Table de correspondance : où la conserver pour que la pseudonymisation tienne

La pseudonymisation transforme « Jean Martin » en « Personne_1 ». Ce qui en fait une pseudonymisation plutôt qu'une anonymisation, c'est un second fichier : la table qui dit que Personne_1 est Jean Martin. L'endroit où vit cette table décide si votre pseudonymisation protège réellement quelque chose.

1. Le RGPD exige qu'elle soit conservée à part

L'article 4(5) du RGPD ne qualifie de pseudonymisation qu'un traitement où les données ne peuvent plus être attribuées à une personne « sans avoir recours à des informations supplémentaires, pour autant que ces informations supplémentaires soient conservées séparément et soumises à des mesures techniques et organisationnelles ». La table de correspondance, ce sont ces « informations supplémentaires ». Si elle voyage avec le document, il n'y a plus de pseudonymisation au sens du règlement : il y a un document avec son mode d'emploi.

2. Le CEPD : raisonner en domaines

Les lignes directrices 01/2025 du CEPD sur la pseudonymisation (version soumise à consultation publique en janvier 2025) proposent une notion utile : le « domaine de pseudonymisation », c'est-à-dire l'ensemble des personnes et des systèmes auxquels on veut empêcher la réidentification. La protection tient si les informations supplémentaires restent hors de ce domaine. Pour un cabinet qui utilise une IA, le domaine est clair : le fournisseur d'IA, et quiconque accède à ce qu'il conserve. La table ne doit jamais y entrer.

Les mêmes lignes directrices sont fermes sur un point : les données pseudonymisées restent des données personnelles, y compris lorsque les données pseudonymisées et les informations supplémentaires ne sont pas entre les mêmes mains. Le cabinet qui garde la table garde ses obligations RGPD sur le dossier.

3. La Cour de justice : le point de vue du destinataire

Dans son arrêt du 4 septembre 2025 (C-413/23 P, CEPD c/ CRU), la Cour de justice a jugé que des données pseudonymisées « ne doivent pas être considérées comme constituant, en toute hypothèse et pour toute personne, des données à caractère personnel » : la pseudonymisation peut, selon les circonstances, empêcher effectivement des personnes autres que le responsable du traitement d'identifier la personne concernée. L'arrêt interprète le règlement 2018/1725, applicable aux institutions de l'Union, dont les définitions sont parallèles à celles du RGPD, et l'affaire a été renvoyée au Tribunal.

La leçon pratique rejoint celle du CEPD, vue de l'autre côté : ce que peut faire le destinataire dépend de ce à quoi il a accès. Un fournisseur d'IA qui n'a jamais eu accès à la table est dans une position très différente de celui qui l'a reçue dans le même prompt.

4. Six règles pour la table de correspondance

1. Elle reste au cabinet. Sur les machines ou le stockage du cabinet, jamais chez le fournisseur d'IA, et idéalement pas non plus chez l'éditeur de l'outil de pseudonymisation.
2. Elle n'est jamais collée dans l'IA. Ni pour « l'aider à comprendre », ni dans les instructions d'un projet, ni dans un fichier du dossier que l'IA peut lire. La réidentification se fait une fois la réponse revenue, de votre côté.
3. L'accès est limité. Seules les personnes qui travaillent sur le dossier en ont besoin. La même règle que pour les pièces d'origine.
4. Elle est protégée comme le dossier. C'est, en pratique, la liste des identifiants de votre client. Stockez-la avec les protections du dossier lui-même : disque chiffré, sauvegardes, pas de cloud personnel.
5. Sa durée de vie suit celle du dossier. Conservez-la aussi longtemps que vous pourriez avoir à réidentifier une production de l'IA pour cette affaire, puis supprimez-la avec le reste du dossier, selon votre politique de conservation.
6. Une table par dossier. Des pseudonymes cohérents dans un dossier permettent à l'IA de suivre qui fait quoi. Réutiliser les mêmes pseudonymes d'un client à l'autre crée des liens qui ne devraient pas exister.

5. Comment Hexagone AI s'en occupe

Dans l'application de bureau Hexagone AI, la correspondance entre marqueurs et vraies valeurs est créée et stockée sur votre ordinateur, et n'est envoyée nulle part. Une même personne garde le même pseudonyme dans tous les documents d'un dossier, pour que l'IA suive le fil, et la réponse de l'IA est réidentifiée sur votre machine. Chaque détection et substitution est aussi consignée localement dans un journal d'audit exportable en CSV, pour votre DPO ou une autorité.

Pour la différence entre pseudonymisation et anonymisation, et quand il faut l'une plutôt que l'autre, voir notre article sur le RGPD.