Pseudonymisation ou caviardage : quelle différence, et lequel choisir ?

Quelle est la différence entre pseudonymisation et caviardage ?

La différence se joue après le partage. Avec la pseudonymisation, on peut revenir en arrière : une table relie chaque étiquette à la vraie valeur, et qui la détient peut tout rétablir. Avec le caviardage, on ne peut pas : l'information a disparu du document, et le destinataire n'a aucune clé.

Un exemple sur la même phrase :

• Original : « Mme Claire Vasseur a signé le bail avec la SCI Les Tilleuls le 3 mars. »
• Pseudonymisée : « [PERSONNE_1] a signé le bail avec [ORGANISATION_1] le 3 mars. » La table, conservée à part, indique que [PERSONNE_1] est Claire Vasseur.
• Caviardée : la même phrase, avec des blocs noirs à la place du nom et de la société, et plus rien dessous dans le fichier.

Les deux techniques masquent les mêmes informations. Ce qui change, c'est la possibilité de les retrouver, et donc l'usage.

Que disent les textes de la pseudonymisation et du caviardage ?

La pseudonymisation est définie par le RGPD. L'article 4, point 5, la décrit comme le traitement de données personnelles « de telle façon que celles-ci ne puissent plus être attribuées à une personne concernée précise sans avoir recours à des informations supplémentaires, pour autant que ces informations supplémentaires soient conservées séparément » et protégées par des mesures techniques et organisationnelles. Ces informations supplémentaires, c'est la table de correspondance. Le considérant 26 en tire la conséquence : des données pseudonymisées qui peuvent être rattachées à une personne grâce à ces informations restent des données personnelles.

Le caviardage n'a pas de définition dans le RGPD. Le droit français parle d'« occultation ». L'article L311-7 du Code des relations entre le public et l'administration (CRPA) prévoit que, lorsqu'un document administratif comporte des mentions non communicables mais qu'il est possible de les occulter ou de les disjoindre, « le document est communiqué au demandeur après occultation ou disjonction de ces mentions ». Les mentions en cause sont notamment celles qui porteraient atteinte à la vie privée (article L311-6).

L'anonymisation est une troisième notion. Elle suppose que la personne ne soit plus identifiable du tout, par aucun moyen raisonnable : les données sortent alors du champ du RGPD (considérant 26). Un document caviardé n'est pas automatiquement anonyme : s'il reste une fonction unique ou une date précise, la personne peut être reconnue. Le détail : anonymisation ou pseudonymisation, la différence selon le RGPD.

Réversible ou définitif : quel rôle joue la table de correspondance ?

Tout repose sur elle. La table de correspondance (« [PERSONNE_1] = Claire Vasseur ») est ce qui rend la pseudonymisation réversible. Le RGPD exige qu'elle soit conservée séparément et protégée ; le Comité européen de la protection des données (CEPD) y consacre ses lignes directrices 01/2025 sur la pseudonymisation, adoptées le 16 janvier 2025. Trois conséquences pratiques :

• Qui détient la table traite des données personnelles. Le cabinet ou l'entreprise reste soumis au RGPD pour ces données, pseudonymisées ou non.
• Pour le destinataire, la situation peut être différente. Dans l'arrêt CEPD contre CRU (C-413/23 P) du 4 septembre 2025, la Cour de justice a jugé que des données pseudonymisées « ne doivent pas être considérées comme constituant, en toute hypothèse et pour toute personne, des données à caractère personnel » (point 86) : tout dépend des moyens dont dispose celui qui les reçoit.
• Détruire la table rapproche du caviardage. Sans table, les étiquettes ne peuvent plus être rétablies par personne. Mais les identifiants indirects restent dans le texte.

Le caviardage, lui, n'a pas de table : c'est sa force pour un document qui sort, et sa limite pour un travail qu'on veut reprendre. Garder l'original intact, à part, reste nécessaire. Sur la conservation et la protection de la table : table de correspondance et pseudonymisation, les règles RGPD.

Quand faut-il caviarder ?

Chaque fois que le document quitte votre contrôle et que le destinataire n'a pas à connaître les informations masquées :

• Communication à un tiers. Une pièce transmise à un confrère, à l'adversaire, à un expert, à un client qui ne doit pas voir les données d'un autre client, à un assureur.
• Demande d'accès à des documents administratifs. Une collectivité ou un établissement public qui communique un document au titre du CRPA doit occulter les mentions protégées. La CADA rappelle qu'un refus total n'est possible que lorsque l'occultation partielle priverait le document de son intelligibilité ou de tout intérêt (avis n° 202507226 du 20 novembre 2025). Voir demande CADA : occulter avant de communiquer.
• Publication. Une décision de justice diffusée, un rapport mis en ligne, un exemple dans une formation : voir anonymiser une décision de justice.
• Réponse à une demande d'accès d'une personne à ses données. Le RGPD prévoit que le droit d'obtenir une copie « ne porte pas atteinte aux droits et libertés d'autrui » (article 15, paragraphe 4) : les données des autres personnes figurant dans les documents se masquent avant l'envoi.

Dans tous ces cas, l'exigence technique est la même : le texte doit être réellement retiré du fichier, métadonnées comprises. Un rectangle noir dessiné dans un éditeur de PDF laisse le texte dessous, lisible par un simple copier-coller : voir le rectangle noir, caviardage raté et comment vérifier un PDF anonymisé.

Quand faut-il pseudonymiser ?

Chaque fois que vous devez récupérer le résultat avec les vraies informations :

• Travail avec une IA. Vous envoyez à ChatGPT, Claude ou Mistral un contrat, des conclusions ou un dossier, l'IA rédige, résume ou analyse, puis vous remettez les vrais noms dans sa réponse. C'est le cas d'usage type : voir pseudonymiser un document pour l'IA, puis réinjecter les vrais noms.
• Analyse interne à plusieurs mains. Un tableau de suivi partagé avec un prestataire qui n'a pas besoin des noms, mais dont vous devez pouvoir relier les résultats à vos dossiers.
• Études et statistiques. Des données qu'on veut pouvoir mettre à jour ou recouper plus tard.

Avec une IA, la pseudonymisation a un second avantage, souvent sous-estimé : elle garde le sens du texte. Si tous les noms deviennent le même bloc noir ou la même mention « [XXX] », l'IA ne sait plus qui a fait quoi, et sa réponse devient inutilisable. Des étiquettes stables, où la même personne reste [PERSONNE_1] dans toutes les pièces, lui permettent de raisonner sur le dossier sans connaître personne.

Pseudonymisation ou caviardage : le tableau comparatif

Quelles erreurs éviter ?

1. Croire qu'une copie pseudonymisée est anonyme. Elle ne l'est pas pour vous, et elle peut ne pas l'être pour le destinataire si le texte garde des détails qui désignent quelqu'un. Voir le risque de ré-identification.
2. Transmettre à un tiers une copie destinée à l'IA. Elle contient des étiquettes et parfois une référence de retour : pour un tiers, préférez un vrai document caviardé, à la mise en page d'origine.
3. Caviarder ce qu'on enverra à l'IA. On perd la cohérence des personnes et la possibilité de remettre les noms dans la réponse.
4. Oublier les métadonnées. Auteur, commentaires, suivi des modifications d'un Word, propriétés d'un PDF : voir supprimer les métadonnées d'un PDF.
5. Sauter la relecture. Aucune détection automatique n'est exhaustive, quelle que soit la technique choisie.

Les deux techniques se combinent souvent dans un même dossier : on pseudonymise pour préparer une note avec l'IA, on réinjecte les vrais noms, puis on caviarde la version finale avant de l'envoyer à l'adversaire ou de la publier.

Que fait AnonymFiles dans chaque mode ?

L'application demande dès l'accueil ce que vous voulez faire : préparer des pièces pour une IA, caviarder un document à transmettre ou masquer un texte à coller. La détection et la relecture côte à côte sont les mêmes ; c'est l'export qui change.

Dans les deux cas, chaque fichier est relu avant d'être publié : si une valeur d'origine y figure encore (texte, couche invisible, métadonnées), l'export est annulé. Les fichiers exportés ne portent ni le nom ni le logo du logiciel. Le connecteur IA local reprend la même distinction : l'outil « caviarder_document » écrit une copie définitive sans garder de correspondance, « pseudonymiser_document » garde la correspondance chiffrée pour la réinjection ; voir le connecteur MCP d'anonymisation.

Tout se passe sur l'ordinateur, sans compte ni télémétrie : PDF (scans compris, par OCR local), Word, e-mails, Excel, PowerPoint, images et textes. Prix : 290 € HT par an et par poste, essai de 14 jours (tarifs). Pour les collectivités et administrations : AnonymFiles pour le secteur public ; les termes employés ici sont définis dans le lexique.