Anonymiser une preuve électronique : bonne ou mauvaise idée ?

Relecture juridique — Ce guide a été validé par le juriste Mail Certificate le 21 juillet 2026.

Réponse directe — L’anonymisation est adaptée lorsque l’identité n’est plus nécessaire, par exemple pour produire des statistiques agrégées. Elle est souvent inadaptée au cœur d’un dossier probatoire : si l’on ne peut plus relier irréversiblement le document à son expéditeur ou à son destinataire, la preuve peut perdre précisément le fait qu’elle devait permettre d’établir.

Qu’est-ce qu’une anonymisation réelle ?

La CNIL décrit l’anonymisation comme un traitement rendant impossible, en pratique et de manière irréversible, l’identification d’une personne. Retirer le nom ou remplacer une adresse par un numéro ne suffit pas si l’organisme conserve une table de correspondance, une clé ou d’autres données permettant de retrouver la personne.

Lorsque la réidentification reste possible, il s’agit généralement de pseudonymisation. La pseudonymisation réduit les risques et peut constituer une excellente mesure de sécurité, mais les données restent personnelles et soumises au RGPD.

Le chiffrement fonctionne de façon comparable sur ce point. Un fichier chiffré est protégé contre les accès non autorisés, mais l’organisme qui possède la clé peut le déchiffrer. Il ne devient donc pas anonyme. Cette distinction doit apparaître dans les politiques et dans les réponses adressées aux personnes.

Pourquoi la preuve a besoin d’un lien avec les parties

Un courrier probatoire cherche souvent à démontrer qu’un document déterminé a été préparé par un expéditeur, adressé à un destinataire, à une date donnée, puis accepté, refusé ou laissé expirer. Supprimer irréversiblement les identités revient à conserver une chronologie sans parties.

L’empreinte du fichier ne résout pas tout. Elle confirme qu’un document présenté correspond à une valeur calculée auparavant, mais elle ne permet pas de reconstruire le document ni de savoir à qui il était destiné si ces informations ont été détruites.

La stratégie pertinente consiste donc à conserver les liens indispensables dans un paquet probatoire fortement protégé, tout en supprimant les données actives qui ne participent pas à cette finalité. Le compte, les sessions et le carnet peuvent disparaître alors que le snapshot de l’expéditeur et du destinataire utilisé lors de l’envoi reste dans l’archive.

Quelles protections utiliser à la place ?

La conservation identifiable ne signifie pas accès libre. Plusieurs couches de protection doivent se compléter :

• séparation entre base active et archive intermédiaire ;
• chiffrement authentifié du manifeste, du PDF et des pièces ;
• index de recherche sous forme de HMAC plutôt que coordonnées lisibles ;
• clés d’archive distinctes des secrets de session ;
• habilitations limitées ;
• motif obligatoire et journal de chaque consultation ;
• date de purge automatisée ;
• procédure de gel contentieux ;
• restauration des sauvegardes empêchant la réactivation des données effacées.

Ces mesures ne transforment pas la preuve en donnée anonyme. Elles rendent son traitement plus proportionné et permettent de démontrer qu’elle n’est plus utilisée comme une donnée commerciale ou opérationnelle.

Quand anonymiser ?

L’anonymisation retrouve toute sa pertinence pour les tableaux de bord et l’amélioration du service. On peut vouloir connaître le nombre moyen de destinataires, la proportion d’acceptations ou le délai médian de consultation sans conserver l’adresse d’une personne.

Le processus doit alors examiner les risques de réidentification par individualisation, corrélation et inférence. Une ligne statistique très rare, associée à une date précise et une ville, peut encore pointer vers un individu même si son nom est absent. Il faut agréger, généraliser ou supprimer les attributs trop singuliers.

Après expiration de la finalité probatoire, le paquet identifiable est supprimé. Des indicateurs réellement anonymes peuvent continuer d’exister, car ils ne se rapportent plus à une personne identifiée ou identifiable.

Comment répondre à une demande d’effacement ?

La réponse doit employer les termes exacts. Si le compte est supprimé mais qu’un paquet chiffré subsiste, il ne faut pas écrire que toutes les données ont disparu ou qu’elles sont anonymisées. Il convient d’indiquer :

1. les données actives effacées ;
2. les catégories du paquet conservé ;
3. la finalité et la base légale ;
4. l’échéance prévue ;
5. l’éventuel gel et son motif ;
6. les prestataires sollicités ;
7. les modalités d’accès, d’opposition ou de limitation.

Cette transparence permet à la personne de contester le raisonnement et au responsable de démontrer sa conformité. Elle évite aussi de confondre impossibilité de se connecter et effacement du serveur.

Une architecture qui suit le cycle de vie

Au moment de l’envoi, l’application fige les coordonnées utilisées, génère le PDF, applique l’horodatage et enregistre les références. Pendant la phase active, le courrier reste accessible selon le service souscrit. À la fin de cette phase ou lors de la fermeture du compte, le paquet exact est chiffré puis déplacé dans l’archive.

Les fichiers sources et relations actives sont ensuite supprimés lorsqu’ils ne sont plus nécessaires. L’archive n’est pas exposée aux routes ordinaires. À son échéance, les fichiers chiffrés, le manifeste et les index sont purgés, sauf gel motivé.

Pour voir comment ces éléments forment un dossier, consultez comment fonctionne la preuve Mail Certificate ?. Les différents événements sont présentés dans preuve d’envoi, réception et ouverture. Le cadre général figure dans courrier certifié : définition, preuves et usages et la matrice publique dans notre politique de confidentialité.

Le bon objectif n’est donc pas d’anonymiser partout, mais d’utiliser la mesure adaptée à chaque finalité : effacer ce qui n’est plus utile, anonymiser les statistiques et protéger strictement la preuve identifiable pendant sa durée justifiée.