La requête « pseudonymisation » a progressé de 450 % dans les recherches associées à « RGPD » en France sur les sept derniers jours, selon Google Trends consulté le 26 octobre 2026. La question utile n’est pourtant pas de savoir si un fichier porte un nom ou un numéro. Elle est de déterminer, pour chaque acteur qui le reçoit, quelles informations et quels recoupements permettent encore de rattacher une ligne à une personne. Deux décisions officielles récentes rendent cette méthode indispensable : l’arrêt de la Cour de justice de l’Union européenne du 4 septembre 2025 dans l’affaire C-413/23 P et la décision du Conseil d’État du 13 février 2026 sur des bases de données de santé.

Une société peut conserver la table de correspondance, tandis qu’un éditeur SaaS ne reçoit qu’un identifiant. Le premier et le second ne disposent alors ni des mêmes moyens ni des mêmes obligations pratiques. La pseudonymisation réduit un risque ; elle ne transforme pas automatiquement les données en informations anonymes, ne fournit pas une base juridique et ne remplace pas le contrat de sous-traitance.

L’arrêt de la Cour de justice rappelle que l’appréciation du caractère personnel dépend du contexte du traitement et des moyens raisonnablement susceptibles d’être utilisés par l’acteur considéré. Le Conseil d’État montre, par un examen concret des recoupements, comment un code peut laisser subsister un risque élevé de réidentification. Les développements qui suivent proposent une grille de lecture pour les projets SaaS, cloud, maintenance, analyse ou entraînement d’outils informatiques : identifier le destinataire, tester ses accès, réduire les données et conserver la preuve des choix.

I. La qualification des données dépend-elle du destinataire qui les reçoit ?

A. Ce que le code change, et ce qu’il ne change pas

La suppression des noms visibles est un premier geste utile, mais elle ne répond pas à toutes les questions. L’article 4, point 1, du RGPD couvre l’identification directe et indirecte, notamment à partir d’un numéro, d’une localisation, d’un identifiant en ligne ou d’éléments propres à la situation d’une personne. Un tableau dépourvu de colonne « nom » peut ainsi rester un ensemble de données personnelles.

Prenons un exemple fictif : une ligne décrit une commande très particulière, passée dans une petite commune, à une heure précise, avec un commentaire reproduisant une réclamation. Le remplacement du nom par « client 184 » laisse subsister des indices. Avant l’envoi, le contrôle doit porter sur cet ensemble, y compris les champs libres et les pièces jointes. L’étiquette apposée au fichier ne remplace pas l’examen de ce que son destinataire pourra réellement en déduire.

La pseudonymisation organise une séparation. Les données utilisées pour l’analyse sont dissociées d’informations supplémentaires permettant de retrouver les personnes. Ces informations supplémentaires doivent être « conservées séparément », selon les termes de l’article 4, point 5, du RGPD. Cette exigence s’accompagne de mesures techniques et organisationnelles destinées à empêcher l’attribution non autorisée. Il faut donc examiner les droits d’accès et les possibilités de reconstitution, au-delà de la seule présentation du tableau.

L’arrêt Contrôleur européen de la protection des données contre Conseil de résolution unique, CJUE, 4 septembre 2025, C-413/23 P précise la portée de cette analyse. La Cour statue sous le règlement (UE) 2018/1725, mais rappelle des notions communes au droit de l’Union : les moyens raisonnablement susceptibles d’être utilisés et la perspective de l’acteur qui traite les informations. Au point 86, elle refuse de considérer automatiquement les données pseudonymisées comme personnelles pour toute personne lorsque la pseudonymisation empêche effectivement d’autres acteurs que le responsable du traitement d’identifier la personne. Au point 85, elle ajoute que le recoupement raisonnablement accessible au destinataire peut conduire à retenir le caractère personnel pour ce transfert.

Cette nuance ne crée donc pas une catégorie de fichiers libérés du RGPD. Elle impose de décrire le traitement : qui détient la clé, qui peut obtenir une information complémentaire, quelles bases sont accessibles, quelles recherches sont techniquement possibles et quelles instructions encadrent les rapprochements. Le même export peut rester une donnée personnelle pour l’entreprise qui conserve la correspondance et ne pas permettre une identification raisonnable à un technicien isolé ; cette conclusion doit être démontrée pour le traitement et le destinataire précis.

La Cour rappelle aussi, aux points 111 à 113, que l’obligation d’information du responsable s’apprécie au moment de la collecte et de son propre point de vue dans l’affaire jugée. Cette solution ne dispense pas l’expéditeur d’examiner les destinataires ultérieurs : elle sépare la question de l’information initiale de celle du caractère personnel du fichier transmis. Une clause indiquant simplement « données anonymisées » ne remplace donc ni la cartographie des acteurs ni l’analyse des moyens réellement disponibles.

À l’inverse, le considérant 26 du règlement vise les données rendues anonymes de telle manière que la personne ne soit plus identifiable. L’appréciation prend en compte les moyens raisonnablement susceptibles d’être utilisés, leurs coûts, le temps nécessaire et les technologies disponibles. Le Conseil d’État, dans sa décision du 13 février 2026, nos 498628, 498629 et 498749, motifs 8 à 12, applique précisément cette analyse à des données présentées comme pseudonymisées.

Dans cette affaire, les fichiers comportaient des codes de patients ou de clients, mais aussi des informations détaillées sur leurs parcours de soins. Le juge relève les combinaisons possibles entre l’âge, les médicaments, les dates des actes et des éléments permettant de retrouver les professionnels intervenus. Il constate que l’individualisation décrite par la CNIL avait mobilisé peu de moyens, dont un tableur courant. Le recours à des codes n’a donc pas suffi à rendre les données anonymes dans les circonstances examinées, selon les motifs 10 à 12 de cette décision.

L’enseignement pratique est ciblé : un test de réidentification doit tenir compte des recoupements possibles. Il ne suffit pas de demander si le prestataire connaît déjà le nom du client. Il faut aussi vérifier les autres bases auxquelles il accède, les informations publiquement disponibles, les caractéristiques rares et la précision des données conservées. La déclaration selon laquelle personne n’a l’intention de rechercher les identités ne démontre pas que cette recherche serait pratiquement impossible. Le Conseil d’État distingue expressément l’absence d’inférence effectivement réalisée des possibilités d’identification permises par les données, au motif 11.

Le motif 12 de la décision du Conseil d’État du 13 février 2026 retient ainsi l’évaluation concrète du risque et la possibilité de lever le pseudonymat par des moyens raisonnables. Cette analyse ne conduit pas à interdire toute utilisation. Elle permet de choisir un dispositif adapté. Un diagnostic technique peut parfois être réalisé avec des données fictives ; une statistique peut parfois être produite à partir de données moins précises. Lorsque des données personnelles restent nécessaires, les principes de minimisation et de sécurité continuent à encadrer leur utilisation, conformément à l’article 5, paragraphe 1, points c et f, du RGPD.

B. Appliquer la méthode de la Cour de justice à chaque destinataire

L’entreprise doit d’abord analyser sa propre situation. Si elle conserve une table lui permettant de retrouver les personnes à partir des codes transmis, elle dispose encore d’informations se rapportant à des personnes identifiables. La définition des données personnelles et celle de la pseudonymisation, données par l’article 4, points 1 et 5, du RGPD, doivent être appliquées à cette organisation concrète. Le seul changement de présentation du fichier ne démontre pas que l’entreprise a anonymisé son traitement.

Il faut ensuite décrire les possibilités du destinataire. Un technicien qui reçoit uniquement un extrait limité n’est pas dans la même situation pratique qu’un administrateur disposant également d’un accès à la base de production. Le contrôle doit décrire les habilitations, les interfaces, les autres fichiers disponibles et les moyens de retrouver les informations supplémentaires. Il permet d’apprécier la protection effectivement obtenue, au regard des exigences de sécurité adaptée au risque de l’article 32 du RGPD.

Cette démarche ne consiste pas à attribuer abstraitement un statut universel au fichier, indépendamment de ses utilisateurs et de ses conditions d’accès. Pour l’entreprise qui transmet, l’objectif est d’établir quelles données elle traite, quelles opérations elle confie et quelles garanties correspondent au projet. Si elle invoque une anonymisation, elle doit en examiner la réalité plutôt que la déduire du seul recours à un code. Les motifs 8 à 12 de la décision du Conseil d’État du 13 février 2026 illustrent précisément l’importance de cette évaluation concrète.

La qualification des parties constitue une autre question. L’article 4, points 7 et 8, du RGPD distingue celui qui détermine les finalités et les moyens du traitement de celui qui traite des données personnelles pour son compte. Un prestataire chargé d’un test suivant des instructions définies peut relever de la sous-traitance. Une utilisation décidée pour ses propres finalités appelle une analyse différente. Le vocabulaire commercial de l’offre, tel que « partenaire » ou « solution sécurisée », ne répond pas à cette question juridique.

Un même contrat peut décrire plusieurs opérations. Le prestataire peut, par exemple, assurer une maintenance pour le compte du client, tout en proposant séparément un service d’analyse destiné à ses propres objectifs. L’entreprise doit demander quelle opération concerne son fichier et quelles instructions s’y appliquent. L’article 28, paragraphe 10, du RGPD prévoit qu’un sous-traitant qui détermine les finalités et les moyens du traitement en violation du règlement est considéré comme responsable pour ce traitement. Il ne faut donc pas considérer une qualification écrite comme suffisante lorsque les opérations décrites la contredisent.

La base juridique de la transmission doit également être examinée du côté du responsable du traitement. Un contrat de prestation entre deux entreprises ne démontre pas, par sa seule existence, que le traitement est nécessaire à l’exécution d’un contrat auquel la personne concernée est partie. Cette condition précise figure à l’article 6, paragraphe 1, point b, du RGPD. Selon la situation, un autre fondement peut être pertinent ; il doit être identifié et ses conditions examinées, sans présenter la pseudonymisation comme une base autonome de licéité.

Enfin, l’information des personnes doit correspondre aux traitements organisés. L’article 13, paragraphe 1, points c et e, du RGPD prévoit notamment l’information sur les finalités, la base juridique et les destinataires ou catégories de destinataires lorsque les données sont obtenues auprès de la personne, sous les réserves de son paragraphe 4. La notice doit être examinée avec le projet de prestation : décrit-elle les opérations envisagées et leurs destinataires de manière adaptée ? Une formule générale sur la sécurité ne répond pas à ces questions.

Il est utile de réunir ces réponses dans une représentation simple des flux : l’entreprise extrait le fichier, une personne le transforme, une autre conserve les correspondances, puis le prestataire réalise une opération déterminée. Chaque accès supplémentaire doit y être visible. Cette représentation est un outil pratique de travail ; elle aide à préciser les rôles et les instructions sans présumer, par avance, que toute prestation ou tout fichier relève nécessairement de la même qualification.

II. Comment démontrer le risque et encadrer le traitement ?

A. Mesurer les recoupements par un test documenté

Le Comité européen de la protection des données a adopté les Guidelines 01/2025 on Pseudonymisation le 16 janvier 2025. La page officielle précise que la version acquise était soumise à consultation publique ; il s’agit donc d’une orientation du Comité, pas d’un règlement nouveau. Le document explique néanmoins les trois éléments à vérifier : la transformation des données, la conservation séparée des informations supplémentaires et les mesures techniques et organisationnelles qui empêchent une attribution non autorisée (texte intégral des Guidelines 01/2025). La CNIL reprend ces clarifications dans son information du 20 janvier 2025 et rappelle que les données pseudonymisées restent, en principe, des données personnelles (CNIL, 20 janvier 2025).

La préparation commence par une description de l’opération attendue. « Tester le logiciel » est trop imprécis pour choisir le fichier utile. Le prestataire doit-il reproduire une erreur de calcul, vérifier une recherche dans la base ou analyser des comportements d’utilisation ? Cette précision permet de déterminer les colonnes, les volumes et les catégories de personnes nécessaires. L’article 25 du RGPD prévoit des mesures de protection dès la conception et par défaut, notamment pour limiter les données traitées à ce qui est nécessaire à chaque finalité.

Cette description doit aussi identifier le fondement juridique du traitement. La pseudonymisation est une mesure de protection ; elle ne figure pas parmi les bases de licéité prévues par l’article 6, paragraphe 1, du RGPD. Lorsque le projet envisage une autre finalité que celle de la collecte, son paragraphe 4 encadre l’examen de compatibilité dans les situations qu’il vise. Remplacer les noms par des codes ne permet donc pas, à lui seul, de justifier n’importe quelle réutilisation commerciale ou technique.

Si le fichier conserve des informations relatives à la santé, à l’appartenance syndicale ou à d’autres catégories particulières, l’article 9 du RGPD pose une interdiction de principe assortie de conditions d’exception précises. Un numéro de patient ne fait pas disparaître cette question lorsque la personne reste identifiable. Un projet impliquant de telles informations demande une analyse propre ; le régime d’une base de santé ne doit pas être transposé à tous les fichiers clients, ni inversement.

Une fois le besoin défini, une fiche de transmission peut réunir des éléments simples et vérifiables :

• l’opération autorisée, les données utiles et les catégories de personnes concernées ;
• les champs supprimés, transformés ou conservés, avec leur justification ;
• la méthode de création des codes et l’emplacement des informations de correspondance ;
• les personnes habilitées à recevoir le fichier et celles autorisées à rétablir une correspondance ;
• les environnements techniques utilisés et les autres accès ouverts au destinataire ;
• les critères retenus pour la fin de l’utilisation et les opérations de restitution ou de suppression.

Cette fiche n’est pas un formulaire imposé par le règlement. C’est un moyen pratique de rendre visibles les mesures choisies et leur adéquation au traitement. L’article 24, paragraphe 1, du RGPD oblige le responsable à mettre en œuvre des mesures appropriées, à pouvoir démontrer la conformité et à réexaminer ces mesures si nécessaire.

La séparation de la table de correspondance doit se traduire dans les accès. Un fichier placé dans un autre dossier, mais lisible avec les mêmes comptes que le jeu transmis, ne constitue pas une démonstration suffisante de protection. Le contrôle doit notamment rechercher les copies de sauvegarde, les exports historiques, les commentaires et les journaux contenant des identifiants. Ces vérifications servent l’objectif de sécurité adaptée au risque fixé par l’article 32 du RGPD ; elles ne remplacent pas une expertise technique lorsque celle-ci est nécessaire.

Dans un autre exemple fictif, une entreprise de vente en ligne cherche à reproduire une erreur sur le calcul des remises. Son premier export contient l’ensemble des achats, les adresses de livraison et les messages du service clients. Le défaut peut pourtant être étudié à partir du prix, du taux de remise et de quelques combinaisons de commandes. La première discussion utile porte sur ces besoins : peut-on construire un jeu fictif reproduisant les combinaisons ? À défaut, peut-on retirer les adresses et les commentaires, puis réduire le nombre de lignes ? Cette démarche donne un contenu concret à la minimisation prévue par l’article 25, paragraphe 2, du RGPD.

Supposons que le prestataire ait par ailleurs accès à l’interface de support de cette même entreprise. Le jeu pseudonymisé ne doit pas être analysé comme s’il était reçu par une personne dépourvue de tout renseignement supplémentaire. L’équipe doit examiner ce qu’un compte de support permet de retrouver et si un numéro de commande conservé dans l’export sert de passerelle. La réponse peut conduire à retirer ce numéro ou à modifier les habilitations. Elle doit être vérifiée dans l’environnement réel, puis consignée dans le dossier, en cohérence avec l’évaluation concrète du risque illustrée par les motifs 8 à 12 de la décision du Conseil d’État du 13 février 2026.

Lorsque le destinataire agit comme sous-traitant de données personnelles, l’article 28, paragraphes 1 et 3, du RGPD exige des garanties suffisantes et un contrat ou autre acte juridique encadrant le traitement. Le document doit définir notamment l’objet, la durée, la nature et la finalité du traitement, les données et les catégories de personnes concernées. Une clause générale de confidentialité ne couvre pas à elle seule cet ensemble.

L’annexe opérationnelle doit préciser les instructions autorisées et la gestion des correspondances. Une clause peut, par exemple, réserver la levée du pseudonymat à des personnes désignées et à des circonstances documentées, ou interdire les rapprochements étrangers à la prestation. Ce sont des modalités à adapter au projet. Leur rédaction doit rester cohérente avec l’obligation de traitement sur instructions documentées et la confidentialité des personnes autorisées, prévues par l’article 28, paragraphe 3, points a et b.

Le devis, le contrat principal et cette annexe doivent décrire une prestation compatible. Une promesse d’analyse limitée perdrait sa clarté si une autre clause autorisait indistinctement l’utilisation des mêmes fichiers pour améliorer l’ensemble des produits du prestataire. Il faut identifier l’opération visée, les instructions effectivement acceptées et toute utilisation envisagée pour une finalité propre. Les articles 1103 et 1104 du Code civil rappellent respectivement la force obligatoire des contrats légalement formés et leur négociation, formation et exécution de bonne foi. Ils ne remplacent pas les exigences du RGPD : les deux cadres doivent être examinés ensemble.

La chaîne des intervenants doit être identifiée. L’article 28, paragraphes 2 et 4 encadre le recours à d’autres sous-traitants par une autorisation écrite préalable, spécifique ou générale, et l’imposition d’obligations correspondantes. Un outil de support ou un service d’analyse utilisé par le prestataire doit ainsi être examiné selon son rôle réel dans le traitement, plutôt que laissé hors du périmètre par son seul nom commercial.

La localisation du serveur ne suffit pas davantage à clore l’examen des flux. Il faut demander quelles entités reçoivent les données et depuis quels pays elles les traitent. Si l’opération constitue un transfert de données personnelles vers un pays tiers ou une organisation internationale, l’article 44 du RGPD impose le respect du chapitre relatif aux transferts, y compris pour les transmissions ultérieures. La simple mention « données pseudonymisées » ne démontre pas que ces conditions sont satisfaites.

B. Traduire le résultat dans les accès et le contrat

Avant l’envoi, demandez un résultat vérifiable plutôt qu’une seule affirmation de conformité. Le dossier peut contenir un exemple de fichier préparé, la description des habilitations, le compte rendu du contrôle des champs libres et l’analyse des recoupements accessibles au destinataire. L’objectif est de pouvoir expliquer la décision : pourquoi ces données, pourquoi ce prestataire, pourquoi ces protections ? Les obligations de démonstration et d’évaluation de l’efficacité des mesures découlent des articles 24 et 32, paragraphe 1, point d, du RGPD.

Un contrôle technique de réidentification doit lui-même être cadré. Pour éviter de diffuser davantage de données à l’occasion du test, sa mission peut préciser les personnes autorisées, l’environnement, les sources de rapprochement envisagées et la manière de conserver le résultat. Il ne s’agit pas de rechercher des identités sans rapport avec la mission. Cette organisation s’inscrit dans le principe de limitation des finalités et la sécurité du traitement, posés par les articles 5, paragraphe 1, points b et f, et 32 du RGPD.

Lorsque le prestataire relève de la sous-traitance, le contrat doit aussi organiser la preuve pendant l’exécution. L’article 28, paragraphe 3, point h, du RGPD prévoit la mise à disposition des informations nécessaires pour démontrer le respect des obligations ainsi que la possibilité d’audits et d’inspections. Pour approfondir ce cadre, le dossier consacré au contrat RGPD du sous-traitant et aux clauses d’audit expose les questions contractuelles communes aux prestations informatiques.

Si le destinataire estime que les données n’ont aucun caractère personnel pour lui, demandez sur quels éléments précis repose cette position. Quels accès lui sont fermés ? Peut-il obtenir une correspondance par un autre service ? Dispose-t-il de fichiers permettant des rapprochements ? Les protections subsistent-elles lors de l’intervention de ses propres prestataires ? Ces réponses servent l’examen de l’identification directe ou indirecte visée par l’article 4, point 1, du RGPD et des garanties de sécurité prévues par l’article 32.

Une demande ultérieure de remise de la table de correspondance doit donc être réexaminée. Elle peut être motivée par un besoin technique précis, sans révéler en elle-même une intention irrégulière. Demandez quelle anomalie nécessite ce rapprochement et si l’entreprise peut effectuer elle-même la vérification sans transmettre les identités. Si la communication reste envisagée, il faut revoir les habilitations, les données utiles et les instructions. L’article 32, paragraphe 4, du RGPD encadre le traitement des données accessibles aux personnes placées sous l’autorité du responsable ou du sous-traitant par référence aux instructions et à l’éventuelle obligation légale applicable.

Conservez la demande du prestataire, la justification retenue et la version des instructions correspondantes. Une trace utile indique aussi si le fichier finalement envoyé diffère de celui qui avait été contrôlé au départ. Cette comparaison évite de présenter un ancien compte rendu technique comme la preuve des propriétés d’un export plus récent. Pour la sous-traitance de données personnelles, l’exigence d’instructions documentées prévue par l’article 28, paragraphe 3, point a, du RGPD donne à cette conservation une fonction opérationnelle : établir ce qui a réellement été autorisé pour l’opération en cause.

Le désaccord peut parfois être résolu en réduisant le jeu transmis, en utilisant des données fictives, en limitant les accès ou en modifiant la mission. À défaut de démonstration suffisante, la décision prudente consiste à préparer ces solutions avant d’ouvrir le flux. Un refus de fournir un document ne prouve pas, à lui seul, une réutilisation illicite ou une mauvaise foi. En revanche, si la sous-traitance de données personnelles est bien caractérisée, l’entreprise doit vérifier qu’elle peut satisfaire aux exigences de garanties et de contrat de l’article 28 du RGPD.

La fin de la prestation doit être préparée dès le début. Selon le choix du responsable, l’article 28, paragraphe 3, point g prévoit la suppression des données personnelles ou leur renvoi au terme des services de traitement et la destruction des copies, sauf obligation légale de conservation. Les modalités pratiques doivent prendre en compte les exports, les environnements de test et les copies existantes. Une attestation de fin d’opération peut aider à conserver la preuve de ce qui a été réalisé, sans démontrer à elle seule toutes les opérations techniques annoncées.

Si un accès non autorisé est découvert, conservez les éléments permettant de comprendre l’événement : version exacte du fichier, habilitations, journaux, échanges et éventuelles informations supplémentaires accessibles. La définition d’une violation de données personnelles couvre notamment la divulgation non autorisée ou l’accès non autorisé, selon l’article 4, point 12, du RGPD. L’analyse doit tenir compte du contenu et des protections effectives ; la pseudonymisation ne suffit pas à écarter automatiquement cette qualification. Les obligations d’assistance du sous-traitant sont notamment organisées par l’article 28, paragraphe 3, point f.

Enfin, distinguez les demandes de l’entreprise et celles des personnes concernées. Pour l’entreprise, une demande liée à l’inexécution de la prestation suppose d’examiner les engagements signés et les faits correspondants ; l’article 1231-1 du Code civil, dans sa version en vigueur, encadre les dommages et intérêts dus en raison de l’inexécution, sous la réserve qu’il énonce concernant la force majeure. Pour une personne ayant subi un dommage matériel ou moral du fait d’une violation du règlement, l’article 82 du RGPD prévoit un droit à réparation et distingue les conditions de responsabilité du responsable et du sous-traitant. Aucun montant forfaitaire ne peut être déduit du seul fait que le fichier contenait des données pseudonymisées.

Conclusion

Avant de transmettre un fichier pseudonymisé, l’entreprise doit pouvoir décrire les données envoyées, la finalité poursuivie, les acteurs concernés et les possibilités réelles de réidentification. La séparation des informations de correspondance, la réduction des données et la limitation des accès doivent être vérifiables. L’analyse des recoupements par le Conseil d’État du 13 février 2026 invite à examiner les possibilités effectives de réidentification, sans traiter le remplacement des noms comme une preuve suffisante d’anonymisation.

Lorsque la prestation relève de la sous-traitance de données personnelles, cette analyse se prolonge dans le contrat : instructions, confidentialité, intervenants ultérieurs, contrôle et sort des fichiers. Le dossier utile associe ainsi un fichier précisément décrit, une analyse de ses risques et des engagements adaptés à l’opération. C’est cet ensemble qui permet de décider de la transmission et d’en expliquer les conditions, tout en conservant les éléments nécessaires si un désaccord apparaît pendant ou après le projet.

La qualification doit être réévaluée lorsque le destinataire change, qu’un sous-traitant ultérieur intervient, qu’une nouvelle source de rapprochement apparaît ou que les données sont enrichies. Une pseudonymisation correcte à un instant donné n’est pas une garantie générale pour tous les usages futurs : l’évaluation suit les moyens effectivement accessibles et les finalités autorisées.