L’anonymisation des données est un traitement qui transforme des données personnelles de façon irréversible, afin qu’il ne soit plus possible, en pratique, d’identifier la personne concernée, directement ou indirectement.
Le RGPD en pose le principe dans son considérant 26 : les informations rendues anonymes, de telle manière que la personne n’est plus identifiable, ne relèvent pas du règlement. Pour savoir si une personne reste identifiable, il faut tenir compte des moyens raisonnablement susceptibles d’être utilisés, au regard notamment du coût, du temps nécessaire et des technologies disponibles. L’anonymisation se juge donc au résultat, non au procédé. Retirer le nom ne suffit pas si le croisement d’autres attributs permet encore de reconnaître quelqu’un.
Les autorités européennes de protection des données retiennent trois critères. Il ne doit plus être possible d’isoler une personne dans le jeu de données (individualisation), de relier des ensembles de données relatifs à une même personne (corrélation), ni de déduire presque avec certitude une information nouvelle à son sujet (inférence). Selon la CNIL, deux familles de techniques y concourent. La randomisation modifie les valeurs pour les rendre moins précises tout en conservant leur répartition d’ensemble. La généralisation élargit l’échelle des attributs, par exemple en remplaçant une date de naissance par l’année.
L’anonymisation se distingue de la pseudonymisation, qui remplace les identifiants directs par un alias mais laisse les données rattachables à une personne grâce à une information conservée à part : les données pseudonymisées restent des données personnelles. Elle se distingue aussi de la simple agrégation, qui ne produit un résultat anonyme que si chaque valeur publiée regroupe assez de personnes pour qu’aucune ne soit reconnaissable. En marketing, elle sert à produire des statistiques, à diffuser des résultats d’études ou à conserver des historiques au-delà de la durée de conservation des données identifiantes.
L’erreur la plus répandue consiste à qualifier d’anonyme un fichier simplement débarrassé des noms. La CNIL cite le cas d’une base de CV où seuls le nom et le prénom sont remplacés par un numéro : la base est pseudonymisée, non anonymisée. Le RGPD continue alors de s’appliquer en entier : base légale, information des personnes, durée de conservation. À notre sens, le mot « anonyme » ne devrait apparaître dans un contrat, une mention d’information ou un rapport qu’après une analyse écrite des trois critères.
Le statut n’est pas acquis une fois pour toutes. Selon la CNIL (« L’anonymisation de données personnelles », 2020), le responsable doit assurer une veille régulière, car les techniques de réidentification évoluent. Si l’anonymat n’est pas parfait, il doit démontrer que le risque de réidentification est négligeable.
La référence historique reste l’avis 05/2014 du groupe de travail « article 29 » sur les techniques d’anonymisation, du 10 avril 2014. Le Comité européen de la protection des données a adopté le 7 juillet 2026 un projet de lignes directrices 02/2026 sur l’anonymisation, soumis à consultation publique du 8 juillet au 30 octobre 2026. Cette version reprend trois critères : absence d’isolement, de liaison et d’inférence. Elle propose deux approches. L’approche contextuelle tient compte des capacités de celui qui pourrait réidentifier. L’approche simplifiée, plus prudente, ignore ces différences.
La Cour de justice de l’Union européenne a jugé le 4 septembre 2025 (affaire C-413/23 P), à propos du règlement applicable aux institutions de l’Union, que des données pseudonymisées ne sont pas nécessairement personnelles pour un destinataire incapable de réidentifier les personnes. Ces textes rendent l’appréciation plus contextuelle. Ils ne permettent pas à l’organisme qui conserve la clé de traiter ses propres données comme anonymes.
Toute anonymisation dégrade l’information. Nous recommandons de suivre deux indicateurs. Côté protection, la taille du plus petit groupe de personnes qui partagent les mêmes attributs dans le jeu diffusé. Côté utilité, l’écart entre les indicateurs clés calculés avant et après transformation, comme le taux de conversion par segment ou le panier moyen. Ce sont des repères de pilotage, non des normes. Si l’écart rend les données inutilisables, mieux vaut assumer un traitement pseudonymisé soumis au RGPD qu’une anonymisation de façade.
Un consultant senior d’Advalians, indépendant et tenu au secret, examine avec vous l’usage marketing prévu pour vos données. Chaque séance se termine par une décision écrite.
Advalians, cabinet de conseil indépendant en marketing et communication, vous aide à clarifier vos choix et à décider.
L’anonymisation rend l’identification impossible de façon irréversible ; la pseudonymisation remplace les identifiants par un alias, mais une information conservée à part permet de revenir à la personne. Conséquence juridique : des données réellement anonymes sortent du champ du RGPD, alors que des données pseudonymisées y restent pour l’organisme qui détient la clé.
Test pratique : demandez-vous si quelqu’un, dans votre organisation ou chez un partenaire, peut encore retrouver la personne avec des moyens raisonnables. Si la réponse est oui, ou incertaine, traitez les données comme pseudonymisées.
Commencez par lister les analyses que le partenaire doit mener, puis supprimez tout ce qui n’y sert pas. Retirez les identifiants directs et les champs libres. Généralisez les attributs restants : année plutôt que date de naissance, département plutôt qu’adresse, tranches plutôt que montants exacts. Supprimez les valeurs rares.
Testez ensuite le résultat contre les trois critères, en tenant compte des données que le partenaire possède déjà. Documentez l’analyse avec votre DPO. Si le test échoue, le transfert relève d’un data sharing de données pseudonymisées, avec son cadre contractuel.
Vérifiez les trois critères un par un. Individualisation : aucune ligne ne doit correspondre à une seule personne reconnaissable ; mesurez la taille du plus petit groupe partageant les mêmes attributs. Corrélation : tentez de rapprocher le jeu d’une autre source, publique ou interne. Inférence : cherchez si un groupe homogène permet de déduire une caractéristique d’une personne.
Consignez les tests, leur date et leurs résultats. Refaites-les avant chaque nouvelle diffusion : un jeu anonyme aujourd’hui peut cesser de l’être lorsque d’autres données deviennent disponibles.
Non, dans la plupart des cas. Une combinaison d’attributs ordinaires, comme le code postal, la date de naissance et l’historique d’achats, peut suffire à reconnaître une personne. Les champs libres et les identifiants techniques, comme un numéro client ou un identifiant d’appareil, laissent aussi un lien.
Le risque est double : vous pensez sortir du RGPD alors qu’il s’applique toujours, et vous transmettez des données personnelles sans base légale ni information des personnes. Avant toute diffusion, faites relire la liste des champs conservés par une personne qui n’a pas préparé le fichier.
Anonymisez lorsque l’usage n’a plus besoin de suivre des individus : statistiques, études diffusées, historiques conservés au-delà de la durée retenue. Pseudonymisez lorsque vous devez encore relier des événements à une même personne, par exemple pour mesurer un parcours ou rapprocher deux sources.
Critère de choix : si l’anonymisation retire au jeu de données ce qui faisait sa valeur, renoncez-y et assumez un traitement de données personnelles, avec ses obligations. Une pseudonymisation déclarée comme telle vaut mieux qu’une anonymisation fragile présentée comme acquise.
Modèles, grilles et guides prêts à l’emploi pour vos projets marketing et communication.
L’IA générative a d’abord été un accélérateur individuel : produire plus vite, reformuler..
