Pseudonymisation vs anonymisation RGPD : guide 2026

L’essentiel. L’anonymisation est irréversible : les données sortent définitivement du champ du RGPD (considérant 26). La pseudonymisation (Art. 4(5)) est réversible : remplacer un nom par un code laisse subsister une table de correspondance, donc les données restent des données personnelles soumises à l’intégralité du RGPD. Confondre les deux est l’erreur la plus fréquente — et la plus coûteuse — en matière de protection des données.

Remplacer les noms des personnes par des codes alphanumériques, puis qualifier le résultat d’« anonyme » : c’est l’une des erreurs les plus répandues que je rencontre en conseil. Tant que la table de correspondance existe, la ré-identification reste possible et le RGPD continue de s’appliquer intégralement. La distinction n’est pas théorique : elle détermine si vos données sont libres d’usage ou si elles restent sous le régime complet du règlement, avec ses obligations et ses sanctions.

Ce guide clarifie les deux régimes, donne le tableau comparatif de référence, les trois critères d’efficacité d’une anonymisation, les techniques reconnues par l’EDPB, et une méthode de décision pour choisir la bonne approche selon votre finalité.

Deux concepts, deux régimes juridiques distincts

La distinction entre pseudonymisation et anonymisation est fondamentale en droit des données personnelles. Elle détermine si vos données restent soumises au RGPD ou si elles en sortent définitivement.

L’anonymisation est un traitement irréversible qui rend impossible, de manière définitive, l’identification directe ou indirecte d’une personne physique. Le considérant 26 du RGPD est explicite : les données anonymisées ne sont plus des données personnelles. Le RGPD ne s’applique plus. Vous pouvez les exploiter librement — pour de l’analyse statistique, de l’entraînement de modèles d’IA, de l’open data.

La pseudonymisation, définie à l’Art. 4(5) du RGPD, consiste à traiter les données de telle sorte qu’elles ne puissent plus être attribuées à une personne sans informations supplémentaires. En pratique, on remplace les identifiants directs (nom, prénom, numéro de sécurité sociale) par des alias ou des codes. Mais la table de correspondance existe toujours. La ré-identification reste possible. Les données restent donc des données personnelles soumises à l’intégralité du RGPD.

En résumé : l’anonymisation est une porte de sortie du RGPD ; la pseudonymisation est une mesure de sécurité à l’intérieur du RGPD.

Tableau comparatif : pseudonymisation vs anonymisation

Critère	Pseudonymisation	Anonymisation
Base juridique	Art. 4(5) RGPD	Considérant 26 RGPD
Réversibilité	Réversible (table de correspondance)	Irréversible par conception
Statut des données	Restent des données personnelles	Ne sont plus des données personnelles
RGPD applicable ?	Oui, intégralement	Non (après anonymisation valide)
Rôle juridique	Mesure de sécurité (Art. 32)	Sortie du champ du RGPD
Registre des traitements	Obligatoire	Non requis (données hors champ)
Usage typique	Suivi médical, fidélité, RH	Statistiques, open data, IA
Risque principal	Compromission de la table	Ré-identification par recoupement

Les trois critères d’évaluation de l’anonymisation

Le groupe de travail « Article 29 » (prédécesseur de l’EDPB), dans son avis 05/2014 sur les techniques d’anonymisation, a défini trois critères pour évaluer si une anonymisation est réellement efficace. La CNIL reprend cette grille. Si l’un seul de ces critères reste satisfait par un attaquant, l’anonymisation échoue.

L’individualisation (singling out) — Est-il encore possible d’isoler un individu dans le jeu de données ? Si une combinaison d’attributs (âge, code postal, profession) permet de singulariser une personne, l’anonymisation est insuffisante.

La corrélation (linkability) — Peut-on relier entre eux deux enregistrements concernant la même personne, que ce soit dans le même jeu de données ou dans des jeux de données différents ? Les attaques par croisement de bases sont une menace réelle et croissante avec la multiplication des données publiques.

L’inférence (inference) — Peut-on déduire de nouvelles informations sur une personne à partir des données restantes ? Par exemple, si tous les habitants d’un immeuble figurant dans le jeu de données ont le même diagnostic médical, la maladie de chacun est inférable.

Si l’un de ces trois vecteurs demeure exploitable, les données ne sont pas anonymisées au sens du RGPD. Elles restent des données personnelles pseudonymisées — et le règlement continue de s’appliquer. Ce raisonnement rejoint le principe de minimisation : moins on conserve d’attributs, plus l’anonymisation est robuste.

Les Guidelines EDPB 01/2025 sur la pseudonymisation

L’EDPB a adopté début 2025 un projet de lignes directrices dédiées à la pseudonymisation (Guidelines 01/2025), soumis à consultation publique. Ce texte clarifie plusieurs points jusque-là flous dans la pratique.

Le concept de « domaine de pseudonymisation »

L’EDPB introduit la notion de domaine de pseudonymisation (pseudonymisation domain) : le contexte dans lequel la pseudonymisation est censée empêcher l’attribution des données à une personne identifiée. En dehors de ce domaine — par exemple si un tiers accède à la table de correspondance — la protection tombe.

Concrètement, la pseudonymisation n’a de valeur que si l’information supplémentaire permettant la ré-identification est conservée séparément et protégée par des mesures techniques et organisationnelles appropriées, comme le prévoit l’Art. 32 du RGPD en matière de sécurité des traitements. Une table de correspondance stockée dans le même environnement que les données pseudonymisées n’apporte quasiment aucune protection.

Techniques reconnues

Les Guidelines identifient plusieurs techniques de pseudonymisation :

• Les tables de correspondance (lookup tables) — Un identifiant est remplacé par un pseudonyme via une table stockée séparément. Simple mais vulnérable si la table est compromise.
• Le chiffrement — Les identifiants sont chiffrés avec une clé secrète. Sans la clé, les données ne sont pas directement attribuables. Mais la clé existe, donc la réversibilité est inhérente.
• Les codes d’authentification de message (MAC/HMAC) — Permettent de vérifier l’intégrité des données sans révéler l’identité. Utilisés notamment dans les protocoles de recherche clinique.
• Le hachage avec sel (salted hashing) — L’identifiant est transformé par une fonction de hachage combinée à un sel aléatoire. Plus robuste qu’un simple hachage, mais le sel constitue l’information supplémentaire permettant, en théorie, la ré-identification.

Ayant travaillé 6 ans au sein des services du Premier Ministre (SGDN/DCSSI), je confirme que le choix de la technique dépend directement du niveau de risque associé aux données et de la finalité du traitement. Un essai clinique n’appelle pas les mêmes mesures qu’une analyse marketing, et un cabinet médical n’a pas les mêmes contraintes qu’un e-commerçant — voir nos guides sectoriels sur le RGPD en cabinet médical.

Ce que la pseudonymisation n’est pas

L’erreur la plus dangereuse consiste à considérer que des données pseudonymisées ne sont « plus vraiment personnelles ». C’est juridiquement faux et pratiquement risqué.

La pseudonymisation ne dispense pas de :

• Tenir un registre des traitements incluant les données pseudonymisées ;
• Réaliser une analyse d’impact (AIPD) si le traitement présente un risque élevé ;
• Désigner un DPO si les conditions de l’Art. 37 sont remplies ;
• Disposer d’une base légale valable pour le traitement (Art. 6) ;
• Garantir l’exercice des droits des personnes, y compris le droit d’accès et le droit à l’effacement.

En revanche, la pseudonymisation est reconnue par le RGPD comme une mesure de sécurité appropriée (Art. 32(1)(a)) et comme un facteur atténuant en cas de violation de données. Elle peut aussi faciliter le recours à l’intérêt légitime comme base légale, en réduisant l’impact sur les droits des personnes concernées lors du test de mise en balance.

Jurisprudence : l’approche « relative » de l’identifiabilité

La question centrale est toujours la même : à partir de quel point une donnée cesse-t-elle d’être « identifiable » ?

La CJUE a posé le cadre dans l’arrêt Breyer (19 octobre 2016, C-582/14) : même une adresse IP dynamique constitue une donnée personnelle si le responsable dispose de moyens légaux raisonnablement susceptibles d’être mis en œuvre pour remonter à l’identité de la personne, par exemple en s’adressant au fournisseur d’accès. La Cour retient une approche dite « relative » : le caractère identifiant s’apprécie au regard des moyens dont dispose réellement l’acteur concerné, sans exiger que ce dernier détienne seul toutes les informations.

Ce raisonnement gouverne l’appréciation de l’anonymisation. Le seuil retenu par la jurisprudence et par la CNIL est celui du risque de ré-identification « non insignifiant » : dès lors que la ré-identification ne suppose pas un effort déraisonnable en temps, en coût et en moyens, les données ne sont pas anonymisées. Le simple remplacement de noms par des codes, avec conservation de la table de correspondance, ne franchit jamais ce seuil : il s’agit de pseudonymisation.

Pour la CNIL, la charge de la preuve pèse sur le responsable : c’est à lui de démontrer, par une analyse documentée des risques de ré-identification, que le résultat mérite la qualification d’« anonyme ». À défaut, il s’expose à traiter des données personnelles sans respecter les obligations qui s’y attachent.

Guide pratique : choisir entre pseudonymisation et anonymisation

Le choix dépend de votre objectif.

Choisissez la pseudonymisation si vous devez conserver la possibilité de ré-identifier les personnes — par exemple pour un suivi médical longitudinal, un programme de fidélité client, ou la gestion de données RH. La pseudonymisation réduit le risque en cas de fuite sans supprimer la fonctionnalité du traitement.

Choisissez l’anonymisation si vous n’avez plus besoin du lien avec les personnes — statistiques agrégées, open data, ou entraînement de modèles d’IA sur des jeux de données historiques. L’anonymisation libère les données du RGPD, mais elle est irréversible et réduit souvent la granularité des informations.

Dans les deux cas, documentez votre choix dans votre registre des traitements et, si nécessaire, dans votre AIPD — et pensez à définir la durée de conservation applicable avant anonymisation ou suppression. C’est ce travail répétitif de cartographie et de documentation qu’un logiciel RGPD permet d’industrialiser à l’échelle de tous vos traitements.

Les erreurs à éviter :

• Qualifier d’« anonymes » des données simplement pseudonymisées (risque de sanction) ;
• Utiliser un simple hachage sans sel comme technique d’anonymisation (réversible par attaque par dictionnaire) ;
• Négliger le risque de croisement avec d’autres bases de données accessibles publiquement ;
• Oublier que l’anonymisation est elle-même un traitement de données personnelles qui nécessite une base légale.

Méthode indicative fournie à titre documentaire — ne constitue pas un conseil juridique. À adapter à votre contexte avant usage. Version 2026-07.

Cas pratiques par secteur

Santé et recherche clinique. C’est le terrain où la confusion coûte le plus cher. Les dossiers patients, les résultats d’examens et les cohortes de recherche restent des données personnelles — souvent des données sensibles au sens de l’Art. 9 — dès lors qu’une table de correspondance permet de rattacher un code à un patient. La pseudonymisation est ici la norme opérationnelle (elle autorise le suivi longitudinal), mais elle ne dispense jamais de la base légale, de l’AIPD ni des mesures de sécurité renforcées. Une véritable anonymisation, exigée pour publier des résultats agrégés, suppose de neutraliser l’individualisation, la corrélation et l’inférence — un test rarement satisfait sur de petits échantillons.

Marketing et e-commerce. Un identifiant client haché, un cookie, une adresse e-mail « tronquée » restent des données personnelles pseudonymisées : le suivi comportemental reste soumis au RGPD et, pour les traceurs, au régime du consentement. La pseudonymisation renforce la sécurité et facilite l’appui sur l’intérêt légitime, mais elle ne transforme pas un profil marketing en donnée anonyme.

Ressources humaines. Les données d’évaluation, de paie ou de temps de travail se prêtent mal à l’anonymisation tant que la relation employeur-salarié existe. On pseudonymise pour restreindre les accès internes ; on anonymise (ou on supprime) à l’issue des durées légales, en cohérence avec le tableau des durées de conservation.

Statistiques et intelligence artificielle. Pour publier des indicateurs ou entraîner un modèle, l’anonymisation est l’objectif — mais elle doit être prouvée. Un jeu « anonymisé » qui laisse subsister des combinaisons singularisantes reste du ressort du RGPD, avec les implications spécifiques détaillées dans notre dossier AIPD et intelligence artificielle.

Ce qu’il faut retenir

• La pseudonymisation est une mesure de sécurité réversible : les données restent personnelles et soumises au RGPD. L’anonymisation est irréversible : les données sortent du champ du RGPD.
• L’EDPB a adopté début 2025 ses Guidelines 01/2025 dédiées à la pseudonymisation, introduisant le concept de « domaine de pseudonymisation » et détaillant les techniques reconnues.
• Trois critères (individualisation, corrélation, inférence) permettent d’évaluer si une anonymisation est réellement efficace. Les trois doivent être neutralisés simultanément.
• La jurisprudence Breyer (C-582/14) impose une approche « relative » : le remplacement de noms par des codes, avec table de correspondance, reste de la pseudonymisation.
• Le choix dépend de la finalité : conservez-vous le besoin de ré-identifier les personnes ? Si oui, pseudonymisez. Sinon, anonymisez — mais vérifiez rigoureusement l’irréversibilité.

FAQ

La pseudonymisation suffit-elle à protéger les données en cas de fuite ?

La pseudonymisation réduit significativement le risque en cas de violation, car un attaquant n’obtient pas directement des informations identifiantes. L’Art. 34(3)(a) du RGPD prévoit même que la notification aux personnes peut être évitée si les données étaient protégées par des mesures rendant les données incompréhensibles. Cependant, la protection n’est pas absolue : si la table de correspondance est aussi compromise, l’ensemble redevient identifiable.

Le hachage est-il une anonymisation ou une pseudonymisation ?

Le hachage simple (même avec un algorithme robuste comme SHA-256) est une pseudonymisation, pas une anonymisation. La raison : un hachage est déterministe, le même identifiant produit toujours le même hash, ce qui autorise une attaque par dictionnaire. Même le hachage avec sel reste une pseudonymisation, car le sel constitue l’information supplémentaire permettant la ré-identification. Seul un hachage combiné à d’autres techniques (k-anonymat, bruit différentiel) peut, dans certains cas, atteindre le seuil d’anonymisation.

Faut-il une base légale pour pseudonymiser ou anonymiser des données ?

Oui, pour les deux. L’anonymisation est elle-même un traitement de données personnelles au sens de l’Art. 4(2), car elle s’effectue sur des données encore personnelles au moment de l’opération. Il faut donc une base légale valide (Art. 6(1)) pour anonymiser. De même, la pseudonymisation constitue un traitement qui doit être couvert par une base légale — généralement la même que celle du traitement principal dont elle est une mesure de sécurité.

Les données pseudonymisées peuvent-elles être transférées hors UE ?

Oui, mais dans les mêmes conditions que toute donnée personnelle. Les données pseudonymisées restant des données personnelles, leur transfert hors UE nécessite un mécanisme valide au titre du Chapitre V du RGPD (décision d’adéquation, clauses contractuelles types, BCR). La pseudonymisation peut cependant être prise en compte comme mesure supplémentaire dans l’évaluation de l’impact du transfert, conformément aux recommandations de l’EDPB sur les mesures complémentaires.

La pseudonymisation dispense-t-elle de recueillir le consentement ?

Non. La base légale du traitement doit exister indépendamment de la mesure de pseudonymisation. Si votre traitement repose sur le consentement, il faut le recueillir avant de traiter les données, pseudonymisées ou non. La pseudonymisation renforce la sécurité et peut faciliter le recours à l’intérêt légitime, mais elle ne crée jamais à elle seule une base légale.

Les données anonymisées peuvent-elles servir à entraîner une IA ?

Oui : une fois valablement anonymisées, les données sortent du RGPD et peuvent alimenter l’entraînement d’un modèle. Attention toutefois : l’opération d’anonymisation elle-même reste un traitement soumis au RGPD, et il faut vérifier que le jeu final résiste réellement aux trois critères (individualisation, corrélation, inférence). Les enjeux spécifiques de l’IA sont détaillés dans notre dossier AIPD et intelligence artificielle.