La pseudonymisation remplace ce qui identifie une personne par un code; l'anonymisation rend toute identification impossible, de façon irréversible. La différence est juridique autant que technique. Une donnée pseudonymisée reste une donnée personnelle: le RGPD continue de s'appliquer, parce qu'on peut retrouver la personne avec une information supplémentaire. Une donnée anonymisée sort complètement du RGPD. Elle peut alors être réutilisée, partagée et vendue librement. Toute la question est donc de savoir de quel côté de la ligne se trouve une donnée.
Un exemple concret
Prenons une pharmacie fictive à Bordeaux qui envoie ses données de dispensation à un prestataire.
- Version d'origine: «Claire Bernard, née le 3 mars 1971, 33000 Bordeaux, metformine 1 000 mg, depuis janvier».
- Version pseudonymisée: «Patient A7F3K2, née en 1971, 33000, metformine 1 000 mg, depuis janvier». Le nom a disparu, mais un tableau de correspondance permet de retrouver Claire Bernard, et le reste des informations aussi. C'est toujours une donnée personnelle.
- Version anonymisée: «Femme, 50-59 ans, Nouvelle-Aquitaine, metformine» agrégée avec des milliers d'autres lignes, sans clé et sans possibilité raisonnable de remonter à une personne. Ce n'est plus une donnée personnelle.
La deuxième version ressemble à la troisième. Juridiquement, elles n'ont rien à voir.
La différence en détail
La pseudonymisation (article 4, point 5, du RGPD). C'est un traitement tel que les données ne peuvent plus être attribuées à une personne précise sans recourir à des informations supplémentaires, conservées séparément et protégées. Hachage d'un identifiant, remplacement du nom par un numéro, tableau de correspondance: tout cela relève de la pseudonymisation. Le RGPD la recommande comme mesure de sécurité, mais le considérant 26 est clair: une donnée pseudonymisée reste une donnée personnelle. Une nuance depuis 2025: selon la Cour de justice de l'UE (affaire CEPD contre CRU, C-413/23 P, 4 septembre 2025), pour un destinataire qui n'a aucun moyen raisonnable de réidentifier les personnes, ces données peuvent ne pas être personnelles. Pour celui qui détient la clé, elles le restent toujours.
L'anonymisation. Le RGPD ne la définit pas comme un procédé, mais par son résultat: le considérant 26 précise que les principes de protection ne s'appliquent pas aux informations anonymes, c'est-à-dire qui ne se rapportent plus à une personne identifiée ou identifiable, compte tenu de tous les moyens raisonnablement susceptibles d'être utilisés.
Les trois critères. Les autorités européennes de protection des données (le groupe de l'article 29, dans son avis de 2014 sur les techniques d'anonymisation, repris par la CNIL) retiennent trois tests. Une donnée n'est anonyme que si l'on ne peut pas:
- individualiser une personne dans le jeu de données;
- corréler des enregistrements concernant la même personne, dans un ou plusieurs jeux de données;
- inférer une information sur une personne.
Une sanction récente en France. En mai 2026, la CNIL a infligé une amende de 5 millions d'euros à une entreprise du secteur des données de santé, pour plusieurs manquements. L'entreprise soutenait que ses données de prescription étaient anonymes; la CNIL a jugé qu'elles étaient seulement pseudonymisées, car une réidentification restait possible par des moyens raisonnables. L'enjeu est exactement celui-ci: croire que retirer le nom suffit.
Ceci est une information générale, pas un conseil juridique.
Ce que la loi ne protège pas
Cette page explique la ligne. Voici ce qui se passe de l'autre côté.
- L'anonymisé est libre. Une fois la donnée réellement anonyme, ni le RGPD ni le secret professionnel ne s'y appliquent. Diagnostics, clauses de contrat, chiffres d'une note interne peuvent être regroupés, licenciés et vendus légalement, à des courtiers en données, des développeurs d'IA ou des assureurs.
- L'anonymisation est souvent le modèle économique. Beaucoup de services se réservent dans leurs conditions une licence pour réutiliser vos contenus. Anonymiser n'est pas toujours une protection pour vous: c'est parfois l'étape qui rend la revente légale.
- La réidentification est bon marché. Une étude de Latanya Sweeney a montré qu'environ 87 % des Américains sont identifiables par code postal, date de naissance et sexe. Une étude publiée en 2019 dans Nature Communications a estimé que 99,98 % des Américains pouvaient être réidentifiés à partir de 15 attributs. Les notes de films du Netflix Prize et les journaux de recherche d'AOL, publiés comme «anonymes», ont été réidentifiés. Avec l'IA, croiser des sources coûte encore moins cher.
La loi protège la partie identifiable. Ce qui reste après l'avoir retirée n'a plus de propriétaire juridique. Notre page la trace des données montre ce trajet, document par document, et pourquoi vendre des données confidentielles est légal en donne les sources.
Ce que cela signifie quand vous utilisez l'IA
Un fournisseur d'IA qui promet «nous n'utilisons que des données anonymisées» ne vous dit pas que vos données sont protégées. Vérifiez plutôt:
- Le prestataire prend-il une licence de réutilisation sur vos contenus, même anonymisés?
- Agit-il uniquement comme sous-traitant (article 28 du RGPD), sur vos instructions?
- Vos contenus servent-ils à entraîner des modèles, sous une forme ou une autre?
- Les fournisseurs de modèles appliquent-ils le zéro rétention?
Chez Wysor, il n'y a rien à anonymiser, parce que rien n'est réutilisé. Wysor agit uniquement comme sous-traitant, sur vos instructions, et ne prend aucune licence de réutilisation: vos contenus servent seulement à faire fonctionner le service pour vous. Nous n'entraînons jamais de modèle sur vos contenus et ne les vendons jamais, anonymisés ou non. Ces engagements sont inscrits dans le contrat et lient quiconque pourrait un jour posséder Wysor. Les données sont chiffrées en transit et au repos, hébergées dans l'Union européenne, et chaque fournisseur de modèle connecté (GPT, Claude, Gemini et d'autres) applique le zéro rétention.
Questions fréquentes
Une donnée pseudonymisée est-elle soumise au RGPD? Oui, pour celui qui détient la clé ou peut raisonnablement l'obtenir. Tant qu'il est possible de rattacher la donnée à une personne avec une information supplémentaire, c'est une donnée personnelle. Le considérant 26 du RGPD le précise. Pour un destinataire sans aucun moyen raisonnable de réidentification, la Cour de justice de l'UE a admis en 2025 (C-413/23 P) qu'elle peut ne pas l'être.
Quel est un exemple de pseudonymisation? Remplacer le nom d'un patient par un numéro dans un fichier, en conservant à part le tableau qui relie numéros et noms. Le hachage d'une adresse e-mail est un autre exemple courant.
L'anonymisation est-elle réversible? Par définition, non: si l'on peut revenir à la personne, la donnée n'est pas anonyme. En pratique, beaucoup de jeux de données dits anonymes se sont révélés réidentifiables.
Quelles sont les techniques d'anonymisation? Les deux grandes familles sont la randomisation (ajout de bruit, permutation) et la généralisation (agrégation, k-anonymat, tranches d'âge, zones géographiques larges). Elles doivent satisfaire les trois critères: pas d'individualisation, pas de corrélation, pas d'inférence.
Le chiffrement est-il une anonymisation? Non. Une donnée chiffrée reste personnelle, puisque la clé permet de la retrouver. Le chiffrement est une mesure de sécurité, pas une sortie du RGPD.
Pour aller plus loin
- Qu'est-ce que le RGPD? Explication simple
- Données personnelles: définition et exemples
- Données de santé: définition et RGPD
- La trace des données
- Pourquoi vendre des données confidentielles est légal
Une question sur l'anonymisation ou sur la façon dont Wysor traite vos données? Écrivez-nous à [email protected] ou via le formulaire de contact dans l'application.
