Le choix central
Quand vous protégez des données privées, une question essentielle se pose : pouvez-vous récupérer l'original ?
La rédaction permanente supprime le contenu définitivement. Il n'existe aucun moyen de le récupérer.
Le chiffrement réversible remplace les noms et identifiants par des jetons. Vous pouvez restaurer l'original avec la bonne clé.
Cet écart détermine vos options juridiques et de conformité. Choisir la mauvaise méthode peut vous empêcher de respecter une ordonnance judiciaire ou une demande réglementaire.
Les deux méthodes ont des usages valables. La clé est de savoir laquelle utiliser, et quand. La plupart des outils ne proposent que la suppression permanente — ce qui limite vos options si la situation évolue.
Notre aperçu de la conformité légale explique comment chaque approche correspond aux obligations juridiques courantes.
Le RGPD établit une distinction claire
Le RGPD distingue deux groupes : les enregistrements anonymisés et les enregistrements pseudonymisés.
Anonymisation réelle
Si un enregistrement ne peut pas être lié à une personne, le RGPD ne s'applique pas. La loi est hors champ.
Trois conditions doivent être remplies :
- La réidentification doit être impossible.
- Aucun fichier supplémentaire ne doit permettre la réidentification.
- Le processus doit être véritablement irréversible.
C'est le principal avantage. Les enregistrements anonymisés sont hors du champ du RGPD.
Pseudonymisation selon l'Article 4(5)
La pseudonymisation remplace les identifiants par des jetons. L'original peut être restauré à l'aide d'une clé stockée.
Points essentiels :
- Les enregistrements restent des données personnelles au sens du RGPD.
- Cela constitue une mesure de sécurité au sens de l'Article 32.
- Cela réduit le risque en cas de violation.
- Cela autorise le traitement à des fins de recherche en vertu de l'Article 89.
| Méthode | Statut RGPD | Restaurable | Usage principal |
|---|---|---|---|
| Anonymisation | Non personnel | Non | Fichiers publics |
| Pseudonymisation | Personnel | Oui | Usage interne |
Quand la suppression permanente crée des risques
Divulgation légale
Les tribunaux peuvent ordonner la production des documents originaux.
- Les privilèges peuvent être contestés.
- Les juges peuvent examiner les fichiers à huis clos.
- La partie adverse peut contester ce qui a été supprimé.
- Les appels peuvent nécessiter le texte original complet.
Si vous avez effacé définitivement le contenu, vous ne pouvez pas vous conformer.
Un cabinet d'avocats a supprimé les noms de clients de tous les dossiers. Le tribunal a remis en cause un privilège. Le cabinet n'a pas pu produire les originaux. Des sanctions ont suivi.
Audits réglementaires
Les auditeurs peuvent demander à voir les enregistrements complets.
- Les audits financiers ont besoin des détails de transaction.
- Les audits de santé exigent les dossiers patients.
- Les audits RGPD peuvent couvrir toutes les étapes de traitement.
Dire « nous l'avons supprimé définitivement » est rarement une réponse acceptable.
Recherche nécessitant une réidentification
Les études longues doivent relier des enregistrements dans le temps.
- La recherche médicale suit les résultats des patients sur des années.
- Les travaux académiques nécessitent des phases de suivi.
- Les revues qualité ont besoin de données de tendance.
La suppression permanente bloque tout cela.
Besoins opérationnels
Les équipes ont souvent besoin de récupérer les enregistrements originaux.
- Les clients demandent leurs documents originaux.
- Les revues internes ont besoin de la vue complète.
- Les décisions importantes nécessitent tout le contexte.
- Les pistes d'audit peuvent exiger le texte source brut.
Quand utiliser chaque méthode
Utiliser la suppression permanente quand :
| Cas | Exemple |
|---|---|
| Publication publique | Projets open data |
| Aucune réidentification nécessaire | Statistiques publiées |
| Requis par la loi | Certaines notifications de violation |
| Limites de stockage | Fichiers que vous ne devez pas conserver |
Utiliser le chiffrement réversible quand :
| Cas | Exemple |
|---|---|
| Divulgation légale | Production en e-discovery |
| Rapports internes | Analyses, tableaux de bord |
| Recherche | Études longitudinales |
| Service client | Gestion documentaire |
| Preuve d'audit | Enregistrements de conformité |
Fonctionnement du chiffrement réversible
anonym.legal utilise AES-256-GCM pour chiffrer et restaurer le contenu.
Étape de chiffrement
Original : "John Smith, SSN 123-45-6789"
↓
[Détecter les données personnelles]
↓
Entités : PERSON("John Smith"), SSN("123-45-6789")
↓
[Générer la clé]
↓
[Chiffrer chaque élément]
↓
Sortie : "[PERSON_abc123], SSN [SSN_def456]"
Étape de déchiffrement
Entrée : "[PERSON_abc123], SSN [SSN_def456]"
↓
[Charger la clé]
↓
[Déchiffrer les jetons]
↓
Sortie : "John Smith, SSN 123-45-6789"
Sécurité de la clé
La clé est :
- Générée sur votre appareil. Elle utilise une source aléatoire sécurisée.
- Jamais transmise aux serveurs anonym.legal.
- Stockée dans votre propre coffre de clés.
- Protégée par votre propre authentification.
Sans la clé, le déchiffrement est impossible.
Exemple : divulgation légale
Un cabinet doit produire des documents dans un litige.
Sans chiffrement réversible
- Supprimer définitivement le contenu privilégié.
- Envoyer les fichiers à la partie adverse.
- Le tribunal conteste le privilège.
- Le cabinet ne peut pas produire les originaux.
- Des sanctions suivent.
Avec anonym.legal
- Chiffrer le contenu privilégié (réversible).
- Envoyer la version chiffrée.
- Le tribunal conteste le privilège.
- Déchiffrer et soumettre à l'examen du tribunal à huis clos.
- Le tribunal statue sur le privilège.
- Envoyer la bonne version.
Vous gardez le contrôle à chaque étape. Vous pouvez répondre à toute ordonnance judiciaire. Notre page de cas d'usage juridique décrit le flux complet. Consultez la page zero-knowledge pour savoir comment les clés restent de votre côté.