La CNIL considère la pseudonymisation comme une mesure de sécurité recommandée, mais elle refuse de la confondre avec l'anonymisation : les données pseudonymisées restent des données personnelles soumises au RGPD. Trois actions s'imposent immédiatement : documenter la technique retenue, sécuriser la table de correspondance et lancer une analyse d'impact si le traitement porte sur des données sensibles.
En bref:
>
- La pseudonymisation reste une donnée personnelle soumise au RGPD, car elle conserve la possibilité de réidentifier un individu par une table de correspondance.
- La sécurité de cette technique repose sur la documentation précise du procédé, la protection de la table de correspondance, et une analyse d’impact en cas de traitement de données sensibles.
- Une pseudonymisation efficace doit supprimer simultanément les risques d'individualisation, de corrélation et d’inférence, ce qui rend l'anonymisation bien plus difficile à réaliser.
- Les techniques recommandées varient selon la sensibilité des données, incluant le hachage avec sel, le chiffrement, la tokenisation ou le chiffrement déterministe, sous réserve d’une gestion rigoureuse des clés.
- La revue régulière des capacités de réidentification est indispensable, car l’efficacité de la pseudonymisation peut rapidement devenir obsolète face aux évolutions techniques et aux bases de données publiques.
Table des matières
- Recommandations CNIL pseudonymisation : définition et distinction avec l'anonymisation
- Quel cadre légal encadre la pseudonymisation en France ?
- Quelles techniques de pseudonymisation la CNIL recommande-t-elle ?
- Comment évaluer si votre pseudonymisation est réellement efficace ?
- Quelles mesures organisationnelles la CNIL attend-elle concrètement ?
- Que révèlent les sanctions CNIL sur les erreurs de pseudonymisation ?
- Comment structurer la gouvernance de la pseudonymisation dans votre organisation ?
- Priorités pour un DPO
- Sécuriser vos documents sensibles sans changer vos habitudes de travail
- Sources
Recommandations CNIL pseudonymisation : définition et distinction avec l'anonymisation
L'article 4 du RGPD définit la pseudonymisation comme le traitement qui remplace un identifiant direct (nom, numéro de sécurité sociale, adresse e-mail) par un alias, tout en conservant ailleurs les informations permettant de revenir à la personne d'origine. C'est cette réversibilité, même contrôlée, qui change tout sur le plan juridique.
La CNIL trace une frontière nette entre les deux notions grâce à trois critères hérités du groupe de travail Article 29 :
- Individualisation : peut-on isoler un enregistrement appartenant à une personne précise ?
- Corrélation : peut-on relier deux jeux de données concernant le même individu ?
- Inférence : peut-on déduire une information sur la personne à partir d'autres données ?
Tant qu'un seul de ces trois risques subsiste, on reste dans le champ de la pseudonymisation. L'anonymisation exige que les trois soient neutralisés simultanément, ce qui explique pourquoi elle est si difficile à obtenir en pratique. Conséquence directe pour vous : un document « pseudonymisé » reste couvert par le RGPD, avec toutes les obligations qui l'accompagnent, du registre des traitements au droit d'accès.
Quel cadre légal encadre la pseudonymisation en France ?
Trois piliers structurent les obligations françaises et européennes. L'article 32 du RGPD impose la pseudonymisation comme mesure technique appropriée face au risque, l'article 25 l'intègre dans la logique de protection dès la conception, et l'article 4 en fixe la définition. La CNIL s'appuie sur ces textes pour bâtir ses positions nationales.
En 2025, le CEPD a franchi une étape en adoptant des lignes directrices dédiées à la pseudonymisation, les premières aussi détaillées à l'échelle européenne. Elles précisent les garanties techniques et organisationnelles attendues et confirment que les données pseudonymisées demeurent des données personnelles, même transmises à un tiers qui ne détient pas la clé de réidentification.
Ce que cela change concrètement pour votre organisation :
- La pseudonymisation peut appuyer un traitement fondé sur l'intérêt légitime, à condition que les garanties documentées soient réelles et vérifiables.
- Le CEPD confirme que le partage de données pseudonymisées avec un tiers reste un traitement de données personnelles, sauf si ce tiers n'a objectivement aucun moyen de réidentifier.
- La CNIL relaie ces lignes directrices et attend une documentation formelle du choix technique retenu.
Quelles techniques de pseudonymisation la CNIL recommande-t-elle ?
Le choix d'une technique dépend de la sensibilité des données et du besoin de réversibilité. Le WP216 reste la référence technique la plus citée pour comparer ces méthodes, malgré son ancienneté.
1. Le hachage avec sel transforme un identifiant en empreinte irréversible, mais reste vulnérable aux attaques par force brute ou aux tables précalculées si le sel est mal généré ou réutilisé.
2. Le chiffrement symétrique permet une réversibilité maîtrisée via une clé, avec un risque concentré sur la protection de cette clé plutôt que sur l'algorithme lui-même.
3. La tokenization substitue un jeton aléatoire à la donnée d'origine, stocké dans une table de correspondance séparée. Elle convient bien aux environnements où plusieurs applications doivent manipuler la même donnée sans jamais y accéder en clair.
4. Le chiffrement déterministe produit toujours le même résultat pour la même entrée, ce qui facilite les jointures de bases mais ouvre la porte à des corrélations externes si un attaquant connaît certaines valeurs d'origine.
Conseil de pro : ne choisissez jamais une technique pour sa robustesse cryptographique seule. Demandez toujours qui, dans votre organisation, aura accès à la clé ou à la table de correspondance, et pour combien de temps. C'est souvent là que la faille se niche, pas dans l'algorithme.
Comment évaluer si votre pseudonymisation est réellement efficace ?
Une pseudonymisation jugée solide en 2024 peut devenir insuffisante en 2026 si de nouvelles bases de données publiques permettent des corrélations qui n'existaient pas auparavant. La CNIL insiste sur ce point : l'évaluation n'est jamais figée dans le temps.
La CNIL rappelle que les moyens de réidentification évoluent constamment, ce qui justifie une revue technique périodique plutôt qu'un contrôle ponctuel réalisé une fois pour toutes lors de la mise en production.
Concrètement, votre méthodologie d'évaluation devrait couvrir :
- Le lancement d'une DPIA dès que le traitement porte sur des données sensibles (santé, données biométriques, infractions) ou sur un volume important de personnes.
- Des tests de réidentification simulant un adversaire réaliste, avec accès à des bases publiques et capacité de corrélation multi-sources, plutôt que des tests purement algorithmiques isolés.
- Une veille technique documentée, pilotée par le délégué à la protection des données, sur les nouvelles techniques d'attaque et les jeux de données externes disponibles.
Quelles mesures organisationnelles la CNIL attend-elle concrètement ?
La technique ne suffit jamais seule. Le WP216 souligne que sécuriser une table de correspondance implique une séparation stricte des rôles entre celui qui traite la donnée pseudonymisée et celui qui détient la clé de réidentification.
Votre checklist opérationnelle devrait inclure :
- Un chiffrement de la table de correspondance, avec rotation régulière des clés et procédure de destruction sécurisée quand la réidentification n'est plus nécessaire.
- Une restriction d'accès stricte, réservée à un nombre limité de personnes habilitées, avec journalisation systématique de chaque consultation.
- Une politique de conservation documentée, distincte pour la donnée pseudonymisée et pour les informations permettant sa réidentification.
- Des journaux d'audit conservés suffisamment longtemps pour constituer une preuve en cas de contrôle.
Conseil de pro : demandez toujours qui peut techniquement accéder simultanément à la donnée pseudonymisée et à la table de correspondance. Si la réponse est « une seule équipe », vous n'avez pas de séparation des rôles, vous avez juste ajouté une étape.
Que révèlent les sanctions CNIL sur les erreurs de pseudonymisation ?
Les dossiers traités par la CNIL sur les traitements de données de santé et de ressources humaines montrent un schéma récurrent : ce ne sont presque jamais des faiblesses cryptographiques qui déclenchent la sanction, mais des lacunes organisationnelles.
Les erreurs qui reviennent le plus souvent dans ces dossiers :
- L'absence de DPIA pour un traitement qui portait pourtant sur des données de santé ou des catégories particulières.
- Une table de correspondance accessible à un périmètre d'employés bien plus large que nécessaire, sans journalisation des accès.
- Une documentation technique inexistante ou obsolète, incapable de justifier le choix de la méthode retenue.
- Une confusion assumée entre pseudonymisation et anonymisation dans la communication à destination des personnes concernées, ce qui affaiblit leur information sur l'exercice de leurs droits.
Le plan correctif efficace suit toujours la même logique : cartographier qui a accès à quoi, réduire ce périmètre, documenter chaque décision technique, puis vérifier régulièrement que les garanties tiennent toujours face aux nouvelles capacités de réidentification.
Comment structurer la gouvernance de la pseudonymisation dans votre organisation ?
Un protocole efficace se construit à trois voix : le DPO pose le cadre juridique et documente les traitements, le RSSI valide l'architecture technique et la protection des clés, le juriste vérifie la cohérence avec les mentions d'information et l'exercice des droits des personnes concernées, en s'appuyant sur une plateforme complète comme Adryo - Toute votre domiciliation, une seule plateforme pour les formalités et l'hébergement juridique.
La pseudonymisation influence directement les modalités d'exercice des droits d'accès et de rectification : une personne concernée peut toujours demander l'accès à ses données, même pseudonymisées, dès que le responsable de traitement dispose des moyens de la réidentifier. Cette obligation de moyens pèse sur l'accountability du responsable de traitement au sens de l'article 5.2 du RGPD.
Votre checklist de déploiement devrait couvrir :
- La cartographie des documents et flux concernés (contrats, dossiers RH, données de santé, data rooms).
- Le choix documenté de la technique et sa justification au regard du risque.
- Un export de mapping permettant, si besoin, la restauration contrôlée des données d'origine.
- Une preuve d'audit exploitable en cas de contrôle de la CNIL.
Une pseudonymisation qui ne peut pas être expliquée à un auditeur en dix minutes, avec preuve à l'appui, n'est pas une pseudonymisation conforme : c'est une promesse technique non documentée.
Un outil comme Safe-doc répond directement à cette exigence de traçabilité, en générant un rapport d'auditabilité à chaque traitement.
Priorités pour un DPO
Parmi les priorités importantes, on peut retenir : lancer une DPIA sur tout traitement pseudonymisé à risque, sécuriser la table de correspondance avant même de peaufiner l'algorithme, et former vos équipes à ne jamais confondre pseudonymisation et anonymisation dans leur communication interne. Le raccourci le plus fréquent que j'observe consiste à traiter la documentation comme une formalité administrative plutôt que comme la première ligne de défense en cas de contrôle. Une veille technique négligée finit toujours par coûter plus cher qu'elle n'aurait coûté à maintenir.
- Jacques
Sécuriser vos documents sensibles sans changer vos habitudes de travail
Safe-doc traite vos documents en temps réel sans jamais les stocker, ce qui répond directement à l'exigence de minimisation que vos équipes juridiques et RSSI vous réclament depuis que le Shadow AI s'est installé dans les usages quotidiens. Vos collaborateurs continuent d'utiliser ChatGPT ou Claude, mais les informations sensibles sont pseudonymisées avant d'y transiter, avec un export de mapping qui permet de restaurer les données d'origine quand c'est nécessaire.
Pour un DPO, cela signifie un rapport d'audit exploitable à chaque traitement. Pour une direction juridique manipulant des contrats ou des data rooms, cela signifie une conformité à l'article 4(5) du RGPD sans ralentir les équipes. Les cabinets d'expertise comptable et les auditeurs financiers y trouvent le même bénéfice sur des dossiers clients sensibles. Découvrez le fonctionnement détaillé sur la page dédiée aux DPO et demandez une démonstration adaptée à votre volume de documents.
Sources
Pour approfondir : le RGPD sur EUR-Lex pour le texte légal, la CNIL pour les positions françaises, le CEPD pour les lignes directrices européennes, et le WP216 pour l'analyse technique de référence.
- Groupe de travail «Article 29» (WP216) - pseudonymisation / anonymisation
- EDPB adopts pseudonymisation guidelines (2025)
- Règlement (UE) 2016/679 (RGPD)