« Mes données sont anonymisées » : le piège juridique du data analyst
Vous recevez un fichier « sans nom » et vous le manipulez l'esprit tranquille. Mais le RGPD ne regarde pas l'absence de nom : il regarde la possibilité de réidentifier. C'est là que le data analyst devient exposé.
- Le RGPD distingue radicalement la donnée anonymisée (hors RGPD, irréversible) de la donnée pseudonymisée (toujours soumise au RGPD car réidentifiable) : la plupart des fichiers que vous traitez relèvent de la seconde catégorie.
- Un jeu de données « sans nom » peut rester identifiant par recoupement (code postal + date de naissance + sexe suffisent souvent à isoler une personne) : vous engagez votre responsabilité si vous le traitez comme anonyme.
- En tant que sous-traitant au sens de l'article 28 du RGPD, vous avez des obligations propres et une responsabilité directe, indépendamment de celle de votre client responsable de traitement.
- Une garantie cyber prenant en charge la violation de données et les frais de notification CNIL est la protection adaptée à ce risque, là où la RC Pro seule ne suffit pas.
Anonymisé, pseudonymisé : deux mondes que tout sépare
Un client vous transmet un export « anonymisé » : les noms ont été retirés, remplacés par des identifiants techniques de type USR_48213. Vous démarrez votre analyse, persuadé d'être hors du champ du Règlement général sur la protection des données. C'est l'erreur de cadrage la plus fréquente du métier, et l'une des plus lourdes de conséquences.
Le RGPD ne s'intéresse pas à la présence d'un nom. Il s'intéresse à une seule chose : la possibilité d'identifier, directement ou indirectement, une personne physique. À partir de là, deux notions s'opposent :
- La donnée anonymisée : le lien vers la personne a été rompu de façon irréversible. Plus aucun recoupement ne permet de remonter à un individu. Cette donnée sort totalement du RGPD.
- La donnée pseudonymisée : l'identifiant direct a été remplacé, mais une table de correspondance existe quelque part, ou la réidentification reste possible par recoupement. Cette donnée reste pleinement soumise au RGPD.
Le considérant 26 du RGPD et les avis du Comité européen de la protection des données sont sans ambiguïté : la pseudonymisation est une mesure de sécurité, pas une sortie du régime de protection. Votre fichier USR_48213, s'il peut être recroisé, est de la donnée personnelle.
Pourquoi « sans nom » ne veut pas dire « anonyme »
La réidentification n'est pas une hypothèse théorique de chercheur. C'est une réalité statistique que vous côtoyez tous les jours dans vos jeux de données.
Des travaux académiques largement repris ont montré qu'une combinaison de quelques attributs banals suffit souvent à isoler une personne unique dans une population entière. Le trio code postal + date de naissance complète + sexe permet à lui seul de réidentifier une part très importante des individus. Ajoutez une profession, une ville et un montant d'achat, et l'unicité devient quasi systématique.
Un fichier « anonyme » de 50 000 lignes où chaque ligne combine date de naissance, commune et catégorie socioprofessionnelle n'est pas anonyme : c'est un fichier de données personnelles déguisé.
Concrètement, en tant que data analyst, vous fabriquez du risque sans le voir lorsque vous :
- croisez deux exports « anonymisés » provenant de sources différentes, ce qui recrée des points d'identification ;
- conservez des variables très discriminantes (géolocalisation fine, horodatage à la seconde, identifiant d'appareil) ;
- produisez des segments tellement fins qu'une « catégorie » ne contient plus qu'une seule personne réelle.
Le jour où ce fichier fuite, ou simplement où la CNIL s'y intéresse, l'argument « il n'y avait pas de nom » ne tient pas une seconde.
Sous-traitant RGPD : votre responsabilité ne se cache pas derrière le client
Beaucoup d'indépendants pensent que, le client étant le « responsable de traitement », ils ne sont qu'un exécutant à l'abri. Le RGPD a mis fin à cette idée.
L'article 28 du RGPD vous qualifie de sous-traitant dès lors que vous traitez des données personnelles pour le compte d'un client. Et ce statut emporte des obligations propres dont vous répondez directement :
- n'agir que sur instruction documentée du responsable de traitement ;
- garantir la confidentialité et la sécurité des données (chiffrement, accès restreints, postes verrouillés) ;
- tenir un registre des activités de traitement ;
- signaler sans délai au client toute violation de données dont vous avez connaissance ;
- supprimer ou restituer les données en fin de mission.
En cas de manquement, vous pouvez être tenu pour responsable solidairement avec votre client, et faire l'objet d'une réclamation directe d'une personne concernée. Le contrat de sous-traitance (les fameuses clauses « article 28 ») n'est pas une formalité : c'est le document qui répartit les responsabilités. S'il est absent ou muet, c'est généralement le maillon le plus visible — vous — qui encaisse.
Sur la frontière entre faute technique et obligation de conseil, notre analyse d'un sinistre chiffré de jointure défaillante montre comment ces responsabilités s'enchaînent dans une mission réelle.
Le scénario qui coûte cher : la fuite d'un fichier « anonyme »
Déroulons un cas réaliste. Vous traitez pour un e-commerçant un export de 80 000 clients « anonymisé » (pas de nom, mais email haché, ville, âge, historique d'achats). Le fichier est stocké sur votre cloud personnel le temps de l'analyse. Un accès est compromis, le fichier est exfiltré.
Les conséquences en cascade :
| Étape | Conséquence |
|---|---|
| Qualification | Le fichier est requalifié en données personnelles : la réidentification était possible. |
| Notification | Violation de données à notifier à la CNIL sous 72 heures, et aux personnes concernées. |
| Mise en cause | Le client se retourne contre vous : défaut de sécurité du sous-traitant. |
| Coût | Frais d'expertise forensic, notification de masse, gestion de crise, préjudice d'image du client. |
La facture d'un tel incident — investigation technique, accompagnement juridique, frais de notification, voire indemnisation du client pour son propre préjudice — atteint très vite plusieurs dizaines de milliers d'euros pour un indépendant. Sans assurance dédiée, elle est à votre charge personnelle.
Réduire le risque avant qu'il ne se matérialise
La bonne nouvelle : ce risque se pilote. Quelques réflexes de cadrage changent radicalement votre exposition.
- Qualifiez la donnée à l'entrée. Posez systématiquement la question : « ce fichier est-il réellement anonyme, ou seulement pseudonymisé ? ». En cas de doute, traitez-le comme personnel.
- Minimisez. Supprimez dès le départ les variables identifiantes inutiles à l'analyse (date de naissance complète si l'âge suffit, adresse exacte si la région suffit).
- Sécurisez le stockage. Chiffrement, environnement de travail dédié, suppression en fin de mission. Pas de fichier client sur un cloud personnel grand public.
- Contractualisez. Exigez des clauses de sous-traitance article 28 claires, qui précisent les finalités, la durée de conservation et la répartition des responsabilités.
- Documentez. Gardez la trace des instructions reçues : elles prouvent que vous avez agi dans le périmètre fixé par le client.
Pour comprendre l'autre face du risque — celle de l'interprétation des résultats plutôt que de leur sécurité — lisez notre décryptage sur le dashboard trompeur et le devoir de mise en garde.
L'assurance qui correspond vraiment à ce risque
Face à la réidentification et à la fuite de données, la RC Professionnelle seule montre vite ses limites : elle indemnise un préjudice causé à un tiers par une faute de prestation, mais elle n'a pas vocation à financer une crise cyber complète.
La protection adaptée est une garantie cyber, qui prend généralement en charge :
- les frais d'investigation technique (forensic) pour comprendre l'incident ;
- les frais de notification à la CNIL et aux personnes concernées ;
- l'accompagnement juridique et la gestion de crise ;
- les réclamations des tiers et de votre client au titre de la violation.
Pour un data analyst indépendant, le couple RC Pro + cyber couvre les deux versants du métier : l'erreur d'analyse d'un côté, l'atteinte aux données de l'autre. C'est précisément l'architecture que propose Insurio pour les métiers de la data, à partir d'un tarif d'indépendant.
Le bon réflexe n'est pas de souscrire le jour de l'incident — c'est de cadrer la donnée et de s'assurer avant de toucher au premier fichier « anonyme » qui n'en est pas un.
Questions fréquentes
Pas nécessairement. Le RGPD s'applique dès que la réidentification reste possible, directement ou par recoupement. Un fichier « sans nom » mais contenant date de naissance, commune et profession est généralement de la donnée personnelle pseudonymisée, pleinement soumise au RGPD.
L'anonymisation rompt le lien vers la personne de façon irréversible : la donnée sort du RGPD. La pseudonymisation remplace les identifiants directs mais laisse la réidentification possible : la donnée reste soumise au RGPD comme donnée personnelle.
Oui. L'article 28 du RGPD fait de vous un sous-traitant avec des obligations propres (sécurité, confidentialité, signalement des violations). Vous pouvez être mis en cause directement et solidairement, indépendamment de la responsabilité de votre client.
Rarement. La RC Pro couvre les conséquences d'une faute de prestation envers un tiers, mais pas l'ensemble d'une crise cyber. Une garantie cyber dédiée prend en charge le forensic, la notification CNIL, la gestion de crise et les réclamations liées à la violation.
Qualifiez la donnée à l'entrée, minimisez les variables identifiantes, chiffrez et cloisonnez le stockage, supprimez les données en fin de mission, et exigez des clauses de sous-traitance article 28 claires avec votre client.
Souscrivez votre assurance pro en 2 minutes
Toutes nos protections pour votre activité de Data analyst — attestation immédiate, sans engagement.
* Tarifs indicatifs « à partir de », selon votre profil, votre activité et les garanties choisies. · Voir la fiche Data analyst →
Article rédigé et vérifié par l'équipe Insurio — Tutassûr, courtier en assurance immatriculé à l'ORIAS sous le n° 22001730. Information à caractère général ne se substituant pas aux conditions de votre contrat.