Les ouvrages réunis sur ce site évoquent régulièrement le chiffrement et la pseudonymisation comme moyens de protéger des données personnelles. Les trois techniques ci-dessous sont complémentaires, mais elles ne répondent pas à la même question et n'ont pas les mêmes effets, y compris au regard du RGPD.
Chiffrer, c'est transformer une donnée en une suite illisible qui ne redevient exploitable qu'avec la bonne clé. On distingue le chiffrement au repos, qui protège une donnée stockée sur un disque, un téléphone ou une sauvegarde, et le chiffrement en transit, qui protège une donnée qui circule sur un réseau. Le chiffrement symétrique utilise la même clé pour chiffrer et déchiffrer ; le chiffrement asymétrique utilise une paire de clés, l'une publique, l'autre privée. Ce que le chiffrement protège : la confidentialité du contenu si le support est perdu, volé ou intercepté. Ce qu'il ne protège pas : les métadonnées — qui communique avec qui, quand, quel volume —, ni la donnée pendant qu'elle est utilisée en clair par une application, ni un système déjà compromis dans lequel l'attaquant dispose des mêmes accès que l'utilisateur légitime.
Le chiffrement déplace le problème vers la clé. Une clé stockée à côté des données qu'elle protège, partagée par courriel, ou identique pour tout un parc, annule le bénéfice. Une bonne gestion suppose des clés distinctes selon les usages, un accès restreint et tracé, un stockage séparé — idéalement dans un module dédié —, une procédure de renouvellement, et une sauvegarde des clés elle-même sécurisée. La perte d'une clé sans copie rend les données définitivement inaccessibles.
Dans une messagerie chiffrée de bout en bout, seuls l'expéditeur et le destinataire possèdent les clés : le fournisseur du service transporte un contenu qu'il ne peut pas lire. C'est le niveau de protection le plus élevé pour une communication, mais il a des limites concrètes. Les métadonnées restent visibles du fournisseur. Les messages en clair subsistent sur les appareils des correspondants, donc un téléphone déverrouillé ou une sauvegarde non chiffrée expose la conversation. Et la sécurité repose sur la vérification de l'identité du correspondant, sans quoi un intermédiaire pourrait se glisser dans l'échange.
Un exemple : un ordinateur portable dont le disque est chiffré est bien protégé s'il est volé éteint. Allumé et déverrouillé, il ne l'est plus du tout, car le système accède aux données en clair. De même, chiffrer une base de données ne protège pas contre une application légitime piégée qui interroge cette base avec les droits normaux. Le chiffrement est une couche parmi d'autres : il ne remplace ni le contrôle des accès, ni les mises à jour, ni la vigilance face à l'hameçonnage.
Le RGPD définit la pseudonymisation comme le traitement de données de façon à ce qu'elles ne puissent plus être attribuées à une personne précise sans information supplémentaire, conservée séparément. Concrètement, on remplace les identifiants directs — nom, numéro de client — par une référence, et on garde à part la table qui permet de faire le lien. La donnée pseudonymisée reste une donnée personnelle, car la réidentification demeure possible pour qui détient la table ou peut la recouper. Le RGPD encourage explicitement la pseudonymisation comme mesure de sécurité et de minimisation, mais elle ne fait pas sortir la donnée de son champ.
L'anonymisation vise un résultat plus fort : rendre la réidentification impossible, de façon irréversible, pour quiconque et par tout moyen raisonnable. Si ce résultat est réellement atteint, la donnée n'est plus une donnée personnelle et sort du champ du RGPD. C'est la différence décisive avec la pseudonymisation. Mais l'exigence est élevée, et beaucoup de jeux de données présentés comme anonymisés ne le sont qu'en apparence.
Trois risques doivent être écartés pour qu'un jeu de données soit considéré comme anonyme. L'individualisation : peut-on isoler un enregistrement correspondant à une personne ? La corrélation : peut-on relier entre eux des enregistrements concernant la même personne, dans le même jeu ou dans un autre ? L'inférence : peut-on déduire, avec une forte probabilité, la valeur d'un attribut à partir des autres ? Des travaux répétés ont montré que des bases « anonymisées » — trajets, historiques de navigation, données de santé — pouvaient être réattribuées à des individus en les recoupant avec des informations publiques. Retirer le nom ne suffit pas ; il faut généraliser, agréger ou perturber les données, au prix d'une perte d'utilité qu'il faut accepter.
La pseudonymisation ne vaut que si l'information qui permet de faire le lien est réellement séparée : stockée sur un autre système, chiffrée, accessible à un nombre restreint de personnes, avec une traçabilité des consultations. Si la table de correspondance est dans le même fichier, ou accessible aux mêmes personnes que les données pseudonymisées, la mesure est cosmétique. Bien menée, elle permet par exemple à une équipe d'analyse de travailler sur des données utiles sans connaître l'identité des personnes, seule une fonction habilitée pouvant réidentifier en cas de besoin légitime.
Rendre une donnée réellement anonyme suppose de dégrader volontairement sa précision. Généraliser : remplacer une date de naissance par une tranche d'âge, une adresse par une commune. Agréger : ne publier que des totaux par groupe, en supprimant les groupes trop petits qui pointeraient vers une personne. Perturber : ajouter un bruit statistique contrôlé qui préserve les tendances mais brouille les valeurs individuelles. Le bon niveau dépend de l'usage visé et se vérifie en testant les trois risques d'individualisation, de corrélation et d'inférence sur le résultat.
La tokenisation remplace une donnée sensible par un jeton sans valeur intrinsèque, la correspondance étant conservée dans un coffre séparé. Elle est très utilisée pour les numéros de carte bancaire : le commerçant manipule un jeton, jamais le vrai numéro. Techniquement proche de la pseudonymisation, elle s'en distingue par l'usage — protéger un identifiant précis dans une chaîne de traitement — et par le fait que le jeton n'est pas dérivé mathématiquement de la donnée d'origine, contrairement à un chiffrement.
Sur un ordinateur ou un téléphone, le chiffrement intégral du support est la mesure la plus simple et la plus efficace : il rend l'appareil inexploitable pour qui le vole ou le trouve, sans effort quotidien. Il est activé par défaut sur la plupart des téléphones récents et disponible en option sur les systèmes de bureau. Son efficacité dépend d'un verrouillage par code ou biométrie réellement utilisé, et de la sauvegarde du code de récupération dans un endroit sûr et distinct de l'appareil.
Pour protéger des données stockées ou transmises contre un accès non autorisé : le chiffrement, avec une gestion rigoureuse des clés. Pour réduire le risque tout en gardant la possibilité de réidentifier — recherche, statistiques internes, support client : la pseudonymisation. Pour publier ou partager largement des données sans contrainte RGPD : l'anonymisation, à condition de vérifier sérieusement les trois risques de réidentification. Pour isoler un identifiant critique dans un flux applicatif : la tokenisation.
Le chiffrement protège l'accès, la pseudonymisation réduit le risque sans changer le statut de la donnée, l'anonymisation seule fait sortir du RGPD mais elle est exigeante et souvent illusoire. Ces techniques prolongent le cadre posé par le RGPD et s'articulent avec une politique de sauvegarde qui, elle aussi, doit être chiffrée.