Remplacer les noms d'un dossier par des alias avant de le confier à une IA ne le rend pas anonyme : c'est une pseudonymisation, et les données pseudonymisées qui peuvent être rattachées à une personne restent des données personnelles (RGPD, considérant 26). L'anonymisation suppose une identification impossible en pratique et irréversible.
La CNIL définit l'anonymisation comme un traitement qui consiste à utiliser un ensemble de techniques de manière à rendre impossible, en pratique, toute identification de la personne par quelque moyen que ce soit et de manière irréversible (CNIL, L'anonymisation de données personnelles). Des données réellement anonymes sortent du champ du RGPD.
La pseudonymisation est autre chose. L'article 4, 5), du RGPD la définit comme le traitement de données à caractère personnel de telle façon que celles-ci ne puissent plus être attribuées à une personne concernée précise sans avoir recours à des informations supplémentaires, pour autant que ces informations supplémentaires soient conservées séparément et soumises à des mesures techniques et organisationnelles (RGPD, chapitre 1, sur le site de la CNIL). En pratique, selon la CNIL, elle consiste à remplacer les données directement identifiantes (nom, prénom) par des données indirectement identifiantes (alias, numéro séquentiel).
| Anonymisation | Pseudonymisation | |
|---|---|---|
| Ce qu'elle fait | Rend l'identification impossible en pratique | Remplace les identifiants directs par des alias ou des numéros |
| Réversible ? | Non | Oui, avec les informations supplémentaires |
| Statut des données | Hors du champ du RGPD, pour les entités à l'égard desquelles elles sont anonymes | Données personnelles, pour qui peut les rattacher à la personne et, selon le projet de lignes directrices du CEPD, pour qui les traite pour son compte |
Le considérant 26 du RGPD le dit expressément : les données qui ont fait l'objet d'une pseudonymisation et qui pourraient être attribuées à une personne physique par le recours à des informations supplémentaires devraient être considérées comme des informations concernant une personne physique identifiable. Le cabinet qui garde la table de correspondance entre les alias et ses clients traite donc des données personnelles. Et le prestataire de l'outil qui traite ce dossier pour le compte du cabinet ne peut pas se placer de son seul point de vue : le projet de lignes directrices du CEPD présenté plus bas indique que, pour une entité qui traite des informations pour le compte d'un responsable du traitement, le caractère personnel des données s'apprécie du point de vue de ce dernier ; elles devraient alors être considérées comme des données personnelles pour elle aussi, et elle comme un sous-traitant au sens du RGPD.
La CNIL donne un exemple : une base de CV où seuls les nom et prénoms d'une personne ont été remplacés par un numéro qui ne correspond qu'à elle permet encore d'individualiser cette personne, et reste pseudonymisée, pas anonymisée. Elle précise, à propos de la pseudonymisation, qu'en pratique l'identité des personnes peut être retrouvée grâce à des données tierces.
Un dossier contentieux peut être dans ce cas. Une personne est identifiable, selon l'article 4, 1), du RGPD, lorsqu'elle peut être identifiée directement ou indirectement, notamment par référence à un ou plusieurs éléments spécifiques propres à son identité physique, physiologique, génétique, psychique, économique, culturelle ou sociale. Or le dossier d'une victime ou d'un salarié contient des éléments de ce type, comme les lésions décrites par l'expert, l'employeur, le poste occupé ou la composition de la famille, et d'autres qui permettent de le relier à des données tierces, comme la date et le lieu de l'accident. Une fois le nom retiré, ils restent.
Pour vérifier qu'un jeu de données est réellement anonyme, les autorités européennes de protection des données retiennent trois critères, que la CNIL reprend :
À défaut de remplir parfaitement ces trois critères, la CNIL demande de démontrer, par une évaluation approfondie, que le risque d'identification est négligeable. Pour construire un processus d'anonymisation, la CNIL conseille notamment de supprimer les éléments d'identification directe ainsi que les valeurs rares, et décrit des techniques comme la généralisation, par exemple remplacer une date de naissance par la seule année.
Le Comité européen de la protection des données (CEPD) a adopté le 7 juillet 2026 des lignes directrices sur l'anonymisation, soumises à consultation publique jusqu'au 30 octobre 2026 (communiqué traduit par la CNIL). Elles tiennent compte de l'arrêt de la Cour de justice de l'Union européenne du 4 septembre 2025 (affaire C-413/23 P, Contrôleur européen de la protection des données c/ Conseil de résolution unique).
Trois points ressortent du communiqué :
Le texte étant en consultation, sa version définitive peut encore évoluer.
En dommage corporel, le dossier contient des données de santé, que l'article 4, 15), du RGPD définit comme les données à caractère personnel relatives à la santé physique ou mentale d'une personne physique, y compris la prestation de services de soins de santé, qui révèlent des informations sur son état de santé. L'article 9 du RGPD interdit le traitement de ces données, sauf dans les cas qu'il énumère, parmi lesquels le traitement nécessaire à la constatation, à l'exercice ou à la défense d'un droit en justice (article 9, 2, f).
Sur l'hébergement et le secret professionnel, voir aussi notre article sur l'IA, le secret professionnel et la souveraineté.
La pseudonymisation n'est pas inutile. Le RGPD la cite parmi les mesures de protection des données dès la conception (article 25) et parmi les mesures de sécurité que le responsable du traitement et le sous-traitant mettent en œuvre selon les risques (article 32). La CNIL la présente comme une des mesures recommandées par le RGPD pour limiter les risques liés au traitement de données personnelles.
Elle ne dispense pas, en revanche, des autres obligations. Lorsqu'un traitement est effectué pour le compte du cabinet, l'article 28 du RGPD impose de ne faire appel qu'à des sous-traitants qui présentent des garanties suffisantes quant à la mise en œuvre de mesures techniques et organisationnelles appropriées. La question du secret professionnel, qui couvre toutes les pièces du dossier (article 66-5 de la loi du 31 décembre 1971), se pose par ailleurs : nous la traitons dans notre article sur l'IA et le secret professionnel.
Deux voies s'offrent donc au cabinet. La première consiste à retirer du dossier tout ce qui permet d'identifier la personne, au risque de retirer aussi les faits dont dépend le chiffrage : la date de consolidation, l'âge, les séquelles décrites, la rémunération. La seconde consiste à traiter le dossier complet dans un environnement conçu pour ce type de données.
Plato, l'IA spécialisée en dommage corporel, qui s'étend au droit social, a fait le second choix : un hébergement HDS en France, un chiffrement AES-256, des données jamais utilisées pour l'entraînement des modèles, et une traçabilité complète, chaque chiffre renvoyant à la pièce dont il provient. Le choix d'un outil se pose aussi sous l'angle de la fiabilité : voir notre article sur la vérification d'une jurisprudence citée par une IA et nos critères pour choisir un logiciel de chiffrage.
Quelle est la différence entre anonymisation et pseudonymisation ?
L'anonymisation rend l'identification de la personne impossible en pratique et de façon irréversible ; des données réellement anonymes sortent du champ du RGPD. La pseudonymisation remplace les identifiants directs par des alias, de façon réversible : les données restent personnelles pour qui peut les rattacher à la personne.
Remplacer le nom du client par un alias suffit-il à anonymiser un dossier ?
Non. C'est une pseudonymisation. La CNIL rappelle qu'un jeu de données où seuls les noms ont été remplacés par un identifiant propre à chaque personne permet encore de l'individualiser, et que l'identité peut être retrouvée grâce à des données tierces.
Des données pseudonymisées restent-elles soumises au RGPD ?
Oui, pour qui peut les rattacher à la personne. Le considérant 26 du RGPD prévoit que les données pseudonymisées qui pourraient être attribuées à une personne par le recours à des informations supplémentaires concernent une personne identifiable. Selon le projet de lignes directrices du CEPD de 2026, elles devraient le rester aussi pour le prestataire qui les traite pour le compte du cabinet.
Quels sont les trois critères d'une anonymisation réussie ?
L'individualisation (impossible d'isoler un individu), la corrélation (impossible de relier des ensembles de données concernant un même individu) et l'inférence (impossible de déduire de nouvelles informations sur un individu). À défaut de les remplir parfaitement, la CNIL demande de démontrer, par une évaluation approfondie, que le risque d'identification est négligeable.
Quel est le statut des données de santé d'un dossier de dommage corporel ?
Ce sont des données d'une catégorie particulière, dont l'article 9 du RGPD interdit le traitement sauf dans les cas qu'il énumère, parmi lesquels le traitement nécessaire à la constatation, à l'exercice ou à la défense d'un droit en justice.
Que changent les lignes directrices du CEPD de 2026 sur l'anonymisation ?
Adoptées le 7 juillet 2026 et en consultation publique jusqu'au 30 octobre 2026, elles précisent que le caractère anonyme des données peut varier d'une entité à l'autre et proposent une approche contextuelle ou simplifiée, en conservant les trois critères d'individualisation, de corrélation et d'inférence.