RGPD : les lignes directrices de l'UE sur la pseudonymisation
Le CEPD soumet à consultation publique des lignes directrices relatives à la pseudonymisation. Il les illustre par une dizaine de cas pratiques.

"Une entreprise fournit une application de conseil médical [...]. Elle a chargé une de ses divisions de réaliser un contrôle qualité."
Ainsi débute l'un des scénarios que le CEPD (Comité européen de la protection des données) a intégrés en annexe à ses lignes directrices sur la pseudonymisation.
Le document est soumis à consultation publique jusqu'au 28 février 2025. La CNIL, qui s'en est fait l'écho, retient deux points principaux. D'une part, que les données pseudonymes constituent toujours des données personnelles. De l'autre, que la pseudonymisation peut réduire les risques et faciliter l'utilisation d'intérets légitimes comme base légale.
Le cas de l'application de conseil médical met en lumière le bénéfice potentiel de la pseudonymisation pour la conformité à deux grands principes du RGPD : la minimisation des données (article 5.1.c) et leur protection par défaut (25.2). Il implique effectivement de conserver un lien entre les données analysées et les personnes concernées, puisque l'entreprise prévoit d'alerter les patients qui auraient reçu des conseils inappropriés.
Le CEPD a établi 9 autres scénarios qui couvrent, entre autres principes :
Lire aussi : Que devient le projet de Health Data Hub européen ?
- Limitation des finalités
Cas d'une agence étudiant des demandes de subventions et susceptibles de demander à certains candidats des documents destinés à prouver l'identité et les compétences de leurs employés. - Exactitude des données
Cas d'un laboratoire médical qui envoie les résultats aux patients par téléphone mobile. Avant d'effectuer les analyses, il encode leur identité, les infos de contact et celles liées au prélèvement (horodatage, périmètre) sous forme de codes-barres ou de QR Codes apposés sur les tubes contenant les échantillons. - Sécurité des traitements
Cas d'un grand hôpital universitaire qui cherche à optimiser son offre de services et ses procédures de facturation en permettant l'analyse de données médicales par des équipes administratives dans un environnement d'un niveau de sécurité moyen. - Licéité, loyauté et transparence des traitements
Cas d'exercice du droit d'accès aux données auprès d'une entreprise qui recourt à un fournisseur tiers pour identifier et authentifier ses clients. Elle ne conserve pas d'informations d'identité, mais stocke des données étiquetées avec les pseudonymes que le fournisseur a attribués aux clients.
Certains scénarios abordent des cas plus spécifiques, comme le traitement à des fins archivistiques dans l'intérêt public, à des fins de recherche scientifique ou historique ou à des fins statistiques (article 89.1). Le CEPD en dédie aussi aux questions de l'intérêt légitime, de la conformité des traitements ultérieurs et des transferts vers des pays tiers. Parmi les autres éléments qu'il aborde :
- Collaboration de responsables de traitement à des fins de connexion d'ensembles de données pseudonymes
- Types de pseudonymisations, algorithmes acceptables et plan de remplacement de ces algos
- Cas des quasi-identifiants (attributs contenus dans des données et qui, combinés, peuvent suffire à associer tout ou partie de ces données à des personnes physiques)
Illustration générée par IA
Sur le même thème
Voir tous les articles Data & IA