Données RH : confidentialité, pseudonymisation et anonymisation

Des données qui concernent des personnes

Salaires, absences, évaluations, départs : l’analytics RH travaille sur les données les plus personnelles de l’entreprise. Une fuite ou une mauvaise diffusion peut nuire directement à un salarié, et la confiance des équipes dans le service RH en dépend. Ce cours commence donc par la protection des données, avant tout calcul.

Les données RH sont des données personnelles au sens du RGPD. Quelques principes établis guident toute analyse :

• finalité : on sait pourquoi on traite les données (piloter le turnover, mesurer l’égalité salariale) et on ne les réutilise pas pour autre chose ;
• minimisation : on ne garde que les colonnes nécessaires à cette finalité ;
• accès limité : seules les personnes habilitées voient les données individuelles ;
• conservation limitée et sécurité : fichiers protégés, pas de copie sur une clé USB ni dans un e-mail.

Certaines informations relèvent des catégories particulières de données (notamment la santé ou l’appartenance syndicale) et bénéficient d’une protection renforcée. Un motif d’absence médical en fait partie : on l’analyse uniquement agrégé, si c’est nécessaire, et on en parle avec le délégué à la protection des données (DPO) de l’entreprise.

Minimiser et pseudonymiser

Pour analyser des salaires par service, vous n’avez besoin ni du nom ni de l’adresse e-mail. Première étape : les supprimer. Deuxième étape : remplacer le matricule par un pseudonyme, pour pouvoir relier plusieurs fichiers sans exposer l’identifiant réel.

Un hachage simple (sha256 du matricule) ne suffit pas : les matricules sont peu nombreux et prévisibles, il suffit de hacher tous les numéros possibles pour retrouver la correspondance. On utilise une fonction à clé secrète, HMAC :

import hmac, hashlib

def pseudo(employee_id, secret):
    digest = hmac.new(secret.encode(), str(employee_id).encode(), hashlib.sha256).hexdigest()
    return digest[:12]

clean = raw.drop(columns=["name", "email"])
clean["pid"] = clean["employee_id"].map(lambda i: pseudo(i, SECRET))
clean = clean.drop(columns=["employee_id"])

Le même matricule donne toujours le même pseudonyme avec la même clé, ce qui permet les jointures. La clé est conservée séparément, par une personne habilitée, jamais dans le notebook ni dans le dépôt de code.

Pseudonymisation n’est pas anonymisation

• Pseudonymisé : la personne n’est plus nommée, mais on peut la retrouver (avec la clé, ou en croisant des colonnes). Les données restent personnelles et le RGPD continue de s’appliquer.
• Anonymisé : la réidentification est impossible, de façon irréversible, par quelque moyen raisonnable que ce soit. Les données sortent alors du champ du RGPD.

L’anonymisation réelle est difficile : dans une PME, « la seule femme cadre du service juridique de plus de 50 ans » est identifiable sans aucun nom. Le croisement de quelques colonnes (service, âge, sexe, date d’entrée) suffit souvent. Les techniques usuelles : généraliser (tranches d’âge plutôt qu’âge exact), supprimer les colonnes rares, et ne publier que des agrégats.

Le seuil de diffusion

Publier « salaire moyen du service juridique » quand ce service compte deux personnes revient presque à publier leurs salaires : chacun connaît le sien et déduit celui de l’autre. On applique une règle de seuil : tout indicateur calculé sur moins de N personnes (souvent 5, la valeur est une règle interne à fixer avec le DPO) est masqué.

def safe_aggregate(df, by, value, min_n=5):
    out = df.groupby(by)[value].agg(n="size", mean_value="mean")
    out["suppressed"] = out["n"] < min_n
    out.loc[out["suppressed"], "mean_value"] = float("nan")
    return out

Attention aux déductions par différence : si vous publiez le total de l’entreprise et tous les services sauf un, le service masqué se recalcule. Masquez alors un second groupe ou regroupez les petits services dans une catégorie « autres ».

À retenir

• Minimisez : ne gardez que les colonnes utiles à la finalité.
• Pseudonymisez avec une clé secrète conservée à part ; les données restent personnelles.
• Ne diffusez jamais un agrégat calculé sur un trop petit groupe.