Remplacer les noms par des espaces réservés constitue une bonne première étape. Au sens du RGPD, cela ne rend pas les données anonymes à lui seul. Cet article expose ce que dit le règlement, ce que la Cour de justice de l’Union européenne a décidé en septembre 2025 et ce qu’il faut en faire.
La réponse courte
Oui, en général. Le RGPD précise que les données à caractère personnel ayant fait l’objet d’une pseudonymisation et qui pourraient être attribuées à une personne à l’aide d’informations supplémentaires sont des informations concernant une personne identifiable. Si vous détenez la clé permettant de relier « Person_1 » à un vrai nom, le texte que vous avez remplacé reste une donnée à caractère personnel entre vos mains, et le traitement que vous en faites relève du RGPD.
La réponse plus nuancée est que cela dépend de la personne qui détient les données et des moyens qu’elle pourrait raisonnablement utiliser pour identifier la personne. C’est là que la décision de justice de 2025 est importante.
Ce que dit le RGPD
L’article 4, paragraphe 5, définit la pseudonymisation comme :
« le traitement de données à caractère personnel de telle façon que celles-ci ne puissent plus être attribuées à une personne concernée précise sans avoir recours à des informations supplémentaires, pour autant que ces informations supplémentaires soient conservées séparément et soumises à des mesures techniques et organisationnelles afin de garantir que les données à caractère personnel ne sont pas attribuées à une personne physique identifiée ou identifiable »
Le considérant 26 précise que les données à caractère personnel ayant fait l’objet d’une pseudonymisation et qui pourraient être attribuées à une personne physique à l’aide d’informations supplémentaires devraient être considérées comme des informations concernant une personne physique identifiable. Pour déterminer si une personne est identifiable, il faut tenir compte de tous les moyens raisonnablement susceptibles d’être utilisés, comme l’individualisation, par le responsable du traitement ou par une autre personne, notamment des coûts et du temps nécessaires ainsi que des technologies disponibles.
La formulation entraîne deux conséquences pratiques. La clé doit être conservée séparément, avec des mesures techniques et organisationnelles. Et le caractère « identifiable » s’évalue en fonction des moyens réalistes, et non de la possibilité théorique d’une identification.
Ce que la Cour de justice a ajouté en 2025
Le 4 septembre 2025, la Cour de justice de l’Union européenne a rendu son arrêt dans l’affaire EDPS contre CRU (affaire C-413/23 P). Elle portait sur des commentaires transmis à un cabinet de conseil par une autorité bancaire après remplacement de l’identité des auteurs par des codes. L’affaire a été tranchée au titre du règlement 2018/1725, qui s’applique aux institutions de l’UE, mais ses définitions des données à caractère personnel et de la pseudonymisation sont les mêmes que celles du RGPD.
La Cour a estimé que les données pseudonymisées ne doivent pas être considérées comme des données à caractère personnel « dans tous les cas et pour toute personne ». La question de savoir si les données sont personnelles pour un destinataire donné dépend des circonstances, notamment des moyens raisonnablement susceptibles d’être utilisés par ce destinataire pour réidentifier les personnes concernées. La partie qui a procédé à la pseudonymisation et détient les informations supplémentaires se trouve dans une situation différente de celle d’un destinataire qui ne peut relier les codes à personne.
Il s’agit d’une évolution juridique que les spécialistes continuent d’analyser. N’y voyez pas une autorisation d’envoyer des données pseudonymisées de clients n’importe où. La Cour indique que la question s’évalue du point de vue du destinataire ; elle ne dit pas que cette question disparaît.
Ce que cela signifie pour un chatbot d’IA
- Vous restez le responsable du traitement des données d’origine et de la clé. Vos propres obligations au titre du RGPD s’appliquent à ce que vous faites du document, y compris son remplacement.
- La question de savoir si le fournisseur d’IA reçoit des données à caractère personnel s’apprécie au cas par cas. Le contexte peut permettre d’identifier une personne même en l’absence de nom : un métier rare, une petite ville, un événement inhabituel. Si quelqu’un peut raisonnablement découvrir de qui parle le texte, traitez-le comme une donnée à caractère personnel.
- Ne fondez pas votre position en matière de conformité sur l’idée que les espaces réservés rendent le texte anonyme. Partez du principe qu’il peut encore s’agir de données à caractère personnel, et considérez les espaces réservés comme une mesure de protection parmi d’autres.
La pseudonymisation reste utile, et le RGPD le reconnaît. L’article 32, paragraphe 1, point a), cite la pseudonymisation parmi les mesures de sécurité qu’un responsable du traitement peut utiliser. Les considérants 28 et 78 indiquent qu’elle peut réduire les risques pour les personnes concernées et contribue à la protection des données dès la conception et par défaut. Le règlement la considère comme une mesure de protection, et non comme un moyen d’échapper à son application.
Que faire en pratique
- Commencez par réduire les données au minimum. Ne transmettez que le passage nécessaire à la tâche. Voir comment utiliser des outils d’IA avec des documents clients.
- Remplacez tous les identifiants, pas seulement les noms. Les numéros de compte, les numéros d’identification et les dates de naissance sont également des identifiants. La liste de contrôle les répertorie.
- Conservez la clé de votre côté, séparément du texte envoyé, puis supprimez-la à la fin de l’affaire.
- Vérifiez les conditions du fournisseur et votre formule. Une formule professionnelle avec un accord de traitement des données n’équivaut pas à un compte personnel gratuit. Voir ce qu’indiquent les paramètres relatifs aux données.
- Demandez conseil pour les cas à haut risque : données de santé, données concernant des enfants, catégories particulières de données ou tout élément dont la violation aurait de graves conséquences.
Dans le langage courant, les termes sont utilisés sans grande précision. Anonymisation, pseudonymisation et caviardage les compare.
Questions fréquentes
Les données pseudonymisées sont-elles identiques aux données anonymes ?
Non. Le considérant 26 précise que les principes de la protection des données ne s’appliquent pas aux informations anonymes, c’est-à-dire aux informations qui ne concernent pas une personne identifiable, ni aux données rendues anonymes de manière à ce que la personne ne soit plus identifiable. Les données pseudonymisées qui peuvent être réattribuées à une personne constituent une catégorie différente.
Le RGPD interdit-il d’utiliser des outils d’IA avec des données à caractère personnel ?
Non. Il exige une base juridique, la minimisation des données, des mesures de sécurité et, en cas de recours à un fournisseur, un contrat approprié. L’utilisation d’espaces réservés contribue à la minimisation.
Cela s’applique-t-il en dehors de l’UE ?
Le Royaume-Uni a sa propre version, et de nombreux pays ont des règles similaires. Le RGPD peut également s’appliquer aux entreprises établies en dehors de l’UE qui proposent leurs services aux personnes qui s’y trouvent.
ClientSafe conserve sur votre PC la table qui associe les espaces réservés aux vrais noms. Le texte que vous copiez dans un outil d’IA ne contient que les espaces réservés. Vérifiez d’abord ce que l’outil a trouvé, car aucun outil ne détecte tout.
Informations générales, et non conseils juridiques. Consultez un conseiller qualifié en protection des données au sujet de votre situation.