Anonymiser pour de vrai

C’est la compétence qui débloque la colonne orange, donc la majorité de ton travail. Elle demande cinq minutes par document au début, une minute quand le réflexe est pris.

Pourquoi remplacer, plutôt que supprimer

Premier réflexe de tout le monde : effacer les noms. C’est une mauvaise idée.

Un texte troué devient incompréhensible, et l’outil comble les trous avec du plausible. Tu obtiens un résultat où « la personne » et « l’autre personne » se mélangent.

Remplace par des étiquettes stables : LE CLIENT, LA SALARIÉE, [MONTANT], [DATE]. Le texte reste lisible, les rôles restent distincts, et tu pourras réinjecter les vraies valeurs à la fin.

Les quatre passes

L’ordre compte. Chaque passe attrape ce que la précédente laisse.

Les identifiants directs. Noms, prénoms, adresses, courriels, téléphones, numéros de dossier, de client, de sécurité sociale, plaques, identifiants internes.

Les identifiants indirects. Dates précises (une date de naissance, une date d’entretien), lieux précis (une commune de 800 habitants n’est pas anonyme), montants inhabituels, fonctions uniques.

Les descriptions qui identifient. C’est la passe qu’on oublie. « Le seul kinésithérapeute de la commune », « notre directeur financier arrivé en janvier », « la personne qui revient d’un congé maternité », « le client qui nous a fait un procès l’an dernier ». Aucun nom, et pourtant tout le monde sait.

Le contenu sensible lui-même. Si le texte révèle un état de santé, une appartenance syndicale ou une origine, l’anonymisation ne suffit pas. C’est de la colonne rouge, et on ne le traite pas.

La passe 3 est celle qui rate

Les deux premières passes se font mécaniquement, on les fait bien.

La troisième demande de se demander « qui, dans mon service, reconnaîtrait cette personne ? ». C’est là que l’anonymisation échoue le plus souvent, et c’est aussi là qu’elle compte le plus, parce que la fuite se produira justement dans ce cercle-là.

La table de correspondance

Le détail pratique qui rend la méthode utilisable au quotidien.

Sur un papier ou dans un fichier local que tu ne colles nulle part, note les correspondances.

LA CLIENTE       = Mme S. Payet
[TÉLÉPHONE]      = 06 92 …
[RÉFÉRENCE]      = dossier 2024-0147
[MONTANT]        = 4 380 €
LA COMMUNE       = Le Port

Tu récupères le résultat, tu remplaces à l’envers dans ton traitement de texte, et tu détruis la table.

Deux règles sur cette table. Elle reste locale, jamais dans l’outil. Et elle se détruit quand le travail est fini, parce qu’une table de correspondance conservée annule tout le bénéfice de l’anonymisation.

Anonymisation ou pseudonymisation ?

La distinction a des conséquences pratiques, elle mérite trente secondes.

Quand tu remplaces par des étiquettes et que tu gardes une table pour revenir en arrière, tu fais une pseudonymisation. Les données restent des données personnelles, parce que la ré-identification reste possible.

Une véritable anonymisation rend la ré-identification impossible, y compris pour toi. Elle suppose de casser le lien définitivement, et elle est difficile à obtenir sur un petit volume.

Ce que tu fais au quotidien est presque toujours de la pseudonymisation. Ce n’est pas un problème : c’est une réduction de risque très substantielle. Mais ne dis pas « c’est anonymisé donc ce n’est plus une donnée personnelle », parce que ce n’est pas exact.

Le test qui dit si ça tient

Une fois ton document préparé, relis-le en te posant une seule question.

Un collègue de mon service, qui connaît nos dossiers, pourrait-il dire de qui il s’agit ?

Si oui, l’anonymisation ne tient pas. Retire un indice de plus, généralement dans la troisième passe.

C’est un test sévère et c’est volontaire : le risque réel n’est pas qu’un inconnu à l’autre bout du monde identifie ton client. C’est qu’une personne du contexte y arrive.

Faire préparer par un outil, sans l’outil

Question fréquente : peut-on demander à l’IA d’anonymiser le document ?

Non, et la raison est évidente une fois qu’on la voit. Pour qu’elle anonymise, il faut d’abord lui donner le document en clair. Le mal est fait.

L’anonymisation se fait avant, chez toi. Recherche-remplace dans ton traitement de texte, ou à la main. Pour un traitement répétitif, un modèle de document avec les étiquettes déjà en place fait gagner beaucoup de temps.

Sur un tableur

Cas fréquent et particulier.

Ne colle pas le fichier. Construis un extrait, dans un nouvel onglet, avec uniquement les colonnes nécessaires à l’analyse. Remplace les identifiants par des numéros de ligne. Vérifie qu’il ne reste ni onglet caché, ni colonne masquée, ni commentaire.

Si l’analyse porte sur des tendances, tu n’as souvent besoin que de deux ou trois colonnes. Le fichier complet, avec ses noms et ses coordonnées, n’apporte rien à la question posée.

Vingt minutes de pratique

Prends le document orange le plus lourd des trois que tu as mis de côté.

Applique les quatre passes dans l’ordre, en construisant ta table de correspondance sur un papier.

Applique le test du collègue. Sois honnête : la première fois, il échoue presque toujours à la troisième passe.

Fais ensuite traiter la version préparée. Vérifie que le résultat est aussi bon que si tu avais donné l’original. Il le sera, parce que la reformulation, la structure et le ton ne dépendent pas des noms propres.

Puis réinjecte les vraies valeurs et détruis la table. Chronomètre l’ensemble.

Vérifie ta compréhension

Question : tu as remplacé tous les noms par des étiquettes et gardé une table de correspondance dans un fichier sur ton poste. Le document est-il anonymisé ?

Réponse : non, il est pseudonymisé. Tant que la table existe, la ré-identification est possible et il s’agit toujours de données personnelles. C’est une réduction de risque très utile, et ce n’est pas une anonymisation. D’où l’importance de garder la table en local et de la détruire une fois le travail terminé.

Fiche suivante : régler ses outils, une bonne fois.