Techniques d’anonymisation des données expliquées par l’exemple

Les principales techniques d’anonymisation des données sont le masquage, la généralisation, l’agrégation, le bruit, la permutation, la tokenisation, la pseudonymisation et le hachage, auxquelles s’ajoutent deux façons de mesurer le résultat : le k-anonymat et la confidentialité différentielle. Aucune ne suffit à elle seule. Les autorités européennes indiquent que chaque technique laisse un certain risque de réidentification, et que le résultat n’est anonyme que si personne ne peut raisonnablement retrouver à qui se rapporte un enregistrement.

Quatre petites piles de fiches alignées sur un bureau crème : l’une avec des onglets bleu marine sur les lignes, une autre aux lignes floutées en barres grises, une autre aux coins coupés, une vierge, à côté d’un crayon bleu marine, d’une plante et d’une tasse.

Le test auquel chaque technique est soumise

Au regard du RGPD et du UK GDPR, les informations anonymes sortent du droit de la protection des données, et les données personnelles y restent. Le considérant 26 trace la limite : il faut prendre en compte l’ensemble des moyens « raisonnablement susceptibles d’être utilisés », comme l’individualisation, pour identifier une personne directement ou indirectement. Le même considérant précise que des données pseudonymisées qui peuvent être attribuées à une personne au moyen d’informations supplémentaires restent des informations concernant une personne identifiable.

Les autorités européennes de protection des données de l’époque, réunies dans le groupe de travail « Article 29 », ont traduit cela en trois questions dans leur Opinion 05/2014 on Anonymisation Techniques (WP216). Peut-on encore isoler une personne ? Relier deux enregistrements concernant la même personne ? Déduire quelque chose sur une personne ? L’avis conclut que chaque technique examinée échoue à au moins l’une de ces questions dans certaines situations, et c’est pourquoi on combine les techniques. Les lignes directrices sur l’anonymisation et la pseudonymisation de l’autorité britannique, publiées le 28 mars 2025, adoptent la même approche fondée sur le risque.

Si vous avez d’abord besoin de la différence entre anonymisation, pseudonymisation et caviardage, commencez par celle qu’il vous faut pour l’IA. Cet article porte sur les techniques une par une.

L’enregistrement d’exemple

Tous les exemples ci-dessous partent du même enregistrement fictif, tiré d’un dossier RH :

Anna Kowalski, née le 12.03.1989 (37 ans), 14 Elm Street, Leeds,
anna.kowalski@example.com, infirmière, 12 jours d’arrêt maladie

Les techniques qui suppriment ou brouillent des valeurs

Masquage et suppression

Le masquage cache une partie d’une valeur ; la suppression efface la valeur, la colonne ou l’enregistrement entier.

A***** K*******, née le **.**.1989, [adresse supprimée], infirmière

Il protège contre l’identification directe. Il casse tout ce qui a besoin de la valeur retirée, et n’est pas réversible à partir du résultat. Ce qui reste peut encore désigner Anna : une infirmière née en 1989 n’est pas difficile à retrouver dans un petit service. Le masquage seul rend rarement des données anonymes.

Généralisation

La généralisation remplace une valeur précise par une valeur plus large.

37 ans → 30-39 ans ; 14 Elm Street, Leeds → Leeds ; infirmière → professionnelle de santé

Elle protège contre l’individualisation en rendant beaucoup de personnes semblables. Elle casse la précision : on ne peut plus dire qui est le plus âgé. Elle n’est pas réversible. Que le résultat soit anonyme dépend du nombre de personnes qui partagent chaque combinaison, ce que mesure le k-anonymat (voir plus bas).

Agrégation

L’agrégation publie des totaux ou des moyennes au lieu de lignes individuelles.

Service 4, 2025 : 23 infirmières, arrêt maladie moyen de 9,4 jours

Elle protège les personnes tant que chaque groupe est grand. Elle casse toute question portant sur une seule personne. Avec un groupe d’une ou deux personnes, la moyenne révèle le chiffre individuel ; c’est pourquoi les petites cellules sont généralement supprimées.

Bruit (perturbation)

Le bruit modifie légèrement les valeurs, au hasard.

37 ans → 39 ans ; 12 jours d’arrêt → 10 jours

Il garde les statistiques à peu près justes tout en rendant chaque valeur peu fiable. Il casse les chiffres exacts. Le WP216 avertit que, sauf si le bruit l’emporte sur l’information, il ne constitue pas une méthode d’anonymisation autonome : une valeur aberrante, comme la seule personne ayant 90 jours d’arrêt, reste reconnaissable.

Permutation

La permutation échange des valeurs entre enregistrements : chaque colonne garde ses totaux, mais les lignes n’appartiennent plus à une seule personne.

Les 12 jours d’arrêt d’Anna ↔ les 3 jours d’une autre infirmière

Elle protège contre le rattachement d’une valeur à une personne. Elle casse les relations entre colonnes, et le WP216 montre qu’elle échoue quand les valeurs permutées sont liées à d’autres colonnes : le salaire d’un cadre placé sur un poste de débutant se remarque.

Les techniques qui remplacent les identifiants

Tokenisation

La tokenisation remplace un identifiant par un jeton aléatoire et conserve le lien dans une table séparée et protégée.

anna.kowalski@example.com → TKN-8F3K2Q

L’ICO note qu’un jeton aléatoire n’a aucune relation mathématique avec l’original, de sorte que le jeton seul ne révèle rien. Il est réversible pour quiconque détient la table, et c’est pourquoi le résultat reste une donnée personnelle pour lui.

Pseudonymisation avec des marqueurs cohérents

Chaque personne, société ou adresse reçoit un marqueur lisible, et une même valeur reçoit toujours le même.

Person_1, née le [Date_1], [Address_1], infirmière.
Person_1 a demandé à Person_2 d’approuver l’arrêt.

Elle masque les identifiants directs et garde lisible qui a fait quoi, ce qui compte pour du texte. La logique du document est préservée. Elle est réversible grâce à la table de correspondance et, au regard du considérant 26, reste une donnée personnelle. La question du détenteur de la clé est détaillée dans notre article sur le statut des données pseudonymisées.

Hachage

Le hachage fait passer une valeur par une fonction à sens unique et garde le résultat.

anna.kowalski@example.com → 3f9a…c71e (SHA-256)

Il semble irréversible, mais pour des noms et des adresses e-mail, il ne l’est souvent pas. Quiconque dispose d’une liste de valeurs probables peut hacher chacune et comparer : le nombre de noms de salariés ou d’adresses d’entreprise est limité. Le WP216 souligne ce point à propos des plages de valeurs connues, et l’ICO déconseille le hachage sans sel, poivre ni clé, ainsi que les algorithmes dépassés comme MD5 et SHA-1, vulnérables aux attaques par force brute. Un hachage avec clé est une pseudonymisation ; un simple hachage d’e-mail en est à peine une.

k-anonymat et confidentialité différentielle

Ce ne sont pas des façons de modifier une valeur. Ce sont des façons de vérifier, ou de garantir, le niveau de protection d’un jeu de données entier.

Le k-anonymat signifie que chaque combinaison d’attributs identifiants (tranche d’âge, ville, métier) est partagée par au moins k enregistrements. Avec k = 5, Anna se fond parmi au moins cinq personnes identiques. Il n’empêche pas la déduction : si les cinq professionnelles de santé de 30 à 39 ans de Leeds ont toutes eu plus de dix jours d’arrêt, vous l’apprenez sur Anna. La l-diversité ajoute une règle : chaque groupe doit contenir au moins l valeurs différentes de l’attribut sensible.

La confidentialité différentielle agit sur les réponses plutôt que sur les lignes. Du bruit est ajouté à chaque statistique publiée, calibré pour que la réponse change à peine, qu’une personne donnée figure ou non dans les données. La protection est réglée par un paramètre, et une protection plus forte signifie des chiffres moins exacts. Le US Census Bureau l’a utilisée pour les produits de données du recensement de 2020, à l’exception des totaux par État servant à la répartition des sièges. Elle convient aux statistiques ; elle n’apporte rien pour un document que quelqu’un doit lire.

Pour les tableaux, des outils font ces mesures pour vous. ARX, un outil de bureau et une bibliothèque Java gratuits et open source (licence Apache 2.0, version 3.9.2 en octobre 2026), applique généralisation, suppression et microagrégation aux données structurées et vérifie le résultat au regard du k-anonymat, de la l-diversité, de la t-proximité et de la confidentialité différentielle. Il estime aussi le risque de réidentification restant. Il est conçu pour des jeux de données comme des fichiers CSV, des feuilles Excel et des tables de base de données, pas pour des contrats ou des lettres.

Toutes les techniques côte à côte

Technique	Protège contre	Casse	Réversible	Toujours une donnée personnelle au sens du RGPD
Masquage, suppression	L’identification directe	Tout ce qui avait besoin de la valeur	Non	Généralement, si d’autres détails restent
Généralisation	L’individualisation	La précision	Non	Dépend de la taille des groupes
Agrégation	L’individualisation, la corrélation	Toutes les questions individuelles	Non	Souvent non, si les groupes sont grands
Bruit	Les valeurs exactes	Les chiffres exacts	Non	Généralement, à lui seul
Permutation	Le rattachement d’une valeur à une personne	Les relations entre colonnes	Non	Généralement, à elle seule
Tokenisation	L’identification directe	Peu de chose	Oui, avec la table	Oui
Pseudonymisation (marqueurs)	L’identification directe	Peu de chose ; le texte reste lisible	Oui, avec la table de correspondance	Oui
Hachage	La lecture superficielle	Peu de chose	Souvent par devinette, sans clé	Oui
k-anonymat, l-diversité	L’individualisation ; la déduction (l)	La précision, certains enregistrements	Non	Dépend de k, de l et du contexte
Confidentialité différentielle	Apprendre quelque chose sur une personne à partir des statistiques	Les chiffres exacts, tout usage individuel	Non	Dépend des paramètres

La plupart des lignes disent « dépend », parce que le caractère anonyme d’un jeu de données s’apprécie pour l’ensemble du jeu dans son contexte, pas technique par technique. Pour tout ce que vous comptez publier ou partager comme anonyme, consultez votre DPO ou un avocat spécialisé en protection des données.

Quelles techniques conviennent aux documents confiés à l’IA

Un jeu de données statistiques et un document destiné à un chatbot d’IA ont des besoins opposés. Les statistiques exigent beaucoup de lignes et aucun individu ; l’agrégation, la généralisation, le k-anonymat et la confidentialité différentielle sont faits pour cela. Un contrat, un fil d’e-mails ou une lettre de réclamation porte sur des personnes précises, et l’IA doit pouvoir les suivre.

Pour les documents, trois techniques font l’essentiel du travail :

La pseudonymisation avec des marqueurs cohérents pour les noms, sociétés, adresses, e-mails et numéros d’identification. Person_1 reste Person_1 dans tout le texte, et l’IA peut savoir qui a écrit quoi et qui doit quoi à qui. Les bandes noires ou un simple « [REDACTED] » effacent cela ; voir pourquoi les marqueurs fonctionnent mieux.
La généralisation pour les dates et lieux dont la question n’a pas besoin avec précision : « mars 2025 » au lieu d’un jour, « une ville du nord de l’Angleterre » au lieu d’une rue.
La suppression pour tout ce dont la question n’a pas besoin du tout, comme un détail de santé dans un document sur lequel vous ne posez qu’une question de délai de préavis.

Le bruit, la permutation et la confidentialité différentielle n’ont pas leur place ici : modifier les faits d’un document rend la réponse de l’IA fausse. Le hachage transforme les noms en chaînes que personne, pas même l’IA, ne peut lire dans leur contexte.

Le résultat est pseudonymisé : les règles de protection des données continuent donc de s’appliquer à vous. Ce qui change, c’est ce qui quitte votre PC. Si vous choisissez un logiciel pour cela, notre liste de ce qu’il faut vérifier dans un outil de pseudonymisation couvre la destination des données et la façon dont les noms reviennent.

Questions fréquentes

Quelle est la technique d’anonymisation la plus efficace ?

Il n’y en a pas une seule. Le WP216 a constaté que chaque technique examinée échoue à au moins l’un des trois tests dans certaines situations. Pour les jeux de données statistiques, la généralisation et la suppression mesurées par le k-anonymat, ou la confidentialité différentielle, donnent les meilleurs résultats. Pour les documents qu’une IA doit lire, la pseudonymisation associée à la généralisation des dates et des lieux est le choix pratique, et ce n’est pas de l’anonymisation.

Hacher une adresse e-mail suffit-il à l’anonymiser ?

Non. Les adresses e-mail suivent des formats prévisibles : un attaquant peut hacher une liste d’adresses probables et comparer les résultats. Un hachage avec clé ou un jeton aléatoire est plus sûr, et les deux restent de la pseudonymisation, pas de l’anonymisation.

Quels outils d’anonymisation existent pour les tableaux ?

ARX en est un exemple gratuit et open source : vous chargez un fichier CSV, Excel ou une table de base de données, fixez des règles de généralisation et de suppression, choisissez un modèle de confidentialité comme le k-anonymat, et il indique le risque restant. Les outils de ce type travaillent sur des colonnes et des lignes, pas sur du texte suivi.

Les données anonymisées relèvent-elles du RGPD ?

Les données véritablement anonymes, non, selon le considérant 26. Les données pseudonymisées, oui. La difficulté est de prouver que personne ne peut raisonnablement réidentifier les données, et c’est pourquoi les autorités traitent l’anonymisation comme une évaluation des risques plutôt que comme une étape unique.

ClientSafe pseudonymise les documents sur votre PC : il remplace les noms, sociétés, adresses, numéros de téléphone, adresses e-mail, numéros de compte et d’identification et dates de naissance par des marqueurs tels que Person_1, et garde le même marqueur pour un même nom dans tous les documents d’un dossier. La détection n’est pas parfaite : vérifiez la liste avant de copier.