Anonymisation avant traitement : retirer ce qui n'a pas à circuler.
Avant qu'un document entre dans une chaîne automatisée, les données personnelles qu'il contient peuvent être retirées ou remplacées. Nous mettons en oeuvre ce traitement sur le plan technique et documentaire, aux côtés de votre DPO ou de votre conseil juridique.
Le document contient toujours plus que ce qu’on veut traiter
Un CV envoyé pour en extraire des compétences contient une adresse, une date de naissance, parfois une photo. Un contrat dont on veut la date d’échéance contient les coordonnées d’un signataire. Un compte rendu de réunion dont on veut la synthèse contient des propos attribués à des personnes nommées.
Dans une chaîne automatisée, tout cela part ensemble. La question n’est pas théorique : elle décide de ce que vous pouvez confier à un service extérieur, et elle se pose avant le développement, jamais après.
Le retrait se fait chez vous, avant l’envoi. Un traitement identifie les éléments concernés et les remplace, soit par du vide, soit par un jeton qui préserve la cohérence du texte. La chaîne travaille ensuite sur un document qui garde son sens sans porter les identités.
Nous intervenons sur la mise en oeuvre technique et documentaire. La qualification du traitement, sa base légale et l’appréciation du niveau de protection nécessaire relèvent de votre DPO ou de votre conseil juridique, avec qui nous travaillons.
Anonymisation et pseudonymisation ne sont pas la même chose
La confusion entre les deux est la première cause de mauvaise décision sur ce sujet.
| Anonymisation Le retour en arrière est impossible | Pseudonymisation La correspondance existe encore |
|---|---|
| L'identité disparaîtAucune réidentification n'est possible, y compris en croisant avec d'autres données. | L'identité est remplacéePar un jeton, avec une table de correspondance conservée à part et protégée. |
| Hors du RGPDSelon la CNIL, une donnée réellement anonymisée n'est plus une donnée personnelle. | Toujours personnelleLe RGPD continue de s'appliquer. C'est une mesure de sécurité, pas une sortie du cadre. |
| Analyser en masseStatistiques, tendances, entraînement d'un modèle interne, conservation sans limite de durée. | Revenir au dossierRattacher le résultat à la bonne personne, ce que l'anonymisation interdit définitivement. |
| Le recoupementRetirer le nom ne suffit pas : un poste, une date et une commune peuvent désigner une seule personne. | La tableToute la protection repose sur elle. Une table accessible annule le bénéfice du procédé. |
| Analyse et statistiquesQuand vous voulez comprendre un ensemble sans jamais revenir à un individu. | Traitement de dossiersQuand le résultat doit repartir dans le dossier d'une personne identifiée. |
Ce que nous mettons en place, et ce que nous ne décidons pas
Le retrait s’exécute chez vous. Le document quitte votre système déjà nettoyé. C’est la seule architecture qui a du sens : anonymiser après l’envoi ne protège de rien, puisque l’original est déjà parti.
Le masquage préserve le sens. Remplacer chaque nom par le même astérisque rend un compte rendu illisible et inexploitable. Nous utilisons des jetons cohérents, où la même personne porte le même jeton dans tout le document, ce qui permet de suivre qui dit quoi sans savoir de qui il s’agit.
Le recoupement est le vrai sujet. Retirer le nom et l’adresse laisse souvent assez d’éléments pour retrouver une personne : la fonction, la date d’entrée, le service, la commune. Quand l’objectif est une anonymisation réelle, le travail porte sur ces éléments-là, ce que la CNIL rappelle dans sa doctrine sur le sujet.
Nous ne qualifions rien juridiquement. Décider qu’un traitement est licite, apprécier le risque de réidentification résiduel, choisir entre anonymisation et pseudonymisation au regard de vos obligations : ces décisions appartiennent à votre DPO ou à votre conseil. Nous les outillons, nous documentons ce qui a été retiré et comment, et nous fournissons les éléments techniques dont ils ont besoin.
Ce que cela permet
Sur des dossiers sensibles, c’est souvent cette étape qui rend un projet possible. Elle ouvre des traitements que la direction refusait, à raison, tant que les documents partaient tels quels : la lecture de documents, la synthèse de comptes rendus, l’analyse d’un fonds entier.
L’autre réponse au même problème
Quand l’exigence est de ne rien laisser sortir du tout, la voie n’est pas le masquage mais l’hébergement : un modèle qui tourne sur vos serveurs ou en Europe, décrit sur IA souveraine et hébergement. Les deux approches se combinent, et le cadre général figure sur conformité RGPD et AI Act.
Anonymisation, ce qu’on nous demande
Les questions posées quand les documents sont sensibles et le projet bloqué.
Non, et c’est l’erreur la plus fréquente. Une fonction, une date d’entrée et un service suffisent souvent à désigner une seule personne dans une entreprise de cent salariés. Une anonymisation réelle traite ces éléments indirects, ce qui suppose de savoir contre quel risque on se protège.
Oui, à condition d’utiliser des jetons cohérents plutôt qu’un masquage uniforme. La même personne porte le même jeton dans tout le document, la structure du texte est préservée, et le traitement en aval fonctionne. Un masquage brutal rendrait le document inexploitable et le projet inutile.
C’est une mesure, pas une conformité. La conformité suppose une base légale, une information des personnes, un registre et des durées de conservation. Nous intervenons sur la mise en oeuvre technique et documentaire, votre DPO ou votre conseil juridique apprécie le reste. Le cadre est décrit sur conformité RGPD et AI Act.
Avec la pseudonymisation, oui, par la table de correspondance, ce qui est souvent nécessaire pour rattacher un résultat au bon dossier. Avec une anonymisation réelle, non, définitivement. C’est pour cela que le choix entre les deux se fait au départ, en fonction de ce que vous voulez faire du résultat.
Oui, une fois le texte reconnu, et le masquage porte alors aussi sur l’image pour que le nom ne reste pas lisible à l’écran. C’est un point que les traitements bâclés oublient : le texte est nettoyé, l’image d’origine ne l’est pas.
Non, et le proposer partout serait vendre du confort. Sur un traitement interne, sur des données que vous détenez déjà et qui ne sortent pas, l’anonymisation ajoute du coût sans réduire de risque. Elle se justifie quand les documents partent vers un service extérieur ou quand l’usage prévu est l’analyse en masse.
Un projet bloqué par la sensibilité des documents
Dites-nous quels documents vous voudriez traiter et ce qui vous retient. Nous vous dirons ce qui peut être retiré sans rendre le document inutile.
