Anonymisation vs pseudonymisation : la différence (RGPD), avec des exemples sur un document

La pseudonymisation remplace les données identifiantes par des balises ([Personne 1], un code, un jeton) tandis qu’une clé conservée à part permet de les rattacher à la personne. L’anonymisation supprime ce lien définitivement : personne, pas même celui qui l’a faite, ne peut savoir de qui il s’agit. Au sens du RGPD, une donnée pseudonymisée reste une donnée personnelle ; une donnée réellement anonyme n’en est plus une.

Les définitions en un tableau

Ce que dit le RGPD

L’article 4(5) du RGPD définit la pseudonymisation comme un traitement de données personnelles réalisé de façon qu’elles « ne puissent plus être attribuées à une personne concernée précise sans avoir recours à des informations supplémentaires », à condition que ces informations soient conservées séparément et protégées. Le considérant 26 trace ensuite la frontière : les données pseudonymisées qui pourraient être attribuées à une personne au moyen d’informations supplémentaires restent des données personnelles ; les informations anonymes ne relèvent pas du règlement.

Le RGPD traite la pseudonymisation comme une mesure de protection, pas comme une porte de sortie : l’article 25 (protection des données dès la conception) et l’article 32 (sécurité) la citent tous deux. Le Comité européen de la protection des données a précisé la bonne manière de faire dans ses lignes directrices 01/2025 sur la pseudonymisation, et la CNIL publie ses propres fiches pratiques sur le sujet.

La jurisprudence a ajouté une nuance utile pour l’échange de documents. Dans l’arrêt CEPD c. CRU (C-413/23 P, 2025), la Cour de justice a admis que le caractère personnel de données pseudonymisées peut dépendre de qui les détient : pour un destinataire qui n’a aucun moyen raisonnable de réidentifier les personnes, elles peuvent ne pas en être. Pour vous, qui détenez la clé, elles en sont toujours.

En Suisse, la nLPD (en vigueur depuis le 1er septembre 2023) suit la même logique : des données qui ne permettent plus d’identifier une personne sortent de son champ, des données pseudonymisées dont vous détenez la clé n’en sortent pas.

À quoi ressemble chaque technique sur un document

Prenons une phrase tirée d’un litige :

Anna Keller, domiciliée 12 rue du Lac à Genève, a vendu le véhicule à Bella Moreau le 3 mars 2026.

Caviardé (rectangles noirs) :

████████, domiciliée ████████████, a vendu le véhicule à ████████ le ███████.

Plus rien d’identifiant, mais plus rien d’utile non plus : le lecteur ignore si deux rectangles désignent la même personne.

Pseudonymisé :

[Personne 1], domiciliée [Adresse 1], a vendu le véhicule à [Personne 2] le [Date 1].

Chaque balise est identique dans tout le document : l’histoire reste lisible. Celui qui détient la table peut rétablir les noms.

Anonymisé :

Un particulier a vendu un véhicule à un autre particulier au début de l’année 2026.

Généralisé jusqu’à ce que personne ne puisse être isolé, même avec des informations extérieures. C’est la forme des statistiques et des résumés de jurisprudence, rarement celle d’un document de travail.

Laquelle choisir ?

• Envoyer un dossier à une IA, un expert, un traducteur, un confrère : pseudonymisez. Le lecteur a besoin de la structure, vous gardez la clé. Voir anonymiser un document avant ChatGPT et pseudonymiser un dossier juridique.
• Déposer une pièce, répondre à une demande d’accès ou de transparence : caviardez les tiers. Voir comment caviarder un PDF.
• Publier des données ou une décision : anonymisez, c’est-à-dire pseudonymisez et retirez les détails descriptifs qui permettraient d’isoler quelqu’un.

Les erreurs fréquentes

• Qualifier d’« anonymes » des données pseudonymisées dans une politique de confidentialité. Si vous détenez la clé, elles ne le sont pas.
• Ranger la clé à côté des données. Elle doit être stockée à part, avec des accès plus restreints, sinon la pseudonymisation ne protège rien.
• Des balises incohérentes. Remplacer la même personne par [Personne 1] en page 1 et [Personne 3] en page 5 casse le document sans protéger davantage.
• Oublier les identifiants indirects. Fonction, événement rare, petite commune : retirer les noms est nécessaire, pas suffisant.
• Des rectangles noirs qui n’en sont pas. Un rectangle dessiné dans un éditeur PDF laisse le texte dessous : le fichier n’est ni pseudonymisé ni anonymisé.

Questions fréquentes

Une donnée pseudonymisée est-elle une donnée personnelle au sens du RGPD ? Oui pour quiconque peut la réidentifier, à commencer par celui qui détient la clé. Pour un destinataire sans moyen raisonnable de réidentification, la Cour de justice a admis qu’elle peut ne pas l’être.

Remplacer les noms par des initiales, est-ce de la pseudonymisation ? Oui, mais faible : les initiales révèlent une partie du nom et deux personnes peuvent les partager. Le Tribunal fédéral suisse utilise d’ailleurs « A.________ », « B.________ » avec un ordre conventionnel plutôt que les vraies initiales. Des balises numérotées comme [Personne 1] sont plus sûres et plus claires.

Caviarder, est-ce anonymiser ? Caviarder retire de l’information d’un document. Si on en retire assez pour que plus personne ne soit identifiable, le résultat est anonyme ; si on ne retire que les noms et que le reste identifie la personne, il ne l’est pas.

Hacher une adresse e-mail, est-ce anonymiser ? Non. Le hachage d’une valeur connue peut être recalculé et comparé : c’est au mieux de la pseudonymisation.

Quelle différence avec la « désidentification » ? C’est le terme américain, surtout en santé (HIPAA). Il couvre les deux approches.

Essayer sur un PDF

Le mode pseudonymisation de Redact PDF AI remplace les personnes, sociétés et adresses par des balises cohérentes sur toutes les pages et vous remet la table de correspondance à conserver. Le premier document est gratuit.