Pseudonymisation : pas un anonymat, simplement un masque

La pseudonymisation remplace les éléments d’identification, comme les noms, par des codes ou des jetons, de sorte que les données ne permettent pas à elles seules d’identifier précisément une personne. La distinction essentielle tient à l’anonymisation : les données anonymisées sont définitivement débarrassées de tous leurs identifiants, ce qui rend toute réidentification impossible, tandis que les données pseudonymisées conservent un lien caché. En vertu de l’article 4, paragraphe 5, du GDPR, la pseudonymisation réduit le risque, mais ne soustrait pas les données au champ d’application du règlement : elles restent des données à caractère personnel, car l’identité d’origine peut être reconstituée à l’aide d’informations supplémentaires conservées séparément.

Pour repérer la différence lors d’un examen, souvenez-vous que la pseudonymisation est réversible par conception, tandis que l’anonymisation est irréversible. Une astuce courante consiste à rechercher dans la question des expressions telles que « sans informations supplémentaires » : si une réidentification est possible à l’aide de données supplémentaires, il s’agit de pseudonymisation, et non d’anonymat. Autre indice : la pseudonymisation est souvent utilisée à des fins de recherche ou d’analyse, car elle réduit les risques, mais les responsables du traitement doivent tout de même protéger la clé distincte. Si un scénario mentionne le « hachage » ou le « chiffrement » de données à caractère personnel, il s’agit généralement de pseudonymisation, et non d’une anonymisation complète.

Un test mental rapide : si le responsable du traitement conserve une table de correspondance ou une clé distincte permettant de relier de nouveau les codes aux personnes, il s’agit de pseudonymisation. Pour l’examen, associez le mot « pseudo » (faux) à un « masque » : les données portent un masque, mais celui-ci peut être retiré. Opposez cela à « anonyme » (sans nom), où aucun masque n’existe. Cette distinction apparaît souvent dans les questions relatives au respect du GDPR ; vérifiez donc toujours si la réidentification reste possible.