Le vocabulaire de l'IA

Anonymiser ou pseudonymiser : lequel des deux protège le secret ?

L'anonymisation est irréversible : les personnes ne peuvent plus être identifiées, par personne, jamais. La pseudonymisation remplace les éléments identifiants par des substituts et conserve le moyen de faire le chemin inverse. En matière juridique, c'est toujours de pseudonymisation qu'il s'agit, puisque le livrable final doit porter les vrais noms.

La différence, et pourquoi elle n'est pas cosmétique

Une donnée réellement anonymisée sort du champ du règlement européen : il n'y a plus de donnée personnelle. Une donnée pseudonymisée y reste intégralement, avec toutes les obligations qui s'y attachent.

Le critère est la réversibilité. S'il existe quelque part une table qui permet de retrouver qui est qui, la donnée est pseudonymisée, quelle que soit la solidité du procédé employé.

Pourquoi le juridique ne peut pas anonymiser

Parce qu'un acte doit désigner les parties. Une clause, un avis, des écritures ne servent à rien s'ils ne peuvent pas être remis en état nominatif.

Le processus est donc nécessairement : substituer avant traitement, traiter, puis rétablir. Un fournisseur qui parle d'anonymisation pour décrire cela décrit mal ce qu'il fait, et cette imprécision mérite d'être relevée — elle en annonce souvent d'autres.

Ce qui décide de la valeur du procédé

Une seule question : où se trouve la table de correspondance, et qui détient la clé qui permet de la lire ?

Si la table est chiffrée et que la clé reste chez vous, un tiers qui obtiendrait les données traitées obtient une structure juridique sans savoir qui elle concerne. La fuite existe et son contenu est fortement dégradé.

Si la table se trouve au même endroit que les données et est accessible aux mêmes personnes, le procédé ajoute une étape sans ajouter de barrière.

Ce qu'il faut demander à un fournisseur

Quatre questions, dont les réponses doivent être écrites et signées par quelqu'un qui engage l'entreprise.

Quels éléments sont substitués : les noms de personnes seulement, ou aussi les sociétés, les adresses, les montants, les dates ? Le périmètre varie beaucoup d'un dispositif à l'autre.

Où la substitution est-elle effectuée : chez vous avant tout envoi, ou chez le fournisseur après réception ? Dans le second cas, les données identifiantes ont déjà quitté votre infrastructure.

Où la table de correspondance est-elle conservée, et sous quel chiffrement ? Et qui détient la clé, en distinguant qui la détient techniquement de qui y a droit contractuellement.

Ce que ça ne résout pas

Le secret professionnel ne porte pas seulement sur les identités. Une opération décrite avec ses montants, son secteur et son calendrier peut rester reconnaissable pour quelqu'un du métier, même sans aucun nom.

La pseudonymisation réduit donc fortement l'exposition sans l'annuler. C'est ainsi qu'elle doit être présentée : une mesure de réduction du risque, pas une garantie d'impossibilité.

Elle ne dispense d'aucune des autres obligations : le registre, l'information des personnes, les durées de conservation s'appliquent identiquement à des données pseudonymisées.

Un dernier point mérite d'être vérifié : que devient la table de correspondance à la fin du traitement ? Un dispositif qui la conserve indéfiniment reconstitue avec le temps un fichier de correspondance entre vos dossiers et vos clients, ce qui est exactement ce que la substitution devait éviter.

Pourquoi ça compte pour un juriste

Parce que c'est le point où un fournisseur sérieux se distingue d'un fournisseur approximatif en une phrase. Demandez-lui s'il anonymise ou s'il pseudonymise ; s'il répond anonymise sans hésiter, demandez comment il rétablit les noms dans le livrable final.

La réponse à cette contradiction vous renseignera davantage qu'une documentation de 30 pages.