Pseudonymisation

La pseudonymisation est une mesure de sécurité technique consistant à réduire la corrélation d’un ensemble de données à caractère personnel avec l’identité originale d’une personne concernée, participant notamment de la protection des données dès la conception et de la protection des données par défaut, et pouvant être comprise parmi les garanties appropriées.

Elle consiste en effet à remplacer un attribut, généralement unique, par un autre dans un enregistrement, et réduit en conséquence le risque de mise en corrélation d’un ensemble de données.

Toutefois, les données pseudonymisées continuent à permettre l’individualisation d’une personne concernée et la corrélation entre différents ensembles de données.

La pseudonymisation ne doit donc pas être confondue avec l’anonymisation qui consiste à retirer suffisamment d’éléments pour que la personne concernée ne puisse plus être identifiée en recourant à l’ensemble des moyens susceptibles d’être raisonnablement mis en œuvre, soit par le responsable du traitement, soit par un tiers.

Alors que la pseudonymisation est réversible, l’anonymisation est irréversible.

Les données pseudonymisées ne sont pas de nature à empêcher qu’une personne concernée soit identifiable et restent donc dans le champ d’application du RGPD, ce qui n’est pas le cas des données anonymisées qui sortent du champ d’application du RGPD.

Les principales techniques de pseudonymisation sont les suivantes :

Système de chiffrement à clé secrète ;
Fonction de hachage, avec ou sans salage ;
Fonction de hachage par clé- avec clé enregistrée ou avec suppression de la clé ;
Tokenization.

Indépendamment de la technique utilisée, la pseudonymisation doit nécessairement permettre l’individualisation de la personne concernée, qui est identifié par un attribut unique. De plus, la corrélation entre les données doit également être encore possible au moyen d’autres attributs.

Un renversement non autorisé de la procédure de pseudnonymisation peut résulter d’une violation de données à caractère personnel, causant ainsi une perte de contrôle des personnes concernées sur leurs données.

Point RGPD

« La pseudonymisation des données à caractère personnel peut réduire les risques pour les personnes concernées et aider les responsables du traitement et les sous-traitants à remplir leurs obligations en matière de protection des données. L’introduction explicite de la pseudonymisation dans le présent règlement ne vise pas à exclure toute autre mesure de protection des données.

Afin d’encourager la pseudonymisation dans le cadre du traitement des données à caractère personnel, des mesures de pseudonymisation devraient être possibles chez un même responsable du traitement, tout en permettant une analyse générale, lorsque celui-ci a pris les mesures techniques et organisationnelles nécessaires afin de garantir, pour le traitement concerné, que le présent règlement est mis en œuvre, et que les informations supplémentaires permettant d’attribuer les données à caractère personnel à une personne concernée précise soient conservées séparément. Le responsable du traitement qui traite les données à caractère personnel devrait indiquer les personnes autorisées à cet effet chez un même responsable du traitement. »

Considérants 28 et 29 du RGPD

Point jurisprudence

L’autorité de contrôle slovène rappelle que « Les données à caractère personnel cryptées sont des données à caractère personnel pseudonymisées et restent donc des données à caractère personnel (voir l’article 4, point 5 du règlement général), et ne sont donc pas des données anonymes, de sorte que le traitement de données à caractère personnel pseudonymisées nécessite également une base légale appropriée.

[…]

Si des personnes non autorisées mettent la main sur des informations personnelles pseudonymisées, c’est la même chose que si elles recevaient des données personnelles brutes, elles mettront seulement un peu plus de temps afin d’identifier les individus. Les données réellement anonymes ne sont obtenues que par l’utilisation de méthodes et de techniques d’anonymisation spécifiques (telles que l’addition de bruits, la permutation, la confidentialité différenciée, l’agrégation, le k-anonymat, la l-diversité et la t-similarité) et non par simple encodage, cryptage ou autres mises en correspondance »

Informacijski pooblaščenec, 30 mars 2020, N°07120-1/2020/25

Le Cabinet Bouchara vous accompagne notamment dans :

La mise en conformité de votre organisme au RGPD ;
La rédaction de politiques de protection des données (politique de confidentialité, charte informatique…) ;
La documentation de vos traitements (registre des activités de traitement, registre des violations, analyse d’impact relative à la vie privée, consultation préalable…) ;
L’obtention de certifications et l’adhésion à des codes de conduite ;
L’étude de la faisabilité juridique de la mise en œuvre d’un nouveau traitement de données à caractère personnel ;
La rédaction et transmission de vos codes de conduites à la CNIL pour approbation ;
L’analyse juridique de la conformité de vos traitements de données, y compris des transferts de données hors de l’Espace Economique Européen ;
La rédaction et la négociation de vos accords de traitements de données (DPA) ;
La rédaction de vos règles d’entreprises contraignantes (BCR) et codes de conduites ;
La formation et la sensibilisation de vos collaborateurs.