteur n'a pas besoin du contenu, des étiquettes s'il doit suivre qui est qui. Pour un fichier public, visez l'anonymisation.
5. 5Exportez une copie aplatie, sans métadonnées, puis collez son texte dans un éditeur et cherchez un nom masqué.
6. 6Relisez comme un inconnu. Si vous devinez de qui il s'agit, masquez davantage ou traitez le fichier comme une donnée personnelle.

J'ai retiré les noms : mon document est-il anonyme ?

Presque jamais. Selon la CNIL, croiser plusieurs informations peut suffire à identifier quelqu'un : une adresse, une date de naissance, l'appartenance à une association. Imaginez un rapport disciplinaire sans le nom de Claire Exemple. Il dit encore : la seule pharmacienne de nuit du site de Villeneuve, embauchée en mars 2019. Tout collègue la reconnaît.

Pour la CNIL, l'anonymisation rend toute identification impossible en pratique, de manière irréversible. L'ICO britannique propose le test de l'intrus motivé : une personne raisonnablement compétente, avec Internet, des bibliothèques et des documents publics, pourrait-elle identifier quelqu'un ? Si oui, le fichier n'est pas anonyme.

Que faire concrètement ?

Employez le bon mot : masqué, caviardé ou pseudonymisé, pas anonymisé si ce n'est pas le cas. Traitez ensuite le fichier comme une donnée personnelle : peu de destinataires, un canal sécurisé, une suppression après usage. Travaillez toujours sur une copie.

Un éditeur PDF avec fonction de caviardage, un logiciel spécialisé ou un outil dans le navigateur peuvent faire ce travail. ONYRI Sanitize est de ce dernier type : la détection et le masquage se font dans votre navigateur, sans envoi du fichier. Il propose des barres noires ou, avec la formule Pro, des étiquettes cohérentes, et exporte toujours un PDF ou une image aplatis. Sa détection n'est pas exhaustive : vérifiez chaque élément avant de télécharger. Masquer réduit l'exposition sans rendre, à soi seul, un document anonyme.