Pseudonymisation
La pseudonymisation remplace les données qui identifient directement une personne par un identifiant de substitution, de sorte qu'on ne puisse plus la reconnaître sans une information conservée séparément.
Ce que dit le RGPD
L'article 4 du RGPD la définit comme le traitement qui rend les données non attribuables à une personne « sans avoir recours à des informations supplémentaires », à condition que ces informations soient conservées séparément et protégées. C'est une mesure de sécurité recommandée, pas une case à cocher.
La confusion à éviter : ce n'est pas de l'anonymisation
Des données pseudonymisées restent des données à caractère personnel, et restent donc soumises au RGPD dans leur intégralité — droits des personnes compris. Des données anonymisées, elles, ne permettent plus de réidentifier qui que ce soit, par aucun moyen raisonnable, et sortent du champ du règlement. La différence est de nature, pas de degré : un identifiant pseudonyme peut être recoupé, un agrégat anonyme ne le peut plus.
En mesure d’audience
C'est la distinction qui décide de l'exemption de consentement. La CNIL exige que la mesure produise des « données statistiques anonymes » : un outil qui pseudonymise un visiteur et le suit d'une visite à l'autre grâce à cet identifiant reste dans le champ du consentement. C'est pourquoi les solutions exemptées limitent la durée de vie de leurs identifiants et s'interdisent le recoupement entre sites.