Pseudonymisation ou anonymisation d'un CV : ce que dit le RGPD

La différence est juridique, pas seulement technique. Le RGPD ne définit explicitement que la pseudonymisation, à l'article 4, point 5 : « le traitement de données à caractère personnel de telle façon que celles-ci ne puissent plus être attribuées à une personne concernée précise sans avoir recours à des informations supplémentaires, pour autant que ces informations supplémentaires soient conservées séparément ». Autrement dit, la donnée reste rattachable à une personne, mais via une clé tenue à part.

L'anonymisation, elle, est définie par la CNIL comme « un traitement qui consiste à utiliser un ensemble de techniques de manière à rendre impossible, en pratique, toute identification de la personne par quelque moyen que ce soit et de manière irréversible » (CNIL, L'anonymisation des données personnelles). Conséquence majeure : une donnée réellement anonymisée n'est plus une donnée personnelle, et « la législation relative à la protection des données ne s'applique plus ».

La pseudonymisation n'offre pas cette sortie du RGPD. Comme le rappelle la CNIL, la pseudonymisation est « une opération réversible », et « les données résultant d'une pseudonymisation sont donc considérées comme des données personnelles et leur traitement reste intégralement soumis aux obligations du RGPD » (CNIL). À la suite des lignes directrices du Comité européen de la protection des données adoptées le 17 janvier 2025, la CNIL le formule sans ambiguïté : « Les données pseudonymisées restent toujours des informations relatives à une personne physique identifiable. Elles constituent toujours des données personnelles » (CNIL, lignes directrices CEPD).

Non. Le critère décisif n'est pas la suppression du nom, mais le risque de ré-identification. Le considérant 26 du RGPD précise que, pour déterminer si une personne est identifiable, il faut prendre en compte « l'ensemble des moyens raisonnablement susceptibles d'être utilisés » par le responsable du traitement ou par un tiers pour identifier la personne, directement ou indirectement.

La Cour de justice de l'Union européenne a posé ce standard dans l'arrêt Breyer (C-582/14, 19 octobre 2016) : une donnée se rapportant à une personne « identifiable » reste personnelle dès lors qu'il existe des moyens raisonnablement susceptibles d'être mis en œuvre pour remonter à son identité. La CJUE a confirmé en 2025, dans l'affaire CEPD c/ CRU (EDPS v SRB, C-413/23 P, 4 septembre 2025), une approche contextuelle : un même jeu de données pseudonymisées peut rester une donnée personnelle pour celui qui détient la clé, et perdre ce caractère pour un destinataire qui n'a aucun moyen raisonnable de ré-identifier la personne.

Sur un CV, c'est précisément le piège. Effacer « Erwan André » mais conserver l'enchaînement « ingénieur chez Orange à Lille, 2018-2023, diplômé de Centrale » laisse une combinaison d'identifiants indirects souvent unique : un recruteur, un ancien collègue ou un moteur de recherche peut recouper. Remplacer l'employeur par un descripteur générique (« grand groupe télécoms ») réduit le risque mais ne le supprime pas — on reste donc dans la pseudonymisation, pas dans l'anonymisation irréversible exigée par la CNIL.

Tant qu'un CV reste une donnée personnelle, le principe de limitation de la conservation (article 5 du RGPD) s'applique. La CNIL recommande une durée maximale précise pour les candidatures non retenues : « conserver le CV et la lettre de motivation d'un candidat pour alimenter un "vivier de candidats" est possible sous réserve que la durée de conservation n'excède en principe pas deux ans et que le candidat en ait été informé, à compter du dernier contact avec ce candidat » (CNIL, Recrutement et données personnelles).

Deux conditions s'ajoutent au délai : le candidat doit en avoir été informé, et le décompte court à partir du dernier contact, pas de la date de réception du CV. Un CV pseudonymisé partagé en interne (par exemple pour un recrutement sans biais) reste soumis à ces durées : la pseudonymisation est une mesure de sécurité, pas une dispense de conservation limitée.

À l'inverse, un fichier réellement anonymisé n'est plus encadré par ces durées puisqu'il sort du RGPD — mais l'anonymisation d'un document aussi riche qu'un CV est, en pratique, très difficile à garantir.

La définition même de la pseudonymisation à l'article 4.5 du RGPD exige des « mesures techniques et organisationnelles » effectives. Un caviardage cosmétique ne les remplit pas.

• Le rectangle noir dessiné sur un PDF ne supprime pas le texte. Dans un PDF, le visuel et la couche de texte sont indépendants : poser un rectangle par-dessus un nom le masque à l'écran, mais le texte reste sélectionnable, copiable et extractible par un simple copier-coller ou un script. La donnée n'a jamais été retirée.
• Les métadonnées trahissent l'identité. Un PDF embarque des champs Auteur, Titre, logiciel d'origine — où le nom du candidat figure très souvent, même quand il a été effacé du corps du document.

Une pseudonymisation robuste suppose donc une vraie redaction (suppression effective du contenu de la couche texte, pas un simple masquage) et un nettoyage des métadonnées. C'est l'approche technique de BlindCV : le texte sensible est réellement supprimé puis remplacé, et les métadonnées sont vidées. Restons toutefois précis sur le plan juridique : cela produit une pseudonymisation de qualité, robuste face à une extraction triviale — pas une anonymisation juridiquement garantie, puisque le parcours résiduel peut toujours, par recoupement, permettre une ré-identification au sens de la jurisprudence Breyer.